WebGL-Fingerprinting: Was deine Grafikkarte über dich preisgibt

WebGL erlaubt Webseiten, deine Grafikkarte direkt anzusprechen, um 3D-Inhalte flüssig darzustellen. Genau dieser direkte Draht zur Hardware macht WebGL zu einer ergiebigen Quelle für Fingerprinting. Eine Seite kann darüber den Namen deines Grafikchips und den Treiber erfragen sowie das Renderverhalten messen, ohne dass du etwas davon mitbekommst. Was eigentlich Spiele und Karten im Browser flüssig macht, wird so zum Wiedererkennungsmerkmal, das jeden privaten Modus und jedes Cookie-Löschen unbeschadet übersteht.

Das Verfahren ähnelt dem Canvas-Fingerprinting, greift aber tiefer. Während das Canvas zweidimensionale Zeichnungen auswertet, nutzt WebGL die dreidimensionale Grafikpipeline. Die zusätzliche Komplexität liefert mehr unterscheidbare Merkmale und damit einen potenziell schärferen Fingerabdruck. Hinzu kommt, dass WebGL anders als das Canvas auch direkte Hardware-Bezeichnungen ausliest, statt nur das Renderergebnis zu vergleichen, was die Aussagekraft zusätzlich erhöht.

Für dich als Nutzer ist das relevant, weil ein Schutz, der nur Cookies oder nur das Canvas im Blick hat, diese Lücke offenlässt. WebGL läuft still im Hintergrund, braucht keine sichtbare 3D-Darstellung und keine Zustimmung im Cookie-Banner. Wer seine Trackbarkeit ernsthaft senken will, muss dieses Verfahren deshalb kennen und gezielt begrenzen.

Wofür WebGL eigentlich gedacht ist

WebGL ist eine Schnittstelle, über die Webseiten 3D-Grafik im Browser darstellen, ohne ein zusätzliches Programm zu installieren. Onlinespiele, Kartendienste mit Geländeansicht und Produktkonfiguratoren mit drehbaren 3D-Modellen verlassen sich darauf. Damit das ruckelfrei läuft, spricht WebGL deine Grafikeinheit möglichst direkt an.

Für diese Aufgabe muss WebGL technische Eigenschaften der Hardware kennen. Über eine spezielle Abfrage kann eine Seite den Hersteller und das Modell des Grafikchips sowie Eckdaten des Treibers auslesen. Diese Information ist nötig, damit Anwendungen sich an unterschiedliche Hardware anpassen, eignet sich aber ebenso zur Unterscheidung von Geräten.

Wie aus Grafik-Daten ein Fingerabdruck wird

Beim WebGL-Fingerprinting werden zwei Quellen kombiniert. Erstens die ausgelesenen Hardware-Angaben wie Grafikchip und Treiber. Zweitens das tatsächliche Renderergebnis: Die Seite lässt eine 3D-Szene berechnen und wertet die winzigen Abweichungen aus, die je nach Chip, Treiber und Berechnungsweise entstehen. Aus beidem entsteht ein Prüfwert.

Dieser Wert ist oft trennschärfer als ein Canvas-Hash, weil die 3D-Pipeline mehr Variablen enthält. Trotzdem gilt auch hier: Allein identifiziert er dich selten eindeutig, sondern entfaltet seine Wirkung erst im Zusammenspiel mit anderen Merkmalen. Das größere Zusammenspiel beschreibt der Beitrag Tracking-Atlas.

Warum WebGL schwer abzuschalten ist

WebGL komplett zu deaktivieren ist möglich, hat aber Folgen. Kartendienste, 3D-Konfiguratoren und manche Web-Anwendungen funktionieren dann nicht mehr oder nur eingeschränkt. Für viele Nutzer ist das ein zu großer Komfortverlust, weshalb pauschales Abschalten selten die richtige Antwort ist.

Hinzu kommt: Ein Browser mit deaktiviertem WebGL ist selbst ein auffälliges Merkmal, weil die Mehrheit WebGL aktiviert hat. Auch hier kann eine ungewöhnliche Konfiguration die Eindeutigkeit erhöhen statt sie zu senken. Der Schutz muss deshalb subtiler ansetzen als beim einfachen Ausschalten.

Wie das Renderergebnis zum Merkmal wird

Beim WebGL-Fingerprinting reicht es nicht, nur den Namen des Grafikchips abzufragen. Trennschärfer ist das tatsächliche Renderergebnis. Die Seite lässt eine kleine 3D-Szene berechnen, etwa beleuchtete Formen mit Schattierung, und liest das fertige Bild aus. Wie die Beleuchtung, die Kantenglättung und die Farbverläufe im Detail aussehen, hängt von der konkreten Berechnung in Chip und Treiber ab.

Diese Berechnung ist nicht überall bitgenau identisch. Zwei Geräte mit demselben Grafikchip-Namen, aber unterschiedlichem Treiberstand können leicht abweichende Ergebnisse liefern. Damit unterscheidet WebGL feiner als ein reiner Hardware-Name und kann Geräte trennen, die auf den ersten Blick gleich aussehen. Genau das macht es zu einem hartnäckigen Baustein im Fingerprint.

Wo WebGL-Tracking im Alltag auftaucht

WebGL-Auslesungen finden sich vor allem in den großen Tracking- und Betrugserkennungs-Paketen, die viele kommerzielle Seiten einbinden. Du wirst sie selten als eigenständiges Skript erkennen, weil sie meist Teil einer umfassenderen Datensammlung sind. Auf Shop- und Banking-Seiten dient WebGL häufig der Betrugserkennung, auf Werbe-lastigen Seiten der Profilbildung.

Für deine Entscheidung heißt das: Ein vollständiges Abschalten würde auf Banking-Seiten unter Umständen Sicherheitsprüfungen stören, während es auf Werbe-Seiten den Tracking-Wert mindert. Eine differenzierte Lösung, die WebGL erlaubt, aber die Detailtiefe begrenzt, trifft diesen Konflikt besser als ein hartes Entweder-oder.

Was gegen WebGL-Fingerprinting hilft

Der Tor Browser bietet auch hier den weitesten Schutz, indem er WebGL standardmäßig einschränkt und Auslesungen nur nach Rückfrage zulässt. Firefox kann mit aktiviertem Fingerprinting-Schutz die Detailtiefe der WebGL-Abfragen reduzieren. Beide Ansätze zielen darauf, dass dein Gerät weniger heraussticht, indem sie deine Hardware-Angaben entweder verbergen oder auf einen von vielen geteilten Standardwert vereinheitlichen.

1. Browser mit Anti-Fingerprinting nutzen statt einzelne WebGL-Add-ons zu stapeln.
2. Grafikchip-Auslesung einschränken, wo der Browser das gezielt erlaubt, statt WebGL ganz abzuschalten.
3. Regelmäßig testen, ob dein WebGL-Wert auffällt, und Einstellungen nur dann verschärfen, wenn das Testergebnis es nahelegt.

Ob dein Browser über WebGL viel preisgibt, zeigt dir der Fingerprint-Test. Wie sich WebGL in die übrigen Verfahren einreiht, ordnet der Methoden-Überblick ein.

Welche Daten WebGL konkret abfragt

Über WebGL kann eine Seite eine Reihe technischer Angaben erfragen, die einzeln harmlos wirken, zusammen aber ein detailliertes Hardware-Bild ergeben. Dazu gehören die Bezeichnung des Grafikchips und des Treibers, die maximale Texturgröße, die unterstützten Erweiterungen und Grenzwerte der Grafikpipeline. Diese Werte spiegeln die Fähigkeiten deiner Hardware wider.

Für legitime Anwendungen sind diese Angaben nützlich, weil sich ein Onlinespiel oder ein 3D-Konfigurator damit an die vorhandene Leistung anpassen kann. Für das Tracking sind sie ergiebig, weil sie Geräte in Klassen einteilen und feine Unterschiede zwischen ähnlichen Geräten sichtbar machen. Die gleiche Information dient damit zwei sehr verschiedenen Zwecken, was die Begrenzung statt der Abschaltung nahelegt.

WebGL im Vergleich zu Canvas

Beide Verfahren beruhen auf demselben Grundprinzip, dass identische Anweisungen auf verschiedener Hardware verschiedene Ergebnisse liefern. Der Unterschied liegt in der Tiefe. Das Canvas-Verfahren wertet zweidimensionale Zeichnungen aus, WebGL nutzt die komplexere dreidimensionale Pipeline und kann zusätzlich Hardware-Bezeichnungen direkt abfragen.

Weil sich beide ergänzen, werden sie in der Praxis oft zusammen ausgelesen. Ein Schutz, der nur das Canvas adressiert, lässt die WebGL-Lücke offen, und umgekehrt. Das spricht erneut für einen Browser, der das Fingerprinting als Ganzes angeht, statt für eine Kette von Einzellösungen. Wie sich beide Verfahren in die übrigen Methoden einreihen, zeigt der Tracking-Atlas.

Warum WebGL ein dankbares Tracking-Ziel ist

Der ausgelesene Grafikchip-Name trennt Geräteklassen oft schon recht deutlich. Aktuelle Spiele-Hardware, integrierte Notebook-Grafik und ältere Modelle liefern unterschiedliche Bezeichnungen. In Kombination mit dem Renderergebnis und weiteren Merkmalen entsteht daraus eine Signatur, die in vielen Fällen seltener ist als ein reiner Canvas-Wert.

Hinzu kommt, dass WebGL bei der Mehrheit der Nutzer aktiviert ist, weil viele Web-Anwendungen es erwarten. Dadurch liefert es zuverlässig Daten, ohne dass die Tracking-Seite auf Sonderfälle Rücksicht nehmen muss. Diese Verfügbarkeit macht es für die Branche attraktiv und für dich zu einem Merkmal, das du im Blick behalten solltest, weil es im Gegensatz zu Cookies nicht durch einfaches Löschen aus der Welt zu schaffen ist.

WebGL-Schutz testen und einordnen

Wie bei anderen Fingerprinting-Verfahren gilt: Schutz, den du nicht überprüfst, ist nur eine Annahme. Test-Seiten zeigen dir, welche WebGL-Angaben dein Browser preisgibt und ob der ausgelesene Grafikchip-Name sichtbar ist. Mit aktiviertem Fingerprinting-Schutz sollte dieser Name verborgen oder auf einen neutralen Wert gesetzt sein.

Bewerte das Ergebnis im Verhältnis zu deinem Bedarf. Für gelegentliches Surfen genügt oft der eingebaute Schutz eines datenschutzfreundlichen Browsers. Wer regelmäßig sensible Recherchen betreibt, fährt mit dem Tor Browser besser, weil er WebGL und die übrigen Merkmale am konsequentesten vereinheitlicht. Diese Entscheidung triffst du am besten auf Basis eines konkreten Testergebnisses statt aus dem Bauch heraus.

Die Kernregel

Schalte WebGL nicht reflexartig ab, sondern reduziere gezielt, wie viel deine Grafik-Hardware preisgibt, und setze dafür auf einen Browser mit eingebautem Fingerprinting-Schutz. Prüfe dein Ergebnis im Fingerprint-Test und verschärfe nur dort, wo der Test eine auffällige Signatur zeigt, statt vorsorglich Funktionen abzuschalten, die du im Alltag brauchst.