Ein Ton, den niemand hört, verrät deinen Rechner – bei 25,8 Millionen AliExpress-Nutzern in Deutschland

Ein Onlineshop lässt sich betreten wie ein Kaufhaus, freundlich beleuchtet und scheinbar harmlos. Hinter der Fassade von AliExpress, einer Handelsplattform des chinesischen Alibaba-Konzerns mit monatlich rund 25,8 Millionen Nutzern in Deutschland (Quelle: AliExpress/DSA-Transparenzbericht), beginnt schon beim Aufruf der Startseite eine Vermessung des Besuchers, lautlos und ohne dessen Wissen.

Aufgefallen ist das durch einen Zufall, ausgerechnet durch ein Paar Kopfhörer. Der Entwickler Matt Callaghan hatte seine Bluetooth-Hörer gleichzeitig mit Telefon und Rechner verbunden, wie es die Multipoint-Technik erlaubt. Solange der Rechner schwieg, kam die Musik vom Telefon. Öffnete Callaghan jedoch AliExpress, brach die Wiedergabe ohne ersichtlichen Grund ab. Schloss er den Reiter, kehrte die Musik augenblicklich zurück. Das Stummschalten des Browsers oder von Windows half nichts. Verdächtig genug, um nachzusehen. Callaghan prüfte jetzt die üblichen Übeltäter, die Audio- und Videoelemente der Seite und die Aufrufe zur Wiedergabe. Auch die Angaben der Mediensitzung blieben leer. Auffällig war nur der Verzug: Die Störung setzte nicht sofort ein, erst nach einigen ruhigen Sekunden begann sie. Also belauschte er die Seite von Beginn an und fing den Baustein ab, mit dem ein Browser Klang verarbeitet. So fand er zwei verborgene Kontexte, die still in den laufenden Zustand wechselten und sich mit dem Ausgang verbanden.

Der Ausschnitt zeigt den kleinen Eingriff, mit dem man den Browser bei der Arbeit erwischte. Man ersetzte einfach vorübergehend die normale AudioContext-Funktion des Browsers durch eine überwachte Version. Jedes Mal, wenn eine Webseite heimlich einen neuen Audiokontext erzeugte, schrieb der Browser nun eine Meldung in die Konsole und zeigte zugleich, von welcher Stelle im Code der Aufruf kam. So ließ sich sichtbar machen, dass AliExpress tatsächlich im Hintergrund eine Audioverarbeitung startete, obwohl auf der Seite für den Nutzer kein Ton zu hören war.

Die Spur führte zu zwei stark verschleierten Skripten mit den Namen collina.js und fireyejs.js. Beide bauen im Browser einen kleinen Klangapparat auf. Ein Oszillator erzeugt eine Sägezahnwelle, ein Analyseknoten liest aus, was der Browser daraus macht. Ein Verstärker regelt die Lautstärke auf 0 und schickt das Ergebnis trotzdem an den Ausgang. Der Nutzer hört nichts. Der Rechner aber hält AliExpress weiter für eine Seite, die tätig mit Klang arbeitet, und lässt die Kopfhörer nicht zum Telefon zurückwechseln. Jetzt gingen die Recherchen richtig los.

Das unterscheidet sich von einem Video, das von selbst anspringt. Kein Medienelement liegt vor, das sich über die gewohnte Stummtaste beenden ließe. Aus Sicht der Seite läuft eine aktive Verarbeitung, und gerade die Verbindung zum Ausgang zwingt den Browser, den Aufbau ununterbrochen zu berechnen. In Callaghans Fall genügte das, damit Firefox oder Windows den Klangweg offen hielten und die Kopfhörer am sauberen Wechsel hinderten. Bei Mozilla liegt zu diesem Verhalten bereits ein Fehlerbericht vor.

Der lautlose Test ist nur eine Messung von vielen. Die Skripte greifen die Zeichnung ab, die der Browser auf eine unsichtbare Fläche malt, und lesen die Kennung des Grafikchips samt seiner Feinheiten aus. Sie erfassen die Maße des Bildschirms und die Dichte seiner Bildpunkte. Sie zählen die Recheneinheiten des Prozessors und den verfügbaren Arbeitsspeicher. Sie notieren installierte Erweiterungen und die Formate, die das Gerät für Klang und Bild beherrscht. Dazu treten das Verhalten des Netzbausteins WebRTC und die Zeit, die der Browser für seine Aufgaben braucht.

Nicht nur das Gerät wird vermessen, auch der Mensch davor. Jede Bewegung der Maus wird festgehalten, jeder Griff zum Scrollrad. Die Skripte merken sich Berührungen des Schirms und den Wechsel des aktiven Fensters, sie lesen sogar Neigung und Bewegung des Geräts. Merkmale, die auf ferngesteuerte Software hindeuten, gehören ebenso dazu. Nach Callaghans Darstellung würden die Werte verschlüsselt und über Wege wie fetch oder sendBeacon an Telemetriedienste von Alibaba geschickt. Beide Skripte liegen in einem Verzeichnis namens AWSC und gehören nach allem, was erkennbar ist, zu Alibabas Schutz vor Betrug und Missbrauch. Ein solcher Geräteabdruck dient 2 Zwecken zugleich. Er verfolgt den Besucher über seine Sitzungen hinweg, und er trennt den echten Käufer von der Maschine, die sich als Käufer ausgibt. Cookies taugen dafür wenig, weil sie sich löschen oder kopieren lassen. Ein Abdruck aus vielen unabhängigen Messungen ist weit schwerer zu fälschen. Der Trick beruht darauf, dass dieselbe erzeugte Welle je nach Browserversion und Hardware ein wenig anders zurückkommt; einzeln sagt das wenig, zusammengeführt wird es beinahe eindeutig.

Die Hand, die am Gerät arbeitet, verrät obendrein, ob ein Mensch klickt oder ein Programm. AliExpress hat Grund genug, diese Grenze zu ziehen: gekaperte und erfundene Konten plagen die Seite, dazu Programme, die Preise absaugen oder im Sekundentakt bestellen. Zahlungsbetrug kommt hinzu und der Missbrauch von Gutscheinen für Neukunden. Auch geschönte Bewertungen zählen zu den Sorgen des Betreibers. Wie die großen Anbieter im Netz verwertet das Unternehmen zudem das Verhalten seiner Kundschaft, um besser zu verkaufen. Der Abdruck könne, so die Überlegung, den Betrug drücken und dem treuen Kunden das ewige Lösen von Rätselbildern ersparen. Vor den eigenen Rätselbildern schreckt AliExpress ohnehin nicht zurück. Was mit den Daten geschieht, sobald sie auf den Servern liegen, kann Callaghan nicht sehen. Vielleicht dienten sie als dauerhafte Kennung des Geräts, vielleicht nur als ein Wert unter vielen in der Betrugsprüfung. Auf Anfrage schwieg das Unternehmen. Überrascht natürlich nicht.

Nicht jeder Browser gibt so bereitwillig Auskunft. Nach Angaben des Firefox-Ingenieurs Tom Ritter sorge Firefox seit Version 118 dafür, dass die Werte der Klangverarbeitung fast gleich ausfallen; 99,24 Prozent der Nutzer ließen sich nur 3 großen Gruppen zuordnen. Brave mischt den Ergebnissen Zufall bei und sperrt die auf AliExpress gefundenen Skripte. Andere Eigenschaften des Geräts liefern den Seiten trotzdem noch genug, um einen Abdruck zu formen. Wer hier nur von „alter Technik“ spricht, hat entweder nicht verstanden, worin die Gefahr liegt – oder ärgert sich schlicht, dass jemand anderes genauer hingesehen hat.

Aussperren lassen sich die 2 Skripte gezielt. In der Erweiterung uBlock Origin von Raymond Hill genügen wenige Zeilen unter den eigenen Filtern, die allein collina.js und fireyejs.js treffen, und nur dann, wenn AliExpress sie anfordert. Danach lädt die Startseite weiter normal, doch der Tonaufbau bleibt stumm. Ein Haken bleibt: bereits geöffnete Reiter muss man schließen, denn ein gesperrtes Skript beendet keinen Kontext, den es schon erzeugt hat. Weil die Skripte am Betrugsschutz hängen, kann ihr Sperren zusätzliche Rätselbilder auslösen oder die Anmeldung stören. Callaghan will die Regeln vorübergehend abschalten, sollte AliExpress ihm eine echte Zahlung verweigern. Das bloße Ansehen der Ware läuft bislang ungehindert. Jetzt wird man abwarten müssen, wann die nächste Ausspähung folgt.

Dass ein Schutz vor Betrug seinen Zweck hat, bestreitet Callaghan nicht. An dieser Umsetzung stört ihn etwas anderes. Sie läuft schon auf der Startseite, lange bevor der Besucher etwas Sicherheitsrelevantes tut. Sie sammelt breit und ist mit Absicht schwer zu durchschauen. Nichts an der Oberfläche verrät, dass im Hintergrund ein Klang verarbeitet wird. Hinzu kommt der handfeste Eingriff in die Hardware. Ein lautloser Test konnte den Wechsel der Bluetooth-Kopfhörer stören, während die Stummtaste des Browsers gar nichts ausrichtete.

Wenn eine verborgene Prüfung den Klangweg derart besetzt, dass andere verbundene Geräte darunter leiden, wirkt das Sperren wie der vernünftigere Weg. Was auf den Servern mit dem Abdruck geschieht und wie lange er dort liegt, bleibt dem Blick von außen entzogen. Ob er auf anderen Angeboten von Alibaba wieder auftaucht, kann Callaghan ebenso wenig nachweisen. Der Code im Browser belegt allein die Messung und den Versand. Ob irgendjemand im Netz wirklich nur das Beste im Sinn hat, muss jeder für sich beantworten, während die Startseite ihn längst vermisst.