Browser-Fingerprinting: Was Websites sehen und was hilft

Was ist ein Browser-Fingerprint?

Jede Website kann einige Angaben über den aufrufenden Browser auslesen, weil Seiten sie für die korrekte Darstellung brauchen: Browserversion, Fenster- und Bildschirmgröße, bevorzugte Sprachen, Zeitzone und ob Grafikbeschleunigung verfügbar ist. Eine einzelne Angabe teilen Millionen Menschen. Viele davon zusammen können einen Browser auf eine kleine Gruppe oder manchmal auf ein einzelnes Gerät eingrenzen.

Anders als ein Cookie wird ein Fingerprint nicht auf dem Gerät gespeichert; das Löschen von Websitedaten entfernt ihn daher nicht. Er wird bei jedem Besuch neu berechnet und ändert sich nach einem Browser-Update, mit einem neuen Monitor oder einer geänderten Einstellung. Deshalb kombinieren Tracking-Unternehmen ihn mit anderen Signalen.

Was Websites ohne Rückfrage auslesen können

Der IPNixa-Browsertest liest dieselbe Art von Werten aus, die jede Seite auslesen kann. Die Tabelle zeigt die wichtigsten Gruppen und warum sie sich von Person zu Person unterscheiden.

Ein beobachtetes Beispiel

Am 2. November 2026 haben wir in einem Chromium-basierten Browser auf einem Windows-11-Laptop in Bangkok dieselben Abfragen wie der Browsertest ausgeführt. Mehrere Ergebnisse zeigen, wo Browser Details bereits zurückhalten und wo sie dennoch welche preisgeben:

• Der User-Agent meldete Windows NT 10.0, obwohl auf dem System Windows 11 läuft. Chromium friert die Betriebssystemversion im User-Agent ein; die genaue Version ist nur über Client Hints verfügbar, die eine Website eigens anfordern muss.
• Der einfache WebGL-Renderer lieferte nur den generischen Wert WebKit WebGL. Die Debug-Erweiterung, die Chromium-basierte Browser weiterhin bereitstellen, gab dagegen das genaue Modell der integrierten Grafikeinheit samt Direct3D-11-Treiber zurück.
• Zwei Canvas-Zeichnungen desselben Testbilds ergaben identische Pixel; das Ergebnis war also stabil und auslesbar. Ein Browser, der zufälliges Rauschen hinzufügt, würde die beiden Proben als unterschiedlich melden.
• Die Zeitzone war Asia/Bangkok, die Sprachen Englisch (USA) und danach Koreanisch, und der Browser meldete 22 logische CPU-Kerne sowie ein Pixelverhältnis von 1,5. Keiner dieser Werte würde sich durch eine VPN-Verbindung in ein anderes Land ändern.

Warum ein VPN den Fingerprint nicht ändert

Ein VPN ersetzt die Adresse, die Websites sehen, durch die Adresse seines Servers. Alles, was der Browser selbst meldet, bleibt gleich, weil es nach dem Laden der Seite auf dem eigenen Gerät ausgelesen wird. Besteht eine Verbindung zu einem Server in Deutschland, während die Uhr auf Asia/Bangkok eingestellt und Koreanisch die erste Sprache ist, kann eine Website diese Abweichung erkennen. Das verrät zwar nicht, wer man ist, kann die Verbindung für Betrugs- und VPN-Erkennungssysteme aber ungewöhnlich wirken lassen.

Manche VPN-Apps enthalten Browsererweiterungen, die die Zeitzone ändern oder WebRTC blockieren. Sie helfen nur in diesem Browser und nur bei den Werten, die sie abdecken.

Was tatsächlich hilft

Es gibt zwei wirksame Strategien: Alle Browser melden dieselben Werte, oder jeder Wert fällt auf jeder Website und in jeder Sitzung etwas anders aus. Einen einzelnen Wert zu blockieren, bewirkt oft das Gegenteil, weil nur wenige Menschen ihn blockieren.

• Der Tor Browser lässt alle Nutzer gleich aussehen: Fenstergrößen in festen Stufen, dieselbe Zeitzone, dieselben Schriftarten. Er ist die stärkste und zugleich die einschränkendste Option.
• Brave randomisiert Canvas-, WebGL- und Audioausgaben standardmäßig pro Website und Sitzung, sodass ein auf einer Website erfasster Fingerprint nicht zu einer anderen passt.
• Safari fügt mit dem „Erweiterten Tracking- und Fingerprinting-Schutz“ einigen Werten wie Canvas Rauschen hinzu. Der Schutz ist beim privaten Surfen standardmäßig aktiv und lässt sich für das gesamte Surfen einschalten.
• Firefox aktiviert Schutzmaßnahmen gegen Fingerprinting in privaten Fenstern und in der Stufe „Streng“ des verbesserten Schutzes vor Aktivitätenverfolgung. Zusätzlich gibt es einen noch strengeren Modus (Resist Fingerprinting), auf dem der Tor Browser aufbaut.
• Erweiterungen auf ein Minimum beschränken. Jede Erweiterung kann verändern, was Seiten sehen, und eine ungewöhnliche Kombination ist leichter wiederzuerkennen.
• Den Browser aktuell halten. Neuere Versionen geben standardmäßig weniger Details preis, wie der eingefrorene User-Agent zeigt.

Eine Einstellung nach der anderen testen

Ein einzelnes Ergebnis verrät nicht, wie einzigartig ein Browser ist, und die Zahl sichtbarer Felder ist kein Maß für die Verfolgbarkeit. Zuverlässig zeigen kann ein Test dagegen, ob eine Einstellung verändert, was Websites auslesen.

1. Den IPNixa-Browsertest öffnen, die Option für Canvas und WebGL aktivieren und den Test starten.
2. Das Ergebnis zum Vergleich speichern. Es liegt bis zu 30 Minuten ausschließlich im Sitzungsspeicher dieses Tabs, ohne Canvas-Pixel, Hash oder Fingerprint-ID.
3. Genau eine Sache ändern: einen Browserschutz aktivieren, in ein privates Fenster mit aktivem Schutz wechseln oder ein VPN verbinden.
4. Zum Tab zurückkehren und den Test erneut ausführen. Die geänderten, unveränderten und nicht bestätigten Felder ansehen. Ein verschwundener Wert beweist keinen Schutz; ein Wert, der sich bei jedem Durchlauf ändert, wird randomisiert.