Websites herunterladen, die ClientJS nutzen

Über ClientJS

Die meisten Bibliotheken, die ein Crawler findet, beschreiben, wie eine Website gebaut wurde. ClientJS beschreibt, wie eine Website mit den Menschen umgeht, die sie besuchen. Die Bibliothek ist dafür da, aus gewöhnlichen Browsersignalen, darunter User-Agent, Bildschirmgeometrie, installierte Schriften, Canvas-Rendering und Zeitzone, einen Geräte-Fingerabdruck zusammenzusetzen und diese Signale zu einer Kennung zu verdichten, die ohne Cookie bestehen bleibt.

Der Einsatz ist deshalb ebenso ein Compliance-Signal wie ein technisches. Fingerprinting dient der Betrugsbewertung, dem Filtern von Bots, der Durchsetzung von Paywalls und der Personalisierung, alles vertretbare Zwecke, und dieselbe Technik ermöglicht auch ein Tracking, das ein Besucher weder löschen noch ablehnen kann. Eine Website, die in einer Rechtsordnung mit Einwilligungsregeln eine Fingerprinting-Bibliothek lädt, bezieht damit eine Position, die sie möglicherweise rechtfertigen muss, und häufig weiß der Websitebetreiber gar nicht, dass die Bibliothek überhaupt da ist, weil sie in einem Template oder einem eingefügten Analytics-Snippet mitgekommen ist.

Die Bibliothek selbst entwickelt sich nicht mehr weiter. Das Projekt erschien 2013 unter der Lizenz MIT und ist in JavaScript geschrieben. Wir erfassen 4 Releases, und auf den Websites, die wir sehen, taucht immer wieder die Version 0.2.1 auf. Eine Abhängigkeit, die sich nicht mehr ändert, ist meist eine Abhängigkeit, die niemand mehr prüft, was ins Gewicht fällt, wenn die betreffende Abhängigkeit Identitätssignale sammelt. Die Stabilität macht zudem die Versionsangabe ungewöhnlich aussagekräftig, denn bei so wenig Bewegung im Umlauf markiert die Version ungefähr den Zeitpunkt, zu dem das Snippet eingefügt wurde, und nicht eine laufende Update-Tätigkeit.

Stand Oktober 2026 erfassen wir die Bibliothek auf 1.614 Websites, und diese Zahl muss man richtig einordnen. Im Produktivbetrieb steckt Fingerprinting weit häufiger in kommerziellen Produkten für Betrugsabwehr, Bot-Management und Analytics, und unsere Erkennung ordnet solche Fälle dem jeweiligen Produkt zu und nicht der zugrunde liegenden Technik. Die erkannten Websites sind die sichtbare Schicht, also Websites, die diese erkennbare eigenständige Bibliothek der Kategorie Browser fingerprinting laden, und nicht alle Websites, die ihre Besucher per Fingerprinting erfassen. Wer mit den Daten über die Verbreitung von Tracking argumentiert, sollte sie als Untergrenze und als Stichprobenrahmen behandeln, nicht als Vollerhebung.

Keine Abfrage pro Domain kann die Frage klären, die Forscher hier tatsächlich stellen: nicht, ob eine bestimmte Website Fingerprinting betreibt, sondern welche Websites es tun. Eine herunterladbare Liste aller Domains, auf denen die Bibliothek vorkommt, gibt einem Datenschutzforscher eine Stichprobe für eine Prüfung, einer Aufsichtsbehörde einen Ausgangsbestand, einem konkurrierenden Anbieter eine Liste von Websites, die bereits auf Geräteidentifikation setzen, und einem Sicherheitsteam die Möglichkeit zu prüfen, ob die Bibliothek irgendwo in der eigenen Lieferkette auftaucht.