Wiedererkennung ohne Cookie
Ein Browser verrät beim Aufruf einer Seite Dutzende Kleinigkeiten – Schriftarten, Bildschirmmaße, Zeitzone, Grafikeigenheiten. Einzeln ist keine davon aussagekräftig. Zusammengesetzt ergeben sie einen Wert, der ein Gerät über Wochen wiedererkennt, ohne dass etwas gespeichert würde.
Der entscheidende Unterschied zum Cookie liegt in der Richtung. Ein Cookie wird abgelegt und später wiedergefunden – das Gerät trägt die Kennung mit sich. Ein Fingerabdruck wird nicht abgelegt, sondern jedes Mal neu berechnet, aus Eigenschaften, die ohnehin vorhanden sind. Das Gerät trägt nichts; es ist selbst die Kennung.
Daraus folgen zwei unangenehme Eigenschaften. Der Fingerabdruck überlebt das Löschen aller Browserdaten, weil es nichts zu löschen gibt. Und der Fingerabdruck ist unsichtbar: In den Einstellungen eines Browsers gibt es keine Liste, die den Fingerabdruck auflistete, so wie Cookies aufgelistet werden.
Woraus sich ein Fingerabdruck zusammensetzt
Die Aussagekraft eines einzelnen Merkmals lässt sich messen. Der übliche Maßstab ist die Entropie: Wie stark verkleinert die Kenntnis dieses Merkmals die Menge der in Frage kommenden Geräte? Die Zeitzone allein teilt die Weltbevölkerung in gut zwei Dutzend Gruppen – wenig hilfreich. Die Liste der installierten Schriftarten dagegen ist in vielen Fällen bereits nahezu eindeutig.
Wie stark einzelne Merkmale eingrenzen
Die rechtliche Einordnung ist eindeutiger als erwartet
Ein verbreitetes Missverständnis lautet, Fingerprinting sei eine Grauzone, weil nichts gespeichert werde. Der Wortlaut des § 25 TDDDG sagt etwas anderes: Erfasst werden die Speicherung von Informationen auf dem Endgerät und der Zugriff auf bereits dort gespeicherte Informationen. Das Auslesen der Schriftartenliste ist ein solcher Zugriff. Ob dabei etwas hinterlassen wird, spielt keine Rolle.
Schon die Artikel-29-Gruppe hat das 2014 in einer eigenen Stellungnahme festgehalten, lange bevor die Technik verbreitet war. Die Einordnung ist seither unverändert: Fingerprinting zu Werbe- oder Analysezwecken braucht eine Einwilligung, und zwar dieselbe, die auch ein Cookie bräuchte.
Zwei Wege zur selben Wiedererkennung
Für den Betrieb einer Website folgt daraus eine schlichte Konsequenz. Ein Skript, das vor der Einwilligung lädt, darf keine Merkmale zusammenführen – und ob es das tut, lässt sich von außen kaum beurteilen. Verlässlich ist deshalb nur eines: Skripte Dritter erst nach der Entscheidung zu laden, statt darauf zu vertrauen, dass ein vorgeschaltetes Skript sich zurückhält. Diese Zurückhaltung ist eine Zusage des Anbieters, keine überprüfbare Eigenschaft des Codes.
