Ein Browser, fünf Betriebssystemangaben: Warum Plattform-Spoofing auffliegt

Frag deinen Browser nach seinem Betriebssystem, und du bekommst nicht eine Antwort, sondern fünf. Der User-Agent-String nennt ein Betriebssystem. Das tun auch navigator.platform, die Client-Hints-API, der mit jeder Anfrage gesendete Header Sec-CH-UA-Platform und in Firefox die ältere Eigenschaft navigator.oscpu.

Auf einem normalen Rechner fällt das niemandem auf, weil alle fünf dasselbe sagen. Sobald du eine Angabe änderst und die anderen vergisst, wirkst du weder wie ein Mac noch wie ein Windows-PC, sondern wie etwas viel Interessanteres: ein Browser, der lügt.

Die Kurzfassung: Dein Browser nennt sein Betriebssystem an mehreren unabhängigen Stellen, in JavaScript und im Netzwerkverkehr. Ein echter Browser gibt überall dieselbe Antwort. Fälschst du nur eine Schnittstelle, widersprechen die anderen ihr. Das fällt stärker auf als dein echtes Betriebssystem.

Das Widget auf dieser Seite führt genau diesen Abgleich mit deinem Browser durch.

Die fünf Stellen, an denen dein Browser ein Betriebssystem nennt

Der User-Agent-String. Der Klassiker: Mozilla/5.0 (Windows NT 10.0; Win64; x64).... Praktisch jede Spoofing-Erweiterung verändert ihn.
navigator.platform. Eine deutlich ältere JavaScript-Eigenschaft, die viele Spoofing-Werkzeuge vollständig vergessen.
navigator.userAgentData.platform. Die moderne Client-Hints-API in Chromium-Browsern. Jedes Script kann sie ohne Berechtigung auslesen.
Der Header Sec-CH-UA-Platform. Dieselben Client-Hints-Daten, aber bei jeder Anfrage über das Netzwerk gesendet. Der Server liest sie, bevor eine einzige Zeile JavaScript ausgeführt wurde.
navigator.oscpu. Nur in Firefox vorhanden. Schon das verrät etwas: Ein angeblicher „Chrome unter Windows“, der oscpu bereitstellt, hat sich bereits entlarvt.

Diese Werte stammen nicht aus einer gemeinsamen Einstellung. Den User-Agent zu bearbeiten, aktualisiert nicht automatisch die Header. Eine JavaScript-Eigenschaft zu überschreiben, erreicht nicht die Netzwerkebene. Genau diese Unabhängigkeit macht den Vergleich wirksam:

navigator.userAgent macOS (bearbeitet)

navigator.platform Win32

userAgentData.platform Windows

Sec-CH-UA-Platform header "Windows"

Zwei verschiedene Aussagen

Der bearbeitete User-Agent sagt macOS, während die anderen drei Schnittstellen weiterhin Windows melden. Ein einfacher Abgleich entlarvt die Fälschung.

Es ist dieselbe Falle wie beim Versions-Spoofing in Dein User-Agent lügt. Deine Chromium-Version nicht. Das Muster gilt allgemein: Jedes gefälschte Signal ist eine weitere Gelegenheit, den unveränderten Signalen zu widersprechen.

Auch echte Browser lügen, nur auf standardisierte Weise

Dieser Teil überrascht viele: Auch ein ehrlicher Browser meldet dein Betriebssystem nicht völlig korrekt.

Unter 64-Bit-Windows sagt navigator.platform weiterhin Win32. Das ist seit den Neunzigern so; eine Änderung würde alte Websites beschädigen.
Auf einem Mac mit Apple Silicon steht dort MacIntel. Obwohl kein Intel-Chip verbaut ist, hat die Bezeichnung den Architekturwechsel überlebt.
Der User-Agent moderner Macs begrenzt die gemeldete macOS-Version, sodass verschiedene macOS-Versionen denselben String zeigen können.

Tracker kennen diese üblichen Unwahrheiten genau. Das wirkt in beide Richtungen. Ein Spoof, der Win64 meldet, weil es richtiger klingt, ist sofort verdächtig, weil kein echter Browser das so meldet. Eine Fälschung muss auf genau dieselbe Weise lügen wie das Original. Viele Spoofing-Werkzeuge kennen diese historischen Eigenheiten nicht.

Selbst perfekte Bezeichnungen verraten etwas

Angenommen, du machst alles richtig: User-Agent, navigator.platform, Client Hints und Header melden übereinstimmend macOS. Alles konsistent. Fertig?

Nicht ganz. Die Bezeichnungen sind nur der Teil des Betriebssystems, den du umbenennen kannst. Der Rest verhält sich weiter wie zuvor:

Die Bezeichnungen behaupten macOS

Installierte Schriftarten

Segoe UI, Calibri, Consolas

werden mit Windows geliefert

WebGL-Renderer

ANGLE (NVIDIA ... Direct3D11)

Direct3D gibt es nur unter Windows

Breite der Bildlaufleiste

17 px

klassischer Windows-Messwert

Touch-Unterstützung

maxTouchPoints: 10

kein Mac meldet Touch-Ereignisse

Das Verhalten zählt mehr als die Bezeichnung

Jede Zeile oben lässt sich ohne Berechtigungsdialog mit JavaScript auslesen. Ändere die Bezeichnungen, so viel du willst: Der Rechner darunter antwortet weiterhin wie ein Windows-PC.

Am deutlichsten sind die Schriftarten. Windows bringt Segoe UI und Calibri mit, macOS Helvetica Neue und San Francisco, Linux-Distributionen DejaVu. Ein Script prüft das in Millisekunden. Unser Artikel über Schriftarten-Fingerprinting führt genau diesen Test live aus. Ebenso eindeutig ist der WebGL-Renderer-String: Direct3D bedeutet Windows, Metal bedeutet Mac, ohne Ausnahmen.

Betriebssystem-Spoofing ist deshalb kein einzelner Schalter. Es betrifft Bezeichnungen und Verhalten, und das Verhalten zu verändern ist erheblich schwieriger.

Was du konkret tun kannst

Fälsche dein Betriebssystem nicht, wenn du nicht bewusst mehrere Identitäten verwaltest. Sonst landest du in einer kleinen, ungewöhnlichen Gruppe widersprüchlicher Browser statt in der großen Menge normaler Geräte. In der Masse aufzugehen hilft mehr als Verstecken.
Vermeide halbes Spoofing. Ein User-Agent-Wechsler, der nur den String verändert, macht dich leichter erkennbar. Wenn du nicht jede Schnittstelle anpassen kannst, lass alle unverändert.
Wenn du getrennte Identitäten brauchst, müssen alle Ebenen zusammenpassen. Bezeichnungen, Header, Fonts, WebGL und der Rest. Genau dafür gibt es Anti-Detect-Browser. Incogniton baut Profile so auf, dass die Betriebssystemangaben von der Netzwerkebene bis zur Schriftartenliste konsistent sind, statt einem unveränderten Rechner nur ein neues Etikett anzukleben.

Wie schneidet dein Browser ab? Das Widget prüft seine Betriebssystemsignale. Der vollständige Scanner ergänzt den Versionsvergleich, den WebRTC-Leak-Test und ein Dutzend weitere Prüfungen.

Kompletten Browser-Scan starten