AliExpress setzt offenbar eine bislang weitgehend unbekannte Tracking-Methode ein, die ohne Cookies auskommt und f\u00fcr den Nutzer v\u00f6llig unsichtbar bleibt. \u00dcber die Web Audio API des Browsers werden im Hintergrund unh\u00f6rbare Audiosignale erzeugt, deren winzige Verarbeitungsunterschiede auf verschiedenen Ger\u00e4ten einen eindeutigen digitalen Fingerabdruck des Nutzers erzeugen. Die Technik wurde durch einen Zufall entdeckt, als ein Entwickler St\u00f6rungen bei seinen Bluetooth-Kopfh\u00f6rern bemerkte, solange ein Tab mit dem Onlineshop ge\u00f6ffnet war.<\/p>\n
Die Web Audio API ist eine standardisierte Browser-Schnittstelle zur Verarbeitung und Erzeugung von Audiomaterial. AliExpress nutzt diese API, um auf der Webseite sogenannte Audio-Processing-Graphen aufzubauen \u2013 eine Kette von Audio-Verarbeitungsschritten. Dabei wird ein identisches, f\u00fcr den Menschen unh\u00f6rbares Signal auf jedem Endger\u00e4t erzeugt. Entscheidend ist nun, dass dieses Signal von jedem Ger\u00e4t anders verarbeitet wird, abh\u00e4ngig vom Zusammenspiel von Prozessor, Soundchip, Treibern, Betriebssystem und der spezifischen Browser-Implementierung. Diese hardware- und softwarebedingten Abweichungen im verarbeiteten Signal ergeben einen nahezu einzigartigen digitalen Fingerabdruck, der ein Ger\u00e4t und damit den Nutzer \u00fcber l\u00e4ngere Zeitr\u00e4ume wiedererkennbar macht \u2013 ohne dass allein daf\u00fcr ein Cookie gesetzt werden muss.<\/p>\n
Die Lautst\u00e4rke des erzeugten Signals wird bei diesem Vorgang auf null gesetzt, sodass der gesamte Prozess f\u00fcr den Nutzer akustisch nicht wahrnehmbar ist. Es entsteht kein h\u00f6rbarer Ton, keine St\u00f6rger\u00e4usche. Der Trackvorgang l\u00e4uft vollst\u00e4ndig im Hintergrund ab, ohne dass der Besucher der Seite davon etwas mitbekommt.<\/p>\n
Aufgeflogen ist die Praxis durch einen Entwickler, der Probleme mit seinen Multipoint-Bluetooth-Kopfh\u00f6rern hatte. Die Kopfh\u00f6rer wechselten nicht mehr korrekt zwischen Computer und Smartphone, solange in einem Browser-Tab die AliExpress-Seite ge\u00f6ffnet war. Sobald der Tab geschlossen wurde, verschwand das Fehlverhalten der Kopfh\u00f6rer. Dies veranlasste den Entwickler zu einer Analyse des Quellcodes der Webseite, bei der er auf die entsprechenden Skripte stie\u00df, die \u00fcber die Web Audio API die Audio-Processing-Graphen aufbauen und die Messung der Signaldifferenzen durchf\u00fchren. Die von ihm dokumentierten Erkenntnisse wurden medial aufgegriffen und best\u00e4tigt.<\/p>\n
Die Audiomessung ist nur ein Baustein in der umfassenden Datensammlung von AliExpress. Die Webseite erfasst zus\u00e4tzlich eine Reihe weiterer Informationen, die zusammen ein detailliertes und nahezu eindeutiges Ger\u00e4teprofil ergeben. Dazu geh\u00f6ren:<\/p>\n
Aus der Kombination all dieser Datenpunkte l\u00e4sst sich ein hochgradig individualisierter digitaler Fingerabdruck erstellen, der eine Wiedererkennung des Nutzers \u00fcber verschiedene Sitzungen hinweg erm\u00f6glicht, auch wenn Browser-Cookies gel\u00f6scht oder abgelehnt werden.<\/p>\n
Verdeckte Tracking-Methoden wie das Audio-Fingerprinting oder Canvas-Fingerprinting sind kein neues Ph\u00e4nomen, gewinnen aber zunehmend an Bedeutung. W\u00e4hrend sie von Webseitenbetreibern h\u00e4ufig mit der Betrugserkennung oder der Verbesserung der Benutzererfahrung gerechtfertigt werden, stehen sie aus datenschutzrechtlicher Sicht massiv in der Kritik. Die Methoden agieren im Verborgenen und unterlaufen die Kontrollmechanismen der Nutzer, die sich gegen herk\u00f6mmliches Cookie-Tracking sch\u00fctzen wollen.<\/p>\n
Der Fall reiht sich ein in eine Serie von Vorf\u00e4llen, bei denen technische Prozesse oder Hardwarekomponenten f\u00fcr nicht deklarierte Zwecke missbraucht werden. So zeigen Analysen von Datenschutzorganisationen, dass viele Werbe-SDKs in Smartphone-Apps standardm\u00e4\u00dfig Standortdaten an Werbenetzwerke weiterleiten, ohne dass Entwickler oder Nutzer dies wirksam unterbinden k\u00f6nnen. Ein weiteres Beispiel sind chinesische Kamerakomponenten in Seedrohnen der britischen Royal Navy, die selbst kleinste Statussignale in regelm\u00e4\u00dfigen Abst\u00e4nden nach China funkten \u2013 ein Fall, bei dem selbst minimale Datenpakete ein Sicherheitsrisiko darstellten.<\/p>\n
F\u00fcr Nutzer bedeutet der Einsatz von Audio-Fingerprinting, dass die herk\u00f6mmlichen Methoden zur Vermeidung von Online-Tracking wie das Blockieren von Drittanbieter-Cookies oder das regelm\u00e4\u00dfige L\u00f6schen des Browser-Verlaufs nicht mehr ausreichen. Diese Techniken erkennen den Browser beziehungsweise das Ger\u00e4t \u00fcber seine individuelle Konfiguration wieder, die sich nicht ohne Weiteres \u00e4ndern l\u00e4sst.<\/p>\n
Browser-Hersteller arbeiten bereits an Gegenma\u00dfnahmen. Dazu geh\u00f6ren unter anderem die Einschr\u00e4nkung der Genauigkeit von API-Abfragen, das Hinzuf\u00fcgen von Rauschen zu den Messergebnissen oder das vollst\u00e4ndige Blockieren bestimmter Funktionen. Privacy-orientierte Browser wie Firefox oder Brave haben in ihren erweiterten Schutzmodi Mechanismen integriert, die Fingerprinting-Versuche aktiv blockieren oder erschweren. Experten raten zur Nutzung solcher Browser und zur Aktivierung entsprechender Schutzfunktionen, um sich vor dieser Form der unbemerkten Identifikation zu sch\u00fctzen.<\/p>\n
Die Europ\u00e4ische Datenschutz-Grundverordnung (DSGVO) stellt hohe Anforderungen an die Einwilligung der Nutzer zur Datenverarbeitung. Ein Tracking, das ohne Wissen und explizite Zustimmung der betroffenen Person erfolgt, d\u00fcrfte gegen die Prinzipien der DSGVO versto\u00dfen. Es bleibt abzuwarten, ob der beschriebene Vorfall von den zust\u00e4ndigen Datenschutzbeh\u00f6rden aufgegriffen wird und welche rechtlichen Konsequenzen ein solches Vorgehen f\u00fcr den Betreiber haben kann. F\u00fcr den Nutzer selbst ist es ein weiteres Beispiel daf\u00fcr, wie tief die Datenerfassung im modernen Internet reicht und wie wichtig es ist, sich der eigenen digitalen Spur bewusst zu sein.<\/p>\n","protected":false},"excerpt":{"rendered":"
AliExpress setzt offenbar eine bislang weitgehend unbekannte Tracking-Methode ein, die ohne Cookies auskommt und f\u00fcr den Nutzer v\u00f6llig unsichtbar bleibt. \u00dcber die Web Audio API des Browsers werden im Hintergrund unh\u00f6rbare Audiosignale erzeugt, deren winzige Verarbeitungsunterschiede auf verschiedenen Ger\u00e4ten einen eindeutigen digitalen Fingerabdruck des Nutzers erzeugen. Die Technik wurde durch einen Zufall entdeckt, als ein […]<\/p>\n","protected":false},"author":5,"featured_media":53730,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/49795.png","fifu_image_alt":"AliExpress trackt Nutzer mit unh\u00f6rbaren Audio-Fingerabdr\u00fccken","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-49795","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/49795.png","fifu_image_alt":"AliExpress trackt Nutzer mit unh\u00f6rbaren Audio-Fingerabdr\u00fccken","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49795","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=49795"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49795\/revisions"}],"predecessor-version":[{"id":49797,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49795\/revisions\/49797"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53730"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=49795"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=49795"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=49795"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}