Browser-Fingerprinting: Wie du ohne Cookies verfolgt wirst

Du löschst deine Cookies. Du öffnest ein Inkognito-Fenster. Du schaltest ein VPN ein. Du rufst eine Website auf, auf der du noch nie warst – und irgendwie weiß sie schon, wer du bist.

Nicht unbedingt deinen Namen. Aber sie weiß, dass du dieselbe Person bist wie gestern. Sie kennt dein Gerät, deine Software und das Dutzend anderer Seiten, die du diese Woche besucht hast. Und das alles, ohne eine einzige Datei auf deinem Computer abzulegen.

Das ist Browser-Fingerprinting: eine Tracking-Technik, die dich anhand der einzigartigen Merkmale deines Browsers, deines Geräts und deiner Hardware identifiziert. Sie ist unsichtbar, hartnäckig und lässt sich kaum abwählen. Nach Untersuchungen der Electronic Frontier Foundation (EFF) haben rund 83,6 % der Browser einen Fingerabdruck, der eindeutig genug ist, um ihren Nutzer aus dem Rest des Internets herauszufiltern.

Und während Drittanbieter-Cookies an Boden verlieren – standardmäßig blockiert in Safari, Firefox und Brave, auch wenn Chrome sie weiterhin zulässt –, füllt Fingerprinting die Lücke. Tausende der meistbesuchten Websites setzen es inzwischen ein, von Werbenetzwerken bis zu Banken, und die allermeisten Nutzer haben noch nie davon gehört.

Dieser Leitfaden erklärt, was Browser-Fingerprinting genau ist, wie die einzelnen Techniken unter der Haube funktionieren, wer sie einsetzt und was du realistisch dagegen tun kannst.

Was ist Browser-Fingerprinting?

Wenn du eine Website besuchst, gibt dein Browser von sich aus erstaunlich viel preis: welchen Browser und welches Betriebssystem du nutzt, deine Bildschirmauflösung, deine Zeitzone, deine bevorzugten Sprachen, deine installierten Schriftarten, das Modell deiner Grafikkarte und Dutzende weiterer Details. Viele dieser Daten brauchen Websites, um richtig zu funktionieren – damit Seiten korrekt dargestellt werden, Videos in der passenden Auflösung laufen oder Inhalte in deiner Sprache erscheinen.

Browser-Fingerprinting nutzt das aus, indem es möglichst viele dieser Datenpunkte sammelt und zu einer einzigen Kennung zusammenführt. Kein einzelnes Detail ist für sich genommen einzigartig. Millionen Menschen nutzen Chrome unter Windows. Millionen haben einen Bildschirm mit 1920×1080. Aber die Kombination aus Browser, Betriebssystemversion, Bildschirmauflösung, GPU, Zeitzone, Spracheinstellungen, installierten Schriftarten und hundert weiteren Merkmalen? Die gehört mit ziemlicher Sicherheit nur dir.

Ein anschauliches Bild: Stell dir vor, du sitzt mit 80.000 Menschen in einem Fußballstadion. Fragt jemand „Wer trägt ein rotes Shirt?“, sind das Tausende. „Wer trägt ein rotes Shirt und Jeans?“ – immer noch Hunderte. „Rotes Shirt, Jeans, Brille, braune Haare, Oberrang, Tattoo am linken Handgelenk?“ – das bist vermutlich nur noch du. Browser-Fingerprinting funktioniert genauso: Jedes Merkmal verkleinert die Menge, bis nur noch du übrig bist.

Ein Fingerprinting-Skript sammelt typischerweise zwischen 50 und 200 Datenpunkte in weniger als 300 Millisekunden. Es läuft unbemerkt im Hintergrund, sieht aus wie jedes andere Skript, das eine Website zum Funktionieren braucht, und hinterlässt – anders als ein Cookie – keinerlei Spuren auf deinem Gerät. Es gibt kein Pop-up, kein Cookie-Banner und keinen Eintrag in deinen Browser-Einstellungen, den du finden oder löschen könntest.

Wie Browser-Fingerprinting funktioniert

Browser-Fingerprinting ist keine einzelne Technik, sondern eine ganze Familie von Methoden. Sie nutzen verschiedene Browser-Schnittstellen, Hardware-Eigenschaften und Netzwerkprotokolle, um eine zusammengesetzte Kennung zu bilden. Manche sind simpel, andere bemerkenswert raffiniert. So funktionieren die wichtigsten Techniken.

User-Agent-String und HTTP-Header

Die grundlegendsten Fingerprinting-Daten gibt es gratis, noch bevor überhaupt Code auf deinem Gerät läuft. Wenn sich dein Browser mit einer Website verbindet, schickt er bei jeder Anfrage eine Reihe von HTTP-Headern mit. Am aufschlussreichsten ist der User-Agent-String – eine Textzeile, die deinen Browser, seine Version, dein Betriebssystem und deine Plattform benennt:

Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36

Für sich genommen teilen sich Millionen Nutzer mit demselben Browser und Betriebssystem einen User-Agent-String. Zusammen mit anderen Headern wird er aber deutlich aussagekräftiger: Der Wert Accept-Language verrät deine bevorzugten Sprachen und ihre Reihenfolge, Accept-Encoding die Komprimierungsverfahren deines Browsers, und selbst die Reihenfolge, in der Header gesendet werden, unterscheidet sich zwischen Browser-Familien. Wer eine veraltete Browserversion oder ein ungewöhnliches Betriebssystem nutzt, fällt sofort auf.

Moderne Chromium-Browser führen außerdem Client Hints ein – ein neueres System, das Hardware-Details wie Arbeitsspeicher, Zahl der CPU-Kerne und Plattformarchitektur als eigene HTTP-Header sendet. Client Hints sollten den überfrachteten User-Agent-String strukturierter ersetzen, liefern Fingerprintern aber auch fein säuberlich beschriftete Datenpunkte.

Canvas-Fingerprinting

Canvas-Fingerprinting ist eine der verbreitetsten und am besten untersuchten Techniken. Forscher der University of California, San Diego beschrieben sie erstmals 2012. Sie nutzt das HTML5-Element <canvas> aus, eine Schnittstelle, die ursprünglich für 2D-Grafiken im Browser gedacht war.

So funktioniert es: Ein Fingerprinting-Skript lässt deinen Browser ein unsichtbares Bild zeichnen – meist eine bestimmte Kombination aus Text, Formen, Farbverläufen, Farben und manchmal Emojis. Anschließend liest das Skript die rohen Pixeldaten mit der Funktion toDataURL() aus und berechnet daraus einen Hash.

Der springende Punkt: Wie genau dieses Bild gerendert wird, fällt je nach GPU, Grafiktreiber, Betriebssystem, Schriftdarstellung, Subpixel-Anordnung und Kantenglättung leicht unterschiedlich aus. Mit bloßem Auge sind die Unterschiede nicht zu erkennen – für Menschen sehen die Bilder identisch aus –, auf Binärebene ergeben sie aber andere Pixelwerte und damit auf verschiedenen Geräten andere Hashes. Ein Windows-Rechner mit NVIDIA-GPU rendert dieselbe Canvas-Anweisung leicht anders als ein MacBook mit Apple Silicon, und beide unterscheiden sich wieder von einem Linux-Rechner mit integrierter Intel-GPU.

Emojis eignen sich besonders gut fürs Fingerprinting, weil sie je nach Betriebssystem und Browser-Engine völlig unterschiedlich aussehen. Dasselbe lächelnde Gesicht kann auf Apple-, Google-, Microsoft- und Samsung-Plattformen ganz anders wirken – ein effizientes Signal, um das Gerät einzugrenzen.

Studien zufolge lassen sich allein per Canvas-Fingerprinting rund 60 % der Nutzer eindeutig identifizieren. In Kombination mit anderen Techniken steigt der Wert auf über 99 %.

WebGL-Fingerprinting

WebGL-Fingerprinting (Web Graphics Library) verfolgt einen ähnlichen, auf Rendering basierenden Ansatz, arbeitet aber in 3D statt in 2D. Die WebGL-Schnittstelle stellt dreidimensionale Grafiken im Browser dar und spricht dafür direkt die GPU des Geräts an.

Ein Fingerprinting-Skript rendert eine komplexe 3D-Szene – mit bestimmter Beleuchtung, Texturen und Geometrie – und analysiert die ausgegebenen Pixel. Weil verschiedene GPUs, Treiberversionen und Hardware-Konfigurationen 3D-Rendering unterschiedlich verarbeiten, fällt das Ergebnis von Gerät zu Gerät anders aus.

WebGL-Fingerprinting geht aber über das Rendering hinaus, denn die Schnittstelle legt auch Hardware-Informationen direkt offen. Über die Erweiterung WEBGL_debug_renderer_info kann ein Skript den genauen GPU-Hersteller und das Renderer-Modell abfragen – zum Beispiel „NVIDIA Corporation“ und „NVIDIA GeForce RTX 4070“. Außerdem kann es unterstützte Erweiterungen, maximale Texturgrößen, Shader-Präzisionsformate und weitere GPU-Fähigkeiten auflisten. Das sind hochgradig identifizierende Daten, die ohne jede Interaktion verfügbar sind.

Während Canvas-Fingerprinting das einfache 2D-Rendering prüft, reicht WebGL tiefer in die Hardware-Ebene hinein. Meist werden beide Techniken gemeinsam eingesetzt.

Audio-Fingerprinting

Audio-Fingerprinting erzeugt mit der Web Audio API eine eindeutige Kennung daraus, wie dein Gerät Klang verarbeitet – und dabei ist nie ein Ton zu hören. Der gesamte Vorgang läuft rechnerisch im Arbeitsspeicher ab.

Ein Fingerprinting-Skript erzeugt mit einem OscillatorNode ein Audiosignal, schickt es durch eine Verarbeitungskette (meist mit einem DynamicsCompressorNode) und sammelt die resultierenden Wellenformdaten. Die feinen Unterschiede, wie verschiedene Audio-Stacks – Browser-Engine, Betriebssystem, Audiotreiber und Hardware – das Signal verarbeiten, ergeben messbar unterschiedliche Ausgaben. Das reicht für einen stabilen, eindeutigen Hash.

Geschätzt wird Audio-Fingerprinting vor allem wegen seiner Stabilität über die Zeit. Ein Nutzer ändert vielleicht seine Bildschirmauflösung, installiert neue Schriftarten oder aktualisiert seinen Browser – die Audioverarbeitung seines Geräts bleibt aber oft über Monate oder Jahre gleich. Apple gehörte zu den ersten Browser-Herstellern, die gegen diese Technik vorgingen: Seit Safari 17 mischt der Browser beim privaten Surfen etwas Zufall in die Audioverarbeitung, sodass dasselbe Gerät in verschiedenen Sitzungen unterschiedliche Audio-Hashes liefert.

Font-Fingerprinting

Die auf deinem System installierten Schriftarten sind ein erstaunlich starkes Erkennungsmerkmal. Jedes Betriebssystem bringt einen Grundstock an Schriftarten mit, doch mit der Zeit kommen weitere hinzu – durch installierte Software (allein die Adobe Creative Suite bringt Dutzende mit), berufliche Anforderungen oder persönliche Vorlieben. Das Ergebnis ist eine Schriftensammlung, die sich von Mensch zu Mensch deutlich unterscheidet.

Font-Fingerprinting rendert Text in einer langen Liste möglicher Schriftarten und misst mithilfe unsichtbarer DOM-Elemente die Abmessungen der entstehenden Textfelder. Ist eine Schrift installiert, wird der Text in ihrer eigentlichen Breite und Höhe dargestellt. Fehlt sie, greift der Browser auf eine Standardschrift mit anderen Maßen zurück. Durch das Testen Hunderter Schriftarten kann ein Skript in kürzester Zeit deinen genauen Schriftenbestand ermitteln, ohne dass du auf dem Bildschirm etwas davon siehst.

Untersuchungen zufolge lassen sich rund 57 % der Nutzer allein anhand ihrer installierten Schriftarten eindeutig identifizieren. Schriftarten verraten außerdem viel über dein Betriebssystem und deine installierte Software: Ein Rechner mit Helvetica Neue ist fast sicher ein Mac, einer mit Segoe UI läuft unter Windows.

Bildschirm- und Hardware-Merkmale

Über Standard-JavaScript-Schnittstellen legt dein Browser eine ganze Reihe von Hardware- und Anzeigeeigenschaften offen. Keine ist für sich einzigartig, doch zusammen grenzen sie die Menge möglicher Geräte rasch ein:

• Bildschirmauflösung und Farbtiefe – über screen.width, screen.height und screen.colorDepth
• Arbeitsspeicher – über navigator.deviceMemory (Chromium-Browser)
• Zahl der CPU-Kerne – über navigator.hardwareConcurrency
• Zeitzone – über Intl.DateTimeFormat().resolvedOptions().timeZone
• Plattform – über navigator.platform
• Touch-Unterstützung – über navigator.maxTouchPoints
• Akkustatus – die Battery Status API (inzwischen aus den meisten Browsern entfernt, früher aber ein Fingerprinting-Vektor)

Wer einen Bildschirm mit 2560×1440, 8 logische CPU-Kerne, 16 GB Arbeitsspeicher und die Zeitzone Europe/Amsterdam hat, gehört schon zu einer sehr kleinen Gruppe – bevor die raffinierteren Techniken überhaupt ins Spiel kommen.

TLS-Fingerprinting

TLS-Fingerprinting (Transport Layer Security) setzt auf Ebene des Netzwerkprotokolls an, noch bevor JavaScript läuft oder Seiteninhalte geladen werden. Baut dein Browser eine HTTPS-Verbindung auf, schickt er eine „Client Hello“-Nachricht mit einer Liste unterstützter Cipher Suites, TLS-Erweiterungen, Komprimierungsverfahren, elliptischer Kurven und Punktformate.

Die genaue Kombination und Reihenfolge dieser Werte unterscheidet sich zwischen Browser-Familien, Versionen und Betriebssystemen. Sicherheitsforscher haben Werkzeuge wie JA3 und den Nachfolger JA4 entwickelt, die diese Parameter des TLS-Handshakes zu einem kompakten Fingerabdruck hashen. Chrome, Firefox und Safari erzeugen zum Beispiel jeweils deutlich unterschiedliche JA3-Hashes, weil sie verschiedene Cipher Suites in unterschiedlicher Priorität unterstützen.

Besonders mächtig ist TLS-Fingerprinting, weil es sich weder mit Browser-Erweiterungen blockieren noch durch Abschalten von JavaScript umgehen lässt. Es passiert auf Protokollebene, außerhalb der Reichweite jedes Skripts auf der Seite. Manche CDN-Anbieter und Dienste zur Bot-Erkennung nutzen TLS-Fingerabdrücke als ersten Filter, noch bevor die Seite überhaupt lädt.

WebRTC-Leaks

WebRTC (Web Real-Time Communication) ist eine Browser-Schnittstelle für Peer-to-Peer-Videoanrufe, Sprachchat und Dateiübertragung. Um direkte Verbindungen zwischen Geräten aufzubauen, muss WebRTC deren echte IP-Adressen ermitteln – und das geschieht über Anfragen an externe STUN-Server, die deinen VPN- oder Proxy-Tunnel komplett umgehen.

Eine Website kann per WebRTC also deine echte öffentliche IP-Adresse herausfinden, selbst wenn du mit einem VPN verbunden bist. Sie kann auch deine lokale (interne) IP-Adresse auslesen – Angaben wie 192.168.1.42 –, die etwas über deinen Netzwerkaufbau verraten und deinem Fingerabdruck einen weiteren Datenpunkt hinzufügen.

In Firefox, Chrome, Opera und Edge ist WebRTC standardmäßig aktiviert. Brave blockiert WebRTC-IP-Leaks standardmäßig. Tor Browser schaltet WebRTC vollständig ab.

CSS-Fingerprinting

Die meisten Fingerprinting-Verfahren sind auf JavaScript angewiesen, weshalb viele datenschutzbewusste Nutzer es ganz abschalten. Neuere Forschung zeigt aber, dass sich allein mit CSS – ganz ohne JavaScript – Fingerprinting betreiben lässt.

Die Technik prüft mit CSS-@media-Abfragen Geräteeigenschaften (Bildschirmgröße, Farbtiefe, Zeigegerät, bevorzugtes Farbschema) und tastet mit @font-face-Regeln installierte Schriftarten ab. Für jede Eigenschaft legt das CSS eine eigene background-image-URL fest, die der Browser nur dann anfordert, wenn die jeweilige Media Query zutrifft. Der Server wertet das Muster der eingehenden Anfragen aus und baut daraus einen Fingerabdruck.

CSS-Fingerprinting kann auch Browser-Erweiterungen erkennen. Manche Erweiterungen fügen Stylesheets ein oder verändern DOM-Elemente auf nachweisbare Weise, und mit CSS Container Queries lassen sich solche Änderungen aufspüren. Auf dem NDSS Symposium 2025 vorgestellte Forschung zeigte, dass reine CSS-Fingerprinting-Techniken sogar unter der höchsten Sicherheitsstufe von Tor Browser funktionieren, bei der JavaScript vollständig blockiert ist.

Das ist relevant, weil sich CSS nicht abschalten lässt, ohne das Web komplett lahmzulegen – anders als bei JavaScript gibt es keine „NoCSS“-Erweiterung. Damit dehnt sich die Angriffsfläche fürs Fingerprinting auf Umgebungen aus, die bisher als sicher galten, etwa E-Mail-Programme, die JavaScript entfernen, CSS aber darstellen.

Verhaltensbasiertes Fingerprinting

Über statische Hardware- und Software-Merkmale hinaus analysieren manche Fingerprinting-Systeme, wie du mit deinem Gerät umgehst:

• Mausbewegungen – Geschwindigkeit, Beschleunigung, Krümmung der Bewegung
• Tippverhalten – Anschlagtiming, Haltedauer, Rhythmus
• Scrollverhalten – Geschwindigkeit, Gleichmäßigkeit, Häufigkeit
• Touch-Gesten – Druck, Winkel, Wischmuster auf Mobilgeräten

Solche verhaltensbiometrischen Daten lassen sich schwerer zuverlässig erfassen und werden eher zur Betrugserkennung als für Werbung genutzt. Fälschen lassen sie sich aber kaum, weil sie auf den körperlichen Eigenheiten und Gewohnheiten des Menschen beruhen statt auf der Software-Konfiguration.

Wie einzigartig ist dein Fingerabdruck?

Das Prinzip hinter Fingerprinting heißt Entropie – ein Maß dafür, wie viel identifizierende Information ein einzelner Datenpunkt trägt.

Deine Zeitzone hat eine geringe Entropie: Millionen Menschen teilen sich America/New_York. Bei der Bildschirmauflösung ist sie etwas höher: Es gibt Dutzende gängige Werte, die Nutzer aber immer noch in große Gruppen einteilen. Und der Renderer-String deiner GPU? Der liegt deutlich höher, denn er grenzt dich auf Nutzer mit exakt derselben Grafikkarte und Treiberversion ein.

Entropie summiert sich aber. Jeder neue Datenpunkt verstärkt die Eingrenzung. Selbst wenn sich 10 Millionen Menschen deine Zeitzone teilen, 5 Millionen deine Bildschirmauflösung und 500.000 deine GPU, bleiben in der Schnittmenge aller drei vielleicht 50.000 Menschen übrig. Nimm deine installierten Schriftarten, deinen Audio-Fingerabdruck, deinen Canvas-Hash, deine Spracheinstellungen und die Zahl deiner CPU-Kerne hinzu, und du landest schnell bei einer Gruppe von einer Person.

Das Panopticlick-Projekt der EFF (heute Cover Your Tracks) fand heraus, dass nur 1 von 286.777 Browsern denselben Fingerabdruck hat wie ein beliebiger Nutzer. Neuere Studien kommen auf noch höhere Werte: Kombiniert man Merkmale auf Browser- und Geräteebene, lassen sich über 99 % der Nutzer eindeutig identifizieren.

Daraus ergibt sich ein grundsätzliches Spannungsfeld. Jeder Datenpunkt, den dein Browser preisgibt, hat einen legitimen Zweck – Grafiken rendern, Layouts anpassen, Audio abspielen, Inhalte lokalisieren. Doch in der Summe ergeben all diese funktionalen Daten eine Tracking-Kennung, die beständiger und schwerer zu umgehen ist, als es ein Cookie je war.

Wer nutzt Browser-Fingerprinting – und warum?

Browser-Fingerprinting ist nicht per se bösartig. Dieselbe Technik dient ganz unterschiedlichen Zwecken, je nachdem, wer sie einsetzt – und wie.

Betrugsprävention und Sicherheit ist der am breitesten akzeptierte Einsatzzweck. Meldest du dich vom gewohnten Laptop bei deiner Bank an, erkennt das Betrugserkennungssystem den Fingerabdruck des Geräts und lässt dich durch. Versucht jemand am anderen Ende der Welt, sich mit gestohlenen Zugangsdaten von einem Gerät anzumelden, das die Bank nie gesehen hat, löst der unbekannte Fingerabdruck eine zusätzliche Prüfung aus. Zahlungsdienstleister nutzen Fingerprinting, um Kreditkartenbetrug, Kontoübernahmen und Credential-Stuffing-Angriffe zu erkennen. In diesem Zusammenhang schützt Fingerprinting die Nutzer tatsächlich.

Werbung und websiteübergreifendes Tracking ist der Punkt, an dem es umstritten wird. Je unzuverlässiger Cookies werden, desto stärker setzt die Werbebranche auf Fingerprinting, um Nutzer über Websites hinweg zu verfolgen, Verhaltensprofile zu erstellen und gezielte Werbung auszuspielen. Datenhändler sammeln Fingerprint-Daten von Tausenden Seiten und erstellen daraus detaillierte Surfverläufe, die sich an Werbetreibende verkaufen lassen. Anders als Cookies überdauern Fingerabdrücke Inkognito-Sitzungen und Browser-Neustarts und können sogar Aktivitäten in verschiedenen Browsern auf demselben Gerät miteinander verknüpfen (weil Canvas- und Audio-Fingerabdrücke von der Hardware abhängen, nicht von der Software).

Bot-Erkennung stützt sich stark auf Fingerprinting. Automatisierte Bots haben meist ungewöhnliche oder widersprüchliche Fingerabdrücke: Einem Headless-Browser fehlen vielleicht bestimmte Schnittstellen, er meldet unmögliche Hardware-Konfigurationen oder zeigt keinerlei Verhaltenssignale wie Mausbewegungen. Fingerprinting ist ein Kernbestandteil praktisch jedes kommerziellen Bot-Erkennungssystems, von CAPTCHA-Alternativen bis zu Diensten für Content-Schutz.

Analyse und Personalisierung von Inhalten runden das Bild ab. Manche Websites nutzen leichtgewichtiges Fingerprinting, um eindeutige Besucher ohne Cookies zu zählen oder sich Einstellungen (Sprache, Layout, Barrierefreiheit) zu merken, ohne dass du ein Konto brauchst.

Browser-Fingerprinting vs. Cookies

Warum Fingerprinting so viel schwerer zu bekämpfen ist als Cookies, zeigt ein direkter Vergleich.

Cookies sind kleine Textdateien, die Websites auf deinem Gerät ablegen. Sie sind sichtbar: Du findest sie in deinen Browser-Einstellungen, kannst sie dir ansehen und mit wenigen Klicks löschen. Sie sind umfassend reguliert: Die DSGVO verlangt eine Einwilligung, bevor Tracking-Cookies gesetzt werden, weshalb heute auf fast jeder Website ein Cookie-Banner erscheint. Die meisten großen Browser blockieren Drittanbieter-Cookies inzwischen standardmäßig; Chrome, die große Ausnahme, lässt sie weiterhin zu. Und wenn du den Browser wechselst oder den Inkognito-Modus nutzt, folgen dir deine Cookies nicht.

Browser-Fingerabdrücke funktionieren genau andersherum. Auf deinem Gerät wird nichts gespeichert – die Kennung wird serverseitig aus Daten berechnet und abgelegt, die dein Browser automatisch übermittelt. Es gibt nichts, was du finden, ansehen, blockieren oder löschen könntest. Fingerabdrücke bleiben über Sitzungen hinweg bestehen und überstehen das Löschen von Cookies. Sie funktionieren auch im privaten Modus. Und weil sie aus Hardware- und Systemmerkmalen abgeleitet werden, können sie dich sogar über verschiedene Browser auf demselben Rechner hinweg verfolgen – etwas, das Cookies nie konnten.

Die praktischen Folgen sind gravierend. Cookies gaben Nutzern zumindest die Illusion von Kontrolle: Du konntest sie löschen, blockieren oder mit Erweiterungen verwalten. Fingerprinting nimmt dir diese Kontrolle komplett. Die Daten, auf denen es beruht – Bildschirmauflösung, GPU-Modell, installierte Schriftarten –, muss dein Browser preisgeben, damit Websites funktionieren. Aussteigen kannst du nicht, ohne das Web lahmzulegen.

Erwähnenswert ist auch, dass Cookies und Fingerprinting nicht immer Alternativen sind – oft werden sie gemeinsam eingesetzt. Manche Tracking-Systeme nutzen Fingerabdrücke, um gelöschte Cookies wiederherzustellen, eine Technik namens Evercookies. Löschst du deine Cookies, während dein Fingerabdruck gleich bleibt, kann der Tracker dich deinem früheren Cookie zuordnen und ihn neu setzen. Zusammen sind beide Techniken mächtiger als jede für sich.

Wie sich die Browser wehren

Die Browser-Hersteller haben die Gefahr erkannt und arbeiten aktiv an Gegenmaßnahmen. Die Ansätze unterscheiden sich aber grundlegend, und jeder hat echte Nachteile.

Zwei Strategien gegen Fingerprinting

Die erste Strategie heißt Vereinheitlichung: Jeder Browser soll identisch aussehen. Melden alle Browser dieselbe Bildschirmauflösung, dieselben Schriftarten und dasselbe Canvas-Rendering, gibt es keinen Fingerabdruck mehr, den man auslesen könnte. Diesen Weg gehen Tor Browser und Mullvad Browser. Tor erreicht das durch konsequente Standardisierung: Letterboxing kaschiert die Fenstergröße, die verfügbaren Schriftarten sind eingeschränkt, Canvas- und WebGL-Ausgaben werden blockiert oder vereinheitlicht, und der User-Agent-String wird gefälscht. Das Ziel: Jeder Tor-Nutzer hat exakt denselben Fingerabdruck. Der Preis dafür ist, dass viele Websites nicht oder nicht wie erwartet funktionieren und das Surfen spürbar langsamer ist.

Die zweite Strategie heißt Randomisierung: Dein Fingerabdruck soll jedes Mal anders aussehen. Ändert er sich mit jeder Sitzung und jeder Website, taugt er nicht für dauerhaftes Tracking. Brave hat diesen Ansatz mit seinem „Farbling“-System vorangetrieben, das ein wenig Zufallsrauschen in Canvas-Rendering, WebGL-Ausgabe, Audioverarbeitung, Sprachangaben und die Abfrage der Schriftarten mischt. Das Rauschen ist stark genug, um Fingerprinting-Skripte auszuhebeln, aber schwach genug, dass Websites weiterhin normal funktionieren.

Beide Strategien haben Grenzen. Bei der Vereinheitlichung ist deine Anonymitätsmenge auf die anderen Nutzer desselben Browsers beschränkt (und Tor hat so wenige Nutzer, dass schon die Nutzung von Tor ein Signal sein kann). Randomisierung lässt sich mit statistischer Analyse aushebeln: Sammelt ein Fingerprinter genug Stichproben, kann er das Rauschen womöglich erkennen und Sitzungen trotzdem verknüpfen.

Die Browser im Einzelnen

Brave bietet von allen gängigen Browsern den konsequentesten eingebauten Fingerprinting-Schutz. Sein Farbling-System randomisiert standardmäßig mehrere Schnittstellen mit hoher Entropie, darunter Canvas, WebGL, Audio, Spracheinstellungen, Hardware-Parallelität und die Abfrage der Schriftarten. Der Fingerprinting-Schutz ist standardmäßig aktiv und lässt sich pro Website abschalten; den strengeren Fingerprinting-Modus hat Brave 2024 entfernt, weil er zu viele Websites lahmlegte. Brave blockiert außerdem standardmäßig WebRTC-IP-Leaks und ist der einzige große Browser, der seine Fingerprinting-Einstellungen in der Oberfläche ausdrücklich so benennt. Unabhängige Tests sehen ihn regelmäßig in der Spitzengruppe, akademische Studien deuten allerdings darauf hin, dass sich seine Randomisierung mit ausgefeilten statistischen Angriffen teilweise aushebeln lässt.

Firefox bringt den Verbesserten Schutz vor Aktivitätenverfolgung mit, der bekannte Fingerprinting-Skripte von Drittanbietern in den Stufen „Standard“ und „Streng“ blockiert. Außerdem bietet Firefox die Option privacy.resistFingerprinting (erreichbar über about:config), die viele Browser-Merkmale vereinheitlicht und so die Einzigartigkeit verringert – diese Funktion ist aber standardmäßig deaktiviert und kann Websites lahmlegen. Ab Werk ist der Fingerprinting-Schutz von Firefox schwächer als der von Brave. Durch manuelle Konfiguration lässt er sich aber deutlich verschärfen, und der listenbasierte Ansatz hält die meisten verbreiteten Fingerprinting-Skripte von Drittanbietern zuverlässig fern.

Safari setzt auf Schutz auf Plattformebene. Apples intelligenter Tracking-Schutz (ITP) schränkt websiteübergreifendes Tracking ein, und Safari mischt statistisches Rauschen in bestimmte Fingerprinting-Vektoren. Seit Safari 17 wird Audio-Fingerprinting im privaten Modus gestört, der Zugriff auf Schriftarten ist auf die vom System für die Sprache des Nutzers bereitgestellten Schriften beschränkt, und websiteübergreifende Tracking-Skripte werden konsequent blockiert. Safaris Schutz lässt sich weniger fein einstellen als der von Brave, ist innerhalb des Apple-Ökosystems aber wirksam – und Apple vertritt branchenweit die klarste Haltung gegen Fingerprinting: In seinen Entwicklerrichtlinien heißt es, es sei „never allowed“, also niemals erlaubt.

Chrome bietet kaum eingebauten Fingerprinting-Schutz. Chrome blockiert Tracker von Drittanbietern nicht standardmäßig, und seine neueren Tracking-Schutzfunktionen beschränken sich auf den Inkognito-Modus. Selbst dort werden Fingerprinting-Angriffsflächen nicht so randomisiert oder vereinheitlicht wie bei Brave oder Firefox. Zudem führt Chrome Client Hints ein, die strukturierte Hardware-Daten liefern und Fingerprinting damit eher erleichtern als erschweren. Im Februar 2025 gab Google seine langjährige Haltung gegen Fingerprinting auf seiner Werbeplattform auf und erlaubt seither bestimmte Formen von Fingerprinting für Werbung und Analyse – eine Entscheidung, die die britische Datenschutzbehörde Information Commissioner's Office öffentlich als „unverantwortlich“ bezeichnete.

Tor Browser bleibt der Goldstandard beim Schutz vor Fingerprinting. Weil er jedes erdenkliche Browser-Merkmal für alle Nutzer vereinheitlicht, erreicht er die stärkste Anonymität aller Browser. Er blockiert das Auslesen von Canvas, schaltet WebRTC ab, schränkt Schriftarten ein und gleicht Fenstermaße per Letterboxing an. Der Preis ist hoch: Viele moderne Websites funktionieren nur teilweise oder gar nicht, das Routing über das Tor-Netzwerk bremst, und weil Tor so wenige Nutzer hat, ist die Nutzung von Tor selbst schon ein Unterscheidungsmerkmal.

Mullvad Browser ist ein gehärteter Firefox-Fork, den das Team von Mullvad VPN gemeinsam mit dem Tor Project entwickelt. Er übernimmt viele Anti-Fingerprinting-Maßnahmen von Tor – vereinheitlichte Schriftarten, Letterboxing, Canvas-Schutz –, ohne den Verkehr durch das Tor-Netzwerk zu leiten. Dadurch ist er schneller und kommt mit modernen Websites besser zurecht, bietet aber trotzdem starken Schutz vor Fingerprinting. Ein ausgezeichneter Mittelweg für alle, die Schutz auf Tor-Niveau mit Alltagstauglichkeit verbinden wollen.

So testest du deinen Fingerabdruck

Bevor du etwas änderst, lohnt sich ein Blick darauf, wie leicht sich dein aktuelles Setup identifizieren lässt. Mit mehreren kostenlosen Tools kannst du deinen Fingerabdruck sofort testen:

Cover Your Tracks (von der EFF) genießt von allen Testwerkzeugen das größte Vertrauen. Es prüft, ob dein Browser für Tracking anfällig ist, und zeigt, wie einzigartig deine Konfiguration im Vergleich zur eigenen Datenbank ist. Es ist der Nachfolger des wegweisenden Panopticlick-Projekts.

BrowserLeaks schlüsselt einzelne Fingerprinting-Vektoren detailliert auf – Canvas, WebGL, Audio, Schriftarten, WebRTC, CSS Media Queries und mehr. Es ist das beste Werkzeug, um zu verstehen, welche Merkmale genau dich identifizierbar machen.

AmIUnique ist ein Forschungsprojekt des INRIA, das dir deinen vollständigen Fingerabdruck zeigt, zusammen mit Statistiken darüber, wie viele andere Nutzer im Datensatz das jeweilige Merkmal teilen.

CreepJS ist der aggressivste Test. Er versucht gezielt, gefälschte oder randomisierte Merkmale zu entlarven, und eignet sich daher, um zu prüfen, wie gut deine Anti-Fingerprinting-Werkzeuge unter feindlichen Bedingungen wirklich standhalten.

Probiere diese Tools zuerst in Chrome oder Edge aus (wo dein Fingerabdruck sehr wahrscheinlich völlig einzigartig ist) und dann in Brave oder Tor, um den Unterschied selbst zu sehen. Der Kontrast ist frappierend – und er spricht konkreter für einen Browserwechsel, als es jeder Artikel könnte.

So schützt du dich

Um es klar zu sagen: Vollständiger Schutz vor Browser-Fingerprinting ist nicht möglich, ohne dein Surferlebnis grundlegend zu ruinieren. Du kannst Tracking aber erheblich erschweren. Es geht nicht darum, unsichtbar zu werden, sondern darum, dass dein Fingerabdruck gewöhnlich genug ist, um in der Masse unterzugehen, oder instabil genug, dass er sich nicht für dauerhaftes Tracking eignet.

Die Grundlagen

Wechsle zu einem datenschutzorientierten Browser. Das ist der wirkungsvollste einzelne Schritt – wirksamer als jede Erweiterung oder geänderte Einstellung. Brave bietet für die meisten die beste Balance aus Fingerprinting-Schutz und Alltagstauglichkeit. Firefox mit dem Verbesserten Schutz vor Aktivitätenverfolgung auf der Stufe „Streng“ ist eine weitere starke Wahl. Beide sind kostenlos und auf allen großen Plattformen verfügbar.

Halte Browser und Betriebssystem aktuell. Veraltete Browserversionen sind besonders leicht zu identifizieren, weil die große Mehrheit der Nutzer aktuelle Versionen verwendet. Bleibst du auf dem neuesten Stand, geht dein User-Agent-String in der größtmöglichen Gruppe unter. Dasselbe gilt für Updates des Betriebssystems, die Schriftensammlungen, Rendering-Engines und weitere fingerprinting-relevante Merkmale beeinflussen.

Sei vorsichtig mit Erweiterungen. Hier wird es beim Fingerprinting paradox. Fünf Datenschutz-Erweiterungen zu installieren fühlt sich vielleicht nach Schutz an, macht deinen Fingerabdruck in Wahrheit aber einzigartiger. Jede Erweiterung verändert das Verhalten des Browsers auf erkennbare Weise – und die konkrete Kombination deiner Erweiterungen ist selbst ein Fingerprinting-Signal. Beschränke dich auf wenige bewährte Werkzeuge wie uBlock Origin und widerstehe der Versuchung, weitere hinzuzufügen.

Nächste Schritte

Installiere uBlock Origin. Es blockiert viele bekannte Fingerprinting-Skripte, bevor sie ausgeführt werden, und gilt weithin als der wirksamste Inhaltsblocker überhaupt. Gegen Fingerprinting durch Erstanbieter (wenn die besuchte Website das Skript selbst ausführt) hilft es nicht, Fingerprinting-Tracker von Drittanbietern, die in andere Seiten eingebettet sind, blockiert es aber zuverlässig.

Deaktiviere JavaScript auf nicht vertrauenswürdigen Seiten. Mit Erweiterungen wie NoScript legst du fest, welche Seiten JavaScript ausführen dürfen. Da die meisten Fingerprinting-Techniken auf JavaScript angewiesen sind, ist das eine starke Gegenmaßnahme – allerdings funktionieren dann viele Seiten nicht mehr richtig, du musst also bereit sein, eine Positivliste zu pflegen. Bedenke, dass CSS-basiertes Fingerprinting auch bei deaktiviertem JavaScript funktionieren kann; eine vollständige Lösung ist das also nicht.

Nutze ein VPN – aber kenne seine Grenzen. Ein VPN verschleiert deine IP-Adresse, die ein Bestandteil deines Fingerabdrucks ist. Gegen Canvas-, Audio- oder Font-Fingerprinting hilft es nicht. Es entfernt aber ein wichtiges Erkennungsmerkmal und senkt in Kombination mit Schutzfunktionen auf Browser-Ebene deine Identifizierbarkeit insgesamt spürbar. Achte darauf, dass dein VPN auch WebRTC-Leaks blockiert, sonst kann deine echte IP trotzdem durchsickern.

Für Fortgeschrittene

Nutze Tor Browser für sensibles Surfen. Wenn es wirklich auf Anonymität ankommt, bietet Tor den stärksten verfügbaren Schutz. Nimm die Einbußen bei Geschwindigkeit und Kompatibilität in Kauf und widerstehe der Versuchung, ihn anzupassen – jede Änderung macht dich innerhalb der kleinen Tor-Nutzerschaft einzigartiger.

Trenne deine Aktivitäten. Nutze verschiedene Browser für verschiedene Zwecke – einen für soziale Netzwerke, einen zum Einkaufen, einen für Recherche. So können Fingerprinter kein vollständiges websiteübergreifendes Profil deines Verhaltens erstellen. Eine einfache Strategie, die erstaunlich gut wirkt.

Zieh Mullvad Browser in Betracht. Wer starken Schutz vor Fingerprinting will, ohne die Einschränkungen von Tor bei Geschwindigkeit und Kompatibilität, bekommt mit Mullvad Browser Schutz auf Tor-Niveau (Letterboxing, vereinheitlichte Schriftarten, Canvas-Blockierung), ohne dass der Verkehr durch das Tor-Netzwerk läuft.

Das Datenschutz-Paradox

Beim Schutz vor Fingerprinting gibt es eine wichtige Ironie, die du kennen solltest: Je mehr du deinen Browser für den Datenschutz anpasst, desto einzigartiger wirst du.

WebGL abschalten, Canvas-Zugriffe blockieren, den User-Agent fälschen und exotische Datenschutz-Erweiterungen installieren – all das lässt deinen Browser auf ungewöhnliche Weise reagieren, auf eine Weise, wie es die Browser der meisten Menschen nicht tun. Ein Tracker kann deinen Canvas-Fingerabdruck vielleicht nicht auslesen, sieht aber, dass der Canvas-Zugriff blockiert wurde, und genau dieses Verhalten ist ein Signal. Blockieren nur 0,1 % der Nutzer Canvas, hast du dich damit selbst in eine sehr kleine Gruppe einsortiert.

Deshalb sind die wirksamsten Anti-Fingerprinting-Strategien diejenigen, die die meisten Menschen nutzen. Braves Randomisierung funktioniert unter anderem, weil Millionen Brave-Nutzer denselben Schutzmechanismus teilen. Tors Vereinheitlichung funktioniert, weil jeder Tor-Nutzer gleich aussieht. Am schlechtesten fährst du, wenn du dir eine einzigartige Kombination obskurer Datenschutz-Kniffe zusammenbastelst, die sonst niemand nutzt – das ist selbst ein Fingerabdruck.

Was nicht hilft

Genauso wichtig ist zu wissen, was dich nicht schützt:

• Inkognito / privates Surfen – Diese Modi löschen Cookies und lokalen Speicher, ändern aber nichts an deinem Fingerabdruck. Hardware, Schriftarten und Rendering-Eigenschaften bleiben innerhalb und außerhalb des Inkognito-Modus identisch.
• Cookies und Verlauf löschen – Fingerabdrücke hängen nicht von gespeicherten Daten ab, deshalb hat das Löschen lokaler Daten keinerlei Wirkung.
• Nur ein VPN – Ein VPN ändert deine IP-Adresse, lässt aber alle anderen Fingerprinting-Merkmale (Canvas, WebGL, Audio, Schriftarten, Bildschirm, Zeitzone und mehr) unberührt.
• Nur ein Werbeblocker – Werbeblocker können manche Tracking-Skripte von Drittanbietern blockieren, doch Fingerprinting läuft zunehmend als Erstanbieter-Code auf den Websites, die du tatsächlich besuchst, und den rühren Werbeblocker nicht an.

Die Rechtslage

Browser-Fingerprinting bewegt sich in einer rechtlichen Grauzone – theoretisch stärker eingeschränkt, als die meisten Unternehmen zugeben, in der Praxis aber weit weniger konsequent verfolgt als Cookies.

Europa: DSGVO und die ePrivacy-Lücke

Nach der Datenschutz-Grundverordnung (DSGVO) der EU gelten Browser-Fingerabdrücke als personenbezogene Daten, sobald sich mit ihnen eine Person identifizieren lässt – und da über 99 % der Fingerabdrücke einzigartig sind, ist das praktisch immer der Fall. Fingerprinting für Werbung oder Analyse braucht also eine Rechtsgrundlage, in der Regel die ausdrückliche Einwilligung des Nutzers.

In der Praxis wird das ungleich durchgesetzt. Die DSGVO ist technologieneutral angelegt und müsste Fingerprinting genauso klar erfassen wie Cookies. Die meiste Aufmerksamkeit der Aufsichtsbehörden galt aber der Cookie-Einwilligung, und weil Fingerprinting unsichtbar ist, lässt es sich schwerer aufdecken und schwerer ahnden. Die EFF argumentiert, dass sich Fingerprinting zu Tracking-Zwecken nicht auf ein „berechtigtes Interesse“ als Rechtsgrundlage stützen kann, weil die Technik gerade darauf ausgelegt ist, sich dem Wissen und der Kontrolle der Nutzer zu entziehen.

Die geplante ePrivacy-Verordnung soll diese Lücke schließen, indem sie für Fingerprinting ausdrücklich dieselben Einwilligungspflichten vorschreibt, die heute für Cookies gelten. Sie hängt seit Jahren im Gesetzgebungsverfahren der EU fest. Wird sie verabschiedet, wäre das ein wichtiger Schritt dahin, alle dauerhaften Tracking-Mechanismen gleich zu behandeln, unabhängig von der zugrunde liegenden Technik.

USA: ein Flickenteppich

In den USA stufen der California Consumer Privacy Act (CCPA) und sein Nachfolger, der CPRA, Fingerprint-Daten als personenbezogene Informationen ein. Kalifornische Aufsichtsbehörden haben ausdrücklich erklärt, dass Tracking per Fingerabdruck als kontextübergreifende verhaltensbasierte Werbung gilt und eine Widerspruchsmöglichkeit erfordert. Mehrere andere Bundesstaaten mit umfassenden Datenschutzgesetzen folgen dem kalifornischen Ansatz, eine bundesweite Regelung für Fingerprinting gibt es aber nicht.

Positionen der Branche

Google hat Fingerprinting auf seiner Werbeplattform jahrelang öffentlich verboten – und diese Haltung im Februar 2025 aufgegeben, sodass bestimmte Formen von Fingerprinting für Werbung und Analyse nun erlaubt sind. Das britische Information Commissioner's Office nannte den Schritt „unverantwortlich“ und warnte, er schränke die Möglichkeiten der Menschen ein, über ihre Daten zu bestimmen. Apple vertritt die Gegenposition: Fingerprinting ist in seinem Ökosystem „never allowed“, also niemals erlaubt, und Safari schränkt den Zugriff auf Schnittstellen mit hoher Entropie weiterhin konsequent ein. Diese auseinanderlaufenden Positionen spiegeln den grundlegenden Konflikt zwischen dem Werbemodell, das einen großen Teil des Webs finanziert, und dem wachsenden Wunsch nach echter Privatsphäre.

Die Zukunft des Browser-Fingerprintings

Das Wettrüsten zwischen Fingerprintern und Browser-Herstellern geht unvermindert weiter.

Auf der Tracking-Seite schaffen neue Web-Schnittstellen laufend neue Angriffsflächen. WebGPU – der Nachfolger von WebGL – bietet noch tieferen Zugriff auf die Fähigkeiten der GPU und dürfte mit zunehmender Verbreitung in den Browsern zu einem mächtigen neuen Fingerprinting-Vektor werden. CSS-basiertes Fingerprinting dehnt die Angriffsfläche auf Umgebungen aus, in denen JavaScript blockiert ist, darunter E-Mail-Programme. Serverseitiges Fingerprinting, das die Analyse von JavaScript im Browser auf Signale auf Netzwerkebene wie TLS-Handshakes und die Frame-Reihenfolge bei HTTP/2 verlagert, ist für Browser schwerer zu kontern, weil es sich ihrer Kontrolle entzieht. Und Verhaltensbiometrie – Mausbewegungen, Tippmuster, Touch-Gesten – ist eine Form des Fingerprintings, gegen die keine Browser-Einstellung etwas ausrichten kann, weil das Signal vom Körper des Nutzers kommt, nicht von seiner Software.

Auf der Verteidigungsseite schränken die Browser-Hersteller ihre Schnittstellen weiter ein. Mozilla und Apple investieren darin, die von ihren Browsern preisgegebene Entropie zu verringern. Die Privacy Interest Group des W3C arbeitet an Standards, die Fingerprinting-Angriffsflächen begrenzen sollen, ohne Funktionen des Webs zu beschädigen. Und neue Konzepte wie datenschutzfreundliche Attestierung – nachweisen, dass du ein echter Mensch bist, ohne zu verraten, welcher – könnten den legitimen Bedarf an Fingerprinting bei der Betrugsprävention irgendwann verringern.

Am wahrscheinlichsten ist nicht, dass Fingerprinting verschwindet, sondern dass es zunehmend reguliert, zunehmend durch Schutzfunktionen der Browser ausgebremst und zunehmend öffentlich wahrgenommen wird. Wer jetzt handelt – den richtigen Browser wählt, die eingesetzten Techniken versteht und regelmäßig prüft, wie viel er preisgibt –, ist deutlich schwerer zu verfolgen als alle anderen.

Und das ist ein echter Unterschied, auch wenn er nicht perfekt ist.

---

Du willst sehen, wie datenschutzorientierte Browser beim Fingerprinting-Schutz und darüber hinaus im Vergleich zu den gängigen Optionen abschneiden? Stöbere in unseren Browser-Vergleichen und finde den richtigen Browser für dich.