Privacy: Unsichtbares Tracking mit Bildern statt Cookies

Canvas Fingerprinting heißt eine Tracking-Methode, die inzwischen auf vielen populären Webseiten zu finden ist - zeitweilig auch bei Golem.de. Wir waren darüber nicht informiert und haben die Tracking-Methode umgehend entfernen lassen.

Artikel veröffentlicht am , /
Beispielcode von Canvas Fingerprinting
Beispielcode von Canvas Fingerprinting (Bild: Valentin Vasilyev/Screenshot: Golem.de)

Viele Webseiten und Vermarkter setzen auf eine neue Tracking-Methode namens Canvas Fingerprinting, um Nutzer, die den Einsatz von Cookies im Browser verbieten, seitenübergreifend identifizieren zu können. Dabei wird statt einer Textdatei ein eindeutiger Fingerabdruck aus den Profilinformationen des Browsers eines Nutzers erstellt. Der wird nicht auf dem Client-Rechner gespeichert, sondern direkt an einen Server übermittelt. Mit dieser eindeutigen ID lässt sich das Surfverhalten eines Nutzer serverseitig speichern und verfolgen. Die Einstellungen zur Privatsphäre in Browsern greifen hier nicht. Auch mit Inkognito-Modus werden solche IDs erstellt und selbst Werkzeuge wie Adblocker können sie bislang nicht ausnahmslos sperren.

Inhalt:
  1. Privacy: Unsichtbares Tracking mit Bildern statt Cookies
  2. Hash-Wert aus Bildern

Wie wir im Zuge unserer Recherchen erfahren haben, wurde auch bei Golem.de Canvas Fingerprinting eingesetzt. Allerdings war die Tracking-Methode niemals fester Bestandteil unserer Webseite, sondern wurde nur zeitweilig und ohne unser Wissen über die Werbung des Vermarkters Ligatus ausgeliefert. Wir haben umgehend dafür gesorgt, dass die Technik bei Golem.de nicht mehr eingesetzt wird.

Ein "internes Missverständnis"

Ligatus schrieb auf Anfrage von Golem.de dazu: "Leider wurde durch ein internes Missverständnis eine entsprechende Vorabinformation über das Forschungsprojekt gegenüber den betroffenen Websites im Vorfeld versäumt - diese Kommunikationslücke bedauern wir sehr und sorgen derzeit gerade für die entsprechende Aufklärung gegenüber unseren Marktpartnern."

Forscher an den Universitäten Princeton in den USA und Leuven in Belgien haben untersucht, wie häufig Canvas Fingerprinting verwendet wird. Ihre Arbeit ist inzwischen veröffentlicht worden. Sie kommen zu dem Ergebnis, dass mittlerweile 5 Prozent der 100.000 populärsten Webseiten Canvas Fingerprinting einsetzen. Das Forscherteam hat die Liste der Webseiten veröffentlicht, auf denen es Canavs Fingerprinting im Mai 2014 entdeckt hat, darunter auch die Seite des Weißen Hauses in Washington D.C - und Golem.de. Der größte Teil der Webseiten nutzt Code der US-Firma Addthis, die unter anderem Social-Media-Schaltflächen für Webseiten baut. Allerdings scheinen auch nicht alle Kunden von Addthis gewusst zu haben, dass die Firma die Tracking-Methode verwendet.

Schon länger bekannt

Stellenmarkt
  1. Projektmanager Embedded Solution Development (m/w/d)
    Demag Cranes & Components GmbH, Wetter (Ruhr) (Home-Office möglich)
  2. Cyber Security Consultant (m/w/d)
    TTS Trusted Technologies and Solutions GmbH, Essen
Detailsuche

Die Technik selbst ist nicht neu. Das Grundprinzip zum Fingerprinting wurde 2010 von der Electronic Frontier Foundation gezeigt und 2012 von den Entwicklern Keaton Mowery und Hovav Shacham an der Universität von San Diego in Kalifornien weiterentwickelt. Ihr Verfahren nutzt das Canvas-API von HTML5, um aus Profildaten ein Bild zu erstellen. Der russische Programmierer Valentin Vasilyev hat einen entsprechenden Javascript-Beispielcode auf Github veröffentlicht.

Zu den dabei gesammelten Profildaten gehören nicht nur Informationen über den Browser und installierte Plugins, sondern auch die Zeitzone und die CPU. Selbst darüber, ob Donottrack aktiviert wurde oder nicht, werden Daten gesammelt. Persönliche Daten sollen dabei nicht gesammelt werden. Rein technisch wäre das aber möglich, etwa wenn der Seitenbetreiber persönliche Daten verlangt und sie dem Javascript zur Verfügung stellt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Hash-Wert aus Bildern 
  1. 1
  2. 2
  3.  


stuempel 28. Jul 2014

Ich habe o.g. mal testweise installiert, siehe https://github.com/ghostwords/chameleon...

stuempel 28. Jul 2014

/// (Bitte löschen)

Anonymer Nutzer 28. Jul 2014

Ähm? ^^ Sag ich doch! Darum NoScript und schon führt man kein JS mehr aus :-) Genau...

GottZ 28. Jul 2014

es gibt auch noch den localstorage und flash cookies. eine schriftart über canvas zu...



Aktuell auf der Startseite von Golem.de
Apollon-Plattform
DE-CIX wagt umfassendstes Netzwerkupgrade seiner Geschichte

Das Upgrade zum Ausfiltern von Netzwerkrauschen erfolgte innerhalb nächtlicher Wartungsfenster bei laufendem Betrieb.

Apollon-Plattform: DE-CIX wagt umfassendstes Netzwerkupgrade seiner Geschichte
Artikel
  1. Kia Flex: Kia startet Neuwagen-Abo
    Kia Flex
    Kia startet Neuwagen-Abo

    Unter dem Namen Kia Flex hat Kia ein neues Vertriebskonzept vorgestellt. Kunden kaufen die Autos nicht, sondern abonnieren sie.

  2. Autonomes Fahren: VW-Chef Blume streicht offenbar Audi-Projekt Artemis
    Autonomes Fahren
    VW-Chef Blume streicht offenbar Audi-Projekt Artemis

    Nicht nur das VW-Projekt Trinity, auch das geplante Audi-Vorzeigemodell Artemis fällt den Softwareproblemen des VW-Konzerns zum Opfer.

  3. Kids für Alexa im Test: Alexa, wer hat den Kindermodus verbockt?
    Kids für Alexa im Test
    Alexa, wer hat den Kindermodus verbockt?

    Amazon bietet neuerdings einen speziellen Kindermodus für Alexa an. Das soll Eltern in Sicherheit wiegen, die sollten sich aber besser nicht darauf verlassen.
    Ein Test von Ingo Pakalski

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Amazon Last Minute Angebote: Games & Zubehör, AVM-Router • Saturn-Weihnachts-Hits: Rabatt-Angebote aus allen Kategorien • Laptops bis zu 41% günstiger bei Saturn • PS5 Disc Edition inkl. GoW Ragnarök wieder vorbestellbar bei Amazon 619€ • ViewSonic 32" WQHD/144 Hz 229,90€ [Werbung]
    •  /