Browser-Tracking per Web Audio: Das verborgene Tonstudio

Was geschehen ist: Die Entdeckung einer versteckten Tracking-Methode

Einem aufmerksamen Entwickler ist kürzlich ein ungewöhnliches Verhalten auf der E-Commerce-Plattform AliExpress aufgefallen, das tief in die technischen Abgründe moderner Webbrowser blickt. Die Webseite nutzt das sogenannte Web Audio API, um Geräte der Nutzer anhand von unhörbaren Audiosignalen zu identifizieren. Dieses Verfahren ist eine spezielle Form des Browser-Fingerprintings. Dabei werden technische Eigenschaften eines Endgeräts ausgelesen, um ein einzigartiges Profil zu erstellen. Während herkömmliches Fingerprinting oft auf sichtbare Daten wie die Bildschirmauflösung oder installierte Schriftarten setzt, geht der Ansatz von AliExpress einen Schritt weiter. Die Webseite baut im Hintergrund ein virtuelles Tonstudio auf, um hardwareseitige Besonderheiten bei der Signalverarbeitung zu messen. Der Vorfall kam primär deshalb ans Licht, weil die Technik unbeabsichtigt die Bluetooth-Verbindungen von Kopfhörern beeinflusste. Nutzer bemerkten, dass ihre Kopfhörer fälschlicherweise zwischen Geräten hin- und herschalteten, da der Browser durch das aktive Audiostudio vorgab, aktiv Musik abzuspielen. Dieser technische Umstand führte dazu, dass die sonst im Verborgenen agierende Methode enttarnt wurde, da sie eine physische Spur in der Hardware-Steuerung hinterließ.

Die Einzelheiten: Von virtuellen Kabeln und obfuskierten Skripten

Die technische Umsetzung des Trackings bei AliExpress stützt sich auf zwei spezifische JavaScript-Dateien namens „collina.js“ und „fireyejs.js“. Diese Dateien wurden gezielt obfuskiert, was bedeutet, dass der Quellcode durch verschachtelte Strukturen und unleserliche Variablennamen bewusst unkenntlich gemacht wurde, um eine einfache Analyse zu erschweren. Der Prozess innerhalb des virtuellen Tonstudios besteht aus einer Kette von fünf Bausteinen. Zuerst generiert ein Tongenerator eine Sägezahnwelle, die aufgrund ihrer obertonreichen Struktur eine hohe Rechenlast erzeugt. Dieser Prozess wird durch einen Analysebaustein überwacht, der die Frequenzverteilung misst. Die dabei entstehenden Zahlenwerte dienen als Grundlage für den Fingerabdruck. Ein dritter Baustein fungiert als Lautstärkeregler, der auf null gesetzt wird, um das Signal für den Nutzer unhörbar zu machen. Problematisch ist jedoch der letzte Schritt: Das virtuelle Kabel bleibt mit der Soundkarte verbunden. Dies führt dazu, dass das Betriebssystem und der Bluetooth-Stack fälschlicherweise annehmen, der Rechner würde aktiv Audio wiedergeben. Matt Callaghan, der die Skripte identifizierte, und Tom Ritter von Mozilla haben die Funktionsweise analysiert. Ritter bietet auf seiner Webseite sogar die Möglichkeit, den Quellcode der Skripte zu inspizieren und den eigenen Fingerabdruck-Wert zu berechnen.

Hintergrund: Die Evolution des Browser-Fingerprintings

Das Browser-Fingerprinting hat sich in den letzten Jahren zu einem der effektivsten Werkzeuge für Werbetreibende entwickelt. Im Gegensatz zu klassischen Cookies, die vom Nutzer gelöscht oder blockiert werden können, ist ein Fingerabdruck wesentlich schwerer zu unterbinden. Er basiert auf der Kombination verschiedener technischer Parameter wie der installierten Browserversion, dem Betriebssystem, der Zeitzone, den Spracheinstellungen und sogar spezifischen Hardware-Eigenschaften der Grafikkarte. Aus diesen Datenpunkten lässt sich ein statistisch nahezu einzigartiger Identifikator ableiten, der es Unternehmen ermöglicht, Nutzer über verschiedene Webseiten hinweg wiederzuerkennen. Während dieses Verfahren ursprünglich auch zur Betrugserkennung eingesetzt wurde, dient es heute primär der personalisierten Werbung. Die Nutzung des Web Audio API stellt dabei eine Erweiterung dar, da sie Informationen liefert, die über die Standard-Browser-Parameter hinausgehen. Da das Web Audio API für Funktionen wie Online-Konferenzen oder Web-Spiele konzipiert wurde, erfordert seine Nutzung keine explizite Erlaubnis des Nutzers, was es zu einem idealen Werkzeug für unbemerktes Tracking macht. Die Entwicklung zeigt, dass Web-Technologien, die eigentlich für Multimedia-Anwendungen gedacht waren, zunehmend für datenschutzrechtlich bedenkliche Zwecke zweckentfremdet werden.

Die Beteiligten: Akteure und Experten in der Analyse

In diesem Fall stehen sich verschiedene Akteure gegenüber. Auf der einen Seite steht die Plattform AliExpress, die die Skripte „collina.js“ und „fireyejs.js“ einsetzt. Diese Dateien wurden als Teil der Anti-Abuse-Logik des Unternehmens identifiziert. Auf der anderen Seite stehen Sicherheitsforscher wie Matt Callaghan, der die Skripte entdeckte und die technische Analyse vorantrieb. Ebenfalls involviert ist Tom Ritter, ein Security Engineer bei Mozilla. Ritter hat die fraglichen Skripte auf einer eigenen Webseite eingebettet, um sie für die Öffentlichkeit transparent zu machen. Er ermöglicht es Nutzern, den Quellcode selbst zu untersuchen und zu verstehen, wie das Fingerprinting-Verfahren auf ihrem spezifischen System reagiert. Diese Transparenz ist ein wesentlicher Bestandteil der Aufklärung, da sie zeigt, dass die Methoden zwar komplex, aber für Experten nachvollziehbar sind. Die Rolle der Browser-Hersteller wie Mozilla, Brave oder Apple (Safari) ist ebenfalls zentral, da sie durch ihre Sicherheitsarchitektur entscheiden, ob solche Methoden überhaupt erfolgreich sein können. Die Nutzer selbst sind die Betroffenen, deren Geräte ohne explizite Zustimmung zu Messobjekten werden, um ein detailliertes Nutzungsprofil zu erstellen.

Einordnung: Warum das Web Audio API ein Einfallstor ist

Einzuordnen ist das Web Audio API als eine leistungsstarke Schnittstelle, die ursprünglich für die Erstellung komplexer Audio-Anwendungen im Browser entwickelt wurde. Dass diese Schnittstelle nun für Tracking-Zwecke missbraucht wird, unterstreicht ein grundlegendes Problem der Web-Standardisierung. Die Entwickler des Web Audio API haben bei der Konzeption primär an die Funktionalität für Spiele und Konferenzen gedacht, nicht aber an die potenziellen Missbrauchsmöglichkeiten durch Fingerprinting. Den Berichten zufolge ist das Verfahren deshalb so effektiv, weil es hardwarenahe Informationen ausliest, die sich nicht so leicht manipulieren lassen wie einfache Browser-Einstellungen. Die Tatsache, dass das „virtuelle Kabel“ am Ende der Messkette eine physische Auswirkung auf Bluetooth-Geräte hat, ist ein technischer Nebeneffekt, der die Unachtsamkeit der Implementierung offenbart. Hätten die Entwickler bei AliExpress das Skript sauberer programmiert, wäre das Tracking vermutlich weiterhin völlig unbemerkt geblieben. Es ist ein klassisches Beispiel dafür, wie technische Komplexität und mangelnde Transparenz die Privatsphäre der Nutzer untergraben. Die Bewertung der Experten deutet darauf hin, dass die Grenze zwischen legitimer Betrugserkennung und invasivem Tracking zunehmend verschwimmt.

Offene Fragen: Was bleibt im Dunkeln?

Obwohl die Funktionsweise der Skripte durch die Analyse der JavaScript-Dateien weitgehend geklärt ist, bleiben einige Fragen offen. Es ist nicht abschließend geklärt, ob die fehlerhafte Bluetooth-Verbindung, die zur Entdeckung führte, auf bloße Schlamperei bei der Programmierung oder auf eine bewusste Inkaufnahme von Nebeneffekten zurückzuführen ist. Zudem bleibt unklar, wie genau AliExpress die gesammelten Fingerabdruck-Daten in ihrer gesamten Infrastruktur verarbeitet und ob diese Informationen mit anderen Nutzerdaten verknüpft werden, um eine noch präzisere Identifizierung zu ermöglichen. Auch die Frage nach der langfristigen Strategie von Alibaba bleibt unbeantwortet: Werden die Skripte nach der öffentlichen Kritik angepasst, um die Spuren zu verwischen, oder wird die Praxis unverändert fortgesetzt? Der Quelltext gibt keine Auskunft darüber, welche anderen Plattformen des Konzerns oder Dritter ähnliche, bisher unentdeckte Methoden einsetzen. Zudem ist unklar, inwieweit die Anti-Abuse-Logik tatsächlich notwendig ist oder ob sie lediglich als Vorwand für eine weitreichende Nutzerverfolgung dient. Die Lücke zwischen der technischen Machbarkeit und der ethischen Vertretbarkeit bleibt in der Berichterstattung eine zentrale, wenn auch unbeantwortete Komponente.

Wie es weitergeht: Schutzmaßnahmen und technische Hürden

Die Zukunft des Browser-Trackings mittels Web Audio API hängt stark von den Gegenmaßnahmen der Browser-Hersteller ab. Nutzer, die sich schützen wollen, haben derzeit nur begrenzte Möglichkeiten. Der Einsatz von spezialisierten Blockern wie uBlock Origin kann helfen, indem gezielt die Pfade der Skripte blockiert werden, wie sie von Matt Callaghan vorgeschlagen wurden. Allerdings ist dies ein Katz-und-Maus-Spiel, da Alibaba die Pfade regelmäßig ändert, was wiederum zu Problemen bei der Webseite führen kann, etwa durch zusätzliche CAPTCHAs oder Fehler beim Checkout. Eine nachhaltigere Lösung bieten Browser wie Brave oder Safari, die die Rückgabewerte des Web Audio API gezielt verrauschen. Durch diese Manipulation der Messwerte wird der Fingerabdruck unbrauchbar, ohne dass die Webseite ihre Funktion verliert. Es ist zu erwarten, dass die Diskussion um den Schutz vor Fingerprinting in den kommenden Monaten an Fahrt gewinnen wird. Während Webseitenbetreiber versuchen, ihre Identifizierungsmethoden zu verfeinern, werden Browser-Hersteller gezwungen sein, die Schnittstellen weiter einzuschränken. Ob dies zu einer vollständigen Deaktivierung des Web Audio API für nicht autorisierte Seiten führen wird, bleibt abzuwarten und hängt von den kommenden Entscheidungen der Standardisierungsgremien ab.