Ein merkwürdiges Problem mit Bluetooth-Kopfhörern hat umfangreiche Fingerprinting-Techniken auf der Webseite von AliExpress auffliegen lassen. Versteckte Alibaba-Skripte untersuchen nicht nur die Audioverarbeitung des Rechners, sondern greifen auch Informationen über Grafikhardware, Bildschirm, Prozessor, Arbeitsspeicher und das Verhalten des Nutzers ab. Aus diesen Daten lässt sich ein digitaler Fingerabdruck erstellen – ganz ohne klassische Tracking-Cookies.
Eigentlich wollte Softwareentwickler Matt Callaghan nur herausfinden, warum seine Bluetooth-Kopfhörer plötzlich nicht mehr richtig funktionierten. Die Geräte waren gleichzeitig mit seinem Computer und seinem Smartphone verbunden und sollten automatisch auf das Handy zurückschalten, sobald am PC kein Ton mehr abgespielt wurde. Das funktionierte zuverlässig – bis Callaghan die Webseite von AliExpress in Firefox oder Chrome öffnete. Wenige Sekunden später verstummte die Musik vom Smartphone. Sobald er den AliExpress-Tab schloss, funktionierte alles wieder. Ein stummgeschalteter Browser half ebenso wenig wie ein stummgeschalteter Tab oder die deaktivierte Windows-Lautstärke. Videos, Musik oder andere sichtbare Medien liefen auf der Webseite ebenfalls nicht. Callaghan begann nachzuforschen – und stieß dabei auf etwas ganz anderes als einen einfachen Fehler.
AliExpress greift auf die Audioverarbeitung zu
Callaghan suchte zunächst nach versteckten Audio- oder Videoelementen, automatisch gestarteten Medien und entsprechenden Netzwerkverbindungen. Er fand nichts. Erst als er die Web-Audio-Schnittstelle des Browsers direkt überwachte, tauchten zwei aktive AudioContext-Objekte auf. Die Spuren führten zu zwei stark verschleierten JavaScript-Dateien namens collina.js und fireyejs.js, die über die Alibaba-Infrastruktur geladen werden. Beide erzeugen im Browser einen Audioprozess.
Ein Oszillator produziert eine Sägezahnwelle, die anschließend analysiert wird. Erst unmittelbar vor der Ausgabe wird die Lautstärke auf null gesetzt. Der Nutzer hört nichts, doch der Browser verarbeitet das Signal weiter und hält den Audiokanal aktiv. Genau deshalb spielten Callaghans Kopfhörer verrückt. AliExpress spielte keine Musik ab und startete kein Video. Die Webseite beschäftigte im Hintergrund die Audioverarbeitung seines Rechners. Der technische Nebeneffekt machte sichtbar, was normalerweise völlig unbemerkt geblieben wäre.
Audio war nur der Anfang
Callaghan nahm daraufhin die beiden verschleierten Skripte genauer auseinander. Dabei zeigte sich, dass AliExpress wesentlich mehr als die Audioeigenschaften des Browsers abklopft. Die Skripte untersuchen unter anderem Canvas-Rendering, WebGL-Renderer, Erweiterungen und Shader-Präzision. Hinzu kommen Bildschirm- und Fenstergrößen, Pixeldichte, verfügbare Prozessorkerne, Arbeitsspeicher, installierte Browser-Plugins sowie unterstützte Audio- und Videoformate. Auch WebRTC-Eigenschaften und Performance-Timing werden erfasst.
Damit nicht genug. Im Code finden sich zudem Funktionen zur Erfassung von Mausbewegungen, Berührungen, Scrollvorgängen, Fokuswechseln sowie Bewegungs- und Orientierungsdaten. Andere Prüfungen suchen nach Merkmalen automatisierter Browser. Die Ergebnisse können serialisiert, verschlüsselt und über fetch() oder sendBeacon() an Alibaba-Telemetriedienste übertragen werden. Callaghan bezeichnet das Gesamtpaket folgerichtig als einen ziemlich umfassenden Browser- und Geräte-Fingerprint.
Ein einzelnes Merkmal sagt wenig aus. Die Kombination macht den Unterschied. Grafikhardware, Bildschirmauflösung, Prozessortyp, Arbeitsspeicher, Browserkonfiguration, WebGL-Eigenschaften, Timingwerte und Nutzerverhalten ergeben gemeinsam ein immer genaueres technisches Abbild des verwendeten Geräts. Cookies hinterlegen dagegen eine Kennung im Browser. Löscht der Nutzer diese, verschwindet auch die Kennung. Beim Fingerprinting wird der Wiedererkennungswert aus den Eigenschaften des Rechners und Browsers gewonnen und kann bei einem späteren Besuch erneut berechnet werden. Und darin liegt der Reiz dieser Technik. Cookie-Blocker oder regelmäßig gelöschte Browserdaten beseitigen die zugrunde liegenden Hardware- und Softwaremerkmale nicht.
AliExpress macht aus der Datensammlung kein Geheimnis
In der eigenen Datenschutzerklärung beschreibt AliExpress erstaunlich offen, wie viele technische Informationen automatisch gesammelt werden. Genannt werden IP-Adresse, Gerätetyp, eindeutige Gerätekennungen, Browsertyp, Betriebssystem sowie weitere Software- und Hardwareeigenschaften. Dazu kommen Browsing-Muster und Angaben darüber, wie Nutzer mit der Plattform interagieren. AliExpress erklärt außerdem, aus gesammelten Daten weitere Informationen über Nutzer abzuleiten. Als Verwendungszwecke nennt der Konzern unter anderem Betrugsbekämpfung und Sicherheit, aber auch Personalisierung, Werbung sowie Forschung und Analyse. Marketing- und Analysepartner können ebenfalls Daten erhalten.
Zwischen einer abstrakten Datenschutzerklärung und dem tatsächlichen Vorgang im Browser liegt allerdings ein erheblicher Unterschied. Ein Kunde, der einen chinesischen Online-Shop öffnet, sieht Produkte, Preise und Werbebanner. Dass im Hintergrund Audioberechnungen laufen, die Grafikschnittstelle vermessen wird, Hardwareeigenschaften abgefragt und selbst Maus-, Touch- und Bewegungsdaten ausgewertet werden, ist für ihn nicht erkennbar. Die Skripte laufen zudem bereits auf der normalen AliExpress-Startseite. Callaghan musste sich weder anmelden noch einen Kauf tätigen oder einen Zahlungsvorgang starten, um die Messungen auszulösen. Nachdem er die beiden Skriptfamilien mit uBlock Origin blockierte, verschwanden auch die versteckten Audio-Kontexte. Die Webseite selbst ließ sich weiterhin aufrufen und benutzen.
Firefox hat den Audio-Fingerabdruck entschärft
Der auffälligste Teil des Systems ist gleichzeitig nicht mehr der stärkste. Firefox-Entwickler Tom Ritter nahm sich den von Alibaba verwendeten WebAudio-Test ebenfalls vor. Mozilla hatte diesen Fingerprinting-Vektor bereits mit Firefox 118 im Jahr 2023 massiv eingeschränkt. Bei 99,24 Prozent der untersuchten Firefox-Nutzer erzeugte die Methode nur drei unterschiedliche Werte. Diese lassen sich im Wesentlichen auf CPU-Architekturen beziehungsweise bestimmte Prozessorbefehle zurückführen. Ritter bezeichnet WebAudio-Fingerprinting deshalb für Firefox inzwischen als nahezu nutzlos.
Das ändert am Gesamtbild wenig. Alibaba setzt eben nicht allein auf Audio. Canvas, WebGL, Hardwaredaten, Timingwerte und zahlreiche weitere Merkmale liefern zusätzliche Bausteine. Ritter weist selbst darauf hin, dass Browser-Fingerprinting im Netz weiterhin wirksam ist und andere Merkmale wesentlich mehr Informationen preisgeben können. Der technisch inzwischen schwächere Audio-Test wurde AliExpress letztlich zum Verhängnis. Ohne die Störung der Bluetooth-Kopfhörer wäre Callaghan vermutlich nie auf die Idee gekommen, die Shopping-Seite derart gründlich auseinanderzunehmen.
Was Alibaba mit jedem einzelnen übertragenen Wert auf seinen Servern anstellt, lässt sich aus dem Browsercode nicht ablesen. Belegt sind dagegen die umfangreichen Messungen, ihre Zusammenführung zu einem Fingerprint und die Übertragung von Daten an Alibaba-Dienste. Ob daraus ein dauerhafter Geräteidentifikator entsteht, wie lange dieser gespeichert wird und ob Alibaba ihn konzernübergreifend verwendet, bleibt außerhalb des sichtbaren Codes.
Schon das nachweisbare Verhalten hat es allerdings in sich. Ein Nutzer öffnet einen Online-Shop – und im Hintergrund werden Grafikhardware, Prozessor, Arbeitsspeicher, Bildschirm, Audioverarbeitung, Browserfähigkeiten und Teile seines Nutzungsverhaltens vermessen. Die klassischen Cookies sind dafür nicht nötig, denn der Rechner liefert seinen Fingerabdruck selbst.
