Browser-Fingerprinting: Was dein Browser verrät und sich merkt

Im Jahr 2010 stellte die Electronic Frontier Foundation, eine amerikanische Bürgerrechtsorganisation, eine Testseite ins Netz. Sie hieß Panopticlick und führte vor, was Fachleute schon länger vermuteten: Browser lassen sich wiedererkennen, ohne dass man ihnen ein einziges Cookie setzt. Der Forscher Peter Eckersley wertete danach 470.161 Browser aus. 83,6 Prozent der Browser waren allein an ihren Eigenschaften eindeutig zu erkennen. Bei denen mit Flash oder Java waren es 94,2 Prozent. Und das, obwohl die Besucher eher zu den Menschen gehörten, die sich um ihre Privatsphäre Gedanken machen.

Dieses Verfahren heißt Browser-Fingerprinting. Es ist seitdem nicht verschwunden, es hat sich verändert. Dein Browser ist dabei zweierlei. Er ist ein Notizbuch, in das Seiten etwas hineinschreiben und das sie beim nächsten Besuch wieder lesen. Und er ist ein Ausweis, den er bei jedem Seitenaufruf ungefragt vorzeigt. Gegen das Notizbuch hilft Aufräumen. Gegen den Ausweis hilft es fast gar nicht, und genau deshalb ist Fingerprinting für Tracker so interessant. Dieser Text erklärt beides, sagt, was die Forschung heute über die Eindeutigkeit von Browsern weiß, und zeigt die Schalter, die in Firefox, Safari, Brave, Tor und Chrome tatsächlich etwas bewirken.

Was ist Browser-Fingerprinting?

Wenn du eine Webseite öffnest, schickt dein Browser schon mit der ersten Anfrage einige Angaben mit: welcher Browser er ist, welche Sprachen du bevorzugst, welche Dateiformate er versteht. Sobald die Seite geladen ist, kann ein Skript nachfragen. Wie groß ist der Bildschirm? Welche Zeitzone ist eingestellt? Wie viele Prozessorkerne hat das Gerät? Welche Schriftarten sind installiert?

Jede einzelne Antwort ist harmlos. Millionen Menschen nutzen Windows, Millionen haben einen Full-HD-Bildschirm, und die deutsche Zeitzone teilt man mit sämtlichen Nachbarn. Interessant wird es erst in der Kombination. Wer Firefox auf Linux mit niederländischer Sprache, einer seltenen Schrift aus einem Grafikprogramm und einem Bildschirm im Hochformat nutzt, ist schnell allein auf weiter Flur. Eckersley drückte das in Bits aus. Der Fingerabdruck in seinem Datensatz trug mindestens 18,1 Bit an Information. Übersetzt heißt das: Greift man einen Browser zufällig heraus, teilt im besten Fall nur einer von 286.777 anderen denselben Abdruck.

Der Begriff User-Agent meint die Selbstauskunft des Browsers. Chrome hat sie ab Version 113 im Jahr 2023 gekürzt. Die Details, die dort weggefallen sind, kann eine Seite seitdem über sogenannte Client Hints gezielt nachfragen. Die Angaben sind also nicht verschwunden, sie werden nur nicht mehr ungefragt verteilt.

Canvas, Schriften, Audio: der Browser als Zeichner

Die bekannteste Technik klingt fast verspielt. Ein Skript bittet den Browser, unsichtbar einen kurzen Text und ein paar Formen auf eine Zeichenfläche zu malen, und liest das Ergebnis Pixel für Pixel aus. Auf dem Bildschirm sieht man nichts. Doch jede Kombination aus Grafikkarte, Treiber, Betriebssystem und Schriftglättung zeichnet minimal anders. Aus den Pixeln wird eine Prüfsumme, und die bleibt für dasselbe Gerät bemerkenswert stabil. Die Forscher Keaton Mowery und Hovav Shacham haben das 2012 beschrieben.

Zwei Jahre später suchte ein Team um Gunes Acar von der Universität Leuven auf den Startseiten der 100.000 meistbesuchten Webseiten danach. Auf mehr als 5,5 Prozent fanden sie Canvas-Fingerprinting. 95 Prozent dieser Skripte stammten von einem einzigen Anbieter, AddThis, einem Dienst für Teilen-Knöpfe. Wer dort einen Artikel teilen wollte, bekam den Fingerabdruck gratis dazu.

Eine der größten Vermessungen stammt von Steven Englehardt und Arvind Narayanan aus Princeton. Sie ließen 2016 ein automatisiertes Programm eine Million Webseiten besuchen. Canvas-Fingerprinting fanden sie auf 14.371 davon, das sind 1,6 Prozent, und zu 98,2 Prozent kam es von fremden Skripten, nicht von der Seite selbst. Je beliebter eine Seite war, desto häufiger: Unter den tausend meistbesuchten lag der Anteil bei 5,1 Prozent. Die Forscher stießen dabei außerdem auf eine damals neue Variante, die nicht malt, sondern einen unhörbaren Ton erzeugt und auswertet, wie der Rechner ihn verarbeitet. Selten war sie noch: Das verbreitetste Skript, das die Audio-Schnittstelle abfragte, lief auf 512 Seiten und prüfte nur, ob es sie gibt. Die eigentliche Auswertung fand sich auf noch weniger Seiten. Es zeigt trotzdem die Richtung: Wo eine Schnittstelle Unterschiede zwischen Geräten verrät, probiert sie irgendwer aus.

Mit Schriftarten geht es ähnlich. Eine Seite misst, wie breit ein Wort in einer bestimmten Schrift wird. Ist die Schrift nicht installiert, nimmt der Browser einen Ersatz, und die Breite stimmt nicht. So ergibt sich eine Liste der vorhandenen Schriften, und wer Office, ein Grafikprogramm oder Sprachpakete installiert hat, bringt eigene mit.

Wie eindeutig ist ein Browser heute?

Hier wird es interessant, denn die Zahlen sind gefallen. 2016 veröffentlichte ein französisches Team um Pierre Laperdrix die Auswertung der Testseite AmIUnique. Von 118.934 Fingerabdrücken waren 89,4 Prozent eindeutig, auf Smartphones immerhin 81 Prozent. Diese Testseite besuchen allerdings vor allem Leute, die sich für das Thema interessieren, und die haben oft ungewöhnlich eingestellte Browser.

Zwei Jahre später bekam dasselbe Forschungsumfeld Zugang zu einer ganz anderen Stichprobe. Alejandro Gómez-Boix und seine Kollegen werteten 2.067.942 Fingerabdrücke aus, gesammelt auf einer der 15 meistbesuchten Webseiten Frankreichs, also bei ganz normalem Publikum. Nur noch 33,6 Prozent waren eindeutig. Auf Computern waren es 35,7 Prozent, auf Smartphones 18,5 Prozent. Ein Grund: Plugins wie Flash, die früher besonders viel verrieten, waren fast verschwunden.

Das ist eine gute Nachricht mit einem Haken. Die Forscher stellten auch fest, dass nicht eindeutige Abdrücke empfindlich sind. Ändert sich ein Merkmal, etwa durch eine neu installierte Schrift, wird aus der Gruppe schnell ein Einzelfall. Und eindeutig muss ein Abdruck gar nicht sein, um nützlich zu sein. Zusammen mit deiner IP-Adresse oder einem einzigen Cookie, das irgendwo doch überlebt, reicht oft schon ein grober Abdruck, um zwei Besuche einander zuzuordnen.

Eckersley hatte 2010 noch etwas gemessen, das gern vergessen wird. Viele Fingerabdrücke änderten sich, bei gut einem Drittel der wiederkehrenden Besucher innerhalb seines Beobachtungszeitraums. Ein sehr einfacher Algorithmus wagte bei 65 Prozent der veränderten Abdrücke eine Zuordnung zum alten Browser, und davon lagen 99,1 Prozent richtig. Ein Update schüttelt einen Tracker also nicht zuverlässig ab.

Das Notizbuch: was dein Browser über dich speichert

Fingerprinting ist der unsichtbare Teil. Daneben speichert dein Browser eine ganze Menge selbst, und vieles davon ist nützlich. Problematisch wird es dort, wo fremde Seiten mitlesen oder wo ein Speicher zweckentfremdet wird.

Die Cookies kennst du aus den Einwilligungsbannern. Für Tracking zählen vor allem die von Drittanbietern: Ein Werbenetz, das auf tausend Seiten eingebunden ist, erkennt dich auf jeder davon an derselben Kennung wieder. Firefox sperrt solche Cookies inzwischen in eigene Fächer pro Seite, Safari blockiert sie ganz. Chrome blockiert sie ab Werk nur im Inkognito-Modus. Google wollte das ändern, hat den Plan aber im April 2025 aufgegeben und lässt die Wahl in den bestehenden Einstellungen.

Der Cache ist ein Speicher, den kaum ein Nutzer als Spur wahrnimmt. Der Browser hebt Bilder und Skripte auf, damit die Seite beim nächsten Mal schneller lädt, und fragt den Server nur noch, ob sich etwas geändert hat. Dazu schickt er eine Prüfnummer zurück, das sogenannte ETag. Forscher aus Berkeley zeigten 2011, dass der Analysedienst KISSmetrics auf der Videoplattform Hulu genau dieses Feld nutzte, um Nutzer wiederzuerkennen, auch wenn sie alle Cookies blockiert hatten. Solche Tricks heißen Supercookies. Mozilla hat in Firefox 85 im Januar 2021 alle Zwischenspeicher nach besuchter Seite getrennt, vom Bilder-Cache bis zum HSTS-Speicher für verschlüsselte Verbindungen. Damit taugen sie nicht mehr für das Verfolgen über Seiten hinweg.

Beim Autofill überrascht ein Fund aus Princeton. Ende 2017 berichteten Acar, Englehardt und Narayanan von zwei Werbeskripten, die auf einer Seite ein unsichtbares Anmeldeformular einfügten. Der Passwortmanager des Browsers füllte die E-Mail-Adresse brav aus, das Skript las sie mit, bildete eine Prüfsumme und schickte sie weg. Die Skripte liefen auf 1.110 der eine Million meistbesuchten Seiten. Eine E-Mail-Adresse ist für Tracker wertvoller als jeder Fingerabdruck, denn sie ändert sich praktisch nie und verbindet Laptop, Handy und Apps.

Zwei Speicher gehören noch dazu. Der Referrer verrät beim Klick auf einen Link, von welcher Seite du kommst. Moderne Browser schicken an fremde Seiten standardmäßig nur noch die Domain, nicht die ganze Adresse. Erweiterungen sind das zweite Thema. Ein Werbeblocker kann sehr hilfreich sein. Eine Erweiterung mit dem Recht, alle Seiten zu lesen, sieht aber auch alles, was du dort tust. Wie viel dein Suchverlauf über dich verrät und wie du ihn löschst, haben wir im Artikel Suchverlauf löschen beschrieben.

Warum Tracker auf den Fingerabdruck setzen

Ein Smartphone bekommt ab Werk eine Werbe-ID, eine Kennung, die Apps zum Tracking nutzen dürfen. Wie das zum Handel mit Standorten geführt hat, erzählt unser Text über die Werbe-ID. Ein Browser hat so etwas nicht, und Cookies werden gelöscht, blockiert oder in Fächer gesperrt. Der Fingerabdruck füllt die Lücke.

Wie sehr, zeigte sich im Dezember 2024. Google kündigte den Firmen, die seine Werbeprodukte nutzen, an, ihnen Fingerprinting ab dem 16. Februar 2025 nicht mehr zu verbieten. Die britische Datenschutzbehörde ICO reagierte am Tag darauf ungewöhnlich scharf. Sie nannte die Änderung unverantwortlich und zitierte Google selbst, das Fingerprinting 2019 noch als etwas bezeichnet hatte, das die Wahl der Nutzer untergrabe und falsch sei. Die Behörde erklärte auch, warum das Verfahren für Verbraucher so unangenehm ist: Wer alle Websitedaten löscht, kann sofort wiedererkannt werden.

Ehrlich gehört dazu, dass Fingerprinting nicht nur der Werbung dient. Banken und Shops nutzen ähnliche Merkmale, um Betrug zu erkennen, etwa wenn sich jemand mit deinem Passwort von einem völlig fremden Gerät anmeldet. Die Technik ist dieselbe. Der Unterschied liegt darin, wer sie einsetzt und ob du davon weißt.

Browser-Fingerprinting verhindern: Browser für Browser

Ganz verhindern lässt es sich nicht, und dafür gibt es einen einfachen Grund. Damit eine Seite funktioniert, muss dein Browser ihr einiges verraten, etwa die Fenstergröße für das Layout oder die Zeitzone für einen Kalender. Die Hersteller verfolgen deshalb zwei Wege. Die einen geben weniger und gröbere Werte heraus, die anderen streuen ein wenig Zufall in die Ergebnisse, sodass der Abdruck bei jeder Sitzung anders ausfällt.

In Firefox ist der Standardmodus schon recht wirksam. Mozilla schreibt, dass die zweite Stufe seiner Abwehr, fertig geworden mit Firefox 145 im November 2025, den Anteil der Firefox-Nutzer, die als eindeutig erkennbar gelten, fast halbiert hat. Diese neuen Schutzfunktionen laufen zunächst im privaten Fenster und im strengen Modus. Wer also unter Einstellungen, Datenschutz & Sicherheit den verbesserten Schutz vor Aktivitätenverfolgung auf „Streng“ stellt, bekommt sie überall. Einzelne Seiten können dann haken, dafür gibt es pro Seite eine Ausnahme über das Schild-Symbol in der Adressleiste. In Foren taucht oft noch die Einstellung privacy.resistFingerprinting auf, die man über about:config einschaltet. Sie stammt aus dem Tor-Projekt und ist sehr gründlich, verstellt aber zum Beispiel die Zeitzone und lässt Seiten seltsam reagieren. Mozilla rät normalen Nutzern ausdrücklich davon ab.

Safari hat einen Schalter, den Apple auf Deutsch „Erweiterter Tracking- und Identifizierungsschutz“ nennt. Er sorgt dafür, dass bekannte Fingerprinting-Skripte zum Beispiel Bildschirmmaße, Canvas-Bilder und Audio-Werte nicht mehr verlässlich auslesen können, und entfernt bekannte Tracking-Anhängsel aus Adressen. Ab Werk ist er nur in privaten Fenstern an. Auf dem Mac findest du ihn unter Safari, Einstellungen, Erweitert, auf dem iPhone unter Einstellungen, Apps, Safari, Erweitert. Stellst du ihn dort auf alle Browsing-Aktivitäten statt nur „Privates Surfen“, gilt er für alle Fenster. Apple hatte zu Safari 26 von einem Schutz für alles Surfen gesprochen. Gemeint war ein Teil der Abwehr, der unter dem Schalter gegen seitenübergreifendes Tracking läuft. Der Schalter unter Erweitert steht weiterhin ab Werk auf privat.

Brave geht den Zufallsweg. Seit 2020 verändert der Browser Werte wie das Canvas-Bild und die Audio-Auswertung bei jeder Sitzung und für jede Seite ein wenig, für Menschen unmerklich. Ein Tracker sieht dann nicht immer wieder denselben Abdruck, sondern ständig neue.

Der Tor Browser geht den umgekehrten Weg. Er versucht, alle Nutzer gleich aussehen zu lassen: Alle Windows-Rechner melden sich als Windows 10, die Schriften sind beschränkt, und das Fenster startet in einer Größe, die auf ein Raster von 200 mal 100 Pixeln gerundet ist. Wer das Fenster maximiert, bekommt graue Ränder, das sogenannte Letterboxing, damit die echte Bildschirmgröße nicht durchsickert. Was Tor sonst kann und wo seine Grenzen liegen, steht in unserem Text über den Tor Browser.

Bei Chrome sieht es dünner aus. Google hat den User-Agent gekürzt, und im Inkognito-Modus sind Drittanbieter-Cookies blockiert. Einen Schalter, der ausdrücklich Fingerprinting abwehrt, wie ihn Firefox und Safari haben, findest du in den Einstellungen nicht. Drittanbieter-Cookies kannst du dort unter Datenschutz und Sicherheit auch für normale Fenster sperren. Das ist der eine Handgriff, der sich in Chrome lohnt.

Und dann gibt es einen Rat, der nach Paradox klingt: Installiere nicht fünf Datenschutz-Erweiterungen auf einmal. Das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass dein Browser durch solche Add-ons individueller und damit leichter erkennbar werden kann. Eckersley hatte dasselbe schon 2010 beobachtet. Seltene Schutzwerkzeuge machen ihre Nutzer zur seltenen Gruppe.

Der Selbsttest: wie sieht dein Browser von außen aus?

Panopticlick heißt seit November 2020 Cover Your Tracks und liegt unter coveryourtracks.eff.org. Die Seite prüft, ob dein Browser Tracker blockiert, und zeigt in einer Detailansicht jedes einzelne Merkmal: Schriften, Sprache, Bildschirm, Canvas, Audio. Zu jedem steht, wie viele Besucher denselben Wert hatten. AmIUnique unter amiunique.org stammt aus der französischen Forschung, die oben schon vorkam, und macht im Kern dasselbe.

Lies das Ergebnis mit etwas Abstand. Beide Seiten vergleichen dich mit ihren eigenen Besuchern, und die sind wie beschrieben ungewöhnlich interessiert. „Dein Browser ist einzigartig“ heißt also: einzigartig unter den Leuten, die so einen Test machen. Nützlich ist der Test vor allem als Vorher-nachher-Vergleich. Mach ihn einmal, stell den Schutz in deinem Browser hoch und mach ihn noch einmal.

Wo die Abwehr endet

Auch mit dem besten Browser bleiben Spuren übrig. Sobald du dich irgendwo anmeldest, weiß die Seite ohnehin, wer du bist, und kann das an ihre Partner weitergeben. Deine IP-Adresse sieht jeder Server, mit dem du sprichst. Ein VPN verschiebt sie zum Anbieter, ändert aber nichts am Fingerabdruck. Und wer sein Handy und seinen Laptop über dasselbe Browser-Konto synchronisiert, legt Verlauf und Passwörter bewusst an einen zweiten Ort.

Unsichtbar wird im Netz niemand, das haben wir im Text über OpSec ausführlich begründet. Es geht um etwas Bescheideneres: nicht leichter erkennbar zu sein als nötig. Ein Browser, der wie viele andere aussieht, der fremden Seiten keine Cookies durchreicht und dessen Passwortmanager nicht in unsichtbare Formulare schreibt, macht Tracking mühsamer. Ganz verschwinden wirst du damit nicht.

Was bleibt

Peter Eckersley hat seine Testseite gebaut, damit Menschen sehen, was ihr Browser über sie erzählt. Das ist bis heute der beste Anfang. Der Fingerabdruck ist unsichtbar, aber er ist kein Schicksal: Die großen Browser haben in den letzten Jahren nachgerüstet, und ein paar Minuten in den Einstellungen bringen mehr als jede Erweiterung. Den Ausweis wirst du nicht los. Du kannst aber dafür sorgen, dass er ziemlich gewöhnlich aussieht.

Quellen: Peter Eckersley, How Unique Is Your Web Browser? (englisch, PDF), PETS 2010 · Pierre Laperdrix, Walter Rudametkin, Benoit Baudry, Beauty and the Beast: Diverting modern web browsers to build unique browser fingerprints (englisch, PDF), IEEE S&P 2016 · Alejandro Gómez-Boix, Pierre Laperdrix, Benoit Baudry, Hiding in the Crowd (englisch, PDF), The Web Conference 2018 · Steven Englehardt, Arvind Narayanan, Online Tracking: A 1-million-site Measurement and Analysis (englisch, PDF), ACM CCS 2016 · Gunes Acar u. a., The Web Never Forgets (englisch, PDF), ACM CCS 2014 · Gunes Acar, Steven Englehardt, Arvind Narayanan, No boundaries for user identities: Web trackers exploit browser login managers (englisch), 27.12.2017 · Mika Ayenson u. a., Flash Cookies and Privacy II: Now with HTML5 and ETag Respawning (englisch), 29.07.2011 · ICO, Our response to Google’s policy change on fingerprinting (englisch), 19.12.2024 · Mozilla, Firefox 85 Cracks Down on Supercookies (englisch), 26.01.2021 · Mozilla, Firefox expands fingerprint protections (englisch), November 2025 · Mozilla Support, Resist Fingerprinting (englisch) · Apple, Erweiterte Einstellungen in Safari auf dem Mac · WebKit, WebKit Features in Safari 26.0 (englisch) · Jeff Johnson, Safari 26 advanced fingerprinting protection: A confusing feature (englisch), 29.09.2025 · Brave, Fingerprint randomization (englisch), 05.03.2020 · Tor Project, Schutzmaßnahmen gegen Fingerprinting · Google, Cookies in Chrome löschen, zulassen und verwalten · Google, Next steps for Privacy Sandbox and tracking protections in Chrome (englisch), April 2025 · Chromium, User-Agent Reduction (englisch) · BSI, JavaScript, Cookies und Fingerprints · EFF, Introducing Cover Your Tracks! (englisch), 19.11.2020

Häufige Fragen

Was ist Browser-Fingerprinting?

Eine Methode, einen Browser an seinen Eigenschaften wiederzuerkennen statt an einem gespeicherten Cookie. Eine Seite liest per Skript Dinge wie Bildschirmgröße, Zeitzone, Sprache, Schriftarten und die Art, wie die Grafikkarte ein Testbild zeichnet. Zusammengenommen ergeben diese Werte bei vielen Geräten eine Kombination, die nur einmal vorkommt. Weil dabei nichts auf deinem Gerät abgelegt wird, hilft Cookies löschen dagegen nicht.

Kann ich meinen Fingerabdruck löschen?

Nein, denn er liegt nicht bei dir. Der Fingerabdruck wird bei jedem Besuch neu aus den Eigenschaften deines Browsers berechnet. Du kannst ihn nur verändern, etwa durch ein Browser-Update, oder ihn unschärfer machen, indem dein Browser weniger und ungenauere Werte herausgibt. Firefox, Safari, Brave und der Tor Browser haben dafür eingebaute Schutzfunktionen.

Hilft der Inkognito-Modus gegen Fingerprinting?

Kaum. Ein privates Fenster löscht beim Schließen Cookies und Verlauf, deine Hardware, Schriften und Bildschirmgröße bleiben aber dieselben. Ausnahmen gibt es: Safari schaltet im privaten Fenster seinen erweiterten Fingerprinting-Schutz ein, Firefox aktiviert dort einen Teil seiner neueren Abwehr. Chrome blockiert im Inkognito-Modus Drittanbieter-Cookies, einen eigenen Fingerprinting-Schalter hat er nicht.

Ändert ein VPN meinen Browser-Fingerabdruck?

Nein. Ein VPN ersetzt deine IP-Adresse durch die des VPN-Servers. Die Eigenschaften deines Browsers, aus denen der Fingerabdruck entsteht, bleiben unverändert. Die IP-Adresse ist für Tracker nur ein Merkmal unter vielen, und gerade sie wechselt ohnehin oft.

Ist Browser-Fingerprinting erlaubt?

In der EU braucht es für Tracking zu Werbezwecken in der Regel eine Einwilligung, das gilt nach Ansicht der Datenschutzbehörden auch für Fingerprinting. Die britische Datenschutzbehörde ICO hat das im Dezember 2024 ausdrücklich klargestellt, als Google seine Werberegeln lockerte. Kontrollieren lässt sich das von außen schwer, weil Fingerprinting unsichtbar abläuft. Das hier ist keine Rechtsberatung.

Wie teste ich, wie eindeutig mein Browser ist?

Mit Cover Your Tracks von der Bürgerrechtsorganisation EFF (coveryourtracks.eff.org) oder mit AmIUnique, einem Forschungsprojekt aus Frankreich (amiunique.org). Beide zeigen, welche Merkmale dein Browser preisgibt und wie selten die Kombination in ihrer Datenbank ist. Das Ergebnis ist ein Vergleich mit den Besuchern dieser Testseiten, keine Messung über das ganze Internet.