Können Websites deinen Computernamen sehen?

Du hast deinem Laptop einen persönlichen Namen gegeben. Dann zeigte ein IP-Checker ein Feld namens „Hostname“, oder eine Anmeldewarnung nannte deinen Computer, und du hast dich gefragt, ob jede Website diesen Namen bekommt, sobald du einen Tab öffnest.

Eine gewöhnliche öffentliche Website bekommt weder deinen Windows-Gerätenamen noch deinen Mac-Computernamen über eine Standard-Browser-API. Auf einem Privacy-Checker heißen allerdings mehrere Dinge „Name“, und sie bezeichnen unterschiedliche Rechner. Wer sie verwechselt, hält eine ziemlich unspektakuläre Netzwerkabfrage schnell für einen Griff in die eigenen Einstellungen.

Der Hostname in JavaScript gehört zur Website

Öffne auf dieser Seite die Konsole und gib location.hostname ein. Auf der öffentlichen Website kommt bscan.info zurück. In einer lokalen Vorschau kann es localhost sein. Keiner der beiden Werte ist der Name des Computers, auf dem du die Seite liest. Es ist der Host-Teil der Seiten-URL, wie ihn die Dokumentation der Location-API definiert.

Das Wort „Host“ in einer HTTP-Anfrage sorgt für dieselbe Verwirrung. Host: bscan.info sagt dem Server, welche Website du angefordert hast. HTTP/2 und HTTP/3 können diese Information in :authority übertragen. Diese Angaben bezeichnen das Ziel, nicht deinen Laptop. So ist es in den HTTP-Feldern Host und authority festgelegt.

Probier die Demo unten aus. Die ersten beiden Werte werden tatsächlich aus deinem Browser ausgelesen. Die Zeile zum Computernamen beschreibt, was Standard-Browser-APIs preisgeben. Sie kann nicht ausschließen, dass du Informationen über andere Wege weitergibst.

Der User-Agent ist eine vom Browser gelieferte Beschreibung deiner Software. Er kann eine Betriebssystemfamilie und eine Browser-Version nennen. Ein Standardfeld für den Gerätenamen, den du in den Einstellungen vergeben hast, gibt es darin nicht. Eine Erweiterung oder ein angepasster Browser könnte zusätzlichen Text hineinschreiben. Lies also den tatsächlichen String, statt einfach anzunehmen, dass er keine persönlichen Angaben enthält. Wie verlässlich solche Softwareangaben sind, erklärt unser Artikel darüber, warum User-Agent und Engine einander widersprechen können.

Der Hostname einer öffentlichen IP ist wieder etwas anderes

Ein Server kann die Quell-IP deiner Verbindung nehmen und eine Reverse-DNS-Abfrage versuchen. Das Ergebnis könnte wie customer-203-0-113-8.isp.example aussehen, einen Hosting-Anbieter nennen oder ganz ausbleiben. Das ist ein erfundenes Beispiel für einen DNS-Eintrag.

Reverse DNS fragt denjenigen, der die Reverse-DNS-Einträge der Adresse verwaltet, welchen Namen er dafür veröffentlicht hat. Es fragt nicht Windows oder macOS, wie du deinen Rechner genannt hast. In einem Heimnetz mit IPv4-NAT können sich mehrere Geräte die öffentliche Adresse teilen. Ein öffentlicher Hostname lässt sich deshalb nicht einfach als Name des Laptops lesen, der gerade die Seite geöffnet hat.

Mach daraus aber kein „Ein Hostname kann niemals einen Rechner identifizieren“. Eine Organisation kann für einen Computer mit öffentlicher IP-Adresse bewusst einen aussagekräftigen Namen veröffentlichen. Der Eintrag könnte sogar mit seinem lokalen Namen übereinstimmen. Entscheidend ist die Herkunft des Ergebnisses: veröffentlichte DNS-Daten, keine Standard-API einer Webseite, die deine Einstellungen ausliest. Ein VPN kann ändern, welche Verbindungsadresse eine Website sieht. Das sagt nichts darüber aus, welche anderen Informationen sie bereits über dich hat.

Kann ein Upload deinen Windows-Benutzernamen verraten?

Ein Pfad wie C:\Users\Alice\Documents\invoice.pdf enthält einen Benutzernamen. Eine normale HTML-Dateiauswahl für einzelne Dateien gibt diesen vollständigen Pfad nicht an die Seite weiter. Der value des Eingabefelds verwendet zum Schutz deiner Privatsphäre einen String wie C:\fakepath\invoice.pdf, und File.name enthält den Dateinamen ohne Pfad. MDN dokumentiert diesen Scheinpfad. Er ist weder ein Ordner, den du löschen musst, noch ein Windows-Fehler.

Lade die harmlose Beispieldatei der Demo herunter und wähle sie dann in der Dateiauswahl aus. Vergleiche input.value mit File.name. Ein Scheinpfad im Windows-Format auf einem Mac bedeutet nicht, dass die Seite Windows erkannt hat. Der String soll die echte Ordnerstruktur verbergen.

Der Dateiname selbst ist sichtbar. Wählst du Alice-Payroll-October.pdf, bekommt die Seite diesen Namen. Mit der Dateiauswahl erhält die Seite außerdem Zugriff auf den Inhalt dieser Datei. Sie muss nicht warten, bis du einen separaten Upload-Button drückst. Diese Demo zeigt nur den Namen und den Wert des Eingabefelds. Sie liest den Inhalt nie aus und schickt die Datei nirgendwohin.

Dieser Unterschied zählt, wenn du andere Websites beurteilst. Eine lokale Vorschau kann eine Datei lesen, ohne sie hochzuladen. Eine andere Seite kann sie übertragen, sobald du sie ausgewählt hast. Die Auswahl ganzer Ordner ist eine eigene Funktion und kann relative Pfade innerhalb des gewählten Ordners preisgeben. Ein Scheinpfad schützt deinen vollständigen lokalen Pfad. Er garantiert nicht, dass die ausgewählten Dateien keine persönlichen Informationen enthalten.

Wer kann deinen Computernamen tatsächlich erfahren?

Dein lokales Netzwerk sieht etwas anderes als eine beliebige öffentliche Website. Gerätenamen können in Netzwerkprotokollen und bei der Diensterkennung auftauchen. RFC 8117 beschreibt das Datenschutzproblem, darunter Namen, die über DHCP und Multicast DNS sichtbar werden. Die Geräteliste eines Routers kann deshalb etwas wissen, das einer normalen öffentlichen Webseite verborgen bleibt. Wenn du die Verwaltungsseite deines Routers öffnest, erhalten andere Websites dadurch keinen Zugriff auf diese Informationen.

In einem Firmenintranet können entsprechend eingerichtete Webanwendungen Nutzer über Windows Authentication mit ihren Windows-Konten authentifizieren. Microsofts Anleitung zu Windows Authentication beschreibt den Einsatz in Firmenintranets. Ein authentifizierter Kontoname, der auf diesem Weg ankommt, ist etwas anderes als ein beliebiges Skript, das deinen Betriebssystem-Benutzernamen ausliest. Ein Firmenportal kann auch Gerätedetails aus seiner eigenen Inventarliste anzeigen. Prüfe, welche Integration die Angabe geliefert hat, bevor du daraus schließt, dass der Browser sie preisgegeben hat.

Du kannst den Namen auch selbst verschicken. Ein Screenshot der Einstellungen kann den Gerätenamen zeigen. Ein Diagnoseprotokoll kann einen Hostnamen oder den Pfad eines Benutzerordners enthalten. Ein Dokument kann den Namen seines Autors enthalten. Deshalb solltest du prüfen, was du teilst, auch wenn die Seite keine allgemeine Funktion zum Auslesen des Computernamens hat.

Ein neuer PC-Name setzt deine Browser-Identität nicht zurück

Dass ein Account nach dem Umbenennen des Computers wiedererkannt wird, ist nicht überraschend. Eine Website kann eine Sitzung anhand ihrer Cookies oder deiner Anmeldung erkennen. Sie kann außerdem Browsermerkmale zu einem Fingerprint kombinieren. Dafür braucht sie den Namen in deinen Geräteeinstellungen nicht. Derselbe Unterschied erklärt, warum eine Website zur Geräteerkennung keine MAC-Adresse braucht.

Alice-Laptop in Desktop umzubenennen ist sinnvoll, wenn du in lokalen Netzen keinen persönlichen Namen verbreiten willst. Es löscht keine Cookies, ändert keine Anmeldung und ersetzt nicht die Rendering-Merkmale, die beim Canvas-Fingerprinting verwendet werden. Ein Checker kann deinen Browser wiedererkennen, ohne deinen Computernamen herauszufinden.

Wenn du Kundenaccounts betreust, sind getrennte Browserprofile relevanter als ein neuer PC-Name. Incogniton ist ein Werkzeug, um solche Profile zu verwalten. Das ist eine Entscheidung für deinen Arbeitsablauf, keine Garantie, dass ein hochgeladenes Dokument oder ein Firmenportal, bei dem du angemeldet bist, dich nicht identifizieren kann.

Geh von der Angabe aus, die du tatsächlich gesehen hast. Ist der Wert die Domain der aktuellen Website, stammt er aus der URL. Sieht er nach deinem Provider aus, prüfe, ob Reverse DNS dahintersteckt. Enthält er deinen persönlichen Namen, schau dir den Dateinamen, das Konto oder die Diagnosedaten an, die du weitergegeben hast. Starte dann den Browser-Scan und prüfe die Signale, die eine Webseite auslesen kann, ohne den Spitznamen deines PCs zu kennen.