Gestern • 1 Std. 3 Min.

Was braucht es, um einen Menschen im Internet zweifelsfrei zu erkennen? Darauf gibt es mehr Antworten, als vielen Nutzern lieb ist. In Episode 168 der Auslegungssache beschäftigen sich c’t-Justiziar Joerg Heidrich und seine Gäste mit den Möglichkeiten der Identifikation von Nutzern im Internet. Dafür hat Heidrich sich zwei c’t-Kollegen eingeladen: Jo Bager, Informatiker und seit fast 30 Jahren in der Redaktion, sowie Sylvester Tremmel, Co-Host des heise-Security-Podcasts „Passwort“ (https://www.heise.de/thema/Passwort_Podcast). Zum Einstieg gibt es wie immer das Bußgeld der Woche: Die niederländische Aufsicht AP (https://www.autoriteitpersoonsgegevens.nl/en/current/uber-fined-nearly-825-million-euros-for-automated-driver-blocking) hat gegen Uber knapp 825 Millionen Euro (https://www.heise.de/news/Uber-825-Millionen-Euro-Strafe-fuer-zu-schnelles-Entscheiden-11422747.html) verhängt, weil der Fahrdienstvermittler Fahrerkonten jahrelang vollautomatisch sperrte, ohne dass dies durch einen Menschen überprüft wurde. Uber wehrt sich gegen diese Entscheidung, die eines der höchsten bislang in Europa verhängten Bußgelder darstellt. Hauptthema des Podcast ist die Frage, wie Nutzer im Netz erkennbar sind. Rechtlich beginnt dabei alles beim Personenbezug. Nach der DSGVO genügt es, dass eine Person mittelbar identifizierbar ist, etwa über eine Online-Kennung. Klassischer Anknüpfungspunkt ist die IP-Adresse, seit einem Urteil des EuGH (https://www.heise.de/newsticker/meldung/BGH-bestaetigt-Dynamische-IP-Adressen-sind-personenbezogene-Daten-3714967.html) auch für Websitebetreiber ein personenbezogenes Datum. Ihre Aussagekraft und damit auch die Identifizierbarkeit sinkt allerdings durch die Nutzung von NAT, Mobilfunk und VPNs. Im Tracking-Alltag, insbesondere im Rahmen von Werbung, spielen dagegen Cookies, Werbe-IDs und vor allem Logins die Hauptrolle. Accountkennungen, Single-Sign-on-Token oder gehashte E-Mail-Adressen verketten Geräte zuverlässiger als probabilistische Verfahren, wobei Hashing die Daten lediglich pseudonymisiert. Das Setzen und Auslesen solcher Kennungen im Endgerät ist nach § 25 TDDDG (https://www.gesetze-im-internet.de/ttdsg/__25.html) grundsätzlich einwilligungsbedürftig. Ganz ohne explizite Kennung kommt das Browser- und Device-Fingerprinting aus. Es kombiniert User-Agent, Sprache, Auflösung, Zeitzone, Schriften, Renderingunterschiede bei Canvas, WebGL oder Audio und viele weitere Aspekte zu einem oft bemerkenswert eindeutigen Profil. Wie weit das geht, zeigt AliExpress (https://www.heise.de/news/AliExpress-trackt-Nutzer-via-unhoerbarem-Audio-Fingerprinting-11424127.html): Der Shop erzeugte über die Web Audio API ein unhörbares Signal und vermaß, wie Prozessor, Treiber und Browser es verarbeiten. Aufgefallen ist das nur, weil bei einem Entwickler die Bluetooth-Kopfhörer nicht mehr umschalteten, solange ein AliExpress-Tab offen war. Auch solches passives Auslesen fällt laut den europäischen Datenschutzbehörden (https://www.edpb.europa.eu/system/files/documents/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf) unter die DSGVO und ist einwilligungsbedürftig. Dass Fingerprinting boomt, liegt auch an Google (https://www.heise.de/news/Google-Device-Fingerprinting-ist-okay-10233355.html), das die Technik seit Anfang 2025 für Werbekunden erlaubt und zugleich Werbeblocker beschneidet (https://www.heise.de/news/uBlock-Origin-Die-Abschaltung-von-Manifest-V2-hat-begonnen-9985221.html). Schutz – mit variierender Effektivität – bieten Browser wie Firefox, Safari und Brave, die Gerätemerkmale vereinheitlichen oder verrauschen, sowie Filter im Heimnetz wie Pi-hole (https://www.heise.de/ratgeber/Adblocker-fuers-Netz-Starthilfe-und-Tipps-zu-Pi-hole-und-AdGuard-Hom