Ein ungewöhnliches Tracking-Verfahren sorgt für Diskussionen um den Datenschutz bei AliExpress. Die chinesische Handelsplattform soll eine Technik eingesetzt haben, bei der über den Browser Audiosignale verarbeitet werden, um einzelne Geräte wiederzuerkennen. Für Nutzer soll davon weder etwas zu hören noch unmittelbar etwas zu sehen gewesen sein.
Das Verfahren unterscheidet sich deutlich vom klassischen Tracking mit Cookies. Statt eine kleine Datei auf dem Computer oder Smartphone abzulegen, können technische Eigenschaften des jeweiligen Geräts genutzt werden, um einen individuellen digitalen Fingerabdruck zu erzeugen.
Audiosignal läuft für Nutzer unhörbar im Hintergrund
Nach dem vorliegenden Bericht sollen Skripte auf der AliExpress-Webseite über die sogenannte Web Audio API ein Audiosignal erzeugt und verarbeitet haben. Die Lautstärke sei dabei auf null gestellt worden.
Das bedeutet: Nutzer mussten keinen Ton hören, obwohl der Browser im Hintergrund Audioberechnungen ausführte.
Entscheidend ist dabei nicht, welches Signal abgespielt wird. Interessant sind vielmehr die winzigen Unterschiede, die bei dessen Verarbeitung entstehen.
Prozessor, Soundchip, Betriebssystem, Treiber und Browser können ein identisches Ausgangssignal geringfügig unterschiedlich verarbeiten. Werden diese Abweichungen ausgewertet, können daraus charakteristische technische Merkmale eines Geräts entstehen.
Digitaler Fingerabdruck statt Cookie
Genau daraus ergibt sich die besondere Bedeutung der Methode. Beim herkömmlichen Cookie-Tracking wird eine Kennung im Browser gespeichert. Löscht der Nutzer die Cookies oder blockiert er sie vollständig, wird die Wiedererkennung schwieriger.
Beim sogenannten Fingerprinting funktioniert das anders. Dabei werden verschiedene Eigenschaften des Geräts und Browsers miteinander kombiniert. Aus der Gesamtheit dieser Informationen entsteht ein möglichst charakteristisches Profil.
Audio-Fingerprinting kann ein Bestandteil eines solchen Profils sein.
Nach dem Bericht soll AliExpress neben den Audioinformationen weitere Angaben beispielsweise über Hardware, Anzeigeeinstellungen und das Nutzerverhalten erfasst haben.
In Kombination können solche Merkmale eine Wiedererkennung wesentlich zuverlässiger machen als ein einzelnes technisches Merkmal.
Entdeckung offenbar durch Bluetooth-Problem
Bemerkenswert ist auch, wie die Technik aufgefallen sein soll.
Ein Entwickler bemerkte dem Bericht zufolge Probleme mit seinen Bluetooth-Kopfhörern, während in seinem Browser ein AliExpress-Tab geöffnet war. Der Wechsel der Kopfhörer zwischen Smartphone und Computer funktionierte offenbar nicht wie erwartet.
Daraufhin untersuchte er den Vorgang genauer.
Bei der Analyse des Quellcodes sollen schließlich Skripte entdeckt worden sein, die über die Web Audio API entsprechende Berechnungen durchführten.
Damit wäre die Tracking-Technik nicht aufgrund einer sichtbaren Funktion der Webseite entdeckt worden, sondern durch einen ungewöhnlichen technischen Nebeneffekt.
Warum Unternehmen Fingerprinting einsetzen
Fingerprinting ist nicht automatisch ausschließlich ein Werbeinstrument. Die Wiedererkennung eines Geräts kann beispielsweise auch der Betrugserkennung und IT-Sicherheit dienen.
Ein Online-Shop könnte damit erkennen, dass von demselben Gerät ungewöhnlich viele Konten angelegt werden oder verdächtige Transaktionen stattfinden.
Problematisch wird eine solche Technik insbesondere dann, wenn aus der Geräteerkennung ein umfassendes Nutzertracking entsteht und Verbraucher nicht ausreichend erkennen können, dass sie wiedererkannt werden.
Gerade die Unsichtbarkeit macht Fingerprinting aus Verbrauchersicht sensibel.
Cookies lassen sich löschen – ein Fingerabdruck nicht so einfach
Ein wesentlicher Unterschied zu Cookies besteht in der Kontrolle durch den Nutzer.
Cookies können in praktisch allen modernen Browsern angezeigt, blockiert und gelöscht werden. Viele Browser beschränken inzwischen zudem Cookies von Drittanbietern.
Einen aus verschiedenen Geräteeigenschaften errechneten Fingerabdruck kann man dagegen nicht einfach über einen „Cookies löschen“-Knopf entfernen.
Das macht diese Form des Trackings besonders interessant für Anbieter – und gleichzeitig problematisch für Nutzer, die eine Wiedererkennung verhindern möchten.
Inkognito-Modus bietet nicht zwangsläufig vollständigen Schutz
Auch der private beziehungsweise Inkognito-Modus eines Browsers verhindert Fingerprinting nicht automatisch.
Der Modus sorgt vor allem dafür, dass bestimmte lokale Daten wie Browserverlauf und Cookies nach dem Schließen der Sitzung nicht dauerhaft gespeichert werden. Viele technische Eigenschaften des Geräts bleiben einer Webseite während der Sitzung trotzdem zugänglich.
Je mehr Merkmale miteinander kombiniert werden, desto charakteristischer kann das entstehende Profil werden.
Was Nutzer selbst tun können
Wer Fingerprinting erschweren möchte, kann vor allem die Datenschutzfunktionen seines Browsers konsequent nutzen. Browser mit Schutzmechanismen gegen Fingerprinting können bestimmte technische Informationen vereinheitlichen oder den Zugriff darauf einschränken. Auch das Blockieren unnötiger Skripte kann die Möglichkeiten einer Webseite reduzieren.
Allerdings gibt es einen Zielkonflikt: Werden JavaScript, Audiofunktionen oder andere Browser-Schnittstellen sehr streng eingeschränkt, können Webseiten oder einzelne Funktionen nicht mehr richtig funktionieren.
Ein vollständiger Schutz allein durch das regelmäßige Löschen von Cookies reicht gegen Fingerprinting jedenfalls nicht zwingend aus.
Datenschutzfrage reicht über AliExpress hinaus
Der Fall zeigt vor allem, wie sich Online-Tracking verändert. Während Cookies für Verbraucher inzwischen vergleichsweise bekannt und durch Einwilligungsbanner sichtbar geworden sind, können moderne Fingerprinting-Verfahren wesentlich unauffälliger funktionieren.
Dabei können Bildschirmauflösung, Browserkonfiguration, Grafikberechnung, installierte Funktionen und eben auch die Audioverarbeitung Hinweise auf ein bestimmtes Gerät liefern.
Im konkreten Fall sollte allerdings zwischen dem technischen Nachweis entsprechender Skripte und der daraus abgeleiteten Absicht unterschieden werden. Der vorliegende Bericht beschreibt die Nutzung der Audiotechnik und mögliche Tracking-Funktionen; daraus allein lässt sich nicht jede konkrete Verwendung der gewonnenen Daten belegen.
Fest steht jedoch: Ein Trackingverfahren, das Nutzer kaum wahrnehmen und das nicht einfach durch das Löschen von Cookies verschwindet, wirft erhebliche Fragen zur Transparenz und zum Datenschutz auf.
