Die Web Audio API, ein wichtiges Werkzeug zur Sound-Verarbeitung im Browser, wird von AliExpress für eine unerwartete Funktion eingesetzt: zur Geräte-Identifikation mittels unhörbarer Audiosignale. Diese Entdeckung zeigt ein neues Kapitel in der Geschichte des digitalen Trackings auf, bei dem Nutzer nicht einmal wissen, dass ihre Geräte identifiziert werden.

Das Funktionsprinzip ist elegant und problematisch zugleich. Der Online-Marktplatz sendet über die Web Audio API Schallfrequenzen aus, die ausserhalb des menschlichen Hörvermögens liegen. Jedes Gerät reagiert unterschiedlich auf diese Signale, abhängig von seinen Hardware-Spezifikationen, Lautsprechereigenschaften und Betriebssystem-Besonderheiten. Diese individuellen Reaktionsmuster erstellen ein eindeutiges digitales Profil, das als verlässliche Gerätekennzeichnung fungiert.

Die Risiken dieser Methode sind erheblich. Im Gegensatz zu klassischen Tracking-Techniken wie Cookies, die Benutzer sehen und löschen können, läuft dieses Audiosignal-Tracking vollständig im Verborgenen ab. Browser-Einstellungen zum Datenschutz bieten keinen Schutz, und Adblocker erkennen diese Technik üblicherweise nicht. Das macht es für Nutzer nahezu unmöglich, das Tracking zu durchschauen oder abzustellen.

Für Unternehmen eröffnet sich damit ein neuer Weg, Nutzerbewegungen über mehrere Websites hinweg zu verfolgen, ohne dass Nutzer explizit informiert oder um Zustimmung gebeten werden. Dies steht im direkten Widerspruch zu Datenschutzbestimmungen wie der Datenschutzgrundverordnung, die für solche Aktivitäten eine informierte Einwilligung voraussetzen.

Die Konsequenzen für KMUs sind zweierlei: Zum einen sollten Unternehmen sich bewusst sein, dass ihre Webseiten-Besucher auf solche versteckten Techniken überwacht werden könnten. Zum anderen ergeben sich Fragen für KMUs, die selbst Webseiten betreiben oder Web-Analytics einsetzen. Es ist wichtig zu verstehen, welche Tracking-Methoden auf der eigenen Website aktiv sind, um DSGVO-Konformität zu gewährleisten und das Vertrauen der Kunden nicht zu verspielen.

Die breite technische Öffentlichkeit wurde erst aufmerksam, nachdem eine Entwicklergemeinschaft die Methode detailliert analysiert hatte. Dies unterstreicht die Notwendigkeit für IT-Sicherheitsverantwortliche, ihre Web-Infrastruktur regelmässig zu überprüfen und moderne Browser-APIs kritisch zu evaluieren, bevor sie in produktiven Umgebungen zum Einsatz kommen.