Nutzer längst geschützt: Drama um veraltete Fingerprinting-Technik bei Aliexpress

Was geschehen ist – die Kernmeldung ausführlich

In der IT-Welt hat eine Entdeckung des Bloggers Matt Callaghan für erhebliche Aufmerksamkeit gesorgt. Er stieß auf der Website des Online-Händlers Aliexpress auf eine spezielle Form des sogenannten Audio-Fingerprintings. Dabei werden unhörbare Audiosignale genutzt, um Nutzer über verschiedene Webseiten hinweg wiederzuerkennen. Viele Medien griffen den Bericht in den vergangenen Tagen auf und stellten die Methode als eine neue, besorgniserregende Erkenntnis dar. Doch bei genauerer Betrachtung erweist sich die Aufregung als unbegründet. Die von Callaghan beschriebene Technik ist keineswegs neuartig oder besonders effektiv. Tatsächlich handelt es sich um ein Relikt aus einer früheren Zeit der Webentwicklung, das bei modernen Browsern kaum noch Wirkung zeigt. Die meisten gängigen Webbrowser haben in den vergangenen Jahren wirksame Schutzmechanismen implementiert, die das Tracking durch solche Audiosignale nahezu vollständig unterbinden. Die Kernmeldung ist daher weniger eine drohende Gefahr für die Privatsphäre der Nutzer, sondern vielmehr der Nachweis, dass veraltete Implementierungen auf Webseiten zwar existieren, aber aufgrund moderner Sicherheitsstandards in ihrer Funktion weitgehend ausgehebelt wurden.

Die Einzelheiten der Entdeckung

Der Blogger Matt Callaghan wurde auf das Phänomen durch eine Auffälligkeit bei seinen Multipoint-Bluetooth-Kopfhörern aufmerksam. Er stellte fest, dass die Audiowiedergabe von seinem Smartphone blockiert wurde, sobald er an seinem PC einen Browser-Tab mit der Aliexpress-Webseite geöffnet hatte. Bei seinen weiteren Untersuchungen fand er heraus, dass die Website ein Skript ausführte, das kontinuierlich Audiosignale generierte. Diese Signale sind für den menschlichen Nutzer nicht wahrnehmbar, da die Lautstärke auf den Wert 0 gesetzt wurde. Dennoch reichten diese lautlosen Signale aus, um den Audioausgabekanal des Systems zu belegen, was das ungewöhnliche Verhalten der Kopfhörer erklärte. Das Ziel dieser Technik ist das Fingerprinting: Dabei wird angenommen, dass Audiosignale je nach Systemkonfiguration, installierter Software und der spezifischen Hardware unterschiedlich verarbeitet werden. Diese Messdaten ermöglichen es Betreibern, einzelne Besucher voneinander zu unterscheiden, selbst wenn diese nicht eingeloggt sind. Die Untersuchung zeigt eindrucksvoll, wie tiefgreifend Webseiten theoretisch in die Systemfunktionen eingreifen können, um Daten für Identifikationszwecke zu sammeln, auch wenn dieser spezifische Ansatz mittlerweile als technisch überholt gilt.

Hintergrund und bisheriger Verlauf

Die auf Aliexpress entdeckte Methode ist kein aktueller Trend, sondern ein Überbleibsel einer Implementierung, die vor Jahren eingeführt wurde. Es ist davon auszugehen, dass diese Funktion nach ihrer ursprünglichen Implementierung keine weitere Beachtung mehr fand und schlichtweg vergessen wurde, anstatt sie aktiv zu entfernen. Dass das Thema nun dennoch in den Fokus rückte, liegt an der Beobachtungsgabe von Matt Callaghan, dessen Bericht eine Welle der Berichterstattung auslöste. Viele Medien werteten die Entdeckung als neue Bedrohung für die Privatsphäre, ohne den technologischen Fortschritt der Browser-Entwickler in den letzten Jahren ausreichend zu berücksichtigen. Die Debatte um Fingerprinting ist jedoch ein Dauerbrenner in der IT-Sicherheit. Schon vor der aktuellen Aufregung gab es zahlreiche Versuche, die Einzigartigkeit von Browser-Konfigurationen für Tracking-Zwecke zu nutzen. Die Tatsache, dass Aliexpress dieses Skript noch immer hostet, ist ein Beispiel dafür, wie veralteter Code auf großen Plattformen oft über lange Zeiträume hinweg bestehen bleibt, ohne dass dies zwingend eine aktive oder böswillige Absicht zur Überwachung der aktuellen Nutzerbasis implizieren muss.

Die Beteiligten und ihre Rollen

Zu den zentralen Akteuren in dieser Angelegenheit gehören der Blogger Matt Callaghan, der den Stein ins Rollen brachte, sowie der Firefox-Entwickler Tom Ritter. Ritter hatte bereits im September 2023 in einem Blogbeitrag erläutert, wie Mozilla den Schutz in Firefox ab Version 118 implementiert hat. Auch ein Google-Sprecher äußerte sich gegenüber dem Medium Ars Technica und bestätigte, dass der Browser Chrome über entsprechende Schutzmechanismen verfügt. Dies lässt den Schluss zu, dass auch alle auf der Chromium-Codebasis basierenden Browser, darunter Brave, Vivaldi und Microsoft Edge, gegen diese Form des Trackings immun sind. Ebenso wird davon ausgegangen, dass Apples Safari-Browser einen vergleichbaren Schutz bietet. Ein weiterer Akteur ist der Entwickler David Dale, der als Reaktion auf die Debatte ein Open-Source-Tool namens Glassbox entwickelte. Dieses Tool nutzt KI, um Nutzern einen Einblick zu geben, welche Daten für Fingerprinting missbraucht werden könnten. Auch die Electronic Frontier Foundation ist mit ihrem Projekt „Cover Your Tracks“ ein etablierter Akteur in diesem Bereich, ebenso wie die Entwickler des Tools „Am I Unique“ und die Schöpfer der Anwendung „Loupe“, die speziell für die Beobachtung von Fingerprinting unter iOS konzipiert wurde.

Einordnung der Sicherheitslage

Einzuordnen ist das Geschehen als ein technisches Kuriosum, das die Diskrepanz zwischen veralteten Web-Implementierungen und modernen Sicherheitsstandards verdeutlicht. Den Berichten zufolge ist das Audio-Fingerprinting, wie es bei Aliexpress gefunden wurde, durch den Wechsel von Mathematik-Bibliotheken in modernen Browsern weitgehend ineffektiv geworden. In Firefox wurde beispielsweise die Bibliothek FDLIBM ausgetauscht, was messbare Differenzen bei der Audioverarbeitung eliminiert hat. Das bedeutet, dass die Website zwar versucht, Daten zu erheben, diese aber aufgrund der Browser-Schutzmaßnahmen keine eindeutige Identifizierung des Nutzers mehr ermöglichen. Die Aufregung in den Medien ist aus technischer Sicht also kaum gerechtfertigt. Dennoch dient die Debatte als wichtige Erinnerung daran, wie viele Informationen ein Browser im Web preisgibt. Tools wie Glassbox oder Cover Your Tracks machen diese sonst unsichtbare Datensammlung für den Nutzer transparent. Es ist festzuhalten, dass die Gefahr nicht von der Website allein ausgeht, sondern von der Kombination aus Web-Technik und der Informationsfreude moderner Browser-APIs, die jedoch zunehmend eingeschränkt wird.

Offene Fragen und Lücken im Sachverhalt

Der vorliegende Sachverhalt lässt einige Fragen offen, die der Quelltext nicht beantworten kann. Zunächst bleibt unklar, ob Aliexpress das Skript nach der öffentlichen Kritik aktiv entfernt hat oder ob es weiterhin auf der Webseite verbleibt, da es für moderne Browser ohnehin wirkungslos ist. Zudem wird nicht explizit dargelegt, ob Aliexpress die erhobenen Daten in der Vergangenheit tatsächlich aktiv zur Profilbildung genutzt hat oder ob es sich lediglich um eine inaktive Code-Leiche handelte. Auch die Frage, wie viele andere Webseiten weltweit noch ähnliche, veraltete Tracking-Skripte verwenden, wird nicht beantwortet. Der Quelltext konzentriert sich primär auf die technische Ineffektivität der Methode, lässt aber die rechtliche Bewertung der Datenerhebung – etwa im Kontext der DSGVO – völlig außer Acht. Es bleibt somit spekulativ, ob die bloße Existenz eines solchen Skripts bereits einen Verstoß gegen Datenschutzrichtlinien darstellt, selbst wenn die technische Identifizierung des Nutzers aufgrund von Browser-Schutzmaßnahmen fehlschlägt. Die genauen Hintergründe der ursprünglichen Implementierung bei Aliexpress bleiben ebenfalls im Dunkeln.