AliExpress, der Online-Marktplatz der Alibaba Group, geriet in die Kritik, nachdem Forscher und der Browserhersteller Brave eine stille Web-Audio-Verarbeitung auf der Website entdeckt hatten, die zur Identifizierung der Geräte der Besucher beitragen könnte.
Die Audioverarbeitung zeichnete die Stimmen der Personen nicht über deren Mikrofone auf. Stattdessen wurde ein unhörbares Signal erzeugt und verarbeitet, und anschließend wurden kleine, reproduzierbare Unterschiede in der Art und Weise gemessen, wie Browser und Gerät dieses Signal verarbeiteten.
Browser-Fingerprinting ermöglicht es Websites, Geräte zu identifizieren und wiederkehrende Besucher zu erkennen, ohne auf herkömmliche Cookies angewiesen zu sein. Dabei werden Informationen über ein Gerät und einen Browser verwendet, um eine eindeutige Signatur zu erstellen.
Die AliExpress-Website verarbeitete eine festgelegte Audiowellenform und untersuchte die resultierenden numerischen Werte. Geringfügige Abweichungen können durch Browser, Betriebssystem, CPU-Verhalten, Audiohardware und Treiber entstehen. In Kombination mit anderen Signalen bilden sie einen weiteren Eingangswert, der zur Identifizierung eines Browsers oder Geräts beitragen kann.
Die Untersuchung des Seitenquellcodes ergab, dass die Audioverarbeitungsgraphen zwar auf Null eingestellt waren, aber weiterhin mit der Systemaudioausgabe verbunden blieben. Dies erklärt, warum der Nutzer nichts hörte und warum das Stummschalten eines Browser-Tabs die Verarbeitung nicht unbedingt unterbrach. Die gesamte relevante Verarbeitung fand innerhalb des Web-Audio-Graphen statt und nicht über einen herkömmlichen Mediaplayer.
Die Audiomessungen waren nur ein Teil der erfassten Daten. Die Skripte sammelten außerdem Informationen zu Canvas-Rendering, WebGL, Anzeigeeinstellungen, Hardwarekonfiguration, WebRTC-Verhalten und Benutzerinteraktionen. Zusammen ergeben diese Signale ein detaillierteres Profil eines Geräts, als es jedes einzelne Signal allein könnte.
Fingerprinting kann für legitime Zwecke wie Betrugsprävention, Bot-Erkennung und Risikobewertung eingesetzt werden. Es hilft Unternehmen, verdächtige Transaktionen oder automatisierte Aktivitäten aufzudecken, selbst wenn Cookies gelöscht oder Konten geändert wurden. Allerdings wirft es auch Datenschutzbedenken auf, da Nutzer möglicherweise nicht wissen, dass ihr Verhalten verfolgt wird und nur begrenzten Einfluss darauf haben.
Sicherer. Sauberer. Surfen ohne Werbung.
Frühere Studien haben gezeigt, dass die Cookie-Einstellungen der Besucher in mehr als der Hälfte der untersuchten Fälle ignoriert wurden. Fingerprinting birgt ein weiteres Datenschutzrisiko, da es Websites ermöglicht, Besucher auch ohne Cookies wiederzuerkennen.
Wie Sie sich schützen können
Die mutmaßliche AliExpress-Implementierung ist ein gutes Beispiel dafür, wie modernes Tracking auf API-Ebene sowohl unauffällig als auch technisch legitim sein kann und dennoch Bedenken hinsichtlich des Datenschutzes aufwirft.
Brave gibt an, dass sein Browser die für das audiobasierte Tracking verantwortlichen AliExpress-Skripte blockiert. Weitere Maßnahmen, die Sie ergreifen können, sind:
- Verwenden Sie Content-Blocker und Anti-Tracking-Erweiterungen, um die Informationen einzuschränken, die Websites über Ihren Browser und Ihr Gerät sammeln können.
- Halten Sie Ihren Browser auf dem neuesten Stand, da Browserhersteller die Datenschutzmechanismen ständig anpassen, sobald sich die Fingerprinting-Methoden weiterentwickeln.
- Verwenden Sie zum Einkaufen einen separaten Browser oder ein separates Browserprofil , idealerweise ohne sich mit demselben Profil bei anderen Diensten anzumelden.
Stöbern Sie, als würde niemand zusehen.
Malwarebytes Privacy VPN Ihre Verbindung und protokolliert niemals Ihre Aktivitäten, sodass Sie sich beim Lesen des nächsten Artikels nicht persönlich angesprochen fühlen müssen.Kostenlos testen →
