Was eine Website über deinen Browser feststellen kann

Kurz gesagt

Was ohne dein Zutun ankommt

Manches muss jede Website erfahren, damit die Seite überhaupt bei dir ankommt. Dafür braucht es kein Skript, keinen Klick und keine Zustimmung — es steckt in der Anfrage selbst.

• Deine IP-Adresse, und daraus abgeleitet eine grobe Region und der Netzbetreiber.
• Die Zeilen, die dein Browser bei jeder Anfrage mitschickt: die Browserkennung, die Sprachliste, bei Chrome, Edge und anderen Chromium-Browsern über verschlüsselte Verbindungen grobe Browserhinweise und gegebenenfalls Datenschutzsignale wie Global Privacy Control.
• Wie dein Programm die verschlüsselte Verbindung eröffnet (JA4 und JA3) und wie dein Betriebssystem sie aufbaut (Verbindungsaufbau).
• Cookies, die diese Website selbst früher bei dir abgelegt hat — und nur ihre eigenen. Eingebettete fremde Dienste auf derselben Seite bekommen ihre eigenen, in Chrome von Haus aus auch über viele Websites hinweg.

Ganz abstellen lassen sich diese Angaben nicht. Deine IP-Adresse änderst du nur über einen anderen Weg ins Netz, etwa ein VPN oder Tor — mehr dazu in Wie anonym bin ich wirklich?. Die mitgeschickten Zeilen und die Cookies bestimmen dein Browser und seine Einstellungen; ein VPN ändert an ihnen nichts.

Was ein Skript zusätzlich liest

Sobald eine Seite ein Skript ausführt, kann sie deinen Browser fragen, und er antwortet meist ohne Rückfrage. Die Werte entstehen erst durch diese Abfrage; dein Gerät hatte sie nicht von sich aus geschickt.

Aus solchen Werten entsteht ein Fingerabdruck. Rechtlich ist das in Deutschland kein Freibrief: Wer Informationen aus deinem Gerät ausliest, braucht nach § 25 TDDDG grundsätzlich deine Einwilligung, außer das Auslesen ist für den gewünschten Dienst unbedingt nötig. Technisch hindert der Browser eine Seite aber nicht daran.

Was eine Website nicht kann

• Deine Dateien lesen. Eine Website sieht nur Dateien, die du ihr in einem Auswahldialog selbst gibst — und nur diese.
• In andere Websites hineinsehen. Die Regel der gleichen Herkunft trennt die Daten jeder Website von denen anderer, auch in anderen Tabs.
• Deinen Namen erfahren, solange du ihn nicht angibst oder dich anmeldest. Eingebettete Dienste, bei denen du anderswo angemeldet bist, können dich allerdings wiedererkennen.
• Deinen genauen Standort bestimmen, Kamera oder Mikrofon einschalten, ohne dass du zustimmst. Dafür fragt der Browser nach, je Website — siehe Standortfreigabe.
• Deinen Rechner durchsuchen oder prüfen, ob dein Virenschutz aktuell ist. Welche Programme installiert sind, lässt sich nur in Einzelfällen erahnen, etwa an Schriften, die Programme mitbringen. Chrome kann einer Seite auf Nachfrage erlauben, mit Apps auf deinem Gerät zu sprechen — eine solche Freigabe solltest du nur erteilen, wenn du weißt, wozu.

Ein Beispiel: die drei Schritte im Browser-Einblick

Der Browser-Einblick von HexWarte ist genau nach dieser Grenze gebaut und macht sie sichtbar.

• Beim Öffnen, ohne Klick: was ohnehin ankommt — deine Adresse, der Netzbetreiber, die mitgeschickten Zeilen, die Verschlüsselung und der Verbindungsaufbau. Dein Browser prüft dabei selbst, ob deine Adresse zu Tor, iCloud Private Relay oder VPN by Google gehört.
• Auf deinen Start: 16 Merkmale, die ein Skript bei deinem Browser erfragt, von der Bildschirmgröße bis zur Zeitzone. Dazu erkennt die Seite, ob dein Browser einen Fingerabdruckschutz trägt.
• Auf einen weiteren Start: die Tiefenmessung mit neun Messungen — zeichnen, rechnen, ausmessen, 42 Schriften, 24 Schnittstellen — und als eigener Schritt die Netzmessung, bei der dein Browser selbst Pakete an einen Messpunkt von HexWarte schickt.

Jede Zeile nennt, wie ihr Wert erhoben wurde, was er bedeutet und was er nicht bedeutet. Gespeichert wird nichts.

Wofür die Ergebnisse gelten

• Für genau diesen Browser in genau dieser Einstellung. Ein anderer Browser auf demselben Gerät, ein privates Fenster oder eine neue Erweiterung ergeben ein anderes Bild.
• Für diesen Moment. Viele Werte ändern sich mit dem Fenster, dem Netz oder einem Update; laut einer Übersichtsarbeit ändert sich der Fingerabdruck bei vier von fünf Browsern binnen zehn Tagen. Tracker verknüpfen die geänderten Abdrücke aber oft wieder miteinander.
• Unter der Bedingung, dass der Browser ehrlich antwortet. Ein Schutz kann Werte vereinheitlichen oder zufällig machen, und manche Erweiterung fälscht sie. Wo das erkennbar ist, kennzeichnet der Browser-Einblick es an der Zeile.

Was dieser Artikel nicht sagt

• Der Artikel beschreibt, was technisch möglich ist, nicht was jede Website tut. Viele Seiten lesen nur einen Teil davon aus, manche gar nichts.
• Eine vollständige Liste aller Merkmale gibt es nicht. Neue Schnittstellen bringen neue mit, und alte verschwinden.
• Ob dich eine Seite tatsächlich wiedererkennt, hängt davon ab, wie viele andere dieselben Werte melden. Das kann eine Seite nur schätzen, wenn sie die Werte vieler Besucher sammelt, und auch dann nur für ihr eigenes Publikum. HexWarte speichert nichts und nennt deshalb keine Quote der Art „einzigartig unter X“.
• Die rechtliche Einordnung ist eine fachliche, keine anwaltliche.

Quellen

Geprüft am 21. September 2026. Die Einordnung ist eine fachliche Bewertung, keine Rechtsberatung. Einen Fehler gefunden? Die Kontaktdaten stehen im Impressum.