Audio-Fingerprinting: Der Klang des Trackings

Wenn wir an Online-Tracking denken, fallen uns meist Cookies oder IP-Adressen ein. Moderne Tracking-Verfahren sind jedoch viel unauffälliger geworden. Eines davon ist Audio-Fingerprinting, auch AudioContext-Fingerprinting genannt. Es zeichnet weder deine Stimme auf noch hört es dein Mikrofon ab. Stattdessen lauscht es dem „Klang“ deiner Hardware.

Wie funktioniert das?

Audio-Fingerprinting nutzt die Web Audio API, eine leistungsfähige Funktion moderner Browser zum Verarbeiten und Erzeugen von Audiosignalen.

Um einen Fingerprint zu erzeugen, führt ein Script auf einer Website diese Schritte aus:

1. Es erstellt einen AudioContext.
2. Es erzeugt mit einem OscillatorNode eine Schallwelle, also einen einfachen Ton.
3. Es leitet das Signal durch einen DynamicsCompressorNode. Dieses Werkzeug gleicht normalerweise Lautstärkeunterschiede aus.
4. Es spielt dir den Ton nicht vor, sondern erfasst die entstehenden Daten.

Entscheidend ist, dass die genaue mathematische Verarbeitung des Audiosignals je nach Hardware und Software deines Computers leicht unterschiedlich ausfällt. Soundkarte, Audiotreiber und Browserimplementierung verursachen winzige Abweichungen bei der Verarbeitung.

Menschen können diese Unterschiede weder sehen noch hören. Sie ergeben aber eine charakteristische digitale Signatur: deinen Audio-Fingerprint.

Warum ist das wirksam?

Audio-Fingerprinting ist besonders wirksam, weil es folgende Eigenschaften hat:

• Lautlos: Du hörst nichts, und es ist kein Berechtigungsdialog wie beim Mikrofon erforderlich.
• Dauerhaft: Cookies zu löschen oder ein privates Browserfenster zu nutzen, ändert normalerweise nichts an deiner Hardware. Dein Audio-Fingerprint bleibt deshalb gleich. Dieselbe Lücke erlaubt es, dich anhand deiner Akkudaten auch nach dem Wechsel in ein privates Fenster wiederzuerkennen.
• Stabil: Anders als andere Fingerprints, die sich bei Browserupdates ändern können, bleiben die Eigenschaften der Audiohardware relativ konstant.

Wie kannst du dich schützen?

Das Verfahren verwendet normale Browser-APIs, die auch legitime Zwecke erfüllen, etwa in Webspielen oder Musik-Apps. Sie vollständig zu blockieren, kann Websites beschädigen. Es gibt aber Schutzmaßnahmen:

1. Browser mit Fokus auf Datenschutz nutzen

Fortgeschrittene Anti-Detect-Browser wie Incogniton haben Schutzfunktionen eingebaut. Oft verändern sie die Audiodaten, indem sie dem Signal zufälliges Rauschen hinzufügen. Eine Website erhält dann bei jedem Fingerprinting-Versuch ein leicht anderes Ergebnis, was durchgängiges Tracking deutlich erschwert. Manche Browser verändern die Daten allerdings so stark, dass Websites die Manipulation erkennen. Das kann strengere Bot-Prüfungen oder sogar eine vollständige Sperre auslösen.

2. Browsererweiterungen

Erweiterungen wie AudioContext Fingerprint Defender greifen in die API ein, um Rauschen hinzuzufügen oder den Fingerprinting-Versuch zu blockieren. Dieser Schutz setzt allerdings eher an der Oberfläche an, sodass manche Websites dich weiterhin wiedererkennen können.

Teste deinen Fingerprint

Deinen Audio-Fingerprint findest du im Kasten auf dieser Seite, auf Mobilgeräten ganz oben. Wenn der Hash nach dem Neuladen exakt gleich bleibt, gibt dein Browser wahrscheinlich einen beständigen Audio-Fingerprint preis. Ändert er sich, schützt dich vermutlich eine Zufallsvariation.