Was ist Fingerprinting?
Dein Browser verrät bei jedem Seitenaufruf eine Menge über sich: Betriebssystem, Bildschirmgröße, Sprache, Zeitzone, installierte Schriften, wie er eine Grafik zeichnet. Jedes Merkmal für sich ist harmlos. Zusammen ergeben sie oft eine Kombination, die nur auf dein Gerät passt. Das ist Fingerprinting.
Die Datenschutzkonferenz, das Gremium der deutschen Datenschutzbehörden, beschreibt es als serverseitige Bildung eines möglichst eindeutigen und langlebigen Werts aus Browser-Informationen. Der entscheidende Unterschied zum Cookie: Auf deinem Gerät wird nichts gespeichert. Der Fingerabdruck wird bei jedem Besuch neu berechnet. Deshalb hilft Cookies löschen nicht.
- Einfache Merkmale: Browser und Version, Betriebssystem, Sprache, Zeitzone, Bildschirmauflösung.
- Schriften: Welche Fonts installiert sind, unterscheidet Geräte erstaunlich stark.
- Canvas und WebGL: Der Browser zeichnet unsichtbar eine Grafik. Grafikkarte und Treiber hinterlassen winzige, typische Abweichungen.
- Hardware: Zahl der Prozessorkerne, Touch-Punkte, Audio-Verarbeitung.
Wie eindeutig ist ein Fingerabdruck?
Das hängt stark davon ab, wer misst und wie. Vier große Studien kommen zu sehr unterschiedlichen Ergebnissen:
Studie
Anteil eindeutig
EFF 2010, 470.161 Browser
83,6 %
AmIUnique 2016, rund 118.000
89,4 %
Gómez-Boix 2018, über 2 Mio.
33,6 %
Andriamilanto 2021, über 4 Mio.
81 %
Warum die Spanne? Die ersten beiden Studien sammelten Daten auf Testseiten, die vor allem datenschutzbewusste Technik-Fans besuchten. Gómez-Boix maß auf einer großen französischen Nachrichtenseite mit normalem Publikum. Andriamilanto nahm dieselbe Art Website, aber 216 statt 17 Merkmale und kam wieder auf 81 %. Mehr Merkmale, mehr Eindeutigkeit.
Fingerabdrücke ändern sich, etwa nach einem Browser-Update. In der EFF-Studie zeigten 37,4 % der wiederkehrenden Besucher mindestens eine Änderung. Eine einfache Rechenregel ordnete den neuen Fingerabdruck trotzdem in 99,1 % der Fälle dem alten zu.
Was rechtlich gilt
Viele glauben: Ohne Cookie kein Cookie-Banner. Das stimmt nicht. § 25 TDDDG regelt nicht Cookies, sondern das Speichern auf dem Endgerät und den Zugriff auf dort vorhandene Informationen. Beides braucht eine Einwilligung, außer es ist unbedingt erforderlich für einen Dienst, den der Nutzer ausdrücklich wünscht.
Die Datenschutzkonferenz stellt in ihrer Orientierungshilfe vom November 2024 klar: Liest ein Skript Eigenschaften des Geräts aktiv aus und schickt sie für einen Fingerabdruck an einen Server, ist das ein Zugriff. § 25 gilt dabei unabhängig davon, ob die Daten personenbezogen sind. Für die Weiterverarbeitung kommt zusätzlich die DSGVO dazu. Der Europäische Datenschutzausschuss sieht es in seinen Leitlinien 2/2023 genauso und hält sogar mitgesendete Angaben wie den User-Agent für erfasst, wenn sie in einen Fingerabdruck fließen. Ob rein passiv übertragene Daten darunterfallen, ist unter Juristen umstritten.
Wie Browser dagegenhalten
Die Browser-Hersteller rüsten auf. Safari 26 hindert seit September 2025 bekannte Fingerprinting-Skripte daran, Bildschirmmaße, Prozessorkerne, Audio und Canvas zuverlässig auszulesen. Firefox 145 blockiert seit November 2025 unter anderem das Auslesen installierter Schriften. Laut Mozilla halbiert das fast den Anteil eindeutig erkennbarer Nutzer, gilt aber zunächst nur im privaten Modus und im strengen Tracking-Schutz. Brave verändert Canvas- und Audio-Werte seit 2020 leicht pro Website, sodass der Fingerabdruck nicht mehr stabil ist.
Häufige Fehler
Fehler 1 · „Ohne Cookies brauche ich keine Einwilligung“
§ 25 TDDDG ist technikneutral. Aktives Auslesen von Geräteeigenschaften ist ein Zugriff, ganz gleich, ob dabei ein Cookie entsteht.
Fehler 2 · „Google erlaubt es, also ist es legal“
Was eine Werbeplattform zulässt, und was das Gesetz erlaubt, sind zwei Paar Schuhe. In der EU bleibt die Einwilligung Pflicht.
Fehler 3 · „Der Fingerabdruck ist gehasht, also anonym“
Ein Hash ist nur eine verschlüsselte Schreibweise derselben Kennung. § 25 greift laut Datenschutzkonferenz ohnehin, auch ohne Personenbezug. Und ein eindeutiger, langlebiger Wert, der ein Gerät wiedererkennt, ist genau das, was Datenschutz verhindern will.
Fehler 4 · Tools nicht prüfen
Manches Analyse-, Chat- oder Betrugsschutz-Skript erstellt Fingerabdrücke, ohne dass es groß auf der Verpackung steht. Frag deine Anbieter, lies die Doku und trag die Tools korrekt in deine Consent-Management-Plattform ein.
Was du tun solltest
- Inventur machen: Welche Skripte auf deiner Website lesen Geräteeigenschaften aus? Auch Werbe-Pixel und Betrugsschutz prüfen.
- Einwilligung einholen: Fingerprinting für Marketing und Analyse gehört hinter das Consent-Banner, wie jedes Tracking.
- Betrugsschutz einzeln prüfen: Ob er als unbedingt erforderlich gilt, hat keine Behörde pauschal entschieden. Dokumentiere deine Abwägung.
- Datenschutzerklärung ergänzen: Nenne die Technik beim Namen.
- Selbst testen: Mit Cover Your Tracks der EFF oder AmIUnique siehst du, wie eindeutig dein eigener Browser ist.
Häufige Fragen
Brauche ich für Fingerprinting eine Einwilligung?
In der Regel ja. Nach § 25 TDDDG braucht jeder Zugriff auf Informationen im Endgerät eine Einwilligung, wenn er nicht unbedingt erforderlich für einen ausdrücklich gewünschten Dienst ist. Die Datenschutzkonferenz wertet aktives Auslesen von Geräteeigenschaften für einen Fingerabdruck als solchen Zugriff.
Ist Fingerprinting erlaubt, seit Google es zulässt?
Googles Richtlinie für Werbeplattformen verbietet Fingerprinting seit dem 16. Februar 2025 nicht mehr. Das ist aber nur eine Vertragsregel zwischen Google und Werbetreibenden. Am Recht in der EU und in Großbritannien ändert sie nichts, wie die britische Datenschutzbehörde ICO betont.
Was ist der Unterschied zwischen Fingerprinting und Cookies?
Ein Cookie ist eine kleine Datei, die auf deinem Gerät gespeichert wird und die du löschen kannst. Ein Fingerabdruck wird bei jedem Besuch aus Merkmalen deines Browsers neu berechnet. Es gibt nichts zu löschen, deshalb ist Fingerprinting schwerer zu kontrollieren.
Wie eindeutig ist mein Browser?
Je nach Studie waren zwischen 33,6 % und 89,4 % der untersuchten Browser eindeutig. Wie es bei dir aussieht, zeigen kostenlose Testseiten wie Cover Your Tracks der EFF oder AmIUnique der Universität Lille.
Wie kann ich mich gegen Fingerprinting schützen?
Safari blockiert seit Version 26 viele bekannte Fingerprinting-Skripte. Firefox schützt im privaten Modus und mit strengem Tracking-Schutz, Brave verändert Fingerprint-Merkmale pro Website. Ein gewöhnlicher, aktueller Browser ohne exotische Erweiterungen fällt außerdem weniger auf.
Quellen
- Datenschutzkonferenz: Orientierungshilfe Digitale Dienste (2024)
- § 25 TDDDG (gesetze-im-internet.de)
- EDSA: Leitlinien 2/2023 zu Art. 5 Abs. 3 ePrivacy-Richtlinie
- EFF: How Unique Is Your Web Browser? (Eckersley 2010)
- arXiv: Assessing Web Fingerprinting Risk (2024)
- Google: Änderung der Richtlinien für Werbeplattformen (2025)
- ICO: Response to Google's policy change on fingerprinting
- WebKit: Neuerungen in Safari 26.0
