// HEISE ONLINE — MOBILE & WEB
AliExpress trackt Nutzer via unhörbarem Audio-Fingerprinting
AliExpress nutzte die Web Audio API, um Geräte per unhörbarem Audiosignal zu identifizieren. Ein Entwickler entdeckte das Tracking durch Bluetooth-Probleme.
Alibabas Onlineshop AliExpress hat offenbar seine Kunden getrackt, ohne dass sie es merken. Auf seiner Seite werden anscheinend Skripte ausgeführt, die im Hintergrund unhörbare Audiosignale erzeugten. Da diese auf jedem Gerät etwas anders verarbeitet werden, machen sie den Weibseiten-Nutzer wiedererkennbar – ganz ohne Cookies.
Aufgeflogen ist die Praxis durch einen Zufall: Ein Entwickler bemerkte Probleme mit seinen Multipoint-Bluetooth-Kopfhörern, solange bei ihm ein AliExpress-Tab geöffnet war. Wie TechSpot berichtet, wechselten die Kopfhörer nicht mehr korrekt zwischen Computer und Smartphone. Sobald der AliExpress-Tab geschlossen wurde, verschwand das Problem. Bei der Analyse des Quellcodes stieß der Entwickler auf Skripte, die über die Web Audio API Audio-Processing-Graphen aufbauen.
Diese Skripte erzeugen bei jedem Nutzer ein identisches Audiosignal und messen dann winzige Unterschiede in der Art, wie verschiedene Geräte dieses Signal verarbeiteten. Diese Abweichungen ergeben sich aus dem Zusammenspiel von Prozessor, Soundchip, Treibern, Betriebssystem und Browser-Implementierung, deren Kombination bei jedem Gerät etwas anders ist. So entsteht eine Art digitaler Fingerabdruck, der ein Gerät über längere Zeiträume wiedererkennbar machen kann – ohne dass dafür Cookies gesetzt werden müssen.
Die Audiomessung war nur ein Baustein der Datensammlung von AliExpress. Laut dem Bericht von TechSpot erfasst die Webseite zusätzlich Informationen zu Canvas-Rendering, WebGL, Display-Einstellungen, Hardware-Konfiguration, WebRTC-Verhalten und Nutzerinteraktionen. Zusammengenommen ergibt sich daraus ein nahezu eindeutiges Geräteprofil, das Nutzer identifizierbar macht.
Diese Technik wird immer wieder von Webseiten eingesetzt, um zum Beispiel Betrugsversuche zu erkennen. Sie wird jedoch auch stark kritisiert, weil sie zum unbemerkten Tracking von Personen missbraucht werden kann. Da die Lautstärke bei der Erzeugung des Audiosignals auf null gesetzt ist, ist der Vorgang für den Nutzer nicht hörbar.
Der Fall reiht sich in eine Serie von Vorfällen ein, bei denen vermeintlich harmlose technische Prozesse im Hintergrund für Tracking oder unerwünschte Datenübertragung genutzt werden. Wie eine EFF-Analyse zu voreingestellten Datenlecks in Werbe-SDKs zeigt, leiten auch viele Smartphone-Apps Standortdaten standardmäßig an Werbenetzwerke weiter, ohne dass Entwickler oder Nutzer dies bewusst steuern. Ähnlich überraschend war der Fund bei der britischen Royal Navy: Chinesische Kamerakomponenten in Seedrohnen funkten heimlich Statussignale nach China – ein Fall, in dem selbst kleine Heartbeat-Pakete zum Sicherheitsrisiko wurden.
Keine News verpassen! Jeden Morgen der frische Nachrichtenüberblick von heise online
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.