So funktioniert dieser Test
Webseiten können auf ein Canvas-Element zeichnen: Text, Linien, Kurven, Verläufe und Bilder, gerendert vom Browser mit der Schrift-Engine des Betriebssystems und meist der Grafikkarte. Die Seite kann die gerenderten Pixel dann als Daten zurücklesen. Daran ist nichts Ungewöhnliches; Diagramme, Spiele und Bildeditoren beruhen darauf. Fingerprinting nutzt die Tatsache, dass das Rendering nicht überall identisch ist.
Diese Seite führt die Standardversion der Technik in Ihrem Browser aus und zeigt, was normalerweise verborgen bleibt:
- Das Skript zeichnet eine feste Szene auf ein Canvas von 300 mal 80 Pixeln: Text in mehr als einer Schrift, damit Schriftersetzung und Rasterung sichtbar werden, überlappende Formen mit Teiltransparenz, damit Farben sich mischen, und Kurven mit geglätteten Kanten.
- Es exportiert das Canvas als Bilddaten-String — derselbe Aufruf, den ein Tracking-Skript macht.
- Es hasht diesen String und zeigt den Hash zusammen mit der Länge des Daten-Strings, einem groben Indikator für die Komplexität des gerenderten Bildes.
- Das gezeichnete Canvas wird auf der Seite angezeigt statt versteckt, damit Sie genau sehen, was gehasht wurde.
- Der Start-Button wiederholt den Vorgang, damit Sie die Stabilität des Hashs prüfen können.
Der Hash wird aus den Pixeln berechnet, nicht aus einer Beschreibung Ihres Geräts. Deshalb können zwei Browser mit demselben User-Agent verschiedene Hashes erzeugen: Sie haben den Text unterschiedlich gerendert. Auf derselben Maschine und Browserversion ist das Ergebnis jedes Mal gleich, sofern nichts es absichtlich ändert.
So lesen Sie Ihr Ergebnis
| Was Sie sehen | Bedeutung |
|---|---|
| Das Bild wird gerendert und der Hash ist bei jedem Lauf identisch | Normal. Das ist die stabile Kennung, mit der Websites diesen Browser auf dieser Maschine wiedererkennen können. |
| Das Bild wird gerendert und der Hash unterscheidet sich zwischen Läufen | Canvas-Randomisierung ist aktiv, durch eine Browser-Datenschutzeinstellung oder eine Erweiterung. Websites können Sie nicht per Canvas verfolgen, und Skripte, die das Canvas zweimal lesen, erkennen die Randomisierung. |
| Das Bild ist leer, der Hash fehlt oder der Status sagt blockiert | Das Auslesen des Canvas ist blockiert. Tracker bekommen nichts — und sehen einen Browser, der Canvas blockiert, was selten ist. |
| Das Bild sieht falsch aus, mit fehlenden Glyphen oder Kästchen | Eine Schrift fehlt oder wurde ersetzt. Immer noch ein gültiger Fingerprint; er identifiziert eben eine Maschine mit diesem Schriften-Setup. |
| Der Hash stimmt mit einem Lauf aus einem anderen Profil überein | Die beiden Sitzungen teilen denselben Rendering-Stack: gleiche Maschine, Browserversion und Einstellungen. Sollten sie wie verschiedene Geräte aussehen, tun sie es nicht. |
Die Datenlänge ist ein Nebenhinweis. Ein deutlich kürzerer String als bei einem anderen Gerät derselben Klasse bedeutet ein einfacheres Rendering, etwa ohne Farb-Emoji oder mit Software-Renderer; eine geänderte Länge zwischen Läufen bei gleicher Zeichnung deutet auf hinzugefügtes Rauschen hin.
Für einen Login-Setup-Check wollen Sie die erste Zeile, im Profil, das Sie nutzen werden, mit demselben Hash bei jedem Öffnen. Für anonymes Surfen ist die zweite Zeile das, was ein datenschutzorientierter Browser absichtlich erzeugt.
So beheben Sie es
Canvas-Tracking im Alltag stoppen:
- Firefox: about:config öffnen und privacy.resistFingerprinting auf true setzen. Websites, die ein Canvas lesen wollen, erhalten ein leeres Ergebnis, sofern Sie es nicht über das Symbol in der Adressleiste erlauben.
- Brave: Canvas wird unter Shields standardmäßig pro Website randomisiert. Die Fingerprinting-Einstellung auf „streng“ setzen für stärkeren Schutz, auf Kosten mancher Websites.
- Chrome, Edge und andere Chromium-Browser: Keine eingebaute Einstellung. Eine Erweiterung, die Canvas-Rauschen hinzufügt (CanvasBlocker-artige Tools), erledigt das; Rauschen ist weniger auffällig als komplettes Blockieren.
- Safari: Kein Nutzerschalter speziell für Canvas. Nutzen Sie einen anderen Browser, wenn Canvas-Schutz Pflicht ist.
- Seite neu laden und zweimal ausführen. Ein wechselnder Hash bestätigt den aktiven Schutz.
Hash stabil halten für ein Konto, bei dem Sie sich über Proxy oder VPN anmelden:
- Ein eigenes Browserprofil für dieses Konto, mit ausgeschaltetem Canvas-Rauschen. In Firefox privacy.resistFingerprinting dort auf false lassen. In Brave Fingerprinting für die Website erlauben oder ein Profil mit gelockerten Shields nutzen. Canvas-Erweiterungen aus dem Profil entfernen.
- Browserversion, Anzeigeskalierung und installierte Schriften auf dieser Maschine nicht öfter als nötig ändern; jede Änderung ändert den Hash, und ein geänderter Hash wirkt wie ein neues Gerät.
- Diese Seite vor dem Login zweimal aus dem Profil ausführen. Gleiches Bild, gleicher Hash, beide Male.
- Dann den Browser-Fingerprint-Test für die anderen Signale und den Anonymitäts-Score für die IP-Seite.
In Anti-Detect-Browsern:
- Die Canvas-Einstellung bietet meist aus, Rauschen oder blockieren. Rauschen erzeugt eine konsistente Verzerrung pro Profil, sodass jedes Profil einen anderen, aber stabilen Hash erhält — der richtige Modus, wenn mehrere Profile auf einer Maschine wie separate Geräte aussehen müssen.
- Hier prüfen, dass der Hash innerhalb eines Profils stabil und zwischen Profilen verschieden ist.
- Blockier-Modus für Logins vermeiden; ein unlesbares Canvas ist ein selteneres Merkmal als jeder bestimmte Hash.
Grenzen dieses Tests
- Keine Vergleichspopulation. Wir zeigen Ihren Hash; wie viele andere Maschinen ihn erzeugen, wissen wir nicht und raten nicht.
- Eine Zeichnung. Tracking-Skripte nutzen eigene Zeichnungen, Ihr Hash hier unterscheidet sich also von dem auf jeder anderen Website. Übertragbar ist die Stabilität: Ist der Hash hier stabil, ist er es auch für andere Zeichnungen; wird er hier randomisiert, überall.
- Rauscherkennung ist eine Heuristik. Ein Browser, der nur einmal pro Sitzung oder pro Website randomisiert, wirkt hier stabil und vereitelt trotzdem Cross-Site-Tracking.
- Canvas ist ein Signal. WebGL, Audio, Schriften, Bildschirm und die passiven Header bleiben lesbar, wenn Canvas blockiert ist.
- Sie sehen das Ergebnis nach dem Eingriff einer Erweiterung. Die Seite kann ein echtes Bild nicht von einem veränderten unterscheiden; sie sagt nur, ob sich das Ergebnis ändert.
Warum dieselbe Zeichnung verschiedene Pixel erzeugt
Textrendering ist die Hauptquelle. Jedes Betriebssystem hat seinen eigenen Schrift-Rasterizer und eigene Regeln für Hinting und Subpixel-Anti-Aliasing, und die exakte Menge installierter Schriften entscheidet, welche Glyphen bei fehlender Schrift verwendet werden. Grafikhardware ist die zweite Quelle: Beschleunigt der Browser das Canvas per GPU, entscheidet der Treiber, wie Kanten geglättet und Farben gemischt werden, und verschiedene Karten und Treiberversionen runden unterschiedlich. Die dritte Quelle ist der Browser selbst, denn jede Engine zeichnet Kurven und Transparenz etwas anders und ändert diese Details zwischen Versionen. Jede dieser Abweichungen verschiebt ein paar Pixel, und der Hash des gesamten Bildes ändert sich vollständig, sobald ein einziges Pixel abweicht. Der Glossareintrag Canvas-Fingerprint erklärt die Rendering-Pipeline ausführlicher.
Wie Websites den Canvas-Hash nutzen
Für sich identifiziert der Hash einen Rendering-Stack: Maschinenmodell, Betriebssystem, Browserversion und Schriften-Set. Kombiniert mit wenigen anderen Werten grenzt er auf eine kleine Gerätegruppe ein, kombiniert mit IP-Adresse, Zeitzone und Login auf das Setup einer Person. Tracker nutzen ihn, um einen Browser über Websites hinweg zu erkennen, auf denen Cookies blockiert sind. Betrugs- und Kontosicherheitssysteme nutzen ihn umgekehrt: Sie speichern den Hash von Registrierung und früheren Logins und behandeln einen Login mit anderem Hash von anderer Adresse als neues Gerät, das eine Rückfrage verdient. Deshalb unterscheidet sich der Rat je nach Ziel: Für Privatsphäre vor Trackern den Hash wechseln lassen; für einen vertrauten Login ihn nie ändern.
Canvas-Rauschen: wann es hilft und wann es schadet
Rauschen hilft, wenn Sie über Websites hinweg unerkennbar sein wollen, und die Kosten sind klein: Einige Websites, die Canvas produktiv nutzen, rendern falsch, und Skripte, die nach Randomisierung suchen, wissen, dass Sie sie nutzen. Rauschen schadet, wenn ein Dienst Ihren Browser bereits kennt und ihn wiedersehen will — jeder Besuch kommt dann als neues Gerät an, was Verifizierungs-E-Mails, Zwei-Faktor-Abfragen und auf strengen Plattformen Überprüfungen auslöst. Die saubere Lösung ist Trennung: ein Datenschutz-Browser mit Rauschen fürs allgemeine Surfen und ein stabiles, unauffälliges Profil für die Konten, die zählen — hier vor der Nutzung getestet.