Wie Fingerprinting funktioniert

Kurz gesagt

Vom Merkmal zum Kennwert

Was ein einzelnes Merkmal verrät, steht in Wie selten bin ich? und unter Begriffen wie Canvas-Fingerprinting. Hier geht es darum, was danach passiert. Ein Fingerabdruck entsteht in drei Schritten.

1. Sammeln. Ein Skript fragt unbemerkt Bildschirm, Zeitzone, Sprachen, Schriften, Grafikeinheit und eine unsichtbare Testzeichnung ab. Dazu kommt, was ohnehin mit jeder Anfrage ankommt: deine IP-Adresse und mitgeschickte Zeilen wie die Browserkennung. Auch der Verbindungsaufbau trägt einen Abdruck, siehe Was der Verbindungsaufbau über dein Gerät und deinen Browser verrät.
2. Verdichten. Im einfachsten Fall rechnet das Skript alle Werte zu einer kurzen Prüfsumme zusammen, so wie die verbreitete freie Bibliothek FingerprintJS. Der Haken für den Verfolger: Ändert sich ein einziger Wert, entsteht eine andere Summe.
3. Abgleichen. Sechs von acht verbreiteten Fingerprinting-Diensten schicken stattdessen die einzelnen Werte an ihren eigenen Server. Dort werden sie mit Millionen anderer Abdrücke, mit deiner Adresse und mit Cookies des Dienstes verrechnet. Das siehst du nicht: Laut W3C, das die Webstandards pflegt, kann ein Server die Werte auf nicht beobachtbare Weise kombinieren.

Wie Besuche verknüpft werden — auch wenn sich der Abdruck ändert

Fingerabdrücke sind nicht fest. Bei 1.905 Browsern, deren Nutzer von 2015 bis 2017 eine Erweiterung der Testseite AmIUnique installiert hatten, änderte sich der Abdruck bei der Hälfte binnen fünf Tagen, bei vier von fünf binnen zehn — durch Updates, einen angeschlossenen Bildschirm oder eine Reise in eine andere Zeitzone.

Verknüpfen heißt, einen neuen Abdruck einem alten zuzuordnen. Die Forscher nutzten dafür Regeln, ergänzt um maschinelles Lernen: Betriebssystem und Browserfamilie bleiben gleich, die Browserversion darf nicht sinken, Auflösung oder Zeitzone dürfen wechseln, aber nicht mehrere Werte zugleich. So blieben Browser im Schnitt 54,48 Tage am Stück verknüpft; bei gut einem Viertel gelang das mindestens einmal über mehr als 100 Tage.

Ein kommerzieller Dienst ist noch nachsichtiger. Eine Untersuchung von 2026 veränderte beim Marktführer einzeln 26 Merkmale: Bei der Hälfte blieb die Kennung des Servers gleich, obwohl sich die im Browser berechnete Prüfsumme änderte — auch bei einer veränderten Testzeichnung. Fand der Dienst seine eigenen, ein Jahr gültigen Cookies vor, ordnete er sogar einen vollständig geänderten Abdruck derselben Kennung zu.

Wer Fingerprinting einsetzt — und wozu

Im Januar 2016 fand eine Messung über eine Million Websites das unsichtbare Zeichnen auf 1,6 Prozent der Seiten, fast immer durch fremde Skripte. Eine 2021 veröffentlichte Messung fand Fingerprinting insgesamt auf 10,18 Prozent der 100.000 meistbesuchten Seiten. Im Mai 2025 zeichneten 12,7 Prozent der 20.000 meistbesuchten Seiten ein Testbild. Alle drei Zahlen sind Untergrenzen: Mit 30 echten Nutzern über zehn Wochen zeigte sich, dass automatische Abrufe fast die Hälfte der Seiten mit Fingerprinting übersehen.

Ein wichtiger Zweck ist Sicherheit. Schon 2016 hatte sich das Zeichnen von der Verhaltensverfolgung zur Betrugserkennung verschoben, und 2025 hatte unter den zeichnenden Diensten einer zur Bot-Erkennung die größte Reichweite. Auf Anmeldeseiten lief Fingerprinting 2023 etwa so häufig wie anderswo, auf rund jeder zehnten Seite. Ein Dienst kann so bemerken, dass sich jemand mit richtigem Passwort von einem fremden Gerät anmeldet.

Dieselbe Technik dient aber auch der Werbung. Fast die Hälfte der 2025 auf den meistbesuchten Seiten gefundenen Testzeichnungen stammte von Skripten, die auf mindestens einer Blockliste gegen Werbung oder Verfolgung stehen. Eine weitere Messung änderte nur den Abdruck eines Testbrowsers — und die Gebote in den Werbeauktionen änderten sich mit. Die Autoren sehen darin starke Belege für Fingerprinting beim Ausspielen von Werbung.

Der Zweck steht nicht im Skript. Ein Sicherheitsanbieter zeichnet für jede Website ein anderes Testbild und kann dich darüber nicht seitenübergreifend verfolgen; ein anderer gibt die fertige Kennung seinen Kunden zur freien Verwendung.

Was rechtlich gilt

Maßgeblich ist § 25 TDDDG: Wer Informationen aus deinem Gerät ausliest, braucht grundsätzlich deine Einwilligung — gleich, ob es Personenbezogene Daten sind. Der Europäische Datenschutzausschuss stellt in seinen Leitlinien 2/2023 (Fassung 2.0 vom 7. Oktober 2024) klar, dass Fingerprinting unter die zugrunde liegende EU-Regel fällt: eindeutig, wenn ein Skript den Browser anweist, Werte zu senden, und unter Umständen sogar, wenn mitgeschickte Zeilen wie die Browserkennung dafür gesammelt werden. Ob eine Einwilligung nötig ist, entscheiden dann die beiden Ausnahmen des Gesetzes.

Unternehmensregeln ändern daran nichts. Bis Februar 2025 verbot Google in den Richtlinien seiner Werbeplattformen, Gerätefingerabdrücke mit seinen Produkten zu verwenden; seit dem 16. Februar fehlt dieser Satz. 2019 hatte Google Fingerprinting noch als falsch bezeichnet, weil es die Wahl der Nutzer untergrabe. Die britische Datenschutzaufsicht ICO nannte die Änderung „unverantwortlich“ und erinnerte daran, dass Unternehmen eine faire Wahl lassen und, wo nötig, eine Einwilligung einholen müssen.

Ein Beispiel: Tobias, ein Shop und eine Nachrichtenseite

• Abends kauft Tobias im Onlineshop „Beispielhaus“ ein. Beim Bezahlen läuft das Skript eines Dienstleisters gegen Betrug: Es prüft, ob ein Mensch bestellt oder ein Programm, das gestohlene Kartendaten durchprobiert. Dient das nur dem Schutz dieses Einkaufs und nutzt der Dienstleister die Werte für nichts anderes, kann der Shop ohne Einwilligung auskommen.
• Am Morgen liest Tobias die Nachrichtenseite „Tagesblick“. Er hat alle Cookies gelöscht und im Einwilligungsdialog „Ablehnen“ gewählt. Trotzdem berechnet ein Werbeskript, das auf vielen Seiten steckt, seinen Abdruck. Rechtlich bräuchte es seine Einwilligung; technisch können Abdruck und Adresse genügen, um ihn seinen Besuchen auf anderen Seiten mit demselben Skript zuzuordnen.
• Eine Woche später aktualisiert sich sein Browser, danach meldet er am Bürobildschirm eine andere Auflösung. Für ein Verfahren wie das aus der Forschung bleibt es jedes Mal dieselbe Spur: Die Version steigt, und es ändert sich nur ein Wert zugleich.

Das Löschen der Cookies hat Tobias bei der Nachrichtenseite wenig genützt. Gegen das Wiedererkennen wirken Werte, die er mit vielen anderen teilt — siehe Anonymitätsmenge.

Was du brauchst, um es einzuordnen

• Einen Blick in den Einwilligungsdialog. Fingerprinting für Werbung muss dort stehen und darf erst nach deiner Zustimmung laufen. Steht „Betrugsabwehr“ unter „notwendig“, kann das allenfalls den Schutz des Dienstes decken, den du gerade nutzt, und nur, wenn die Werte zu nichts anderem dienen.
• Realistische Erwartungen an Werbeblocker. Mit zwei verbreiteten Blockern sank die Zahl der Seiten, die 2025 ein Testbild zeichneten, nur um etwa fünf Prozent. Rund die Hälfte dieser Seiten lieferte ein solches Skript von der eigenen Adresse aus; Anbieter empfehlen das gezielt. Was wirklich hilft, steht in Fingerabdruckschutz im Vergleich.
• Deine eigenen Werte. Die Tiefenmessung im Browser-Einblick zeigt nach deinem Start, welche Messungen einen Wert ergeben, der bei jedem Besuch gleich zurückkäme, und der Bericht zählt sie zusammen. HexWarte rechnet daraus keine Gesamtkennung, speichert nichts und verknüpft keine Besuche; die Werte bleiben in deinem Tab.

Was dieser Artikel nicht sagt

• Die Zahlen zur Verbreitung beruhen auf verschiedenen Seitenlisten und Erkennungsverfahren und sind nicht direkt vergleichbar.
• Die 54,48 Tage wurden an Browsern von Freiwilligen der Jahre 2015 bis 2017 gemessen, ohne Browser mit Schutzmaßnahmen. Wie heutige Dienste verknüpfen, veröffentlichen sie nicht; die Untersuchung von 2026 betrifft einen Anbieter, getestet mit Chrome und Edge.
• Die rechtliche Einordnung ist eine fachliche, keine anwaltliche. Die Stellungnahme der Artikel-29-Gruppe stammt von 2014; ob eine Ausnahme greift, entscheidet der Einzelfall. Die EU berät seit November 2025 über eine Neuordnung der Regeln für Zugriffe auf Endgeräte, beschlossen ist sie bis Oktober 2026 nicht; dieser Artikel beschreibt die geltenden Vorschriften.
• HexWarte kann nicht feststellen, ob eine bestimmte Website dich per Fingerprinting verfolgt. Es zeigt, was eine Seite auslesen könnte, nicht was sie damit tut.

Quellen

Geprüft am 3. Oktober 2026. Die Einordnung ist eine fachliche Bewertung, keine Rechtsberatung. Einen Fehler gefunden? Die Kontaktdaten stehen im Impressum.