Audio-Fingerprinting: AliExpress trackt Dich mit unhörbarem Ton

Ein Entwickler wundert sich, warum seine Bluetooth-Kopfhörer spinnen: Sie unterstützen Multipoint, können also gleichzeitig mit PC und Handy verbunden sein – aber immer, wenn am Rechner ein Tab mit AliExpress geöffnet ist, weigern sie sich, zum Handy umzuschalten. Der Grund, den er nach einem Blick in den Quellcode der Seite fand, hat es in sich: Die Shopping-Plattform erzeugt im Hintergrund unhörbare Töne und vermisst, wie Dein Rechner sie verarbeitet. Audio-Fingerprinting nennt sich die Technik – und sie identifiziert Dich ganz ohne Cookies, unbemerkt und sogar bei stummgeschaltetem Rechner.

Fingerprinting: der Steckbrief Deines Browsers

Zur Erinnerung: Browser-Fingerprinting ist das Tracking für die Zeit nach dem Cookie. Statt eine Markierung auf Deinem Rechner zu hinterlegen, die Du löschen könntest, liest die Webseite einfach aus, was Dein Browser ohnehin über sich verrät: Bildschirmgröße und Fensterabmessungen, installierte Schriftarten, Erweiterungen, Betriebssystem, Sprache, Zeitzone, Grafikkarte (per Canvas- und WebGL-Rendering), Anzahl der Prozessorkerne und vieles mehr. Jedes einzelne Merkmal ist harmlos – aber die Kombination aus Dutzenden Werten ist bei den meisten Menschen einzigartig wie ein Fingerabdruck. Wie wiedererkennbar Dein Browser ist, kannst Du beim EFF-Test „Cover Your Tracks" selbst prüfen. Das Perfide: Ein Fingerprint überlebt das Löschen aller Cookies, den privaten Modus und auch den Wechsel der IP-Adresse. Ein VPN allein hilft hier also nicht.

Der neue Kanal: Dein Rechner hat einen Klang

Audio-Fingerprinting erweitert diesen Steckbrief um eine besonders unauffällige Dimension. Moderne Browser stellen mit der Web Audio API eine Schnittstelle bereit, mit der Webseiten Töne erzeugen und verarbeiten können – gedacht für Spiele, Musik-Apps und Ähnliches. Ein Tracking-Skript missbraucht sie so: Es erzeugt ein Testsignal, etwa eine Sägezahnschwingung, schickt sie durch eine Verarbeitungskette aus Oszillator, Analyse-Baustein und Kompressor und liest das Ergebnis wieder aus. Weil Prozessor, Soundchip, Treiber, Betriebssystem und Browser bei den zugrunde liegenden Gleitkomma-Berechnungen minimal unterschiedlich runden, kommt auf jedem System ein messbar anderes Ergebnis heraus. Aus diesen Abweichungen wird eine Kennzahl errechnet – der Klang-Fingerabdruck Deines Geräts. Zu hören ist dabei nichts: Die Lautstärke steht auf null, und die Messung funktioniert selbst dann, wenn Ton im Tab oder im ganzen System stummgeschaltet ist. Neu ist die Idee übrigens nicht – Forscher der Princeton University haben die Technik schon 2016 bei einer großen Messung im Netz dokumentiert. Neu ist, wie selbstverständlich große Plattformen sie heute einsetzen.

Aufgeflogen durch einen Kopfhörer-Bug

Genau das zeigt der aktuelle Fall, über den unter anderem heise online berichtet: Bei AliExpress laufen zwei versteckte, stark verschleierte Skripte aus dem Alibaba-Konzern („collina.js" und „fireyejs.js"), die solche unhörbaren Audio-Messungen durchführen – und dabei den Audio-Ausgang des Systems dauerhaft belegen. Deshalb blieben die Multipoint-Kopfhörer des Entwicklers am PC hängen: Für sie sah es so aus, als würde der AliExpress-Tab ununterbrochen Musik spielen. Erst dieser Nebeneffekt machte die Überwachung sichtbar. Die Analyse der Skripte ergab: Der Klang-Fingerabdruck ist nur ein Baustein. Dieselben Skripte vermessen auch Canvas, WebGL, Hardware-Ausstattung, WebRTC-Verhalten sowie Maus- und Tippbewegungen und funken die Profile an Alibaba-Server. Offiziell firmiert so etwas als „Betrugserkennung" – faktisch ist es eine Wiedererkennung von Geräten und Personen, über die niemand informiert wird und in die niemand eingewilligt hat. Und was der Shop kann, können Werbenetzwerke und Datenhändler, bei denen sich auch Behörden bedienen, schon lange.

Maßnahmen gegen Fingerprinting

Vollständig unsichtbar macht Dich kein einzelner Trick – aber Du kannst Deinen Fingerabdruck so unscharf machen, dass er zum Tracking taugt wie ein verwackeltes Foto. Generell gilt:

• Tor Browser für alles Sensible: Er ist das einzige Werkzeug, das Fingerprinting systematisch bekämpft – alle Nutzer sehen möglichst identisch aus, die Fenstergröße wird vereinheitlicht („Letterboxing"), Canvas und Audio werden blockiert oder normalisiert.
• Firefox härten: Der Schalter privacy.resistFingerprinting (oder gleich ein gehärtetes Profil wie LibreWolf) meldet vereinheitlichte Werte für Bildschirm, Zeitzone, Fonts – und verpasst Audio-Abfragen gezielt kleine Störungen.
• Brave nutzt Rauschen: Brave randomisiert Canvas-, WebGL- und Audio-Werte bei jedem Seitenaufruf leicht („Farbling") – der Fingerabdruck ist damit jedes Mal ein anderer.
• Weniger ist mehr: Jede exotische Erweiterung, jede zusätzliche Schriftart und jede ungewöhnliche Fenstergröße macht Dich einzigartiger. Wer im Standard-Setup bleibt, verschwindet in der Masse.
• Skripte blockieren: Fingerprinting ist JavaScript. uBlock Origin mit strengen Listen oder NoScript stoppen bekannte Tracking-Skripte, bevor sie messen können.
• VPN trotzdem nutzen – aber im Wissen, dass es nur die IP-Adresse tauscht. Gegen Fingerprinting hilft es erst in Kombination mit einem der genannten Browser.

Speziell gegen den Klang-Fingerabdruck:

• Web Audio API abschalten, wenn Du sie nicht brauchst: In Firefox lässt sich dom.webaudio.enabled unter about:config auf false setzen. Manche Musik- und Konferenzseiten funktionieren dann nicht mehr – für ein Zweitprofil zum anonymen Surfen ist das verschmerzbar.
• Audio-Schutz der Browser aktivieren: Tor Browser und Firefox mit resistFingerprinting neutralisieren Audio-Abfragen von Haus aus, Brave verrauscht sie. Erweiterungen wie JShelter können das in anderen Browsern nachrüsten.
• Auf Symptome achten: Wenn Kopfhörer nicht umschalten, das Audio-Symbol im Tab ohne erkennbaren Grund aktiv ist oder das System einen belegten Audiokanal meldet, lohnt ein Blick, welche Seite da „spielt" – genau so ist AliExpress aufgeflogen.

Fingerprinting lebt davon, dass es niemand bemerkt – kein Cookie-Banner, keine Einwilligung, kein sichtbares Zeichen. Umso wichtiger, die eigene Angriffsfläche zu kennen: Dein Browser verrät Dich über seine Ausstattung, Dein Schreibstil verrät Dich über Deine Worte – und neuerdings verrät Dich sogar der Klang Deiner Hardware. Wie Du daraus eine konsequente Verteidigung baust, zeigen unser 10-Punkte-OPSEC-Programm und ausführlich das E-Book „Anonym im Netz – Der praktische Guide 2026".

Quellen: heise online – AliExpress trackt Nutzer über unhörbares Audio-Fingerprinting (24.08.2026) · laserphile – AliExpress webpage keeping multipoint Bluetooth headphones active with WebAudio fingerprinting (Original-Analyse) · Princeton OpenWPM – AudioContext-Fingerprint-Testseite · EFF – Cover Your Tracks (Fingerprint-Selbsttest)