WebGL-Vendor-Fingerprinting liest GPU-Hersteller und exakte Modellbezeichnung direkt aus dem Browser — ein persistenter Identifier, der Cookie-Löschung, Inkognito-Modus und Browser-Neustarts überlebt. Mit 10–15 Bit Entropie gehört er zu den stärksten Einzel-Signalen im Browser-Fingerprinting. Nach der DSGVO ist dieser Wert Teil des Browser-Fingerabdrucks und kann ein personenbezogenes Datum darstellen.
Welche Daten werden ausgelesen?
Die Erweiterung WEBGL_debug_renderer_info liefert zwei Strings:
const gl = document.createElement('canvas').getContext('webgl');
const ext = gl.getExtension('WEBGL_debug_renderer_info');
const vendor = gl.getParameter(ext.UNMASKED_VENDOR_WEBGL);
const renderer = gl.getParameter(ext.UNMASKED_RENDERER_WEBGL);Typische Renderer-Strings aus der Praxis
| GPU | Vendor-String | Renderer-String (Beispiel) |
|---|---|---|
| NVIDIA RTX 4090 | Google Inc. (NVIDIA) | ANGLE (NVIDIA, NVIDIA GeForce RTX 4090 Direct3D11 vs_5_0 ps_5_0) |
| AMD RX 7900 XT | Google Inc. (AMD) | ANGLE (AMD, AMD Radeon RX 7900 XT Direct3D11 vs_5_0 ps_5_0) |
| Intel Iris Xe | Google Inc. (Intel) | ANGLE (Intel, Intel(R) Iris(R) Xe Graphics Direct3D11 vs_5_0 ps_5_0) |
| Apple M3 Pro | Apple | Apple M3 Pro |
| Qualcomm Adreno | Qualcomm | Adreno (TM) 750 |
Unter Windows enthält der Renderer-String oft das Treiber-Backend (Direct3D11 / Vulkan) und manchmal sogar PCI-Geräte-IDs — ein noch feineres Identifikationsmerkmal.
Warum ist dieses Signal so persistent?
- Hardware-gebunden: Der Renderer-String ändert sich nur beim GPU-Wechsel, nicht durch Software-Updates.
- Browserübergreifend: Dieselbe GPU liefert in Chrome, Firefox und Edge denselben Renderer-String.
- Cookie-unabhängig: Kein Speicher, kein Cookie, kein Ablaufdatum.
- Inkognito-transparent: Der Privat-Modus ändert nichts am GPU-Renderer.
Entropie und Eindeutigkeit
| Merkmal | Wert |
|---|---|
| Entropie | 10–15 Bit |
| Persistenz | Bis zum Hardware-Wechsel |
| Browserübergreifend stabil | Ja |
| Überlebt Inkognito-Modus | Ja |
DSGVO und WebGL-Vendor
Da der GPU-Renderer-String in Kombination mit anderen Signalen eine eindeutige Gerätekennzeichnung ermöglicht, gilt er nach DSGVO-Erwägungsgrund 30 als Online-Kennung. Das BSI stuft Browser-Fingerprinting in seiner technischen Richtlinie TR-02102 als datenschutzrelevante Technik ein. Websites müssen dies in ihrer Datenschutzerklärung ausweisen und benötigen eine Rechtsgrundlage nach Art. 6 DSGVO.
Schutzmaßnahmen
- Firefox
privacy.resistFingerprinting: Gibt generische Strings zurück — Vendor: „Mozilla", Renderer: „Mozilla" — unabhängig von der tatsächlichen GPU. - Brave Browser: Randomisiert WebGL-Vendor- und Renderer-Strings pro Sitzung (Farbling). Jede Website sieht einen anderen, aber plausiblen Wert.
- Tor Browser: Deaktiviert
WEBGL_debug_renderer_infovollständig — die Erweiterung ist nicht verfügbar. - WebGL deaktivieren: Firefox via
about:config→webgl.disabled = true. Bricht viele Web-Apps und Spiele.
Verwandte Signale
WebGL-Vendor-Fingerprinting ist eng verwandt mit dem WebGL-Pixel-Hash und dem allgemeinen WebGL-Fingerprinting. Prüfen Sie Ihren GPU-Renderer-String live mit unserem Fingerprint-Tool.
