Unsichtbares Tracking: Der AliExpress-Fall und seine Lehren
Was auf AliExpress passiert ist
Der Auslöser war banal: Ein Entwickler wunderte sich, warum sich sein Bluetooth-Kopfhörer beim Öffnen der AliExpress-Website eigenartig verhielt. Bei der Fehlersuche stieß er auf den eigentlichen Grund, nämlich dass die Website im Hintergrund die Web Audio API des Browsers nutzte, um ein für Menschen nicht hörbares Audiosignal zu erzeugen und auszuwerten. Dieses Signal diente offenbar dazu, das jeweilige Endgerät eindeutig zu identifizieren, ganz ohne dass der Besucher davon etwas mitbekam oder zustimmen musste.
Das Pikante daran: Anders als beim Zugriff auf Kamera oder Mikrofon fragt der Browser bei der Nutzung der Web Audio API zur reinen Signalerzeugung und -analyse nicht um Erlaubnis. Die Technik läuft im Verborgenen, technisch bedingt durch minimale Unterschiede in der Audio-Hardware und -Verarbeitung jedes Geräts, die sich zu einem einzigartigen Fingerabdruck zusammensetzen lassen. Genau das machte den Fall erst durch einen Zufall sichtbar: Ohne das gestörte Headset wäre die Methode vermutlich unentdeckt geblieben.
Für einen Konzern wie AliExpress mit Millionen Besuchern täglich ist ein solches Verfahren attraktiv, weil es zusätzliche, sehr stabile Identifikationsmerkmale liefert, die klassischen Blockern für Cookies und Tracking-Skripte entgehen. Genau diese Robustheit macht die Methode aus Datenschutzsicht so heikel.
Wie Audio-Fingerprinting technisch funktioniert
Um die Tragweite einzuschätzen, lohnt sich ein Blick auf die Technik dahinter. Die Web Audio API ist ein völlig legitimes Browser-Feature, gedacht für Musik-Apps, Soundeffekte in Webspielen oder Audioverarbeitung direkt im Browser. Sie erlaubt es Websites, Töne zu erzeugen, zu verarbeiten und zu analysieren, alles clientseitig in JavaScript.
Beim Audio-Fingerprinting wird diese Funktion zweckentfremdet. Die Website lässt den Browser ein kurzes, meist außerhalb des menschlichen Hörbereichs liegendes Signal generieren und wieder auswerten. Weil jede Kombination aus Soundchip, Treiber, Betriebssystem und Browser das Signal minimal anders verarbeitet, etwa durch winzige Abweichungen in der Verstärkung oder im Rauschverhalten, entsteht ein Muster, das für ein bestimmtes Gerät charakteristisch ist. Dieses Muster lässt sich wie ein digitaler Fingerabdruck speichern und bei jedem weiteren Besuch wiedererkennen.
Das Prinzip ist demselben Grundgedanken verwandt wie das länger bekannte Canvas-Fingerprinting, bei dem Websites unsichtbare Grafiken zeichnen lassen und die minimalen Rendering-Unterschiede zwischen Geräten als Identifikationsmerkmal nutzen. Beide Verfahren gehören zur Familie des sogenannten Browser-Fingerprintings, das gerade deshalb so wirksam ist, weil es ohne klassische Tracking-Cookies auskommt und von den meisten Consent-Tools schlicht nicht erfasst wird.
Der entscheidende Unterschied zu einem Cookie: Ein Cookie kann der Nutzer löschen, blockieren oder im Inkognito-Modus umgehen. Ein Fingerabdruck aus Hardware-Eigenheiten bleibt weitgehend stabil, selbst wenn der Nutzer seinen Browser-Cache leert oder ein VPN nutzt. Genau deshalb gilt Fingerprinting in Fachkreisen seit Jahren als eine der hartnäckigsten Formen von Nutzerverfolgung.
Warum das kein reines AliExpress-Thema ist
Der beschriebene Fall betrifft konkret AliExpress, aber das Verfahren an sich ist plattformunabhängig. Jede Website, die JavaScript einbindet, egal ob selbst programmiert, über ein Werbenetzwerk eingebunden oder als Teil eines Drittanbieter-Skripts, kann grundsätzlich auf dieselben Browser-Schnittstellen zugreifen. Das betrifft nicht nur riesige Marktplätze, sondern potenziell auch kleinere Shopsysteme, Werbe-Widgets, Analytics-Tools oder eingebettete Chat- und Empfehlungs-Plugins, die viele mittelständische Unternehmen ohne genauere Prüfung in ihre Website einbauen.
Das eigentliche Risiko für ein KMU liegt also selten darin, selbst absichtlich Audio-Fingerprinting einzusetzen. Es liegt darin, dass Drittanbieter-Skripte, die auf der eigenen Website eingebunden sind, genau solche Techniken verwenden, ohne dass der Website-Betreiber davon überhaupt weiß. Wer ein Werbenetzwerk, ein Empfehlungssystem oder ein kostenloses Analytics-Tool einbindet, gibt diesem Skript denselben technischen Zugriff auf den Browser der eigenen Besucher wie AliExpress ihn genutzt hat. Verantwortlich im Sinne der Datenschutzgrundverordnung bleibt aber in der Regel der Betreiber der Website, nicht der externe Anbieter im Hintergrund.
Das ist ein Muster, das in der IT-Sicherheit immer wieder auftaucht: Die eigentliche Schwachstelle sitzt nicht im eigenen Code, sondern in einer eingebundenen Drittkomponente, deren tatsächliches Verhalten niemand im Detail geprüft hat. Genau aus diesem Grund gehört eine regelmäßige technische Überprüfung der eigenen Website, einschließlich aller eingebundenen Skripte und Tracking-Tools, zu den Grundpflichten verantwortungsbewusster Betreiber. Ein strukturiertes Website-Audit deckt solche verdeckten Skript-Ladungen und Datenabflüsse zuverlässig auf, oft Dinge, die im Alltagsbetrieb schlicht niemandem auffallen, weil sie technisch unauffällig im Hintergrund laufen.
Die rechtliche Seite: DSGVO und TTDSG
In Deutschland und der gesamten EU ist die Rechtslage bei Verfahren wie Audio-Fingerprinting eindeutiger, als es die technische Unauffälligkeit vermuten lässt. Das Telekommunikation-Telemedien-Datenschutz-Gesetz, kurz TTDSG, verlangt eine Einwilligung nicht nur für klassische Cookies, sondern grundsätzlich für jeden Zugriff auf Endeinrichtungen von Nutzern, also auch für Techniken, die Informationen aus dem Endgerät auslesen oder darauf zugreifen, um es wiederzuerkennen. Fingerprinting-Verfahren, die auf technischen Eigenheiten der Hardware basieren, fallen konzeptionell genau in diesen Anwendungsbereich, auch wenn kein Cookie im klassischen Sinn gesetzt wird.
Ergänzend greift die Datenschutzgrundverordnung selbst, sobald aus den gesammelten technischen Merkmalen ein Personenbezug hergestellt werden kann, etwa weil das Gerät einer identifizierbaren Person zugeordnet wird oder ein Nutzerprofil über mehrere Besuche hinweg entsteht. Ein stabiler Geräte-Fingerabdruck, der Besuche über die Zeit verknüpft, erfüllt diese Voraussetzung in aller Regel.
Für Unternehmen bedeutet das: Ein Cookie-Banner allein reicht nicht aus, um datenschutzrechtlich auf der sicheren Seite zu sein. Viele Consent-Management-Lösungen sind technisch so gebaut, dass sie ausschließlich Cookies erkennen und blockieren, aber Skripte, die per Fingerprinting arbeiten, gar nicht als Tracking-Technologie identifizieren. Wer sich allein auf ein Standard-Cookie-Tool verlässt, kann also formal einen Consent-Banner eingebunden haben und trotzdem gegen geltendes Recht verstoßen, weil im Hintergrund Techniken laufen, die der Banner schlicht nicht erfasst.
Dieses Thema reiht sich in eine größere Entwicklung ein: Regulierung im Bereich IT-Sicherheit und Datenschutz wird für Unternehmen jeder Größe strenger, nicht nur für Konzerne. Wer sich ohnehin mit den kommenden Anforderungen der NIS2-Richtlinie beschäftigt, tut gut daran, Datenschutz und technische Sicherheit als zwei Seiten derselben Medaille zu behandeln. Eine Übersicht, was auf mittelständische Betriebe konkret zukommt, findet sich unter NIS2 & IT-Sicherheit für KMU.
Das Vertrauensproblem hinter der Technik
Neben der rein rechtlichen Dimension gibt es eine zweite, die für den Mittelstand mindestens genauso wichtig ist, nämlich das Vertrauen der eigenen Kunden. Der AliExpress-Fall wurde öffentlich, weil ein technisch versierter Nutzer misstrauisch wurde und nachgebohrt hat. Genau diese Art von Aufmerksamkeit nimmt spürbar zu. Kunden, Journalisten und Datenschutzbehörden schauen inzwischen genauer hin, welche Skripte im Hintergrund einer Website laufen, und Tools zur Offenlegung solcher versteckten Datenabflüsse werden zugänglicher.
Für ein mittelständisches Unternehmen, das online verkauft oder Kundendaten verarbeitet, ist der Reputationsschaden bei einem aufgedeckten, nicht offengelegten Tracking-Verfahren oft schwerer zu verkraften als ein Bußgeld. Ein Shop, dem nachgewiesen wird, heimlich Geräte-Fingerabdrücke zu erstellen, verliert schnell das Vertrauen genau jener Kunden, die aus Datenschutzgründen bereits sensibilisiert sind, eine Gruppe, die tendenziell wächst. Wer selbst nie bewusst auf solche Verfahren gesetzt hat, aber über ein eingebundenes Drittskript trotzdem betroffen ist, steht am Ende in derselben unangenehmen Situation, nur ohne es vorher gewusst zu haben.
Was das für den Mittelstand bedeutet
Für ein mittelständisches Unternehmen mit eigenem Online-Shop oder einer datensammelnden Website ergeben sich aus dem AliExpress-Fall mehrere konkrete Handlungsfelder.
Zunächst lohnt sich eine ehrliche Bestandsaufnahme aller auf der eigenen Website eingebundenen Drittanbieter-Skripte. Dazu zählen Analytics-Tools, Werbenetzwerke, Empfehlungssysteme, Chat-Widgets, Social-Media-Einbindungen und alles, was per JavaScript von externen Servern nachgeladen wird. Jedes dieser Skripte hat technisch potenziell Zugriff auf Browser-Schnittstellen wie die Web Audio API, das Canvas-Element oder andere Fingerprinting-relevante Funktionen. Wer nicht genau weiß, was die eigenen eingebundenen Tools im Hintergrund tatsächlich tun, sollte das prüfen lassen, statt sich auf Vertrauen in den Anbieter zu verlassen.
Zweitens sollte das Consent-Management über klassisches Cookie-Blocking hinausgehen. Moderne Consent-Lösungen können auch Skript-Ausführung an sich blockieren, bis eine Einwilligung vorliegt, nicht nur das Setzen von Cookies. Diese technische Unterscheidung ist wichtig und wird in vielen Standard-Installationen nicht sauber umgesetzt.
Drittens gehört eine dokumentierte, regelmäßige Überprüfung des eigenen Datenschutzstatus zur Routine, nicht zur Ausnahme. Eine Website verändert sich laufend, neue Plugins kommen dazu, alte werden aktualisiert, Marketing-Tools werden ausgetauscht. Jede dieser Änderungen kann neue Tracking-Mechanismen mit sich bringen, ohne dass es jemand aktiv entschieden hat. Ein wiederkehrendes Website-Audit macht solche schleichenden Veränderungen sichtbar, bevor sie zum Problem werden.
Viertens sollte technische Sicherheit und Datenschutz beim Betrieb der eigenen Website nicht getrennt betrachtet werden. Wer ohnehin über eine Erneuerung der Website nachdenkt, sollte Datenschutzfreundlichkeit von Anfang an als Designkriterium mitdenken, statt sie nachträglich als Reparatur aufzusetzen. Ein sauber geplantes Webdesign berücksichtigt datensparsame Standardeinstellungen, transparente Einbindung von Drittanbietern und eine nachvollziehbare Consent-Struktur von Grund auf.
Fünftens gilt grundsätzlich: Wer auf externe Dienstleister für Betrieb, Wartung oder Sicherheit der eigenen IT-Infrastruktur setzt, sollte sicherstellen, dass solche Fragestellungen aktiv Teil der Betreuung sind, nicht nur auf Nachfrage behandelt werden. Ein IT-Dienstleister, der Skript-Verhalten und Tracking-Praktiken regelmäßig prüft, statt nur auf Ausfälle zu reagieren, reduziert das Risiko, selbst zum ungewollten Datenschutzfall zu werden, deutlich. Wer diesen Bereich strukturell absichern möchte, findet einen Einstieg unter IT-Sicherheit.
Sechstens: Kommunikation zählt genauso wie Technik. Selbst wer datenschutzrechtlich sauber arbeitet, profitiert davon, das Vorgehen transparent zu machen, etwa in einer verständlichen Datenschutzerklärung, die tatsächlich beschreibt, welche Techniken zum Einsatz kommen, statt austauschbare Textbausteine zu verwenden. Genau diese Transparenz wird künftig eher zum Wettbewerbsvorteil als zur lästigen Pflichtübung.
Ein Blick nach vorn
Der AliExpress-Fall ist letztlich ein Weckruf, der über den konkreten Einzelfall hinausweist. Browser-Fingerprinting in seinen verschiedenen Formen wird nicht verschwinden, solange klassische Cookies zunehmend blockiert und reguliert werden und Werbetreibende nach robusteren Wegen suchen, Nutzer wiederzuerkennen. Für Unternehmen bedeutet das, dass Datenschutz-Compliance kein einmaliges Projekt ist, das mit der Installation eines Cookie-Banners abgeschlossen ist, sondern eine fortlaufende Aufgabe, die mit jeder neuen Integration, jedem neuen Tool und jeder technischen Weiterentwicklung des Webs mitwachsen muss.
Wer als mittelständisches Unternehmen jetzt aktiv wird, die eigenen eingebundenen Skripte prüft, das Consent-Management technisch sauber aufsetzt und Datenschutz als festen Bestandteil der eigenen Website-Betreuung versteht, ist nicht nur rechtlich besser abgesichert. Er signalisiert auch nach außen, dass er die eigenen Kunden ernst nimmt, ein Argument, das angesichts wachsender Sensibilität für genau solche Themen zunehmend an Gewicht gewinnt.
Häufige Fragen
Was ist Audio-Fingerprinting genau?
Audio-Fingerprinting nutzt die Web Audio API des Browsers, um ein für Menschen nicht hörbares Signal zu erzeugen und auszuwerten. Weil jede Kombination aus Soundchip, Treiber und Betriebssystem das Signal minimal anders verarbeitet, entsteht ein für das jeweilige Gerät charakteristisches Muster, das zur Wiedererkennung genutzt werden kann.
Ist Audio-Fingerprinting dasselbe wie ein Cookie?
Nein. Ein Cookie ist eine Datei, die im Browser gespeichert wird und die sich löschen oder blockieren lässt. Ein Audio-Fingerabdruck basiert dagegen auf Hardware- und Systemeigenschaften und bleibt auch dann stabil, wenn Cookies gelöscht oder blockiert werden.
Betrifft das nur große Plattformen wie AliExpress?
Nein. Grundsätzlich kann jede Website mit der entsprechenden Technik arbeiten, auch über eingebundene Drittanbieter-Skripte wie Werbenetzwerke, Analytics-Tools oder Empfehlungssysteme. Viele Website-Betreiber wissen dabei gar nicht, welche Techniken die von ihnen eingebundenen externen Tools tatsächlich einsetzen.
Reicht ein normaler Cookie-Banner aus, um rechtlich abgesichert zu sein?
Nicht zwangsläufig. Viele Consent-Tools erkennen ausschließlich klassische Cookies und blockieren Fingerprinting-Skripte gar nicht. Das TTDSG verlangt eine Einwilligung grundsätzlich für Zugriffe auf Endeinrichtungen, unabhängig davon, ob dabei ein Cookie gesetzt wird oder nicht.
Wie finde ich heraus, ob meine Website betroffen ist?
Am zuverlässigsten ist eine technische Überprüfung aller eingebundenen Skripte und ihres tatsächlichen Verhaltens im Browser, etwa im Rahmen eines strukturierten Website-Audits. Eine reine Sichtprüfung der eingebundenen Tools reicht meist nicht aus, weil das eigentliche Verhalten erst im Code sichtbar wird.
Was sollte ich als Erstes tun, wenn ich unsicher bin?
Am sinnvollsten ist eine Bestandsaufnahme aller eingebundenen Drittanbieter-Tools, gefolgt von einer Prüfung, ob das eigene Consent-Management über klassisches Cookie-Blocking hinausgeht. Bei Unsicherheit lohnt sich eine externe technische Prüfung, um verdeckte Risiken sichtbar zu machen, bevor sie zu einem echten Problem werden.