Fingerprinting ist eine Methode, Geräte oder Browser anhand einer Kombination technischer Merkmale wiederzuerkennen, ohne Cookies zu setzen. Ausgewertet werden Eigenschaften wie Bildschirmauflösung, installierte Schriften, Browserversion und Systemeinstellungen, die zusammen einen individuellen Fingerabdruck ergeben. Fingerprinting ist datenschutzrechtlich sensibel und in vielen Fällen einwilligungspflichtig.
Wie funktioniert Fingerprinting?
Beim Fingerprinting werden zahlreiche technische Merkmale eines Geräts und Browsers abgefragt: Betriebssystem, Browserversion, Bildschirmauflösung, Zeitzone, Spracheinstellungen, installierte Schriften und weitere Eigenschaften. Einzeln sind diese Merkmale wenig aussagekräftig, in Kombination ergeben sie jedoch eine oft eindeutige Signatur.
Diese Signatur, der Fingerabdruck, erlaubt es, einen Besucher über verschiedene Seitenaufrufe hinweg wiederzuerkennen, auch ohne dass ein Cookie gesetzt wird. Da die Merkmale ohnehin an den Server übertragen oder per Skript ausgelesen werden, funktioniert Fingerprinting auch dann, wenn der Nutzer Cookies löscht oder blockiert.
Genau diese Eigenschaft macht Fingerprinting einerseits für Zwecke wie Betrugserkennung nützlich und andererseits datenschutzrechtlich problematisch, weil die Wiedererkennung ohne Wissen und Zutun des Nutzers erfolgen kann. Die Aussagekraft eines Fingerabdrucks steigt mit der Zahl der ausgelesenen Merkmale, weshalb manche Verfahren sehr viele Eigenschaften kombinieren, um eine möglichst eindeutige Signatur zu erzeugen.
Warum ist Fingerprinting relevant?
Mit dem Rückgang der Third-Party-Cookies suchen Werbe- und Analysedienste nach alternativen Wiedererkennungsmethoden, und Fingerprinting ist eine davon. Für Website-Betreiber ist es wichtig zu verstehen, ob eingesetzte Tools solche Techniken nutzen, weil daran datenschutzrechtliche Pflichten hängen.
Browserhersteller wirken Fingerprinting zunehmend entgegen, indem sie ausgelesene Merkmale vereinheitlichen oder den Zugriff einschränken. Datenschutzbehörden bewerten Fingerprinting kritisch und ordnen es in vielen Fällen als zustimmungspflichtig ein. Für Kanzleien und Unternehmen ist deshalb entscheidend, den Einsatz solcher Techniken bei ihren Dienstleistern zu hinterfragen, um Risiken zu vermeiden.
Fingerprinting in der Praxis
In der Praxis begegnet Fingerprinting Website-Betreibern oft indirekt, weil eingebundene Analyse-, Werbe- oder Sicherheitsdienste solche Techniken nutzen. Ein Cookie-Audit und die Prüfung der eingesetzten Skripte helfen aufzudecken, wo eine geräteübergreifende Wiedererkennung stattfindet.
Rechtlich gilt: Der Zugriff auf Informationen im Endgerät des Nutzers ist in vielen Fällen einwilligungspflichtig, unabhängig davon, ob dafür ein Cookie oder ein Fingerprint verwendet wird. Fingerprinting ist damit kein Weg, die Einwilligungspflicht zu umgehen. Der Einsatz sollte transparent gemacht, in der Datenschutzerklärung berücksichtigt und im Zweifel rechtlich geprüft werden.