So schützen Sie sich vor unsichtbarem Browser-Fingerprinting

Browser-Fingerprinting ist eine Untersuchungsmethode, bei der die Browseraktivität abgeglichen wird, um einzelne Benutzer zu identifizieren. Es kann dazu verwendet werden, Online-Aktivitäten einer bestimmten Person zuzuordnen und kann daher eine Verletzung der Privatsphäre darstellen. Selbst die Verwendung eines VPN reicht möglicherweise nicht aus, um Browser-Fingerprinting zu vermeiden.

Wie können Sie sich also vor unsichtbarem Browser-Fingerprinting schützen und Ihre Privatsphäre verbessern? Wir erklären, wie Browser-Fingerprinting funktioniert und wie Sie Browser-Fingerprinting stoppen können.

Was ist Browser-Fingerprinting?

Eine gängige Ermittlungstechnik bei der Strafverfolgung ist die Erfassung von Fingerabdrücken am Tatort. Zum Zeitpunkt der Sammlung ist nicht bekannt, wem diese Fingerabdrücke gehören. Ziel ist es daher, sie flächendeckend für eine spätere Analyse zu sammeln. Diese Fingerabdrücke werden später mit einer Datenbank mit Fingerabdrücken bekannter Besitzer abgeglichen, um bestimmte Personen zu identifizieren.

Webbrowser-Fingerprinting,auch Canvas-Fingerprinting genannt,funktioniert ähnlich. Dabei handelt es sich um die umfassende Sammlung von Browser-Identifikationspunkten, die dann mit den Browsermerkmalen bekannter Personen abgeglichen werden können. Bei beiden Arten der Fingerabdrucknahme enthüllt die Analyse möglicherweise nicht die Identität einer Person, kann aber zeigen, dass dieselbe Person unterschiedliche Aktivitäten ausgeführt hat.

Den meisten Datenschutzbegeisterten ist bewusst, dass die primäre Möglichkeit, online identifiziert zu werden, die Verwendung ihrer IP-Adresse ist. TCP/IP, die Protokollsuite, die das Internet verwendet, erfordert zwangsläufig, dass Ihre IP-Adresse bei jeder Anfrage gesendet wird, damit der Webserver weiß, wohin er die Antwort senden muss.

Virtuelle private Netzwerke (VPNs) sind als Möglichkeit in den letzten Jahren populär geworden Verstecken Sie Ihre echte IP-Adresse . Sie leihen sich im Wesentlichen eine IP-Adresse (die von vielen Personen geteilt wird) von Ihrem VPN-Anbieter. Der Datenverkehr im Protokoll des Webservers zeigt lediglich die IP-Adresse des VPN an.

Siehe auch: Beste VPNs für den Datenschutz

Aber was sendet Ihr Webbrowser sonst noch, was ein VPN nicht löschen kann? Vieles davon hängt von der Konfiguration Ihres Browsers ab, aber bei einigen lässt sich einfach nichts ändern. Durch die Korrelation der Daten in den Anfragen Ihres Browsers kann jemand Sie identifizieren, selbst wenn Sie ein VPN verwenden.

Wie funktioniert Browser-Fingerprinting?

Die Datenerfassung kann auf zwei Arten abgeschlossen werden; auf dem Server und durch clientseitige Technologien wie JavaScript und Adobe Flash®.

Serverseitige Sammlung

Website-Zugriffsprotokolle auf dem Server können Daten sammeln, die von Ihrem Browser gesendet werden. Dies sind in der Regel mindestens das angeforderte Protokoll und die angeforderte URL, die anfragende IP-Adresse, der Referrer (sic) und der User-Agent-String.

Schauen wir uns einen standardmäßigen Nginx-Zugriffsprotokolleintrag einer Anfrage mit dem Safari-Browser an. Es sieht aus wie das:

|_+_|

In die Anfrage werden meine IP-Adresse, mein Browser und mein Betriebssystem einbezogen. Der Browser und das Betriebssystem sind im Lieferumfang enthaltenUser-AgentZeichenfolge, die diesen Teil der Anfrage darstellt:

|_+_|

Wenn ich dieselbe Seite mit Google Chrome lade, besteht der einzige Unterschied darin, dass der Benutzeragent jetzt als Chrome angezeigt wird. Das Protokoll zeigt dieselbe IP-Adresse und dasselbe Betriebssystem. Zwei Punkte reichen nicht aus, um einen konkreten Vergleich anzustellen, aber sie reichen aus, um darauf hinzuweisen, dass diese beiden Anfragen von derselben Person stammen könnten.

|_+_|

Webserver können auch so konfiguriert werden viel mehr Daten protokollieren in ihren Zugriffsprotokollen mithilfe von Protokollformatspezifizierern.

Zusätzlich zu den in Webserver-Zugriffsprotokollen aufgezeichneten Informationen senden Browser auch eine Reihe von Headern. Der Webserver muss wissen, welche Arten von Inhalten und Komprimierung der Browser versteht. Außerdem kommt es sehr häufig vor, dass Cookies zwischen Browsern und Webservern ausgetauscht werden. In den Entwicklertools meines Chrome-Browsers sehe ich, dass diese Header mit meiner Anfrage gesendet wurden und vom Browser weiter für den Fingerabdruck verwendet werden können:

Clientseitige Sammlung

Die serverseitigen Informationen lassen sich leicht sammeln, aber unsere alten clientseitigen Freunde JavaScript und Adobe Flash® verraten viel mehr Informationen über Ihren Browser. Eine schnelle Suche im Internet liefert eine Reihe von Websites, die zeigen, wie viele Daten Ihr Webbrowser auf Anfrage bereitstellt.

Ich lerne zum Beispiel von Bin ich einzigartig? dass mein Browser eine erschreckende Liste an Informationen bereitstellt, darunter:

• jede Schriftart, die auf meinem System verfügbar ist
• die Liste der Plugins, die ich installiert habe
• die Auflösung meines Bildschirms
• die Sprache meines Systems
• ob mein Browser Cookies akzeptiert
• und mehr.

Das ganze Eine Liste dessen, was Am I Unique sammelt, finden Sie hier , und noch mehr ist möglich.

Die folgende Tabelle ist einem Artikel zu „Am I Unique“ entnommen¹veröffentlicht im März 2016. Beachten Sie, dass die beiden umfangreichsten Bereiche der Datenerfassung clientseitiges JavaScript und Adobe Flash® sind.

Betrachten Sie das obige Beispiel, in dem in den Serverprotokollen meine IP-Adresse, mein Browser und mein Betriebssystem angezeigt wurden. Fügen Sie nun die Liste der von JavaScript und Adobe Flash® bereitgestellten Informationen hinzu, und Sie können sehen, wie einfach es wäre, Besuche zu korrelieren.

Wenn zwei Besuche bis auf beispielsweise die IP-Adresse genau denselben Datensatz aufweisen, wäre dies der FallDennoch lässt sich daraus schließen, dass diese Besuche von derselben Person stammten. Dies ist eine besonders nützliche Technik, wenn jemand ein VPN verwendet, wodurch seine IP-Adresse als Identifikationspunkt weniger nützlich ist.

Bei Verwendung eines VPN ändert sich als einziger Datenpunkt die IP-Adresse des Anforderers. Am I Unique zeigt, dass es 21 Datenpunkte sammeln kann, und dabei sind die drei Datenpunkte aus den Serverprotokollen noch nicht einmal enthalten. Wenn Sie also ein VPN verwenden, um einen Datenpunkt (Ihre IP-Adresse) zu ändern, bleiben immer noch 23 Datenpunkte zum Vergleich übrig.

Es gibt keinen globalen Standard für die Abnahme menschlicher Fingerabdrücke bei der Strafverfolgung, aber sicherlich würde jeder Fingerabdruck mit 23 übereinstimmenden Punkten als schwerwiegender Beweis gelten.

Wie funktioniert der Vergleich?

Die meisten datenschutzbewussten Menschen sind der Meinung, dass Ihre Privatsphäre umso besser ist, je weniger Informationen Sie bereitstellen. Dies gilt nur in einer Welt, in der Sie sich dafür entscheiden könnennichtDinge tun. Wenn ich beispielsweise keine persönlichen Daten auf Facebook haben möchte, entscheide ich mich, Facebook nicht zu nutzen.

Allerdings ist das praktisch unmöglichnichtWenn Sie heutzutage überhaupt noch das Internet nutzen, werden Sie Fingerabdrücke hinterlassen. Ziel ist es daher, die Korrelation Ihrer privaten Aktivitäten mit Ihren öffentlichen Aktivitäten zu erschweren. Durch die Beibehaltung dieser Trennung wird verhindert, dass jemand Sie persönlich identifizieren kann, indem Daten aus Aktivitäten verwendet werden, die Sie geheim halten möchten.

Verwenden Sie jedoch gute Datenschutztechniken wie das Sperren Ihres Browsers, um JavaScript, Cookies und WebRTC-Anfragen zu verhindernkönnte Ihren Browser einzigartiger machenda nur wenige Menschen das Gleiche tun. Zum Beispiel mithilfe der Electronic Frontier Foundation Panoptischer Klick können wir den Unterschied zwischen den beiden Konfigurationen erkennen.

Wenn JavaScript aktiviert ist, ist mein Browser leicht auffindbar:

Wenn JavaScript deaktiviert ist, kann mein Browser weiterhin verfolgt werden, aber er wird so einzigartig, dass er nur mit einem von etwa 100.000 Browsern übereinstimmt. Wenn man bedenkt, dass es Milliarden von Internetnutzern gibt, ist es relativ einzigartig, einer von 100.000 zu sein.

Es ist wichtig zu beachten, dass tatsächlich nur sehr wenige Fingerabdruckdaten zum Testen verfügbar sind. Zwar gibt es eine Reihe von Websites wie Am I Unique ( 352.000 Datensätze zu diesem Zeitpunkt ), Panopticlick ( 470.161 Datensätze ) und andere haben sie eine relativ kleine Datenmenge, mit der sie arbeiten können. Außerdem ist es wahrscheinlich, dass die meisten dieser Daten von datenschutzbewussten Nutzern und nicht von der allgemeinen Internetbevölkerung stammen, sodass die Statistiken wahrscheinlich nicht sehr den durchschnittlichen Internetnutzer widerspiegeln.

Die wirkliche Gefahr besteht in der Möglichkeit, dass Websites wie Facebook, mit 1,86 Milliarden monatlichen regelmäßigen Nutzern , stellen riesige Datenbanken mit Browser-Fingerprinting-Daten zusammen. Wenn sehr beliebte Websites wie diese in die Aktion einsteigen, wird das Gespenst des unsichtbaren Internet-Trackings sehr real.

Je eindeutiger Ihr Browser ist, desto einfacher ist die Identifizierung auf allen Websites. In diesem Fall lohnt es sich also nicht wirklich, den Browser zu sperren. Andererseits ist das Surfen im Internet mit einem unsicheren Browser heutzutage eine äußerst riskante Aktivität. Was ist also die beste Lösung?

So verhindern Sie Browser-Fingerprinting

Da es keine praktikable Möglichkeit gibt, denselben Browser sicher für private und öffentliche Internetaktivitäten zu verwenden, besteht der derzeit beste Browser-Fingerprinting-Schutz darin, diese beiden Profile zu trennen. Nutzen Sie ein System bzw. einen Browser für Ihre alltäglichen Aktivitäten und ein separates für Ihre privaten Aktivitäten.

Gehen Sie am besten noch einen Schritt weiter und nutzen Sie ein Anonymitätstool wie z Whonix für Ihre privaten Aktivitäten, um eine noch größere Trennung zwischen Ihrem privaten und öffentlichen Profil zu gewährleisten. Um diese Trennung aufrechtzuerhalten, ist eine gute Betriebssicherheit erforderlich.

OpSec (Betriebssicherheit)

Bei OpSec werden große Mengen verfügbarer Informationen über eine Person gesammelt, die auf den ersten Blick nichts mit einer Person zu tun zu haben scheint, aber analysiert werden kann, um einige sehr spezifische Informationen bereitzustellen. Ein sehr offensichtliches Beispiel ist die Anmeldung bei Ihrem Facebook-Konto unter Verwendung eines Datenschutztools wie Tor. Sobald Sie sich angemeldet haben, haben Sie Ihre Identität bestätigt, ohne dass ein Angreifer Ihren Browser-Fingerabdruck analysieren muss.

Es gibt kein Ende der OpSec-Fehler, die die Korrelation Ihrer öffentlichen und privaten Internetaktivitäten erleichtern können, aber hier sind einige Ansatzpunkte.

1. Ihre privaten Internetaktivitäten sollten niemals die Nutzung einer Website beinhalten, die Sie auch in Ihrem öffentlichen Internetleben nutzen. Eine Kontokorrelation, wie im Beispiel von Facebook, wird Ihre Datenschutzbemühungen durchkreuzen.
2. Das Verfassen von Nachrichten sollte nicht zu Ihren privaten Aktivitäten gehören. Das schützt davor Stilometrische Analyse. Wenn es nicht möglich ist, auf das Verfassen von Nachrichten zu verzichten, sollten Sie versuchen, Ihren Schreibstil deutlich zu ändern.
3. Nutzen Sie für Ihre privaten Aktivitäten ein völlig anderes Computersystem, das dauerhaft mit einem Anonymitätstool wie Tor oder einem vertrauenswürdigen VPN verbunden ist. Dies hilft, dagegen vorzubeugen unbeabsichtigter Datenverlust wie DNS-Anfragen oder WebRTC-Anfragen.
4. Wenn Sie sowohl für Ihre privaten als auch für Ihre öffentlichen Internetaktivitäten ein VPN verwenden, stellen Sie für jede Art von Aktivität eine Verbindung zu einem anderen VPN-Server her. Möglicherweise möchten Sie auch ein VPN mit Tor verwenden. In diesem Fall gibt es einige VPNs, die besser mit Tor funktionieren als andere.
5. Verwenden Sie Benutzernamen, E-Mail-Adressen oder andere Kontoinformationen aus Ihren öffentlichen Aktivitäten nicht für Ihre privaten Aktivitäten wieder. Dies schützt davor, unbeabsichtigt eine Spur von Brotkrümeln zu hinterlassen, wie sie bei der Identifizierung geholfen haben Besitzer der illegalen Seidenstraße Marktplatz.

Eine solche Trennung Ihrer Aktivitäten verhindert zwar nicht, dass Ihre öffentlichen oder privaten Aktivitäten bis zu einem gewissen Grad mit Fingerabdrücken versehen werden, kann dies aber tundie Korrelation zwischen diesen beiden Aktionsgruppen verhindern. Ein Beobachter wird wahrscheinlich erkennen können, dass dieselbe Person die privaten Aktivitäten durchgeführt hat, aber weniger in der Lage sein, diese Person mit Ihrer öffentlichen Identität in Verbindung zu bringen.

Was tun Webbrowser-Betreiber, um Fingerabdrücke zu bekämpfen?

Unternehmen wie Google und Mozilla ist nicht entgangen, dass Browser-Fingerprinting die Privatsphäre der Nutzer verletzt. Daher versprechen Unternehmen wie dieses, Maßnahmen zu ergreifen, um bestimmte Datenerfassungen zu verhindern.

Zum Beispiel, Google schlägt vor dass seine Privacy-Sandbox-Initiative ein „Datenschutzbudget“ beinhalten wird, das die Anzahl der API-Aufrufe, die Websites tätigen können, im Wesentlichen begrenzt. Dies ist jedoch noch nicht der Fall.

Mozilla Firefox ist der Konkurrenz bereits voraus Blockiert Canvas-Fingerprinting-Versuche , beginnend mit Version 58, die bereits 2018 veröffentlicht wurde. Wenn Websites Canvas-Daten extrahieren möchten,sie müssen um Erlaubnis bittenzuerst von den Benutzern.

Allerdings war Firefox nicht der erste Browser, der Canvas-Fingerprinting blockierte, und der Tor-Browser fordert seit 2013 die Benutzererlaubnis für eine solche Datenerfassung an.

Sowohl Tor als auch Firefox verwenden außerdem ausgewählte Anti-Fingerprinting-Techniken wie „Letterboxing“. Wenn Sie das Fenster Ihres Webbrowsers maximieren, kann die von Ihnen besuchte Website Ihre Monitorabmessungen als Erkennungsmerkmal verwenden. Letterboxing maskiert im Wesentlichen Vergleichen Sie die tatsächlichen Abmessungen Ihres Monitors mit generischen Größen, sodass diese Information nicht mehr als Identifikationsfaktor nützlich ist.

Browser-Fingerprinting und die DSGVO

Die DSGVO erwähnt Browser-Fingerprinting nie explizit, dies ist jedoch beabsichtigt; Die Gesetzgeber haben aus früheren Erfahrungen gelernt, Regeln technologieneutral zu halten. In der ePrivacy-Verordnung werden Geräte-Fingerabdrücke hingegen ausdrücklich erwähnt.

Stattdessen definiert die DSGVO personenbezogene Daten einfach als alle Informationen, die mit einer identifizierbaren Person verknüpft werden könnten. Dazu gehören Identifikatoren wie Cookies, IP-Adressen, Werbe-IDs und, ja, Fingerabdrücke. Der Electronic Frontier Foundation erklärt DasIdentifizierung bedeutet nicht unbedingt, die Identität eines Benutzers herauszufinden:

„Es reicht aus, dass ein Unternehmen, das Daten verarbeitet, einen Benutzer indirekt anhand pseudonymer Daten identifizieren kann, um auf der Grundlage dieser Identifizierung bestimmte Aktionen durchzuführen (z. B. um verschiedenen Benutzern basierend auf ihren Profilen unterschiedliche Anzeigen zu präsentieren). Dies bezeichnen die EU-Behörden als Aussonderung, Verknüpfbarkeit oder Folgerung.“

Die DSGVO besagt, dass jedes Unternehmen, das personenbezogene Daten verarbeitet, nachweisen muss, dass es einen legitimen Grund dafür hat. Darüber hinaus verlangt die 2019 in Kraft getretene ePrivacy-Verordnung, dass Websites und Apps die Einwilligung der Nutzer einholen, bevor sie sie verfolgen. Darüber hinaus müssen Unternehmen, die Fingerabdrücke verwenden, den Benutzern ermöglichen, zu sehen, welche Informationen sie sammeln und welchen Umfang, Zweck und welche Rechtsgrundlage sie haben.

1. „Browsermessungen von AmIUnique-Fingerabdrücken anhand eines Beispiels“. Pierre Laperdrix, Walter Rudametkin, Benoit Baudry. Die Schöne und das Biest: Moderne Webbrowser umleiten, um einzigartige Browser-Fingerabdrücke zu erstellen. 37. IEEE-Symposium zu Sicherheit und Datenschutz (S&P 2016), Mai 2016, San Jose, USA.