Der Browser, der zu viel wusste

Ausgangslage: Benutzertracking
Wer im Web surft, hinterlässt eine Datenspur, mit welcher unter bestimmten Umständen seine virtuellen Wanderwege zurückverfolgt werden können. Diese Informationen werden gespeichert und ausgewertet. Im Extremfall resultiert daraus mit der Zeit ein umfassendes Profil über die Nutzungsgewohnheiten, welches einem bestimmten User zugeordnet werden kann.
Gegen solches Webseiten-Tracking wird in der Regel empfohlen, Cookies gelegentlich zu löschen sowie Cookies von Drittanbietern gar nicht zu akzeptieren. Das ist wirksam und sinnvoll, aber leider schützt es nicht zuverlässig davor, eindeutig identifiziert und getrackt zu werden.

Neben den gewöhnlichen Cookies gibt es auch Flash-Cookies. In einem separaten Bereich kann eine Flash-Anwendung Informationen als sogenannte LSO (Local Stored Objects) abspeichern. Dies dient zur Speicherung beispielsweise von Game-Einstellungen, kann aber auch fürs Usertracking missbraucht werden. Für diese LSO-Cookies müssen Sie die Einstellungen separat vornehmen. Klicken Sie dazu mit der rechten Maustaste in ein Flash-Objekt auf einer Seite – zum Beispiel in ein Video – und wählen Sie «Globale Einstellungen». Im darauf folgenden Dialog können Sie zum Beispiel LSO generell verbieten, jedoch für bestimmte Websites, wo es benötigt wird, aktivieren.
Manche Cookies sind in der Lage, sich selbst wiederherzustellen, nachdem sie gelöscht wurden. Auf Englisch existiert dafür der Begriff Zombie Cookie. Die Zombie-Cookies lassen sich kaum beseitigen, weil die darin enthaltenen Informationen an verschiedenen Orten als Backup abgespeichert werden. Flash richtig einstellen, wie oben beschrieben ist da zwar nützlich, aber ebenfalls kein hundertprozentiger Schutz.

Sag mir deinen Browser, und ich sag dir, wer du bist

Zombie-Cookies sind schon ziemlich gruselig, noch beunruhigender ist aber der Umstand, dass eine eindeutige Identifikation sogar dann möglich ist, wenn Cookies generell nicht zugelassen sind. Der Browser gibt nämlich so viele Informationen preis, dass die gesamte Menge an Infos fast nie bei zwei Leuten exakt gleich ist. Sammelt und vergleicht man also alles, was der Browser so ausplaudert, ergibt das praktisch von selbst einen virtuellen Fingerabdruck.
Wie das im konkreten Fall aussieht, kann man beim Online-Tool Panopticlick selbst ausprobieren. Panopticlick stammt von der Electronic Frontier Foundation (EFF). Mit einem Klick auf den Test-Button werden folgende Informationen ermittelt: Name des Browsers, Version, Betriebssystem, die verschiedenen Plug-Ins und dessen Versionsnummern, Zeitzone, Bildschirmauflösung, auf dem System installierte Fonts und Informationen über den Cookie-Status. Dabei hat die EFF nicht einmal alle Informationen ausgewertet, die Webbrowser üblicherweise preis geben. Innerhalb der zuerst untersuchten Testmenge von gegen 300'000 Geräten hatten etwa 85 Prozent aller Browser ein absolut einzigartiges Profil. Selbst wenn es einige wenige mit dem exakt gleichen Profil gibt, lassen sich diese anhand der IP-Adresse meistens leicht voneinander unterscheiden.
Auf der nächsten Seite: Die Informanten, Gegenmassnahmen und Verschlimmbesserungen