Ausgangslage: Benutzertracking
Wer im Web surft, hinterlässt eine Datenspur, mit welcher unter bestimmten Umständen seine virtuellen Wanderwege zurückverfolgt werden können. Diese Informationen werden gespeichert und ausgewertet. Im Extremfall resultiert daraus mit der Zeit ein umfassendes Profil über die Nutzungsgewohnheiten, welches einem bestimmten User zugeordnet werden kann.
Gegen solches Webseiten-Tracking wird in der Regel empfohlen, Cookies gelegentlich zu löschen sowie Cookies von Drittanbietern gar nicht zu akzeptieren. Das ist wirksam und sinnvoll, aber leider schützt es nicht zuverlässig davor, eindeutig identifiziert und getrackt zu werden.

Neben den gewöhnlichen Cookies gibt es auch Flash-Cookies. In einem separaten Bereich kann eine Flash-Anwendung Informationen als sogenannte LSO (Local Stored Objects) abspeichern. Dies dient zur Speicherung beispielsweise von Game-Einstellungen, kann aber auch fürs Usertracking missbraucht werden. Für diese LSO-Cookies müssen Sie die Einstellungen separat vornehmen. Klicken Sie dazu mit der rechten Maustaste in ein Flash-Objekt auf einer Seite – zum Beispiel in ein Video – und wählen Sie «Globale Einstellungen». Im darauf folgenden Dialog können Sie zum Beispiel LSO generell verbieten, jedoch für bestimmte Websites, wo es benötigt wird, aktivieren.
Manche Cookies sind in der Lage, sich selbst wiederherzustellen, nachdem sie gelöscht wurden. Auf Englisch existiert dafür der Begriff Zombie Cookie. Die Zombie-Cookies lassen sich kaum beseitigen, weil die darin enthaltenen Informationen an verschiedenen Orten als Backup abgespeichert werden. Flash richtig einstellen, wie oben beschrieben ist da zwar nützlich, aber ebenfalls kein hundertprozentiger Schutz.

Sag mir deinen Browser, und ich sag dir, wer du bist

Zombie-Cookies sind schon ziemlich gruselig, noch beunruhigender ist aber der Umstand, dass eine eindeutige Identifikation sogar dann möglich ist, wenn Cookies generell nicht zugelassen sind. Der Browser gibt nämlich so viele Informationen preis, dass die gesamte Menge an Infos fast nie bei zwei Leuten exakt gleich ist. Sammelt und vergleicht man also alles, was der Browser so ausplaudert, ergibt das praktisch von selbst einen virtuellen Fingerabdruck.
Wie das im konkreten Fall aussieht, kann man beim Online-Tool Panopticlick selbst ausprobieren. Panopticlick stammt von der Electronic Frontier Foundation (EFF). Mit einem Klick auf den Test-Button werden folgende Informationen ermittelt: Name des Browsers, Version, Betriebssystem, die verschiedenen Plug-Ins und dessen Versionsnummern, Zeitzone, Bildschirmauflösung, auf dem System installierte Fonts und Informationen über den Cookie-Status. Dabei hat die EFF nicht einmal alle Informationen ausgewertet, die Webbrowser üblicherweise preis geben. Innerhalb der zuerst untersuchten Testmenge von gegen 300'000 Geräten hatten etwa 85 Prozent aller Browser ein absolut einzigartiges Profil. Selbst wenn es einige wenige mit dem exakt gleichen Profil gibt, lassen sich diese anhand der IP-Adresse meistens leicht voneinander unterscheiden.
Auf der nächsten Seite: Die Informanten, Gegenmassnahmen und Verschlimmbesserungen

Die wichtigsten Fingerprinting-Informanten
Besonders problematisch sind die Plug-Ins und die Fonts. Sie führen dazu, dass die allermeisten Browser ein eindeutiges, womöglich weltweit einzigartiges Profil hinterlassen. In der EFF-Untersuchung waren es etwa 94 Prozent.

Die Informationen zu den System-Fonts werden über Flash oder Java ermittelt. Nur wenn beides deaktiviert ist, können die Fonts nicht für das Fingerprinting verwendet werden. Die Liste der installierten Schriften ist oft sehr lang. Auch wenn Sie nie bewusst eine Schriftart installiert haben, können Fonts durch eine simple Software-Installation auf Ihr System gelangen und so ein wichtiges Erkennungsmerkmal bilden.
Immerhin kann man dies noch unterbinden, indem man sowohl Flash als auch Java deaktiviert. Bei den Plug-Ins nützt das nichts. Das Hauptproblem bei den Plug-Ins sind die extrem genauen Versions-Angaben. Kaum zwei Browser haben bei sämtlichen Plug-Ins exakt dieselbe Version installiert. Hier hilft nur die Deaktivierung von JavaScript. Ohne JavaScript ist man jedoch beim Surfen ziemlich eingeschränkt. Eine nützliche Hilfe ist unter Firefox das Add-on NoScript. Damit lässt sich JavaScript grundsätzlich deaktiveren, jedoch für benötigte Fälle punktuell einschalten.

Kontraproduktiver «Privatsphäre-Schutz»
Besonders perfid am Browser-Fingerabdruck ist, dass gewisse Massnahmen, die eigentlich die Privatsphäre erhöhen sollen, den Betroffenen noch leichter identifizieren lassen. Ein offensichtlicher Fall tritt auf, wenn man die Angabe «User Agent» selbst ändert. Als User Agent wird der Name bezeichnet, mit dem sich ein Browser (oder ein E-Mail-Programm) zu erkennen gibt. Wer zum Beispiel nicht möchte, dass eine Webseite ihn als Firefox-User identifiziert, kann Firefox so konfigurieren, dass ein anderer Name ausgegeben wird. Wählt man dabei einen Fantasienamen, ist man womöglich der einzige auf der Welt mit dieser Bezeichnung und so ohne weiteres identifizierbar. Aber auch, wer den Firefox als Internet Explorer ausgibt, tappt in die Falle. Warum? Weil die anderen Angaben, etwa über Browser-Plug-Ins, nicht zum Internet Explorer passen. Man gibt sich damit zu erkennen als «Firefox-Nutzer, der vorgibt, ein IE-Nutzer zu sein» – und davon gibt es weit weniger als von gewöhnlichen Firefox-Nutzern.
Eine ähnliche Wirkung haben laut EFF Flash-Blocker. Sie führen dazu, dass in der Plug-In-Auflistung Flash zwar aufgeführt ist, jedoch Flash die Systemschriften nicht herausgibt – eine sehr seltene Kombination zweier Merkmale und damit ideal fürs Fingerprinting. Nützlich gegen Fingerprinting ist, wie erwähnt, das Add-on NoScript.

Browser-Entwickler reagieren bislang nicht
Der Test und die dazugehörige veröffentlichte Studie sind keineswegs neu – sie stammen von Anfang 2010. Trotzdem ist nach wie vor alles gültig, was darin geschrieben wurde, weil die Browser-Entwickler bislang nichts gegen Fingerprinting unternommen haben. Bei der Mozilla-Foundation hat man die Studie zwar zur Kenntnis genommen, aber die darin enthaltenen Vorschläge bislang nicht umgesetzt. Der Autor der Studie, Peter Eckersley, schlägt vor, dass die Schriftarten sortiert werden, um die Zahl möglicher Kombinationen zu reduzieren. Ausserdem sollen bei Plug-Ins nicht mehr zwingend die Versionsnummern auf die Tausendstelstelle genau angegeben werden, also zum Beispiel anstatt «Java 1.6.0_17» nur noch «Java 1.6». Für Entwickler, die einen Fehler finden müssen, sollen die Details zwar weiterhin bekommen, aber nur wenn dies als Option eingestellt ist. Wenn beispielsweise «Privates Surfen» aktivert ist, sollten laut Eckersley die Versionen weniger detailliert angegeben werden.