AliExpress-Tracking: Ein stiller Ton erkennt Ihr Gerät wieder

Die schnelle Antwort: Ein Entwickler hat am 20. August 2026 dokumentiert, dass die Startseite von AliExpress über zwei Skripte einen unhörbaren Ton erzeugt und misst, wie Ihr Gerät ihn verarbeitet. Daraus entsteht ein Geräte-Fingerabdruck, der ohne Cookies funktioniert. Betroffen ist, wer die Seite in einem Browser ohne Inhaltsblocker geöffnet hat. Es sind keine Konto- oder Zahlungsdaten abgeflossen.

Wie der Fund zustande kam

Am Anfang stand kein Sicherheitsaudit, sondern ein Ärgernis. Ein Entwickler, der unter dem Namen laserphile veröffentlicht, bemerkte, dass seine Bluetooth-Kopfhörer nicht mehr sauber zwischen Rechner und Smartphone wechselten. Solche Modelle können sich mit zwei Geräten gleichzeitig verbinden und schalten normalerweise automatisch dorthin, wo gerade Ton abgespielt wird. In seinem Fall blieben sie am Rechner hängen, obwohl dort nichts lief. Auffällig war nur eines: Es passierte immer dann, wenn ein Tab mit der AliExpress-Startseite offen war. Schloss er den Tab, funktionierte das Umschalten sofort wieder.

Der eigentliche Grund fand sich in zwei stark verschleierten JavaScript-Dateien, die die Seite nachlädt: collina.js in der Version 1.140.0 und fireyejs.js in der Version 1.231.67, beide ausgeliefert von assets.aliexpress-media.com aus einem Verzeichnis, das dem Missbrauchs- und Risikoschutz des Konzerns zugeordnet ist. Diese Skripte bauen über die WebAudio-Schnittstelle des Browsers eine Signalkette auf: Ein Sägezahn-Oszillator erzeugt ein Testsignal, das über einen Analyseknoten und einen Verarbeitungsknoten läuft, dann durch einen Lautstärkeregler, der auf null steht, und schließlich an den Audioausgang. Der Ton wird also erzeugt, ausgewertet und auf dem Weg nach draußen auf Stille gedreht.

Genau dieser Aufbau erklärt das Kopfhörer-Problem. Weil die Kette dauerhaft mit dem Audioausgang verbunden bleibt, gilt die Seite für Betriebssystem und Browser als aktiv Ton abspielend, auch wenn nichts zu hören ist. Der Rechner meldet den Kopfhörern damit fortlaufend, dass er beschäftigt ist, und diese geben die Verbindung nicht frei. Der Entwickler verweist zusätzlich auf einen bekannten Fehlerbericht im Mozilla-Bugtracker mit der Nummer 1863193: Das Stummschalten eines Tabs unterbindet diese Art der Verarbeitung nicht. Wer die Seite also stummschaltet, stoppt die Messung nicht, sondern nur seine eigene Wahrnehmung davon.

Die deutschsprachige und internationale Fachpresse griff den Fall zwischen dem 23. und 25. August auf. Eine Stellungnahme des Betreibers oder des Mutterkonzerns liegt bislang nicht vor. Fingerprinting kann im Grundsatz einem legitimen Zweck dienen, etwa der Erkennung von Betrugsversuchen und automatisierten Massenbestellungen, und das Verzeichnis, in dem die Skripte liegen, deutet in diese Richtung. Was fehlt, ist nicht die mögliche Begründung, sondern deren Offenlegung gegenüber den Besuchern.

Was ein Geräte-Fingerabdruck ist, und warum er schwerer wiegt als ein Cookie

Ein Cookie ist eine kleine Datei, die eine Webseite auf Ihrem Gerät ablegt, damit sie Sie beim nächsten Besuch wiedererkennt. Das Entscheidende daran: Die Datei gehört Ihnen, sie liegt bei Ihnen, und Sie können sie mit zwei Klicks löschen. Genau darauf beruht das gesamte europäische Cookie-Regime und die Vorstellung, man habe die Sache im Griff.

Ein Fingerabdruck funktioniert umgekehrt. Es wird nichts abgelegt. Stattdessen wird gemessen, wie sich Ihr Gerät verhält. Stellen Sie es sich wie eine Stimmerkennung vor: Niemand hinterlegt etwas bei Ihnen, man hört Ihnen nur beim Sprechen zu und erkennt Sie beim nächsten Mal an denselben Merkmalen. Beim Audio-Fingerprinting entstehen diese Merkmale aus dem Zusammenspiel von Prozessor, Soundchip, Treiber, Betriebssystem und Browser-Implementierung. Zwei Geräte verarbeiten dasselbe Testsignal minimal unterschiedlich, und diese Abweichungen sind stabil genug, um daraus eine Kennung zu berechnen.

Der Audio-Wert allein reicht dafür meist nicht aus. Er ist ein Baustein unter vielen, und die untersuchten Skripte sammeln nach der Analyse eine ganze Reihe weiterer. Erst die Kombination macht die Kennung belastbar. Die folgende Übersicht ordnet jedes erhobene Merkmal ein und beantwortet dabei die Frage, die im Alltag zählt: Bekommen Sie es wieder los?

Lesen Sie die rechte Spalte am Stück, dann sehen Sie den Kern der Sache. Bei einem Datenleck ist die erste Frage, was gestohlen wurde. Hier lautet sie, was Sie zurückdrehen können, und die Antwort ist bei fast jeder Zeile dieselbe. Ein Passwort wechseln Sie in einer Minute, eine Werbe-ID setzen Sie im Menü zurück. Die Art, wie Ihr Soundchip rechnet, ändern Sie nicht. Deshalb überlebt so eine Kennung jedes Cookie-Banner, jedes geleerte Browserprofil und jedes private Fenster.

Wirtschaftlich wird der Fingerabdruck erst interessant, wenn er nicht allein steht. Für sich genommen ist er eine anonyme Gerätenummer. Sobald sich diese Nummer aber einmal mit einer Anmeldung, einer Lieferadresse oder einem Kauf verbindet, ist die Zuordnung zur Person hergestellt und gilt rückwirkend für alles, was unter derselben Kennung erfasst wurde. Wie aus solchen Einzelteilen belastbare Vorhersagen über Lebenssituation und Kaufkraft entstehen, zeigt unsere Analyse zum Informations-Clustering in der Datenbroker-Branche. Die Personenseite dieses Profils auflösen lassen ist der einzige Hebel, der bei diesem Zusammenspiel überhaupt greift.

Bin ich betroffen? Die drei Fragen, die es klären

Eine Betroffenenliste gibt es hier nicht, und sie wäre auch sinnlos, denn der Auslöser ist kein Vorfall, sondern ein Seitenbesuch. Die Eingrenzung ist dafür ungewöhnlich einfach.

• Erstens, waren Sie überhaupt dort? Betroffen ist jeder Aufruf der Seite im Browser, unabhängig von Anmeldung oder Bestellung. Ein Klick aus einer Suchmaschine oder aus einem sozialen Netzwerk auf ein Angebot genügt. Prüfen Sie Ihren Browserverlauf nach dem Domainnamen, wenn Sie unsicher sind.
• Zweitens, lief ein Inhaltsblocker mit? Wer mit einem Browser unterwegs war, der solche Skripte von sich aus abweist, oder wer eine Erweiterung zum Blockieren von Skripten nutzt, wurde nach den vorliegenden Prüfungen nicht erfasst. Der Anbieter Brave gibt an, die betroffenen Skripte zu blockieren. Ohne einen solchen Schutz ist von einer Erfassung auszugehen.
• Drittens, der Kopfhörer-Test als Nebenbeweis: Wenn Ihre Bluetooth-Kopfhörer mit Zweifachverbindung nicht mehr aufs Handy umschalten, obwohl am Rechner nichts läuft, schließen Sie testweise den Shop-Tab. Springt die Verbindung danach sofort wieder um, haben Sie den Effekt bei sich reproduziert.

Was Sie nicht herausfinden können, ist ebenso wichtig: Ob und wie lange eine erzeugte Kennung gespeichert wird, mit welchen anderen Daten sie verknüpft wird und ob sie den Konzern verlässt, ist von außen nicht überprüfbar. Nach der Analyse werden die Ergebnisse verschlüsselt an Telemetrie-Endpunkte des Anbieters übertragen. Alles Weitere liegt außerhalb dessen, was ein Endnutzer nachvollziehen kann.

Was Sie im Browser konkret tun können

Anders als bei einem Datenleck gibt es hier tatsächlich wirksame Selbsthilfe, denn das Verfahren läuft in Ihrem Browser und lässt sich dort auch unterbinden. Die folgenden Schritte sind nach Aufwand sortiert, nicht nach Wirkung.

• Gezielt die beiden Skripte blockieren: Wer uBlock Origin nutzt, öffnet die Einstellungen, wechselt auf den Reiter "Meine Filter" und trägt dort zwei Zeilen ein: ||assets.aliexpress-media.com/g/AWSC/uab/*/collina.js$script und ||assets.aliexpress-media.com/g/AWSC/fireyejs/*/fireyejs.js$script. Danach "Änderungen übernehmen" und die Seite neu laden. Das ist der Ansatz, den der Entdecker selbst empfiehlt, weil er nur diese beiden Dateien trifft und den Rest der Seite unangetastet lässt.
• Die ehrliche Einschränkung dazu: Die Skripte liegen in einem Verzeichnis für Missbrauchsschutz. Es ist möglich, dass Anmeldung, Bezahlvorgang oder Sicherheitsabfragen nach dem Blockieren haken. Nach dem dokumentierten Test lief die Startseite normal weiter, für den gesamten Bestellablauf gilt das nicht automatisch. Auch die Versionsnummern im Pfad können sich ändern, deshalb steht in den Regeln oben ein Platzhalter statt einer festen Nummer.
• Browser mit eingebautem Schutz nutzen: Brave blockiert die betroffenen Skripte nach eigenen Angaben und verfälscht darüber hinaus die typischen Fingerprinting-Signale, sodass bei jedem Besuch ein anderer Wert herauskommt. In Firefox aktivieren Sie unter "Einstellungen", "Datenschutz und Sicherheit" den strengen Schutz vor Aktivitätenverfolgung. Der Tor Browser vereinheitlicht diese Merkmale am konsequentesten, ist für den Alltag aber unbequem.
• Einkaufen vom Rest trennen: Legen Sie ein eigenes Browserprofil oder einen zweiten Browser nur zum Shoppen an, in dem Sie bei keinem anderen Dienst angemeldet sind. Der Fingerabdruck bleibt dann zwar bestehen, aber er lässt sich schlechter mit Ihrer Identität aus E-Mail, sozialen Netzwerken oder Cloud-Konten verknüpfen. Genau diese Verknüpfung ist der Schritt, der aus einer Gerätenummer eine Person macht.
• Was Sie sich sparen können: Cookies löschen, privates Fenster und VPN bringen gegen dieses Verfahren nichts. Die ersten beiden entfernen nur Dateien und Verlauf, das dritte tauscht die IP-Adresse. Ihre Gerätemerkmale bleiben in allen drei Fällen identisch, und genau die werden gemessen.

Und in der App? Dort greifen die Browser-Tricks nicht

Ein großer Teil der Einkäufe läuft nicht über den Browser, sondern über die Shopping-App auf dem Handy. Dort haben Sie keine Filterliste und keine Erweiterung, mit der Sie einzelne Skripte abweisen könnten. Eine App bringt ihren eigenen Programmcode mit und kann auf Systemschnittstellen zugreifen, die im Browser gar nicht offenstehen. Die oben beschriebenen Maßnahmen enden deshalb an der Installationsgrenze.

Der wirksame Hebel ist auf dem Handy ein anderer: die Werbe-ID, also die Kennung, an der Apps Ihr Gerät geräteübergreifend wiedererkennen dürfen. Sie lässt sich unter Android und iOS zurücksetzen und, anders als ein Fingerabdruck, auch dauerhaft abschalten. Welche Menüwege dafür nötig sind und warum das bloße Zurücksetzen zu kurz greift, steht in unserer Anleitung zum Löschen der Werbe-ID unter Android und iOS. Für Vielbesteller ist die pragmatischste Lösung ohnehin, den Shop im Browser statt in der App aufzurufen. Dort haben Sie wenigstens die Kontrolle, die dieser Fall gerade eindrucksvoll demonstriert hat.

Was die Rechtslage in Europa dazu sagt

Viele Leser gehen davon aus, dass die europäischen Regeln nur Cookies betreffen. Das ist ein Missverständnis mit Folgen. Maßgeblich ist Art. 5 Abs. 3 der ePrivacy-Richtlinie, und diese Vorschrift knüpft nicht am Wort Cookie an, sondern daran, dass auf Informationen im Endgerät des Nutzers zugegriffen wird. Der Europäische Datenschutzausschuss hat in seinen Leitlinien 2/2023 zum technischen Anwendungsbereich von Art. 5 Abs. 3 ePrivacy-Richtlinie ausdrücklich klargestellt, dass Fingerprinting-Techniken davon erfasst sind. Die Linie reicht zurück bis zur Stellungnahme 9/2014 der damaligen Artikel-29-Datenschutzgruppe, die sich bereits speziell mit Geräte-Fingerprinting befasst hat.

Praktisch heißt das: Solche Verfahren brauchen grundsätzlich eine vorherige, informierte Einwilligung. Ohne Einwilligung bleiben sie nur zulässig, wenn sie für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Ob diese Ausnahme hier greift, wäre von den zuständigen Aufsichtsbehörden zu bewerten, und dazu ist bislang weder eine Entscheidung noch ein eingeleitetes Verfahren bekannt. Ein Punkt aus der Analyse dürfte in einer solchen Prüfung allerdings eine Rolle spielen: Nach der Beobachtung des Entwicklers funktionierte die Startseite bei blockierten Skripten normal weiter.

Der Maßstab ist in diesem Fall auch deshalb streng, weil die Plattform zu den größten in Europa zählt. Bei ihrer Einstufung als sehr große Online-Plattform nach dem Digitale-Dienste-Gesetz im April 2023 meldete AliExpress 104,3 Millionen monatlich aktive Nutzerinnen und Nutzer in der EU, weit über der Schwelle von 45 Millionen, ab der die verschärften Pflichten für sehr große Plattformen greifen. Deutschland gehört zu den Schwerpunktmärkten. Unabhängig davon und in anderer Sache verhängte die EU-Kommission im Juli 2026 eine Geldbuße gegen das Unternehmen wegen Versäumnissen beim Umgang mit unsicheren und gefälschten Produkten. Beides gehört nicht zusammen, zeigt aber, in welchem Umfeld dieser Fund landet.

Häufige Fragen zum AliExpress-Audio-Tracking

Warum der Browser nur die halbe Baustelle ist

Zwei Filterregeln lösen das Problem auf einer Webseite. Sie lösen nicht das Geschäftsmodell dahinter. Ein Geräte-Fingerabdruck ist für sich genommen eine anonyme Nummer, und wertvoll wird er erst in dem Moment, in dem er sich mit dem verbindet, was ohnehin schon über Sie im Umlauf ist: Name, Anschrift, Telefonnummer, Alter, Kaufinteressen, Haushaltsmerkmale. Diese Bausteine liegen völlig legal bei Werbe- und Adressbrokern, die sie zusammenführen und weiterverkaufen. Je vollständiger diese Bestände sind, desto mehr ist eine wiedererkennbare Gerätenummer wert.

An dieser zweiten Baustelle setzt Datenputzer an. Wir stellen für Sie gebündelte Löschanfragen nach Art. 17 DSGVO an über 100 Werbe- und Adressbroker und verfolgen die Antworten nach. Wir werden Ihnen nicht versprechen, einen Fingerabdruck zu entfernen, denn den besitzt niemand von uns und niemand kann ihn zurückgeben. Was sich entfernen lässt, ist die Personenseite: die Datenbestände, für deren Verarbeitung zu Werbezwecken keine tragfähige Rechtsgrundlage mehr besteht. Fehlt diese Zuordnung, bleibt am Ende genau das, was ein Fingerabdruck ohne sie ist, nämlich eine Nummer ohne Namen. Löschschutz für Ihre Personendaten einrichten ist der Teil dieser Rechnung, den Sie tatsächlich beeinflussen können.