Tracking : Der verräterische Fingerabdruck des Browsers

Ein Student erforscht, ob er Internetnutzer anhand der Informationen, die ihr Browser preisgibt, wiedererkennen kann. Er kann. Die Spuren zu verwischen, ist schwierig.

Henning Tillmann sammelt Daten. Daten über Browser. Für seine Diplomarbeit an der Humboldt-Universität zu Berlin untersucht der Informatikstudent , ob er Internetnutzer – beziehungsweise Endgeräte – auch ohne den Einsatz von Cookies wiedererkennen kann. So viel vorweg: Er kann. Schuld sind die Informationen, die der Browser preisgibt, ohne dass der Nutzer etwas davon mitbekommt. Browser-Fingerprinting nennt Tillmann sein Projekt – er nimmt digitale Fingerabdrücke.

Um eine möglichst aussagekräftige Datenbasis zu bekommen, stellt Tillmann auf bfp.henning-tillmann.de sein Projekt vor und bittet um zwei Klicks. Einen für die Einwilligung, dass Daten erhoben und ausgewertet und später zusammen mit allen anderen Daten der Diplomarbeit in anonymisierter Form veröffentlicht werden – einen Klick für die Teilnahme.

Anschließend bekommt jeder Teilnehmer zu sehen, was sein Browser über ihn und seinen Computer verrät. Mehr als zwei Dutzend Datenkategorien – darunter IP-Adresse, Betriebssystem, Bildschirmauflösung, Sprache, Farbtiefe, Plug-ins und installierte Schriftarten – ergeben den Fingerabdruck.

Insbesondere die Schriftarten können verräterisch sein, sagt Tillmann. Wer zusätzlich zu seinem Standard-Paket noch weitere Schriftarten installiert, sei schon anhand von insgesamt drei bis vier Datentypen wiederkennbar. Abgesehen davon "sind, wenn man sich zum Beispiel die Schriftart einer bestimmten Partei installiert, auch persönliche Vorlieben erkennbar".

Patrick Beuth

Patrick Beuth ist Redakteur im Ressort Digital bei ZEIT ONLINE. Seine Profilseite finden Sie hier.

Tillmann ist nicht der erste, der diese digitalen Fingerabdrücke untersucht. Die US-Bürgerrechtsorganisation Electronic Frontier Foundation (EFF) hatte bereits Anfang 2010 auf das Problem der verräterischen Browser hingewiesen .

Bislang kaum erforscht

Ansonsten ist das Phänomen aber kaum erforscht. Tillmann möchte herausfinden, wie verlässlich die Identifizierung über den Browser funktioniert. Geht es auch noch, wenn jemand Änderungen an seinem System vornimmt, ein Update beispielsweise? Wie eindeutig sind bestimmte Konfigurationsmerkmale? Und wie kann sich der Nutzer vor dieser Möglichkeit des Trackings schützen?

Denn natürlich wissen längst auch Spezialisten für Onlinewerbung, dass sie Nutzer auf diesem Wege wiedererkennen könnten. Bislang setzen sie auf Cookies – kleine Textdateien, die beim Besuch einer Website auf dem Rechner des Nutzers abgelegt werden und diesen zweifelsfrei wiedererkennen, wenn er die Seite noch einmal aufruft. Aber einen Cookie zu löschen oder gar nicht erst zu akzeptieren, ist leicht. Dafür bietet jeder Browser die entsprechenden Einstellungsmöglichkeiten.

Die sogenannten Super-Cookies, also zum Beispiel Flash-Cookies zu löschen, ist schon aufwendiger. Hier können aber Add-ons wie BetterPrivacy helfen. Wenn aber irgendwann die E-Privacy-Richtlinie der Europäischen Union – auch Cookie-Richtlinie genannt – dazu führt, dass mehr und mehr Nutzer Cookies ablehnen, dann könnten Websitebetreiber versucht sein, auf das Browser-Fingerprinting auszuweichen.

Gegenmaßnahmen bringen Probleme mit sich

Um den Fingerabdruck des Browsers zu verwischen, müsste ein Nutzer die Flash- und Java-Applets sowie Javascript deaktivieren, sagt Tillmann. Denn dann lassen sich besonders signifikante Daten wie die Schriftarten und Plug-ins nicht mehr auslesen. Weil aber viele Websites ohne Flash und Javascript nur eingeschränkt nutzbar sind, kommt diese Lösung für viele nicht infrage.

Die EFF empfiehlt, den TorButton einzusetzen, der mittlerweile Teil des sogenannten Tor Browser Bundles ist. Dieses Programmpaket aus einem modifizierten Firefox-Browser, dem Anonymisierungsdienst Tor und eben dem TorButton sollte jeder installieren, der sich anonym im Netz bewegen will. Der TorButton deaktiviert aber ebenfalls Javascript und das Flash-Plug-in. Der Preis für die Anonymität ist deshalb ein Verlust an Bequemlichkeit.

Das Projekt von Tillmann läuft noch bis zum 15. Dezember. Die gesamte Arbeit mit den ermittelten – aber anonymisierten – Daten wird im Anschluss nach Open-Science-Prinzipien öffentlich zugänglich sein.

Verlagsangebot

Entdecken Sie mehr.

Lernen Sie DIE ZEIT 4 Wochen lang im Digital-Paket zum Probepreis kennen.

Hier testen

Kommentare

27 Kommentare Seite 1 von 4 Kommentieren

.......

In diesem Zusammenhang sei erwähnt, dass Zeit online allein auf dieser Seite 11 Tracker eingebaut hat.

Zum Vergleich: Spon hat nur 5 und Heise 2.

Insofern: Der Artikel ist richtig und wichtig, die hauseigene Webpolitik hingegen scheint eine ganz andere Richtung anzunehmen.

Die in dem Artikel beschriebene Ausweichtaktik auf das Browser-Fingerprinting wird hier bereits umgesetzt.

.......

11?

Ghostery blockt bei mir nur 6 und ABP block auch was.
-DoubleClick
-Google Analytics
-INFOnline
-Nugg.Ad
-VG Wort
-Webtrekk

Was die http://bfp.henning-tillma... Seite angeht.

Http Accept Charset: Konnte nicht ermittelt werden.
Java Enabled: Konnte nicht ermittelt werden.
Plugin Adobe Acrobat: Konnte nicht ermittelt werden.
Plugin Silverlight: Konnte nicht ermittelt werden.
Fonts: Konnte nicht ermittelt werden.
Fonts Hash: Konnte nicht ermittelt werden.

Dabei habe ich nicht mal NoScript installiert!

12 Tracker stimmt:

Adition
DoubleClick
Google Adsense
Google Analytics
INFOnline
MediaMind
Meetrics
Nugg.Ad
Quisma
ScoreCard Research Beacon
VG Wort
Webtrekk

(Adblock muss ausgeschaltet werden, da dieser die Ad-Tracker schon blockiert bevor Ghostery dran ist.)

Wer keine Lust hat auf Flashbanner und Tracker, surft mit Firefox und Adblock+ sowie Ghostery. Wenn man sich noch ein Fake-Browserprofil zulegen will, nutzt man "User Agent Switcher".

https://addons.mozilla.or...

AdBlock & co.

Was bei dieser Diskussion beachtet werden sollte: Die meisten privaten Betreiber von kostenfreien Webangeboten profitieren von solchen "nervigen Flashbannern", aber auch von der personalisierten Werbung.

Wenn z.B. ein Besucher meiner Webseite über ein Werbebanner die Seite eines Versandhauses besucht, erhalte ich eine Provision, sollte dieser Benutzer in den nächsten 14 Tagen etwas über dieses Versandhaus bestellen. Dies kann natürlich nur nachvollzogen werden, wenn der User Cookies zulässt.
Und selbstverständlich bin ich als Webseitenbesitzer auch darin interessiert, dass meine Besucher Werbebanner angezeigt bekommen, die sie ansprechen.
Wohlgemerkt, wir sprechen hier gar nicht von irgendwelchen Global Players, sondern von Hobby-Webseitenbetreibern, die lediglich die Betriebskosten + ein kleines Taschengeld verdienen wollen.

Das soll nun keine Verteufelung von entsprechenden Tools sein, schließlich funktioniert die Einnahmequelle "Werbung" immer noch sehr gut. Aber man sollte sich diesen Dingen zumindest bewusst sein, wenn man sich Gedanken über das Installieren solcher Tools macht (insbesondere Ad-Blocker).

Die Dosis macht das Gift

Zweifelsohne gibt es, insbesondere im privaten oder kleinunternehmerischen Bereich Bedarf an Einnahmen durch Werbung.
ABP z.B. kann in solchen Fällen nicht aufdringliche Werbung zulassen, sogenannte acceptable ads.

http://adblockplus.org/en...

ABP ist natürlich auch in erster Linie ein Komfortprodukt, damit Websites wieder angenehm und klar aussehen. Und natürlich sollte man eben an diesen kleinen Bedarf denken. Allerdings gibt es eben auch eine vielzahl an Sites, bei dehnen die Werbung weit über das verträgliche Maß hinausgeht.

Tracker und Cookies auf der anderen Seite sind von einem ganz anderen Kaliber. Zu überprüfen, ob ich nach dem Besuch einer Seite ein bestimmtes Produkt kaufe wäre ja noch in Ordnung. Aber die gängige Praxis, mein Nutzungsverhalten quer durch das ganze Netz zu verfolgen, zu speichern und weiterzuverkaufen geht mir persönlich eindeutig zu weit.

Letztendlich ist aber das Hauptproblem, dass den Leuten keine Wahl gelassen wird. Einige andere Kommentare erwähnten schon, dass die meisten Webangebote nicht kostenfrei wären, wenn es keine Werbung und Tracker gäbe. Aber ich wäre eher bereit, auf diese Angebote zu verzichten, als auf meine Privatsphäre.
Das kann selbstverständlich jeder für sich entscheiden. Aber man muss die Leute auch informiert vor die Wahl stellen. Und daran mangelt es momentan.