Können Websites deine MAC-Adresse sehen? Was sie stattdessen nutzen

Irgendwo in jedem Thread über einen gebannten Account gibt jemand denselben Rat: Ändere deine MAC-Adresse, daran erkennen sie dich. Klingt plausibel. Die MAC-Adresse wird ab Werk in deine Netzwerkkarte gebrannt, sie ist weltweit eindeutig, und sie fühlt sich an wie genau der Identifier, nach dem eine Website als Erstes greifen würde.

Sie ist auch der eine Identifier, an den eine Website nicht herankommt. Der Grund liegt unterhalb von allem, was eine Seite kontrolliert: Deine MAC-Adresse kommt nie über deinen eigenen Router hinaus, und nichts in einem Browser rückt sie heraus. Das Widget auf dieser Seite versucht es trotzdem und zeigt, was eine Seite stattdessen sieht.

Deine MAC-Adresse steigt am ersten Hop aus

Eine MAC-Adresse beantwortet genau eine Frage: Welche Netzwerkkarte in diesem Netz soll diesen Frame bekommen? Wenn dein Laptop eine Anfrage an eine Website schickt, verpackt er das Paket in einen Frame mit deiner MAC als Absender und der MAC deines Routers als Ziel. Der Router streift den Frame ab, behält das Paket und baut für die nächste Etappe einen frischen Frame mit seiner eigenen Adresse als Absender. Jeder Router zwischen dir und dem Server macht dasselbe noch einmal. Wenn deine Anfrage ankommt, gehört die Absender-MAC darauf dem Router, der dem Server am nächsten sitzt. Deine hat dein Wohnzimmer nie verlassen.

Kann JavaScript deine MAC-Adresse auslesen?

Nein, und dieses Ende ist genauso dicht wie das Netzwerk-Ende. Der Browser verrät jedem Skript über navigator deine Sprache und die Zahl deiner CPU-Kerne, und WebGL liefert ungefragt dein GPU-Modell, alles ohne Berechtigungsdialog, aber nichts MAC-Förmiges existiert irgendwo in der Web-Plattform. „MAC-Adresse per JavaScript auslesen“ hat seit fast zwei Jahrzehnten dieselbe Stack-Overflow-Antwort: Geht nicht, und wer fragt, bekommt den Rat, sich stattdessen einen eigenen Identifier zu generieren.

Warum alte Forenantworten behaupten, eine Website könne sie lesen

Such nach dieser Frage und du findest bis heute Antworten, die behaupten, eine Seite könne sie auslesen, mit den richtigen „Spezialskripten“ auf ihren Servern. Diese Antworten wurden in einem anderen Browser geschrieben. In der Plugin-Ära konnte ein signiertes Java-Applet NetworkInterface.getHardwareAddress() aufrufen, und ein ActiveX-Control im Internet Explorer konnte schlicht Windows fragen. Diese ganze Klasse von Löchern ist Geschichte: Chrome hat den Plugin-Support 2015 gestrichen, Firefox 2017, und der Internet Explorer selbst wurde 2022 in Rente geschickt. Nichts, was ein moderner Browser ausführt, greift derart tief ins Betriebssystem.

Das andere Gespenst ist IPv6. Das ursprüngliche Adressschema baute deine öffentliche IPv6-Adresse zum Teil aus deiner MAC zusammen, ein Format namens EUI-64, womit deine Hardware-Adresse buchstäblich in jedem Paket mitreiste. Das wurde fast sofort als Privacy-Loch erkannt: Privacy Extensions haben es gestopft (RFC 3041 im Jahr 2001, verfeinert zu RFC 4941), und jedes gängige Betriebssystem setzt seit Jahren standardmäßig auf randomisierte Adressen. Der direkte Zugriff und das indirekte Leck sind beide geschlossen; die Forenposts, die etwas anderes sagen, sind schlicht älter als die Fixes.

Wer deine MAC-Adresse sehen kann (und warum dein Handy dabei lügt)

In dem Netz, mit dem du verbunden bist, ist deine MAC vollkommen sichtbar. Dein Router loggt sie, jedes Gerät im selben WLAN kann sie sehen, und ebenso, wer auch immer dieses WLAN betreibt: dein Arbeitgeber, das Hotel, der Flughafen, das Café. Wenn eine Hotel-Login-Seite dich per Gerät begrüßt, reicht das Gateway des Netzes sein eigenes Wissen an sein eigenes Portal weiter, dein Browser gibt dabei nichts her. Das ist eine echte Tracking-Fläche. Retail-Analytics-Firmen haben Handys früher anhand ihrer WLAN-Probe-Requests durch Einkaufszentren verfolgt, und genau deshalb haben die OS-Hersteller reagiert. iOS 14 gibt seit 2020 jedem WLAN eine eigene „private Adresse“, Android 10 machte die Randomisierung pro Netz zum Standard, Windows bietet zufällige Hardware-Adressen pro Netz an, und macOS zog mit Sequoia nach. Apps haben den Zugriff noch früher verloren: Seit iOS 7 bekommt eine App, die nach der MAC fragt, 02:00:00:00:00:00 zurück, und Android 6 zieht denselben Trick ab. Die berühmte Ausnahme war TikTok: Das Wall Street Journal erwischte die App dabei, wie sie auf Android mindestens 15 Monate lang MAC-Adressen einsammelte, über einen Workaround, der die Sperre von Android 6 umging – eine App, die OS-Zugriff missbraucht, keine Website, die deinen Browser ausliest.

All das schützt dich vor dem Netzbetreiber, nicht vor Websites. Websites hatten die Adresse nie.

Versteckt ein VPN deine MAC-Adresse?

Nein, und das muss es auch nicht. Ein VPN verschlüsselt deinen Traffic und tauscht die IP-Adresse aus, die das Internet sieht. Deine MAC lebt auf dem Stück zwischen deinem Laptop und deinem Router, bevor irgendetwas davon passiert, und weiter kommt sie nicht, mit oder ohne Tunnel. Dein Router sieht deine MAC so oder so; die Website sieht sie so oder so nicht. Wenn ein VPN-Anbieter MAC-Schutz als Feature bewirbt, schützt er dich vor etwas, das gar nicht stattfand.

Was Websites über VPN-Nutzer sehr wohl herausbekommen, ist real; die Lecks sitzen nur woanders: die Zeitzone, die Sprachen, der Eigentümer des IP-Bereichs. Wir haben das in wie Websites dein VPN erkennen auseinandergenommen.

Woran ein „Device-Ban“ wirklich hängt

Womit wir beim Grund wären, aus dem die meisten überhaupt nach MAC-Adressen fragen: Eine Plattform hat gesagt, dein Gerät sei gebannt, und die MAC ist von allem, wovon du den Namen kennst, das Ding, das am meisten nach Gerät klingt. Snapchats SS06-Screen „device banned“, das Geräte-Blocking bei Roblox, ein Foren-Ban, der einen neuen Account überlebt. Wenn die Seite deine MAC nicht sehen kann, was hat sie sich dann gegriffen?

Im Web: drei Dinge. Einen gespeicherten Identifier, also irgendein Cookie oder localStorage-Wert, geschrieben lange vor dem Ban, der das Ausloggen überlebt. Deine IP-Adresse, oder gleich den ganzen Bereich, zu dem sie gehört. Und deinen Browser-Fingerprint: der Canvas-Hash, die Schriftenliste, der GPU-String, die Zeitzone, kombiniert zu einem Identifier, der gar keinen Speicher braucht. Die drei haben sehr unterschiedliche Lebensdauern, und genau deshalb setzen Plattformen alle drei gleichzeitig ein. Deshalb gibt es auch keine einfache Antwort darauf, wie lange ein Device-Ban hält: Der Cookie-Teil stirbt, wenn der Speicher geleert wird, der IP-Teil, wenn deine Adresse rotiert, und der Fingerprint-Teil erst, wenn sich der Browser oder die Hardware darunter ändert.

Native Apps und Spiele spielen in einer anderen Liga, und beides wird ständig durcheinandergeworfen. Eine Handy-App bekommt vom OS Plattform-Geräte-IDs und Attestierung, und genau darauf stützt sich ein Device-Ban bei Snapchat. PC-Spiele mit Anti-Cheat auf Kernel-Ebene, Vanguard, Easy Anti-Cheat, BattlEye, lesen Mainboard- und Festplatten-Seriennummern von innerhalb des Betriebssystems aus: Das ist ein echter HWID-Ban. Eine Webseite kann nichts davon. Eine Website, die nach deinem GPU-Modellstring fragt, ist damit schon am oberen Ende dessen angekommen, was sie je über deine Hardware erfahren wird, und selbst das kommt als Teil der Fingerprint-Oberfläche an, nicht als Seriennummer.

Was du konkret tun solltest

1. Hör auf, das MAC-Problem für Websites zu lösen. Es gibt nichts zu lösen. Wenn eine Seite dich immer wieder erkennt, obwohl sie es aus deiner Sicht nicht sollte, sitzt die Wiedererkennung im Storage, in deiner IP oder in deinem Fingerprint, und der komplette Browser-Scan zeigt dir, welche Signale dein Browser gerade verschenkt.
2. Schalte MAC-Randomisierung für Netze ein, die dir nicht gehören. Das ist die Bedrohung, für die das Feature gebaut wurde, es kostet nichts, und auf einem aktuellen Handy ist es vermutlich längst an.
3. Wenn du beruflich mehrere Accounts betreibst, ist der Fingerprint der Teil, der sie wirklich verknüpft, und ihn von Hand zu flicken erzeugt genau die Widersprüche, auf die Erkennungssysteme Jagd machen. Incogniton gibt jedem Profil seinen eigenen konsistenten Fingerprint samt eigenem Storage, und das ist die Ebene, auf der Trennung wirklich stattfindet, ganz ohne MAC-Changer.

Ob eine bestimmte Plattform davon irgendetwas erlaubt, steht in ihren Regeln, also kenne sie, bevor du handelst. Aber was auch immer du entscheidest: Entscheide es über die Identifier, die eine Website tatsächlich lesen kann. Das Widget oben listet jeden einzelnen davon auf, und die Zeile mit der MAC-Adresse ist die eine, die keine Seite jemals ausfüllen wird.