Ändert ein VPN den Browser-Fingerabdruck? Was Sie zuerst prüfen sollten

Sie schalten das VPN in ein anderes Land, laden den Shop neu, und er begrüßt Sie weiterhin mit Namen und demselben Warenkorb. Das ist der Moment, in dem das Wort Fingerabdruck ins Gespräch kommt, meist gefolgt von einer Testseite, die behauptet, Ihr Browser sei einer von einer Million. Gehen Sie das Problem stattdessen der Reihe nach an: bei normalen Seitenanfragen ändert der Tunnel genau ein Feld, der Browser meldet weiter Dutzende, und der Test misst etwas Engeres, als es klingt. Fünf Schritte trennen diese drei Dinge.

Schritt 1: Schließen Sie die langweiligen Gründe aus, warum Sie erkannt wurden

Beginnen Sie abgemeldet. Öffnen Sie ein privates Fenster, besuchen Sie dieselbe Seite und sehen Sie, ob sie sich noch so verhält, als kenne sie Sie. Cookies, lokaler Speicher und eine aktive Sitzung erklären die meisten Berichte „es hat mich durch das VPN gesehen“, und nichts davon ist Fingerprinting.

Wenn die Seite in einem privaten Fenster immer noch etwas erkennt, sehen Sie sich den sichtbaren Zustand an, den Sie mitgebracht haben: dasselbe Konto in einem anderen Tab, ein gespeicherter Formulareintrag, ein Passwortmanager, der Ihre Adresse einträgt, oder eine Seite, die Sie mit einem Token in der URL autorisiert haben. Jeder davon ist eine gespeicherte Referenz, und das Löschen des Profils entfernt sie.

Erst wenn ein sauberes Profil ohne Sitzung noch eine Erkennung erzeugt, die mit früheren Besuchen korreliert, lohnt es sich, von einem Fingerabdruck zu sprechen. Das ist eine viel engere Behauptung als „das VPN funktioniert nicht“, und genau die können Sie tatsächlich testen.

Schritt 2: Ändern Sie den Ausgang und listen Sie, was sich nicht geändert hat

Bringen Sie den Tunnel hoch und prüfen Sie dann den einen Wert, den der Tunnel ändern soll: die Adresse, die ein Server sieht. Jede Seite zur Adressabfrage zeigt sie, oder lesen Sie sie von einem Endpunkt aus, den Sie kontrollieren, mit curl -s https://your-endpoint.example/ip. Jeder Echo-Dienst, den Sie nutzen, sieht die Anfrage, ein eigener Endpunkt hält das also aus fremden Protokollen heraus. Bestätigen Sie, dass sie sich geändert hat. Nun der interessante Teil — listen Sie, was der Browser weiterhin über sich meldet, denn fast nichts davon reist im Paketkopf mit.

Die Zeile mit der Zeitzone ist die, bei der es sich lohnt innezuhalten. Sie wird vom Betriebssystem gelesen, ein Tunnel, der Ihren Verkehr auf einen anderen Kontinent verschiebt, während die Uhr noch Ihre Heimatstadt nennt, erzeugt also eine Diskrepanz, die selbst eine unterscheidende Beobachtung ist. Dasselbe gilt für eine Sprachliste in einem Land und einen Ausgang in einem anderen: kein Beweis für irgendetwas, nur eine Kombination, die auffällt. WebRTC ist die Ausnahme in der Tabelle: Eine Seite, die einen Medien- oder Datenkanal öffnet, kann Kandidatenadressen sammeln, und mit aktivem Tunnel trägt ein Kandidat möglicherweise die Ausgangsadresse oder bietet ohne Leck-Schutz weiterhin Ihre lokale an.

Schritt 3: Lesen Sie einen Fingerabdruck-Test danach, was er meldet

Cover Your Tracks von EFF ist der übliche erste Anlaufpunkt. Es zeigt Merkmale, die Ihr Browser dieser Seite offenbart, und gibt ein Urteil darüber, wie viele Browser in seiner Stichprobe sie teilen. Lesen Sie das Kleingedruckte: Die Stichprobe sind die Menschen, die den Test gemacht haben, die Signale sind die, die diese Seite zu sammeln beschloss, und das Urteil ist eine Schätzung von Entropie-Bits, keine Volkszählung.

„Ihr Browser ist einzigartig“ heißt also einzigartig innerhalb dieses Datensatzes, heute, mit diesem Satz von Sonden. Es heißt nicht, dass eine Website Ihren Namen ableiten kann, und es ist keine dauerhafte Eigenschaft — ein Browser-Update kann den Wert verschieben, ohne dass Sie etwas anfassen.

Nutzen Sie den Test als Messinstrument, nicht als Kennzahl zum Optimieren. Notieren Sie die gemeldeten Werte, ändern Sie eine Sache und vergleichen Sie dieselben Felder. Wenn sich im Browser nichts geändert hat und die Messwerte sich trotzdem bewegt haben, war die Änderung Rauschen in der Stichprobe, nicht bei Ihnen.

Schritt 4: Ändern Sie die Merkmale, die tatsächlich Ihre sind

Jetzt können Sie auf bestimmte Zeilen reagieren. Sprachliste, Zeitzone und regionale Formate sind Einstellungen, und sie an den Ort anzupassen, an dem Sie sich angeblich befinden, ist stimmiges Verhalten statt eines Tricks. Ein separates Browserprofil pro Kontext hält Website-Daten und Logins getrennt, was die Erkennung aus Schritt 1 verlässlicher angeht als jede Anti-Fingerprinting-Erweiterung.

Seien Sie vorsichtig mit dem klassischen Rat, Härtungs-Erweiterungen hinzuzufügen. Jede verändert Ihre beobachtbare Oberfläche, und ein Satz ungewöhnlicher Einstellungen kann Sie seltener statt gewöhnlicher machen. Manche blockieren eine API, die Seiten als fehlend erkennen; andere hinterlassen eine markante geflickte Signatur. Die Beliebtheit einer Erweiterung ist kein Beleg dafür, dass sie Identifizierbarkeit senkt.

Browser, die das ernst nehmen, tun etwas strukturell anderes: Sie standardisieren. Tor Browser will erreichen, dass jeder Nutzer dieselben Werte meldet, Firefox bringt einen Schutzmodus mit, der standardisierte Werte aus einem kleinen Satz statt Ihrer echten meldet, und Safari beschränkt, was Seiten lesen können. Das ist eine konsequent angewandte Designentscheidung, und die Hinweise in der W3C-Leitlinie zum Fingerprinting erklären, warum Standardisierung bei diesem Problem besser ist als Randomisierung pro Nutzer.

Schritt 5: Entscheiden Sie, welche Schicht Sie wirklich brauchten

Drei getrennte Dinge werden unter „versteck mich“ gebündelt: der Netzwerkpfad, die beobachtbare Oberfläche des Browsers und Ihre Konten. Ein VPN adressiert das erste. Es berührt das zweite nicht und kann beim dritten nicht helfen — die Anmeldung ist der direkteste Identifikator, den es gibt, und sie überlebt jede Ausgangsänderung.

Wenn Ihr Ziel ist, dass eine Seite nicht erkennen kann, dass zwei Besuche zusammenhängen, brauchen Sie auch die Browser-Schicht: ein sauberes Profil pro Kontext, konsistente Einstellungen und kein gemeinsames Login. Wenn Ihr Ziel ist, dass die Seite gar nicht erkennen kann, wer Sie sind, ist das ein Bedrohungsmodell, in dem Tor Browser, der Routing mit Standardisierung auf Browserebene bündelt, die stimmige Wahl ist statt eines normalen Browsers hinter einem Tunnel.

Wenn Ihr Ziel nur ist, dass die Seite eine andere Stadt sieht und Ihr Anbieter nichts, genügt der Tunnel allein tatsächlich, und das Ergebnis des Fingerabdruck-Tests ist für dieses Ziel irrelevant. Die meiste Enttäuschung hier kommt daher, eine Schicht zu kaufen und drei zu erwarten.

Eine Reihenfolge, die die Schritte ehrlich hält:

• Reproduzieren Sie die Erkennung mit sauberem Profil und ohne Login, bevor Sie den Tunnel beschuldigen.
• Bestätigen Sie, dass die Ausgangsadresse sich geändert hat, und notieren Sie dann, welche Browserwerte sich nicht geändert haben.
• Vergleichen Sie dieselben Testfelder vor und nach einer einzelnen Änderung, nicht die Überschriften-Punktzahl.
• Bringen Sie Zeitzone und Sprache in Einklang mit Ihrer Geschichte, bevor Sie irgendeine Erweiterung hinzufügen.
• Wählen Sie die Schicht, die zum Ziel passt: Netzwerk, Browser-Oberfläche oder Konten.