Canvas, AudioContext und WebGL-Fingerprinting: Legal ohne Einverständnis?

Browser-Fingerprinting hat sich in der Tracking-Branche zur bevorzugten Alternative für die Cookie-Einwilligung entwickelt: kein Set-Cookie Header, kein localStorage Schreiben, kein nachweisbares Speicherereignis – und doch ist das Ergebnis eine stabile, nahezu eindeutige Kennung, die bei jedem Laden einer Seite neu generiert wird. Die rechtliche Frage ist nicht, ob Fingerprinting ohne Einwilligung funktionieren kann, sondern ob es zulässig ist. Nach der DSGVO und der ePrivacy-Richtlinie hängt die Antwort von einer technischen Unterscheidung ab, die die meisten Compliance-Teams falsch verstehen.

Wie cookieloses Fingerprinting tatsächlich funktioniert

Drei Browser-APIs leisten die Hauptarbeit:

Canvas-Fingerprinting

Ein Skript ruft HTMLCanvasElement.toDataURL() nach dem Rendern einer versteckten Zeichenfolge oder Form auf. Subtile Unterschiede bei GPU-Treibern, Anti-Aliasing-Algorithmen, installierten Schriftarten und Subpixel-Rendering erzeugen einen Hash auf Pixelebene, der sich von Gerät zu Gerät unterscheidet. Der JavaScript-Aufruf selbst ist für den Nutzer unsichtbar; es ist keine Netzwerkanfrage erforderlich, um den Hash zu exfiltrieren – er kann in jeden nachfolgenden XHR- oder fetch() als Header oder Abfrageparameter eingebettet werden.

AudioContext-Fingerprinting

Mithilfe der Web Audio API erstellt ein Skript ein OfflineAudioContext, führt ein OscillatorNode durch einen DynamicsCompressorNodeund liest den Ausgabepuffer mit getChannelData(). Die Gleitkommawerte unterscheiden sich je nach Audio-Stack, Betriebssystem und CPU-Architektur. Da der Kontext offline ist, wird kein Audio abgespielt und es erscheint kein Berechtigungsdialog. Der Entropiebeitrag eines AudioContext-Fingerabdrucks allein ist beträchtlich – Studien, die vom EFF-Projekt „Cover Your Tracks“ zitiert werden, zeigen, dass sich ein Nutzer damit auf einen kleinen Bruchteil der Browser-Nutzer eingrenzen lässt.

WebGL-Fingerprinting

Aufrufe von WEBGL_debug_renderer_info legen die Zeichenfolge des GPU-Herstellers und die Renderer-Zeichenfolge direkt offen (z. B. ANGLE (NVIDIA GeForce RTX 4080 Direct3D11 vs_5_0 ps_5_0)). In Kombination mit gl.getParameter() Antworten zu Präzisionsformaten, maximalen Texturgrößen und unterstützten Erweiterungen bietet WebGL sowohl Hardware-Identität als auch Entropie auf Treiberebene. Dies gehört zu den Fingerabdruck-Oberflächen mit dem höchsten Signalpegel, die in einem Standard-Browserkontext verfügbar sind.

Die DSGVO-Analyse: Speicherung vs. Verarbeitung

Ein weit verbreiteter Irrtum ist, dass Fingerprinting die DSGVO vollständig umgeht, da keine Daten auf dem Gerät gespeichert werden. Dies vermischt zwei getrennte Rechtsrahmen.

Die ePrivacy-Richtlinie, Artikel 5 Absatz 3 – in allen EU-Mitgliedstaaten in nationales Recht umgesetzt – regelt den Zugriff auf oder die Speicherung von Informationen auf dem Endgerät eines Nutzers. Die Artikel-29-Datenschutzgruppe (jetzt EDPB) bestätigte, dass Fingerprinting-Techniken, die Geräteeigenschaften auslesen, um einen Identifikator abzuleiten, in den Anwendungsbereich von Artikel 5 Absatz 3 fallen, da der Zugriff auf Hardwareparameter eine Erhebung von Informationen vom Endgerät darstellt. Das bedeutet, dass die Einwilligungsvoraussetzung in Artikel 5 Absatz 3 gilt, noch bevor die DSGVO überhaupt ins Spiel kommt.

Die DSGVO regelt dann die Verarbeitung der daraus resultierenden Kennung. Da ein Browser-Fingerabdruck mit einem bestimmten Gerät und damit zwangsläufig mit einer natürlichen Person verknüpft ist, stellt er personenbezogene Daten im Sinne von Artikel 4 Absatz 1 dar. Die Argumentation des EuGH in der Rechtssache C-673/17 (Planet49) – wonach vorab angekreuzte Zustimmungsfelder für Cookies ungültig sind – gilt in gleichem Maße für die Einwilligung zum Fingerprinting: Gemäß Artikel 4 Absatz 11 und Artikel 7 ist eine ausdrückliche, spezifische, informierte und freiwillig erteilte Einwilligung erforderlich.

Kann ein berechtigtes Interesse die Einwilligung ersetzen?

Betreiber berufen sich häufig auf Artikel 6 Absatz 1 Buchstabe f (berechtigtes Interesse), um die Einwilligung für Fingerprinting zur Betrugsaufdeckung oder Sicherheit zu umgehen. Die Leitlinien 05/2020 des EDPB zur Einwilligung warnen ausdrücklich davor, dass ein berechtigtes Interesse die Einwilligungsanforderung gemäß Artikel 5 Absatz 3 der ePrivacy-Richtlinie nicht ersetzen kann – das nationale ePrivacy-Recht regelt den Endgerätezugang, und die Rechtsgrundlagen nach Artikel 6 der DSGVO gelten nur für die nachgelagerte Verarbeitung, nicht für das Auslesen von Geräteparametern.

Es gibt jedoch eine enge Ausnahme: Wenn Fingerprinting für die Betrugsprävention im Rahmen einer vom Nutzer ausdrücklich initiierten Transaktion unbedingt erforderlich ist, haben einige Datenschutzbehörden ein berechtigtes Interesse als Rechtsgrundlage für die Verarbeitungsphase anerkannt. Der Zugriff auf Geräteparameter erfordert weiterhin entweder eine Einwilligung oder – in den E-Privacy-Umsetzungsvorschriften bestimmter Mitgliedstaaten – eine Ausnahmeregelung aufgrund der Notwendigkeit. Dies ist keine pauschale Ausnahmeregelung zur Betrugsaufdeckung; es erfordert eine dokumentierte, verhältnismäßige Prüfung des berechtigten Interesses (LIA), die beide Ebenen abdeckt.

Was macht eine Bereitstellung in der Praxis nicht konform

• Das Fingerprinting wird ausgelöst, bevor die Einwilligung erfasst wird. Wenn Canvas- oder WebGL-APIs während des anfänglichen Seitenaufrufs aufgerufen werden – bevor die Einwilligungsmanagement-Plattform (CMP) aufgelöst ist –, ist der Zugriff rechtswidrig, unabhängig davon, wofür sich der Nutzer später entscheidet. Überwachen Sie dies mit dem Reiter „Performance“ der Browser-DevTools oder einem Proxy wie mitmproxy, um die genaue Aufrufsequenz zu erfassen.
• Keine Erwähnung in der Datenschutzerklärung. Artikel 13 Absatz 1 Buchstabe e verlangt die Offenlegung von Empfängern und Zwecken. Ein an einen Drittanbieter für Analytik oder Ad-Tech übermittelter Fingerabdruck-Hash muss namentlich genannt werden, ebenso wie der Übertragungsmechanismus, falls dieser außerhalb des EWR erfolgt.
• Fingerprinting-as-a-Service-SDKs werden stillschweigend gebündelt. Viele Tag-Manager laden Skripte von Drittanbietern, die Fingerprinting als nicht offengelegte Funktion enthalten. Der Verantwortliche bleibt gemäß Artikel 28 verantwortlich; eine Vereinbarung mit der Datenschutzbehörde allein beseitigt keine unrechtmäßige Datenerhebung im Vorfeld.
• Keine Aufbewahrungsfrist für Fingerabdruck-Hashes. Artikel 5 Absatz 1 Buchstabe e (Speicherbegrenzung) verlangt, dass abgeleitete Identifikatoren gelöscht werden, sobald der angegebene Zweck erfüllt ist. Die unbefristete Aufbewahrung von Fingerabdruck-Protokollen verstößt gegen diesen Grundsatz, selbst wenn die ursprüngliche Erhebung rechtmäßig war.

Technische Kontrollen zur Verringerung des rechtlichen Risikos

1. Gesteuern Sie den API-Zugriff über den Zustimmungsstatus. Nutzen Sie den IAB TCF __tcfapi('getTCData', ...) oder die native API Ihres CMP, um die Einwilligung zu bestätigen, bevor ein Fingerprinting-Skript initialisiert wird. Das Aufschieben des Skriptladens über async/defer ist unzureichend – Skripte dürfen erst ausgeführt werden, wenn die Einwilligung ausdrücklich erteilt wurde.
2. Implementieren Sie eine Content Security Policy, die nicht autorisierte Skripte blockiert. Eine strenge script-src Richtlinie in Ihrem Content-Security-Policy HTTP-Antwort-Header verhindert, dass SDKs von Drittanbietern Fingerprinting-Code außerhalb Ihres Einwilligungsablaufs einfügen.
3. Verwenden Sie Subresource Integrity (SRI)-Hashes für alle Skripte von Drittanbietern: <script src="..." integrity="sha384-..." crossorigin="anonymous">. Dies stellt sicher, dass von Anbietern bereitgestellte Skripte nicht unbemerkt aktualisiert werden können, um Fingerabdruck-Funktionen hinzuzufügen, ohne dass Sie davon Kenntnis haben.
4. Protokollieren Sie Einwilligungsereignisse mit Zeitstempeln, die mit serverseitigen Fingerabdruck-Erfassungsereignissen korreliert sind. Dies schafft eine überprüfbare Kette, die belegt, dass der Zugriff nicht vor einer gültigen Einwilligung erfolgte – ein wesentlicher Beweis bei Untersuchungen durch Aufsichtsbehörden.
5. Dokumentieren Sie Ihre LIA, wenn Sie sich auf die Notwendigkeit der Betrugserkennung berufen. Die LIA muss das spezifische Bedrohungsmodell identifizieren, erläutern, warum Fingerprinting im Vergleich zu weniger invasiven Alternativen (z. B. Verhaltensanalysen, Geräteauthentifizierungs-APIs wie WebAuthn) verhältnismäßig ist, und eine Abwägungsprüfung unter Berücksichtigung der Nutzerinteressen dokumentieren.

Das Fazit für Compliance-Teams

Browser-Fingerprinting ist kein zustimmungsfreier Bereich. Die technische Unsichtbarkeit von Canvas-, AudioContext- und WebGL-API-Aufrufen bedeutet keine rechtliche Unsichtbarkeit. Die Endgerätezugriffsregel der ePrivacy-Richtlinie erfasst den Erfassungsvorgang; die Anforderungen der DSGVO an die Rechtsgrundlage regeln alles, was danach folgt. Jeder Einsatz von Fingerprinting, der vor der ausdrücklichen Einwilligung erfolgt, auf eine Offenlegung verzichtet oder sich auf eine undokumentierte Abwägung berechtigter Interessen stützt, gilt als vermutlich nicht konform – und das Fehlen eines Cookies ist keine Rechtfertigung.

Dieser Artikel wurde mit Unterstützung von KI erstellt und redaktionell geprüft. Rechtliche Fragen sollten stets mit einem qualifizierten Datenschutzexperten besprochen werden.

Dieser Artikel wurde mit KI-Unterstützung erstellt und gegen verifizierte DSGVO-Rechtsprechung (GDPRhub) geprüft. Für Rechtsberatung wenden Sie sich an einen qualifizierten Datenschutzexperten.