Was der Verbindungsaufbau über dein Gerät und deinen Browser verrät

Kurz gesagt

Drei Begrüßungen, bevor die Seite lädt

Bevor eine Seite über HTTP/2 lädt, baut dein Browser die Verbindung in drei Schritten auf. Jeder hinterlässt eine eigene Handschrift, ganz ohne Skript.

• Das erste Paket, der Verbindungsaufbau. Es stammt vom Betriebssystem. Windows ordnet seine Zusatzangaben anders an als Linux oder Apple und gibt dem Paket eine andere Anfangs-Lebensdauer mit. Das Werkzeug p0f liest daraus das System ab, oft aus einem einzigen Paket.
• Die Eröffnung der Verschlüsselung, der „ClientHello“ von TLS. Darin zählt dein Browser auf, welche Verfahren und Erweiterungen er beherrscht. Diese Nachricht reist in aller Regel unverschlüsselt; verschlüsselt ist erst, was nach der Antwort des Servers kommt.
• Die Einrichtung von HTTP/2: wie viele Daten dein Browser auf einmal annimmt und in welcher Reihenfolge er die Grundangaben jeder Anfrage nennt. Sie ist verschlüsselt, aber der Server liest sie. Daraus entsteht der HTTP/2-Fingerabdruck.

Eine Ausnahme: Ein Virenscanner mit HTTPS-Prüfung oder ein Firmenproxy, der verschlüsselte Verbindungen aufbricht und neu aufbaut, zeigt der Website bei TLS und HTTP/2 seine eigene Handschrift.

Wie aus der Begrüßung ein Wert wird: JA3 und JA4

Ein verbreiteter Weg, den ClientHello zusammenzufassen, entstand 2017 bei Salesforce: JA3. Er reiht Version, Verfahren, Erweiterungen und Angaben zum Schlüsselaustausch in der gesendeten Reihenfolge aneinander und bildet daraus eine 32-stellige Prüfsumme. Salesforce pflegt JA3 nicht mehr; einer seiner Erfinder entwickelt bei FoxIO den Nachfolger JA4.

Warum es einen Nachfolger brauchte, zeigt Chrome. Seit Fassung 110 vom Februar 2023 würfelt Chrome auf Computern und unter Android die Reihenfolge seiner Erweiterungen bei jedem Verbindungsaufbau neu. Google begründet das nicht mit Datenschutz: Server sollen sich nicht auf eine feste Form verlassen. Derselbe Chrome ergibt damit praktisch bei jeder Verbindung einen anderen JA3-Wert. JA4 sortiert deshalb, bevor es rechnet.

Ein JA4-Wert ist teils mit bloßem Auge lesbar. FoxIO nennt als Beispiel für Chrome:

t13d1517h2_8daaf6152771_cb7bf5808d99

• „t13“: TLS über TCP, Version 1.3; bei HTTP/3 über QUIC stünde vorn ein „q“.
• „d“: Der Browser hat den Namen der Website mitgeschickt; ohne Namen stünde dort „i“.
• „1517“: 15 Verfahren und 17 Erweiterungen, ohne die Platzhalter mit Zufallswerten, die manche Browser absichtlich einstreuen.
• „h2“: Der Browser bietet als Erstes HTTP/2 an. Dahinter folgen gekürzte Prüfsummen der sortierten Verfahren und der sortierten Erweiterungen mit den Signaturverfahren.

Der Wert ändert sich laut FoxIO etwa einmal im Jahr, wenn die Verschlüsselungsbibliothek erneuert wird. JA4 selbst steht unter einer freien Lizenz. Die übrigen Verfahren der Familie, etwa JA4T für das erste Paket und JA4H für HTTP, erlaubt ihre Lizenz nicht für Dienste, die man anderen bereitstellt. HexWarte nutzt deshalb nur JA4 und deutet den Rest nach eigenen, offen beschriebenen Regeln.

Wozu Betreiber das nutzen

Schutzdienste für Websites, etwa von Cloudflare und AWS, bieten JA3 und JA4 als Prüfmerkmal an: einen Abdruck, der bei einem Bot-Angriff auffiel, sperren oder mit einer Rückfrage belegen, den der eigenen App durchlassen. Schon JA3 sollte Schadprogramme an ihrer Verbindung erkennen, auch wenn sie ständig Adressen wechseln.

Aufschlussreich ist der Widerspruch. Akamai beschreibt ein Programm in der Sprache Go, das sich mit der Browserkennung von Chrome ausgibt; an seiner HTTP/2-Einrichtung lasse sich der Schwindel leicht erkennen. Ebenso verrät sich ein Proxy: Reicht ein Windows-Rechner die Verbindungen von Chrome auf einem Mac weiter, ohne die Verschlüsselung aufzubrechen, zeigt das erste Paket Windows, TLS und HTTP/2 zeigen Chrome, und die Browserkennung nennt einen Mac. Auf dieselbe Weise maß eine Studie von 2017, wie oft Virenscanner und Netzgeräte HTTPS aufbrechen: Sie verglich die Browserkennung mit dem Verhalten bei der Verschlüsselung.

Einzelne Menschen erkennt man an diesen Werten allein in der Regel nicht wieder, denn alle mit derselben Software senden dieselben, wie schon Akamai für HTTP/2 festhält. Sie können einen Fingerabdruck aus Skriptmerkmalen aber ergänzen, und die Norm für HTTP/2 nennt ihre Einstellungen ausdrücklich als Merkmal, an dem ein Beobachter einen Client wiedererkennen kann. Wie Merkmale gebündelt werden und was rechtlich gilt, steht in Wie Fingerprinting funktioniert.

Umgekehrt beweist ein passender Wert keinen echten Browser: Werkzeuge wie curl-impersonate bauen die TLS- und HTTP/2-Begrüßung von Chrome, Firefox oder Safari nach eigener Angabe genau nach. Der Abdruck ist ein Hinweis unter mehreren, kein Ausweis.

Ein Beispiel: Jonas gibt sich als iPhone aus

Jonas benutzt Chrome auf seinem Windows-Laptop. Um weniger zu verraten, installiert er eine Erweiterung, die stattdessen „Safari auf dem iPhone“ meldet. Dann ruft er einen Onlineshop auf, der eine Bot-Abwehr betreibt.

• Das erste Paket trägt die Handschrift von Windows.
• Die Eröffnung der Verschlüsselung ergibt den JA4-Wert, den FoxIO für Chrome angibt.
• Die Einrichtung von HTTP/2 gleicht genau der von Chrome und Edge.
• Nur die Browserkennung behauptet ein iPhone.

Drei Schichten stimmen überein und widersprechen gemeinsam der einen Zeile, die Jonas änderte. Statt in der Menge der Chrome-Nutzer unterzugehen, gehört er jetzt zu den wenigen mit diesem Widerspruch und bekommt womöglich Rückfragen, die er vorher nie bekam.

In Kammer 1 des Browser-Einblicks sähe Jonas das ohne Klick: Die Karten „Verbindungsaufbau“ und „HTTP/2-Einstellungen deines Browsers“ nennen Windows beziehungsweise Chrome und Edge und vermerken, dass seine Browserkennung etwas anderes angibt. Sogar die Karte „Wie du ankommst“ meldet „Vermutlich über VPN oder Proxy“ und nennt als andere Erklärung eine Kennung, die ein anderes System vorgibt. Die Karte „Fingerabdruck des Verbindungsaufbaus“ zeigt nur den JA4-Wert, ohne Browsernamen. Schaltet Jonas die Erweiterung ab, passt alles wieder zusammen.

Was du tun kannst — und wofür die Messung gilt

• Nichts verstellen. Keine gewöhnliche Browsereinstellung ändert diese drei Begrüßungen; Expertenschalter wie about:config in Firefox können Verfahren oder HTTP/2 abschalten, machen dich aber nur seltener. Wer eine einzelne Angabe wie die Browserkennung verändert, erzeugt einen Widerspruch und verkleinert seine Anonymitätsmenge. Am wenigsten fällst du mit einem verbreiteten, aktuellen Browser in seiner Grundeinstellung auf.
• Ein VPN ändert deine Adresse, nicht TLS und HTTP/2. Manche Anbieter bauen Verbindungen über bestimmte Ports selbst neu auf, dann beschreibt das erste Paket ihren Server; FoxIO sah das im Mai 2024 bei zwei großen VPN-Diensten. Ob dein VPN alles umleitet, zeigt Prüfen, ob dein VPN dicht ist.
• Mit Tor oder iCloud Private Relay baut der Ausgang die Verbindung auf; TLS und HTTP/2 kommen weiter von deinem Browser — mehr in Wie anonym bin ich wirklich?.
• Kommen auffällig oft Rückfragen, obwohl du nichts verstellt hast, kann ein Virenscanner mit HTTPS-Prüfung oder ein Firmenproxy dahinterstecken. Laut der Studie von 2017 machten fast alle untersuchten Programme dieser Art die Verbindung zudem unsicherer.
• Auch die verschlüsselte Begrüßung Encrypted Client Hello (RFC 9849, März 2026) verbirgt vor allem den Namen der Website vor Mitlesern unterwegs: Was nicht vom Namen abhängt, darf außen stehen, und die Website entschlüsselt die innere Begrüßung ohnehin. Mehr in Was das Nachschlagen von Namen verrät.

Was dieser Artikel nicht sagt

• Der Artikel nennt keine Zahl dazu, wie viele Menschen einen Wert teilen: HexWarte speichert nichts, und eine öffentliche, nachprüfbare Verteilung ist nicht bekannt.
• Er beschreibt nicht, wie Anbieter von Bot-Abwehr die Werte intern gewichten; dokumentiert sind nur die Merkmale und die Regeln, die ihre Kunden selbst schreiben.
• Die Beispielwerte sind Stand Oktober 2026; Browser ändern ihre Begrüßungen mit Aktualisierungen. Die HTTP/2-Muster in HexWarte sind am 21. September 2026 selbst gemessen, nur das für Safari stammt aus curl-impersonate.

Quellen

Geprüft am 3. Oktober 2026. Die Einordnung ist eine fachliche Bewertung, keine Rechtsberatung. Einen Fehler gefunden? Die Kontaktdaten stehen im Impressum.