AliExpress trackt Nutzer via unhörbarem Audio-Fingerprinting

Was geschehen ist – die Kernmeldung

Der zum Alibaba-Konzern gehörende Onlineshop AliExpress ist in die Kritik geraten, weil er Besucher seiner Webseite ohne deren Wissen mittels einer speziellen Tracking-Methode identifiziert hat. Dabei wurde die sogenannte Web Audio API genutzt, um im Hintergrund unhörbare Audiosignale zu erzeugen. Diese Signale dienen als Grundlage für ein sogenanntes Audio-Fingerprinting. Da jedes Endgerät – vom PC bis zum Smartphone – Audiodaten aufgrund seiner spezifischen Hardware- und Software-Konfiguration minimal anders verarbeitet, lassen sich daraus individuelle Profile erstellen. Die Nutzer werden auf diese Weise wiedererkennbar gemacht, ohne dass der Betreiber auf herkömmliche Cookies angewiesen ist. Die Praxis wurde von einem aufmerksamen Entwickler entdeckt, der die Vorgänge im Hintergrund bemerkte, weil sein System durch die aktiven Skripte gestört wurde. Die Entdeckung wirft erneut ein Schlaglicht auf die intransparenten Methoden, die große Webseiten einsetzen, um das Verhalten ihrer Kunden über verschiedene Sitzungen hinweg zu verfolgen und zu analysieren, selbst wenn diese keine explizite Zustimmung für ein solches Tracking gegeben haben.

Die Einzelheiten – Technik und Entdeckung

Der Vorfall kam durch einen Zufall ans Licht, als ein Entwickler bei der Nutzung seiner Multipoint-Bluetooth-Kopfhörer wiederholt Probleme feststellte. Die Verbindung der Kopfhörer, die normalerweise reibungslos zwischen einem Computer und einem Smartphone wechseln sollten, funktionierte nicht mehr korrekt, solange ein Browser-Tab mit der Webseite von AliExpress geöffnet war. Sobald der Nutzer den entsprechenden Tab schloss, verschwanden die Bluetooth-Probleme sofort. Bei einer anschließenden Untersuchung des Quellcodes der Webseite stieß der Entwickler auf Skripte, die mittels der Web Audio API Audio-Processing-Graphen aufbauten. Dabei wird ein identisches Audiosignal erzeugt, dessen Lautstärke jedoch auf null gesetzt ist, weshalb es für den Menschen unhörbar bleibt. Das System misst anschließend die winzigen Abweichungen, die bei der Verarbeitung dieses Signals durch das Zusammenspiel von Prozessor, Soundchip, Treibern, Betriebssystem und Browser-Implementierung entstehen. Diese Kombination ist bei jedem Gerät einzigartig. Neben diesem Audio-Fingerprinting erfasst AliExpress laut Berichten von TechSpot weitere Datenpunkte, darunter Informationen zum Canvas-Rendering, WebGL-Konfigurationen, Display-Einstellungen, Hardware-Details sowie das Verhalten bei WebRTC und allgemeine Nutzerinteraktionen. Die Kombination all dieser Daten führt zu einem nahezu eindeutigen Geräteprofil.

Hintergrund – Die Entwicklung des verdeckten Trackings

Das sogenannte Audio-Fingerprinting ist keine völlig neue Erfindung, wird jedoch in der Branche zunehmend kontrovers diskutiert. Ursprünglich wurde diese Technik entwickelt, um Betrugsversuche im Internet zu erkennen, indem man sicherstellt, dass ein Nutzer tatsächlich das Gerät verwendet, das er vorgibt zu nutzen. Doch die Grenze zwischen legitimer Sicherheitsmaßnahme und invasivem Tracking ist fließend. Da die Methode im Hintergrund abläuft und für den Nutzer völlig unbemerkt bleibt, wird sie von Datenschützern und Sicherheitsexperten stark kritisiert. Sie ermöglicht es Webseitenbetreibern, die Privatsphäre der Nutzer zu untergraben, da ein "digitaler Fingerabdruck" schwerer zu löschen oder zu blockieren ist als ein herkömmlicher Cookie. Der Vorfall bei AliExpress ist Teil einer breiteren Entwicklung, bei der vermeintlich harmlose technische Prozesse für Zwecke genutzt werden, die den Nutzer nicht direkt betreffen oder denen er nicht explizit zugestimmt hat. Die zunehmende Komplexität moderner Web-APIs bietet immer mehr Möglichkeiten für solch verdeckte Datensammlungen, was die Kontrolle für den Endanwender massiv erschwert.

Die Beteiligten – Wer ist betroffen und wer agiert?

Betroffen sind in erster Linie die Nutzer von AliExpress, deren Geräte ohne deren explizite Zustimmung und Wissen in ein System zur Identifizierung einbezogen wurden. Die technische Umsetzung der Tracking-Skripte liegt in der Verantwortung des Betreibers, des chinesischen E-Commerce-Giganten Alibaba. Der Fall wurde durch einen namentlich nicht genannten Entwickler öffentlich gemacht, der die Anomalien bei der Nutzung seiner Hardware bemerkte. In der Berichterstattung und Analyse der Vorfälle spielt zudem das Portal TechSpot eine zentrale Rolle, das die technischen Details des Trackings aufbereitet hat. Darüber hinaus führt der Bericht Vergleiche zu anderen Institutionen und Vorfällen an, etwa zur Electronic Frontier Foundation (EFF), die voreingestellte Datenlecks in Werbe-SDKs von Smartphone-Apps untersuchte. Auch die britische Royal Navy wird als Vergleichsbeispiel genannt, da dort chinesische Kamerakomponenten in Seedrohnen unbemerkt Statussignale nach China übermittelten, was die Problematik von "Heartbeat-Paketen" und verdeckter Datenübertragung unterstreicht.

Einordnung – Was bedeutet das für die Privatsphäre?

Einzuordnen ist das Vorgehen von AliExpress als ein massiver Eingriff in die digitale Privatsphäre, der die Grenzen dessen, was technisch möglich ist, weit über das hinaus ausreizt, was für den Betrieb eines Onlineshops notwendig wäre. Den Berichten zufolge ist das Audio-Fingerprinting nur ein Baustein eines weitaus komplexeren Systems, das darauf abzielt, Nutzer über lange Zeiträume hinweg eindeutig zu identifizieren. Während Unternehmen oft argumentieren, dass solche Methoden zur Betrugsprävention dienen, zeigt die Praxis, dass die gesammelten Daten leicht für personalisierte Werbung oder Verhaltensanalysen missbraucht werden können. Die Tatsache, dass das Tracking ohne Cookies funktioniert, macht es für Nutzer nahezu unmöglich, sich durch Standardeinstellungen im Browser zu schützen. Es handelt sich hierbei um eine Form des "Silent Trackings", das die Transparenz im Netz weiter aushöhlt. Die Einordnung als Sicherheitsrisiko ergibt sich zudem aus dem Umstand, dass die technische Implementierung – wie im Fall der Bluetooth-Störungen ersichtlich – sogar die Funktionalität der Hardware des Nutzers beeinträchtigen kann.

Offene Fragen – Was bleibt ungeklärt?

Der Quelltext und die vorliegenden Berichte lassen einige wesentliche Fragen offen, die für eine abschließende Bewertung der Situation wichtig wären. Es ist beispielsweise nicht explizit geklärt, wie lange Alibaba diese Methode bereits einsetzt und ob die gesammelten Daten an Dritte weitergegeben oder verkauft werden. Ebenso bleibt unklar, welche spezifischen Maßnahmen das Unternehmen ergreift, um die durch das Tracking gewonnenen Daten zu sichern oder ob diese in einer zentralen Datenbank mit anderen Nutzerdaten verknüpft werden. Es wird im Text nicht beantwortet, ob die Nutzung der Web Audio API für diese Zwecke gegen spezifische Datenschutzrichtlinien verstößt, die für den europäischen Markt relevant wären, oder ob der Betreiber hier eine rechtliche Grauzone ausnutzt. Auch die Frage, ob andere Webseiten des Alibaba-Konzerns oder Partnerunternehmen dieselben Skripte verwenden, wird im Quelltext nicht explizit beantwortet. Schließlich bleibt offen, ob AliExpress nach der öffentlichen Kritik plant, die Skripte zu entfernen oder die Art der Datenerhebung transparent zu machen, da hierzu keine Stellungnahme des Unternehmens vorliegt.

Wie es weitergeht – Ausstehende Schritte

Konkrete Schritte seitens AliExpress oder regulatorische Konsequenzen sind aus dem vorliegenden Quelltext nicht ersichtlich. Es gibt keine Informationen über angekündigte Änderungen an der Webseite oder eine offizielle Reaktion des Unternehmens auf die Vorwürfe. Da der Vorfall jedoch durch eine breite Berichterstattung in Fachmedien wie TechSpot und heise online bekannt wurde, bleibt abzuwarten, ob Datenschutzbehörden auf die Praxis aufmerksam werden und Untersuchungen einleiten. Für Nutzer bleibt derzeit nur die Möglichkeit, bei Problemen mit der Hardware – wie etwa den beschriebenen Bluetooth-Störungen – den Browser-Tab zu schließen oder alternative Browser-Einstellungen zu prüfen, wobei ein vollständiger Schutz gegen Audio-Fingerprinting technisch sehr anspruchsvoll bleibt. Weitere Entscheidungen oder offizielle Stellungnahmen stehen aus, ebenso wie eine Klärung, ob die Praktiken in verschiedenen Rechtsräumen, insbesondere in der EU, zulässig sind.