Canvas-Fingerprinting: Wie dein Browser über das Zeichnen verraten wird

Canvas-Fingerprinting erkennt deinen Browser wieder, ohne irgendetwas auf deinem Gerät zu speichern. Es lässt deinen Browser eine kleine, meist unsichtbare Grafik zeichnen und wertet die winzigen Unterschiede aus, die dabei je nach Hardware, Treiber und Software-Version entstehen. Das Verfahren übersteht damit jedes Cookie-Löschen und jeden privaten Modus, weil es nicht auf gespeicherten Daten beruht, sondern auf den unveränderlichen Eigenschaften deines Geräts.

Die Technik ist seit Anfang der 2010er Jahre dokumentiert und gehört zu den am besten untersuchten Fingerprinting-Methoden. Sie nutzt das HTML5-Canvas-Element, das eigentlich dafür gedacht ist, dass Webseiten Grafiken und Diagramme zeichnen können. Genau diese harmlose Fähigkeit wird zur Wiedererkennung zweckentfremdet, ohne dass eine besondere Berechtigung nötig wäre oder im Cookie-Banner ein Hinweis darauf erscheint.

Wofür das Canvas-Element eigentlich da ist

Das Canvas ist eine Zeichenfläche im Browser. Web-Anwendungen nutzen es, um Diagramme darzustellen, Bilder zu bearbeiten oder Spiele zu rendern. Eine Seite kann dem Browser eine Anweisung geben wie „zeichne diesen Text in dieser Schrift an diese Stelle“, und der Browser setzt das in tatsächliche Bildpunkte um.

Dieser letzte Schritt, das Umsetzen der Anweisung in konkrete Pixel, hängt von vielen Faktoren ab: dem Betriebssystem, der installierten Schrift-Bibliothek, der Grafikkarte und ihren Treibern sowie der Art, wie Kanten geglättet werden. Dieselbe Anweisung führt deshalb auf unterschiedlichen Geräten zu leicht unterschiedlichen Ergebnissen.

Wie aus dem Zeichnen ein Fingerabdruck wird

Beim Fingerprinting weist die Seite den Browser an, im Hintergrund einen bestimmten Text mit bestimmten Effekten in ein unsichtbares Canvas zu zeichnen. Anschließend liest sie das fertige Bild Pixel für Pixel aus und berechnet daraus einen kurzen Prüfwert, einen sogenannten Hash. Dieser Hash fällt bei zwei identisch konfigurierten Geräten gleich aus und bei abweichenden Geräten verschieden.

Der Wert allein identifiziert dich nicht eindeutig, denn viele Geräte mit gleicher Hardware und Software liefern denselben Hash. In Kombination mit anderen Merkmalen wie Schriftliste, Auflösung und Zeitzone wird die Gesamtsignatur jedoch deutlich seltener. Canvas-Fingerprinting ist deshalb selten ein Einzelverfahren, sondern ein Baustein im größeren Fingerprint. Der Vorteil aus Sicht der Tracking-Branche liegt darin, dass der Wert über einen Besuch hinweg stabil bleibt und sich erst bei einem Hardware- oder Software-Wechsel ändert, was ihn zu einem verlässlichen Anker macht.

Warum die Methode so schwer zu blockieren ist

Das Canvas-Element ist eine Standardfunktion, die viele legitime Web-Anwendungen brauchen. Wer es komplett abschaltet, beschädigt Karten, Diagramme und Bildbearbeitung im Browser. Ein pauschales Blockieren ist deshalb keine praktikable Lösung für den Alltag.

Hinzu kommt ein zweites Problem. Manche Schutz-Add-ons fügen dem Canvas zufälliges Rauschen hinzu, damit der Hash bei jedem Aufruf anders ausfällt. Das klingt sinnvoll, kann aber nach hinten losgehen: Ein Browser, der ein erkennbar verfälschtes Canvas liefert, hebt sich von der Masse ab und wird dadurch unter Umständen wieder eindeutiger.

Warum gerade das Canvas so ergiebig ist

Das Canvas vereint mehrere unterscheidbare Faktoren in einem einzigen Wert. In das fertige Bild fließen Betriebssystem, Schrift-Bibliothek, Grafikkarte und Browser-Version gleichzeitig ein. Statt jedes Merkmal einzeln abzufragen, erhält die Seite mit einem Canvas-Hash ein verdichtetes Ergebnis, das viele dieser Faktoren auf einmal widerspiegelt.

Hinzu kommt, dass das Verfahren leise und schnell ist. Das Zeichnen und Auslesen dauert nur Sekundenbruchteile und benötigt keine Berechtigung und keine sichtbare Anzeige. Für die Tracking-Branche ist das attraktiv, weil es ohne Nutzerinteraktion funktioniert und auf praktisch jedem Gerät verfügbar ist, das eine moderne Webseite darstellen kann.

Wie du Canvas-Fingerprinting im Browser erkennst

Mit den Entwicklerwerkzeugen lässt sich erahnen, ob eine Seite Canvas-Auslesungen vornimmt. Im Reiter für die Quellen oder das Netzwerk siehst du eingebundene Skripte von Drittanbietern, die häufig die Verfahren enthalten. Eindeutiger ist eine spezialisierte Browser-Erweiterung, die meldet, wenn eine Seite Canvas-Daten ausliest.

Für den Alltag ist diese Detektivarbeit allerdings nicht nötig. Sinnvoller ist der umgekehrte Weg: Du gehst davon aus, dass Canvas-Fingerprinting weit verbreitet ist, und richtest deinen Browser von vornherein so ein, dass er deine Merkmale nicht ungeschützt preisgibt. Das spart Zeit und schützt zuverlässiger als das Prüfen einzelner Seiten.

Was tatsächlich gegen Canvas-Fingerprinting hilft

Den verlässlichsten Schutz bietet der Tor Browser. Er normalisiert das Canvas so, dass viele Nutzer denselben Wert liefern, und fragt bei kritischen Auslesungen nach. Das Ziel ist nicht, einzigartig zu sein, sondern in einer großen, gleich aussehenden Gruppe zu verschwinden, denn ein seltener Wert verrät dich, ein häufiger schützt dich.

Auch Firefox bietet in den Einstellungen einen Schutz gegen Fingerprinting, der Canvas-Auslesungen einschränkt. Wer ihn aktiviert, sollte testen, ob alle benötigten Seiten weiter funktionieren, da der Schutz in seltenen Fällen legitime Grafik-Funktionen beeinträchtigt. Diese Maßnahmen ordnen sich in das größere Bild ein, das der Beitrag Tracking-Atlas zeichnet, und ergänzen die übrigen Methoden aus dem Methoden-Überblick.

Wie eindeutig dein eigener Browser ist, und ob dein Canvas-Wert auffällt, prüfst du am schnellsten mit dem Fingerprint-Test.

Warum dieselbe Anweisung verschiedene Bilder ergibt

Der Kern des Verfahrens lässt sich an einem Beispiel verstehen. Der Browser bekommt die Anweisung, das Wort „Privacy“ in einer bestimmten Schrift zu zeichnen und dabei die Kanten weichzuzeichnen. Wie die Buchstabenränder genau aussehen, hängt davon ab, welche Version der Schrift installiert ist, wie das Betriebssystem die Glättung berechnet und wie die Grafikkarte die einzelnen Bildpunkte setzt. Schon dieser eine Schritt fällt auf zwei verschiedenen Geräten messbar unterschiedlich aus.

Diese Faktoren unterscheiden sich von Gerät zu Gerät. Ein Rechner mit einer bestimmten Grafikkarte und einem bestimmten Betriebssystem zeichnet die Kanten minimal anders als ein anderer. Für das menschliche Auge sind diese Unterschiede unsichtbar, für den Pixel-Vergleich der Tracking-Seite sind sie eindeutig messbar. Genau aus dieser unsichtbaren Abweichung entsteht der Erkennungswert.

Was Canvas-Fingerprinting nicht kann

Bei aller Wirksamkeit hat das Verfahren Grenzen, die du kennen solltest, um es nüchtern einzuschätzen. Der Canvas-Hash identifiziert eine Geräte- und Software-Konfiguration, nicht eine Person. Mehrere Geräte mit identischer Ausstattung liefern denselben Wert und sind über das Canvas allein nicht unterscheidbar. Auch wechselt der Wert, sobald du Betriebssystem, Browser oder Treiber aktualisierst.

Daraus folgt, dass Canvas-Fingerprinting selten als alleiniges Verfahren genügt. Es ist ein stabiler, aber nicht eindeutiger Baustein, der mit anderen Merkmalen kombiniert werden muss. Für deinen Schutz ist das eine gute Nachricht: Wenn du die Eindeutigkeit deiner übrigen Merkmale senkst, verliert auch der Canvas-Wert an Aussagekraft, weil er nicht mehr zu einer seltenen Gesamtsignatur beiträgt.

Wie verbreitet Canvas-Fingerprinting ist

Untersuchungen großer Webseiten-Stichproben haben in den vergangenen Jahren wiederholt gezeigt, dass Canvas-Auslesungen auf vielen populären Seiten vorkommen, oft eingebettet über Drittanbieter-Skripte. Die genaue Verbreitung schwankt je nach Studie und Zeitpunkt, der Befund ist aber stabil: Es handelt sich nicht um ein Randphänomen, sondern um eine etablierte Technik im Werkzeugkasten der Tracking-Branche.

Für dich bedeutet das, dass die Wahrscheinlichkeit hoch ist, im Alltag auf Seiten zu treffen, die deinen Canvas auslesen. Du wirst es nicht bemerken, weil der Vorgang unsichtbar im Hintergrund abläuft. Genau das macht ein bewusstes Schutz-Setup sinnvoll, statt sich auf das Gefühl zu verlassen, ohnehin nichts Verdächtiges zu tun.

Canvas-Schutz im Alltag testen

Ob dein Schutz wirkt, lässt sich überprüfen. Spezialisierte Test-Seiten zeigen dir den aktuellen Canvas-Wert deines Browsers und ordnen ein, wie häufig oder selten er ist. Mit aktiviertem Fingerprinting-Schutz sollte der Wert entweder gar nicht auslesbar sein oder einem von vielen geteilten Standardwert entsprechen.

Wiederhole diesen Test nach jeder größeren Änderung an deinem Setup, etwa nach einem Browser-Wechsel oder dem Aktivieren neuer Schutzfunktionen. So erkennst du, ob eine Maßnahme tatsächlich hilft oder ob eine ungewollte Kombination deinen Browser sogar auffälliger gemacht hat. Der Test ersetzt keine dauerhafte Strategie, liefert aber eine schnelle Rückmeldung.

Die Kernregel

Versuche nicht, Canvas-Fingerprinting durch eine Sammlung kleiner Add-ons auszutricksen, sondern setze auf einen Browser, der deine Merkmale mit denen vieler anderer vereinheitlicht. Teste anschließend deinen Fingerprint und bewerte das Ergebnis im Verhältnis zu deinem Schutzbedürfnis, statt blind weitere Werkzeuge zu stapeln, die einander im Zweifel sogar widersprechen.