Tracking, Cookies und Fingerprinting

Websites verwenden mehrere Mechanismen, um Nutzer sitzungs- und websiteübergreifend zu verfolgen: Cookies, lokalen Speicher, Tracking-Pixel und Browser-Fingerprinting. Diese Daten werden für Werbung, Analysen und manchmal für bösartiges Profiling verwendet.

First-Party-Cookies werden von der Website gesetzt, die Sie besuchen. Sie speichern Sitzungsstatus, Präferenzen und Authentifizierungs-Token. Sie sind im Allgemeinen für die Funktion von Websites erforderlich und gelten als akzeptabel.

Third-Party-Cookies werden von anderen Domains als der von Ihnen besuchten gesetzt — typischerweise von Werbenetzwerken, Analyseanbietern oder Social-Media-Widgets. Sie verfolgen Sie über jede Website hinweg, die ihre Ressourcen einbindet.

Die großen Browser schaffen Third-Party-Cookies schrittweise ab.

Wichtige Cookie-Sicherheitsattribute:

• HttpOnly — verhindert den Zugriff durch JavaScript (Schutz vor XSS)
• Secure — wird nur über HTTPS gesendet
• SameSite=Strict/Lax — verhindert CSRF-Angriffe
• Max-Age/Expires — begrenzt die Lebensdauer der Sitzung

Ein Tracking-Pixel ist ein transparentes 1x1-Bild, das in E-Mails oder Webseiten eingebettet ist. Beim Laden sendet es die IP-Adresse des Nutzers und den Ladezeitpunkt an den Tracker. E-Mail-Clients, die Bilder automatisch laden, verraten, wann und von wo aus E-Mails geöffnet wurden.

Web-APIs wie localStorage und sessionStorage ermöglichen es Websites, Daten im Browser zu speichern. Anders als Cookies werden diese Daten nicht automatisch an den Server gesendet und können mehr Daten aufnehmen. Sie bleiben nach dem Schließen des Browsers bestehen (localStorage), bis sie ausdrücklich gelöscht werden.

Browser-Fingerprinting identifiziert Nutzer ohne Cookies, indem einzigartige Browsermerkmale kombiniert werden:

• User-Agent-String
• Bildschirmauflösung und Farbtiefe
• Installierte Schriftarten und Plugins
• Canvas- und WebGL-Rendering-Ausgabe
• Zeitzonen- und Spracheinstellungen

Jede Kombination ist höchst einzigartig — oft zuverlässiger als Cookies.

Canvas-Fingerprinting zeichnet versteckte Grafiken in einem HTML-Canvas-Element. Unterschiedliche GPU-/Treiberkombinationen rendern Text geringfügig unterschiedlich. Der Hash der Pixeldaten identifiziert das Gerät eindeutig, ohne Cookies zu setzen.

Maßnahmen gegen Tracking:

• Verwenden Sie Firefox mit Enhanced Tracking Protection
• uBlock Origin mit Tracking-Blockierlisten
• Privacy Badger für lernbasiertes Blockieren
• Tor Browser für maximale Anonymität
• Deaktivieren Sie JavaScript auf sensiblen Websites (blockiert Fingerprinting)

Der Tor Browser vereinheitlicht alle Fingerprinting-Werte zwischen den Nutzern — alle sehen gleich aus. Außerdem leitet er den Datenverkehr über drei Knoten weiter und verbirgt Ihre IP-Adresse. Nachteil: deutliche Leistungseinbußen, und einige Websites blockieren Tor-Exit-Nodes.

Die DSGVO (EU) und die ePrivacy-Richtlinie verlangen eine Einwilligung, bevor nicht unbedingt erforderliche Cookies gesetzt werden. Cookie-Banner sind das Ergebnis. Trotz dieser Banner ist die Durchsetzung uneinheitlich, und viele Websites verwenden Dark Patterns, um Nutzer zur Annahme aller Cookies zu bewegen.

Welche Technik identifiziert Nutzer anhand einer Kombination einzigartiger Browsereigenschaften wie der GPU-Rendering-Ausgabe und installierter Schriftarten, ohne Cookies zu setzen?

Websites verfolgen Nutzer über First- und Third-Party-Cookies, Tracking-Pixel, localStorage und Browser-Fingerprinting. Fingerprinting ist besonders persistent — es benötigt keine Cookies und übersteht das Leeren des Caches. Zu den Schutzmaßnahmen gehören ETP (Firefox), uBlock Origin, Privacy Badger und der Tor Browser für hohe Datenschutzanforderungen.