Eine Website muss deinen Namen nicht kennen, um deinen Browser wiederzuerkennen. Manchmal genügt eine Kombination aus Grafikangaben, Schriften und Geräteeigenschaften. Das Gegenmittel klingt zunächst ungewohnt: Der Browser soll weniger individuell aussehen.
Wie viel das bringt, untersucht eine große Studie von Forschenden bei Mozilla, der University of Toronto und der University of California San Diego. Sie stützt sich auf Telemetriedaten von fast 25 Millionen Firefox-Nutzern. Ihr wichtigstes Ergebnis betrifft eine messbare Voraussetzung des Trackings: Wenn bestimmte technische Angaben vereinheitlicht werden, teilen sich mehr Browser denselben Fingerabdruck. Im untersuchten Modell sinkt der Anteil alleinstehender Profile deutlich. Eine Garantie gegen Wiedererkennung ergibt sich daraus allerdings nicht.
Mozilla stellte die Arbeit am 10. November 2026 öffentlich vor. Die ausführliche Fassung vom 6. Oktober ist für die Sicherheitskonferenz CCS 2026 angenommen, die vom 15. bis 19. November stattfindet. Besonders aufschlussreich sind ihre Detailtabellen: Sie zeigen, welche Schutzmaßnahmen bereits eingeführt waren, welche noch experimentell sind – und weshalb man die griffige Zahl „75 auf 46 Prozent“ genauer lesen sollte.
Ein gemeinsamer Fingerabdruck kann schützen
Viele Informationen, die ein Browser preisgibt, haben einen praktischen Zweck. Eine Website muss Text darstellen, Videos verarbeiten oder einen passenden Download anbieten. Dazu nutzt sie Programmierschnittstellen: festgelegte Möglichkeiten, den Browser nach bestimmten Eigenschaften zu fragen. Ein Skript kann beispielsweise erfahren, wie viele logische Prozessoren gemeldet werden oder welche Grafikumgebung bereitsteht.
Ein einzelner Wert ist oft wenig verräterisch. Millionen Geräte können dieselbe Prozessorzahl melden. Doch zusätzliche Angaben teilen diese große Gruppe weiter auf. Welche Schrift erscheint? Welche Grafikdetails werden zurückgegeben? Welche Besonderheiten entstehen beim Zeichnen eines Testbildes? Am Ende kann eine Kombination übrig bleiben, die im betrachteten Datensatz nur einmal vorkommt.
So entsteht ein Browser-Fingerabdruck. Er ist keine unveränderliche Seriennummer des Menschen und auch kein gescannter Finger. Gemeint ist ein aus technischen Merkmalen zusammengesetztes Muster. Die Grundlagen und das Zusammenspiel mit Cookies erklären wir ausführlich im Beitrag über Tracking im Web. Die neue Studie setzt eine Stufe später an: Welche Änderungen erschweren diese Unterscheidung tatsächlich?
Eine Möglichkeit besteht darin, unnötige Unterschiede zu beseitigen. Der Browser könnte eine seltene Geräteangabe durch einen gebräuchlicheren Wert ersetzen oder den Zugriff auf bestimmte Schriften begrenzen. Im Idealfall erhalten Websites weiterhin die Informationen, die sie benötigen, aber weniger Material für einen individuellen Wiedererkennungscode.
An acht erfundenen Profilen lässt sich das Prinzip ausprobieren. Das folgende Modell liest keine Eigenschaften deines Browsers aus. Es zeigt ausschließlich, wie sich Gruppen ändern, wenn zwei Angaben vereinheitlicht werden. Seine Zahlen sind keine Ergebnisse der Mozilla-Studie.
Die Unterscheidung zwischen „nicht mehr allein“ und „in einer großen Gruppe verborgen“ ist entscheidend. Wer einen Fingerabdruck mit nur einer weiteren Person teilt, besitzt einen kleineren Schutz durch die Menge als jemand, dessen Muster tausendfach vorkommt. Deshalb untersucht die Arbeit neben Eindeutigkeit auch die Verteilung der Gruppengrößen.
Was die fast 25 Millionen Datensätze aussagen
Für die veröffentlichten Ergebnisse nutzte das Team eine Erhebungsphase vom 25. März bis 16. April 2026. Eine frühere Sammlung im Juni 2025 hatte bereits die Entwicklung neuer Schutzmaßnahmen unterstützt. Die große Stichprobe umfasst Firefox-Nutzer unter Windows, macOS, Android und Linux: ungefähr 12,1, 2,0, 8,9 und 1,8 Millionen. Die gerundeten Teilzahlen ergeben zusammen knapp 25 Millionen.
Das ist ein anderer Zugang als ein freiwilliger Besuch auf einer Fingerprinting-Testseite. Dort erscheinen besonders häufig Menschen, die sich ohnehin für Datenschutz interessieren oder ihren Browser ungewöhnlich eingerichtet haben. Telemetrie aus einem verbreiteten Browser erreicht eine breitere Nutzergruppe. Dennoch ist sie kein Querschnitt durch alle Internetnutzer. Andere Browser fehlen; Nutzer können die Datensammlung abschalten. Die Autoren schätzen diesen ausgeschlossenen Anteil auf etwa sieben Prozent und erwarten einen begrenzten Einfluss. Ob die verbleibende Verzerrung für jede Fragestellung klein ist, lässt sich daraus nicht ableiten.
Insgesamt erfasste die Studie 133 Merkmalsgruppen mit 708 einzelnen Messwerten pro Nutzer. Entscheidend war aber nicht, daraus einen möglichst mächtigen neuen Tracker zu bauen. Das Team rekonstruierte die clientseitigen Abfragen dreier bestehender kommerzieller Dienste: Fingerprint Pro, Signifyd und Akamai. Deren Skripte nutzen unterschiedliche Merkmalsmengen.
Die geheimen Verfahren auf den Servern dieser Anbieter standen den Forschenden nicht offen. Sie bildeten deshalb aus den jeweils verfügbaren Messwerten einen idealisierten Fingerabdruck: dieselbe Kombination ergibt denselben Code, eine abweichende Kombination einen anderen. Das erlaubt einen nachvollziehbaren Vergleich der verfügbaren Unterscheidungsinformationen. Es misst nicht, wie viele Menschen die Unternehmen tatsächlich verfolgen, welche Zwecke sie intern verfolgen oder wie gut ihre produktiven Systeme wechselnde Angaben wieder zusammenführen.
Diese Grenze ist im Originalpapier, besonders in den Abschnitten 2.4 und 2.5 ausdrücklich beschrieben. Die Autoren betrachten das Modell als obere Grenze der Unterscheidbarkeit durch die rekonstruierten Merkmale. Die zeitliche Stabilität der Fingerabdrücke und eine Simulation lernender, ausweichender Angreifer gehören nicht zu den ausgewerteten Ergebnissen.
Hinter „75 auf 46 Prozent“ steckt eine Entwicklung
Im Ausgangsmodell für Fingerprint Pro waren 75,7 Prozent der Profile eindeutig. Das ist ein nach den untersuchten Betriebssystemgruppen gewichteter Durchschnitt. Ohne diese Einordnung wäre die Zahl irreführend: Für Windows lag der Ausgangswert bei 82,9 Prozent, für Android bei 62,0 Prozent. Unterschiedliche Gerätewelten und Konfigurationen liefern unterschiedliche Verteilungen.
Anschließend berechnete das Team, wie sich Vereinheitlichungen auf dieselben Daten auswirken. Tabelle 3 im Anhang zeigt die Maßnahmen aufeinander aufbauend. Ein späterer Wert enthält also die Wirkung aller zuvor aufgeführten Schritte. Die folgende Auswahl gibt den gewichteten Fingerprint-Pro-Modellwert wieder:
Die Schutzkette im untersuchten Modell
| Fall | Eindeutige Profile | Stand der Maßnahmen |
|---|---|---|
| Ausgangsmodell | 75,7 % | Ohne die betrachteten Vereinheitlichungen |
| Frühere Maßnahmen | 63,9 % | Bereinigte Grafikangabe und verkürzte Versionsangabe eingeschlossen |
| Bis Phase 1 | 54,7 % | Zusätzlich eingeschränkte Schriftangaben und vereinheitlichte Mathematik |
| Phase 2: CPU | 51,4 % | Zusätzlich gebündelte CPU-Angabe |
| Phase 2: Bildschirm | 47,9 % | Zusätzlich vereinheitlichte verfügbare Bildschirmfläche |
| Ende Phase 2 | 46,8 % | Zusätzlich überarbeitete Schriftfreigaben; in Tabelle 2 als eingeführt gekennzeichnet |
| Ende Phase 3 | 44,0 % | Weitere experimentelle Maßnahmen zu Grafikangaben und Speicherplatz |
Quelle: Originalarbeit, Anhang D, Tabelle 3. Phase 2 ist in Tabelle 2 als mit Firefox 143 eingeführt gekennzeichnet; Phase 3 als experimentell. Die Tabelle beschreibt eine Modellrechnung auf den untersuchten Daten, keine Zeitreihe tatsächlich verfolgter Personen.
Für die bis Phase 2 ausgewiesene Schutzkette beträgt die Differenz somit 28,9 Prozentpunkte: 75,7 minus 46,8. Das ist etwas anderes als eine Verringerung um 28,9 Prozent. Und die gesamte Differenz entstand nicht erst durch einen einzigen neuen Schalter in Firefox 143. Ältere Schutzschritte tragen wesentlich dazu bei; innerhalb der gezeigten Kette geht Phase 2 von 54,7 auf 46,8 Prozent.
Die Projektseite mit Daten und Methoden und die Kurzfassung fassen das Ergebnis als „75 auf 46 Prozent“ zusammen. Die Detailtabellen ermöglichen eine präzisere Zuordnung. Experimentelle oder erst erwogene Folgeschritte sollten dabei nicht als allgemein verfügbare Schutzwirkung ausgegeben werden. Ebenso wenig beschreibt die Studie eine pauschale Rangliste von Firefox, Chrome, Safari und anderen Browsern: Deren Nutzergruppen, Schnittstellen und Implementierungen unterscheiden sich.
Warum eine kleine Änderung manchmal viel bewirkt
Mehr Messwerte bedeuten nicht automatisch, dass jeder davon gleich wichtig ist. Manche Angaben verraten fast dasselbe wie andere. Entfernt man eine, bleibt die Unterscheidung über die zweite erhalten. Andere Eingriffe wirken erst gut, nachdem vorherige Maßnahmen bereits viele Profile zusammengeführt haben. Die Einzeleffekte lassen sich deshalb nicht einfach zusammenzählen.
Ein anschauliches Beispiel ist die verfügbare Bildschirmfläche. Sie kann neben der eigentlichen Auflösung verraten, welchen Platz eine Taskleiste oder ein Dock belegt. Eine persönlich angepasste Oberfläche hinterlässt dann eine zusätzliche Besonderheit. Firefox kann diese Angabe mit einem festen Abzug vereinheitlichen, ohne die tatsächliche Oberfläche des Nutzers umzubauen. Die Wirkung ist je nach Betriebssystem sehr verschieden – ein gewichteter Mittelwert verdeckt diese Unterschiede leicht.
Ähnlich bei der CPU-Angabe: Eine grobe Meldung von vier oder acht logischen Prozessoren unterscheidet weniger Geräte als eine lange Liste exakter Werte. Der Browser nimmt dem Rechner dadurch keine Rechenkerne weg. Er verändert eine Angabe, auf deren Grundlage Websites allerdings eigene Entscheidungen treffen können.
Genau dort liegt der technische Zielkonflikt. Das Papier berichtet, dass ein früher erwogener einheitlicher Wert von vier die Videoqualität bei Google Meet verschlechterte. Der Wechsel zu zwei möglichen Werten war eine Reaktion darauf. Eine Datenschutzmaßnahme muss also auch daran gemessen werden, ob Videokonferenz, Schriftanzeige und andere legitime Funktionen weiter funktionieren. Unbemerkte Fehler können dazu führen, dass Menschen den Schutz später vollständig abschalten.
Vereinheitlichung ist außerdem nur eine von mehreren Strategien. Sperrlisten versuchen bekannte Tracking-Skripte am Laden zu hindern. Zufallsveränderungen können bestimmte Ausgaben über Kontexte hinweg unzuverlässig machen. Letzteres senkt nicht unbedingt die momentane Eindeutigkeit: Ein zufällig verändertes Muster kann sogar sehr speziell aussehen, aber für die dauerhafte Wiedererkennung weniger nützlich sein. Genau deshalb erfasst die Kennzahl „eindeutig“ nicht den gesamten Datenschutzgewinn.
Die Größe der Menge verändert das Ergebnis
Stell dir vor, auf einem kleinen Treffen bist du die einzige Person mit einer roten Jacke. Auf einem großen Bahnhof trifft das vielleicht auf hundert Menschen zu. Deine Jacke hat sich nicht verändert; die Vergleichsgruppe schon. Ein Fingerprinting-Test hat ein ähnliches Problem. „Einzigartig“ bedeutet zunächst nur: einzigartig unter den Profilen, mit denen verglichen wurde.
Die Studie prüfte deshalb auch wachsende Teilstichproben. Mit mehr Vergleichsprofilen sank die geschätzte Eindeutigkeit zunächst stark und stabilisierte sich erst bei großen Datenmengen. Dazu kommt die Zusammensetzung: Ein weltweit verbreitetes Sprachprofil kann im Publikum einer kleinen lokalen Website selten sein. Eine große globale Vergleichsmenge beschreibt nicht automatisch die Nutzer jeder einzelnen Seite.
Das erklärt, weshalb ein einzelner Testbericht keine dauerhafte persönliche Sicherheitsbewertung liefert. Ein anderes Vergleichsfeld, neue Merkmale oder ein später geänderter Browser können ein anderes Ergebnis ergeben. Auch IP-Adressen, Kontologins und zusätzliche Informationen können Wiedererkennung ermöglichen. Die vorgestellten Vereinheitlichungen lösen diese anderen Verknüpfungswege nicht.
Die Privacy Working Group des W3C beschreibt diese Grenzen in ihrer Fingerprinting-Leitlinie: Gegenmaßnahmen können Risiken verringern, die vollständige technische Beseitigung der Wiedererkennung ist für verbreitete Webtechnik jedoch kein verlässliches Versprechen. Das Dokument ist eine fachliche Group Note, kein Gesetz oder verbindlicher Browser-Zertifikatsstandard.
Was du damit im Alltag anfangen kannst
Der nützliche erste Schritt besteht darin, den eingebauten Schutz des Browsers bewusst zu prüfen. Für Firefox auf dem Desktop führt der Weg über die Einstellungen zu „Datenschutz & Sicherheit“ und dem verbesserten Schutz vor Aktivitätenverfolgung. Mozilla beschreibt die Stufe „Streng“ als Möglichkeit, zusätzliche Schutzfunktionen auch in regulären Fenstern zu nutzen. Welche Maßnahmen in welchem Modus bereits standardmäßig aktiv sind, verändert sich mit der Browserentwicklung; eine Versionsnummer aus der Studie ersetzt diese Prüfung nicht.
Die aktuelle Firefox-Hilfe zum Tracking-Schutz erklärt Einstellungen und Ausnahmen. Falls eine Seite nach einer Verschärfung nicht mehr funktioniert, lässt sich der Schutz über das Schildsymbol versuchsweise für diese einzelne Website ausnehmen. Das ist eine konkrete Abwägung, etwa bei einem nicht funktionierenden Formular, kein Anlass, den Schutz überall aufzugeben. Den Fehler zu melden hilft den Entwicklern, die Ursache zu erkennen.
Weniger sinnvoll ist es, wahllos einzelne Kennungen zu verändern, bis ein Test eine schönere Zahl anzeigt. Die Bürgerrechtsorganisation EFF erläutert in ihrer Anleitung zu Browser-Fingerabdrücken, dass widersprüchliche Kombinationen zusätzliche Auffälligkeit erzeugen können. Ein Browser, der sich als ein anderer ausgibt, aber dessen übrige Eigenschaften nicht teilt, kann dadurch gerade herausstechen. Ein abgestimmtes Schutzkonzept ist hilfreicher als das Optimieren einer isolierten Messgröße.
Auch die Forschung selbst braucht Datenschutz. Die Sammlung technischer Merkmale könnte zur Identifikation missbraucht werden. Nach Angaben des Teams liefen die Übertragungen deshalb über einen unabhängig betriebenen OHTTP-Relay: Die Zwischenstation sieht die IP-Adresse, aber nicht den verschlüsselten Inhalt; Mozilla erhält den Inhalt ohne diese IP-Adresse. Zugriff und Aufbewahrung waren begrenzt. Die Rohdaten wurden nach Angaben der Projektseite gelöscht; veröffentlicht werden ausgewählte aufbereitete Daten und Auswertungscode. Das ermöglicht Nachprüfung, bedeutet aber keinen freien Zugang zu allen ursprünglichen Einzeldatensätzen.
Mozilla entwickelt und vermarktet Firefox und ist damit selbst an einem positiven Ergebnis interessiert. Die detaillierte Methode ist deshalb besonders wertvoll: Sie erlaubt, die Behauptung auf ein bestimmtes Modell, eine bestimmte Population und konkrete Schutzstufen zurückzuführen. Eine unabhängige Wiederholung derselben großen Messung ersetzt sie nicht.
Datenschutz ist dabei auch eine Gestaltungsfrage. Wie viel eine Website über dein Gerät erfahren darf, wird nicht allein durch deine Klicks entschieden, sondern durch die Möglichkeiten ihrer Schnittstellen. Unser Beitrag über Privatsphäre als Freiheitsfrage erweitert diesen Blick. Die neue Studie macht einen Teil dieser Gestaltung messbar: Gemeinsamkeit kann schützen, wenn Browser unnötige Unterschiede zurückhalten. Wie groß der Schutz im Alltag ist, muss an mehr geprüft werden als an einer einzigen Prozentzahl.
