Websites herunterladen, die FingerprintJS nutzen

Über FingerprintJS

Browser-Fingerprinting klärt eine Frage, auf die Cookies keine verlässliche Antwort mehr geben. Kann eine Website bei einer Anfrage ohne Login und ohne brauchbare Kennung trotzdem erkennen, ob dieser Browser schon einmal da war? FingerprintJS bildet aus Dutzenden Browser- und Gerätesignalen eine stabile Besucherkennung, und eine Website, die das Tool lädt, hat entschieden, dass das Wiedererkennen wiederkehrender Besucher wichtig genug ist, um Entwicklungsaufwand in das Problem zu stecken.

Die Gründe sind meist defensiv. Am häufigsten geht es um Betrugsbewertung, Schutz vor Kontoübernahmen, Bot-Filterung, die Abwehr von Missbrauch bei Testzugängen und Gutscheinen sowie Rate Limiting, dahinter folgen Personalisierung und die Durchsetzung von Paywalls. Der Einsatz des Tools kennzeichnet also Websites, auf denen es etwas zu stehlen oder zu missbrauchen gibt, was einen weit engeren und interessanteren Bestand ergibt als Websites, die lediglich einen Sicherheits-Header gesetzt haben.

Stand Oktober 2026 erkennen wir die Bibliothek in der Kategorie Browser fingerprinting auf 11.856 Websites, 4.266 davon in den USA, und die vorherrschende Endung ist .com. Die Geografie ist hier keine Randnotiz, denn Fingerprinting steht mitten in einer laufenden regulatorischen Debatte über Einwilligung und Tracking, und die Rechtsordnung, in der eine Website betrieben wird, bestimmt, was sie mit einer Kennung tun darf, die das Löschen von Cookies übersteht.

Das Projekt hat eine ungewöhnliche Geschichte, die jede Zählung erschwert. Die Technologie entstand 2012 als Open-Source-Bibliothek unter der Lizenz MIT, wurde später vom Anbieter Fingerprint Inc. zu einem kommerziellen Produkt ausgebaut und existiert heute sowohl als kostenlose clientseitige Bibliothek, die jeder einbinden kann, als auch als kostenpflichtiger Dienst mit serverseitiger Identifizierung und höherer Genauigkeit. Ein Crawler sieht ein Skript, keinen Vertrag, daher lässt sich eine Hobby-Installation allein anhand der Seite nicht immer von einem Enterprise-Einsatz unterscheiden.

Die Versionsdaten spiegeln diese Zweiteilung wider. Im Datensatz finden sich 40 Versionen, und am häufigsten sehen wir die Release-Linie 2, wie es zu erwarten ist, wenn eine kostenlose Bibliothek unbegrenzt weiterfunktioniert und nichts zu einem Upgrade zwingt, während zahlende Kunden nach einem anderen Zeitplan und unter einem anderen Vertriebsmodell aktualisieren.

Die Untererfassung verläuft in eine vorhersehbare Richtung, und das sollte man offen sagen. Kommerzielle Installationen werden häufig über einen Proxy auf der eigenen Subdomain des Kunden ausgeliefert, gerade damit Blocker und Datenschutz-Erweiterungen die Anfrage nicht erkennen, und diese Konstruktion erschwert auch die Zuordnung von außen. Gebündelte und selbst gehostete Builds sind ähnlich undurchsichtig. Der sichtbare Bestand ist daher zugunsten einfacher Einbindungen der Bibliothek verzerrt, und die tatsächliche Verbreitung der Technik ist größer als jede Liste von Websites, die ein erkennbares Skript laden.

Innerhalb dieser Grenzen beantwortet der Export Fragen, an die eine Einzelabfrage pro Domain nicht herankommt. Anbieter von Betrugsprävention, Identitätsprüfung und Bot-Abwehr wollen eine Übersicht darüber, wer sich bereits für den Ansatz entschieden hat und wer nicht, denn die beiden Gruppen müssen unterschiedlich angesprochen werden. Datenschutzforscher und Aufsichtsbehörden wollen einen messbaren Bestand statt Anekdoten über eine Praxis, die sich in großem Maßstab nur schwer beobachten lässt. Sicherheitsteams, die Lieferketten prüfen, wollen wissen, welche Drittanbieter-Skripte auf den Websites, von denen sie abhängen, Gerätesignale sammeln. Alle drei brauchen den vollständigen Bestand, nach Land und Endung segmentiert und zwischen den Ausgaben des Datensatzes vergleichbar, und eine Prüfung einzelner Domains liefert nichts davon.