# Browser-Fingerprinting: Datenschutz ohne Cookie > Browser-Fingerprinting erklärt: wie es funktioniert, warum § 25 TDDDG und § 165 TKG auch ohne Cookie greifen können und wo die Grenze zum Server liegt. Quelle: https://whovisit.app/blog/fingerprinting-datenschutz Veröffentlicht: 2026-11-07 Herausgeber: Whovisit (ARAVILO, Innsbruck) „Wir setzen keine Cookies“ klingt nach einem Freifahrtschein. Er gilt nur, wenn auch sonst nichts auf dem Gerät gespeichert oder aus ihm ausgelesen wird. Browser-Fingerprinting ist die bekannteste Technik, die ohne Cookie auskommt und trotzdem Besucher wiedererkennbar macht. Dieser Artikel erklärt, wie sie funktioniert, wie das Recht sie einordnet und worin sie sich von einer Abfrage auf dem Server unterscheidet. ## Was Fingerprinting ist Beim Fingerprinting kombiniert ein Skript viele Merkmale eines Geräts zu einem Muster, das nur selten zweimal vorkommt. Typische Bausteine sind Browserversion, Betriebssystem, Bildschirmauflösung, Zeitzone, Spracheinstellungen, installierte Schriften und Eigenheiten der Grafikausgabe. Das Muster wirkt wie ein Ausweis, den der Besucher nie ausgestellt hat. Es lässt sich nicht einfach löschen wie ein Cookie, weil es nirgends gespeichert ist. Es entsteht bei jedem Besuch neu aus denselben Merkmalen. Zwei Arten sollten Sie unterscheiden: - **Aktiv.** Ein Skript im Browser fragt Eigenschaften gezielt ab, etwa über Programmierschnittstellen für Bildschirm, Schriften oder Grafik. - **Passiv.** Der Server wertet nur aus, was der Browser bei jedem Seitenabruf ohnehin mitschickt, zum Beispiel den Browsertyp im Kopf der Anfrage und die IP-Adresse. ## Warum § 25 TDDDG auch ohne Cookie greifen kann Die deutsche Regel gilt nicht nur für das Speichern, sondern auch für den „Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind“. Den Wortlaut finden Sie auf [gesetze-im-internet.de](https://www.gesetze-im-internet.de/ttdsg/__25.html). Wer per Skript Merkmale des Geräts ausliest, greift auf solche Informationen zu. Das ist der Grund, warum die Regel im Detail erklärt wird in [§ 25 TDDDG: Cookies und Tracking in Deutschland](https://whovisit.app/blog/tdddg-paragraf-25-cookies). Die Datenschutzkonferenz hat in ihrer [Orientierungshilfe für Telemedien](https://www.datenschutzkonferenz-online.de/orientierungshilfen.html) dazu eine Linie entwickelt. Danach setzt ein Zugriff eine gezielte Übermittlung der Browserinformationen voraus, die nicht allein vom Endnutzer veranlasst ist. Aktives Fingerprinting fällt demnach unter die Einwilligungspflicht, rein passives Auswerten dessen, was ohnehin gesendet wird, nach dieser Lesart nicht. Das ist die Auffassung der Aufsichtsbehörden, die Frage ist in der Rechtswissenschaft nicht überall gleich beantwortet. Auf europäischer Ebene reicht die Linie weiter. Der Europäische Datenschutzausschuss hat in seinen [Leitlinien 2/2023](https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf) zum Anwendungsbereich von Art. 5 Abs. 3 der ePrivacy-Richtlinie festgehalten, dass Fingerprinting in deren Anwendungsbereich fällt. Auch das Sammeln von Informationen über Kopfzeilen der Anfrage oder Caching-Mechanismen kann dazu gehören, wenn es für Fingerprinting oder Tracking genutzt wird (Rn. 43). ## Österreich und Schweiz **Österreich.** § 165 Abs. 3 TKG 2021 verlangt eine Einwilligung für die Ermittlung von Daten, mit Ausnahmen für technisch Notwendiges. Die Datenschutzbehörde liest die Vorschrift weit. Wie sie aufgebaut ist, erklärt [Cookies in Österreich: § 165 TKG 2021 erklärt](https://whovisit.app/blog/cookies-oesterreich-tkg-165). **Schweiz.** Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte nennt in seinem Leitfaden zu Cookies ausdrücklich Browser-Fingerprinting als Beispiel für „ähnliche Technologien“, bei denen nichts auf dem Gerät gespeichert wird. Für sie gelten dieselben Anforderungen an Information und Ablehnungsmöglichkeit wie für Cookies. Mehr dazu in [Website-Tracking in der Schweiz: revDSG und FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg). ## Und die DSGVO? Zusätzlich gilt die DSGVO, sobald aus dem Fingerprint eine Person bestimmbar ist. Das ist bei einem Muster, das Besucher über mehrere Besuche wiedererkennen soll, meist der Fall. Der Fingerprint ist dann ein Online-Merkmal im Sinne von Art. 4 Nr. 1 DSGVO. Wer ihn zu Tracking oder Werbezwecken nutzt, braucht eine Rechtsgrundlage, in der Praxis meist die Einwilligung. Wann stattdessen das berechtigte Interesse trägt, zeigt [Berechtigtes Interesse nach DSGVO: die 3 Prüfschritte](https://whovisit.app/blog/berechtigtes-interesse-dsgvo). ## Abgrenzung: die Abfrage des Netzinhabers auf dem Server Eine Firmenerkennung über den Netzinhaber der IP-Adresse arbeitet anders. Sie liest keine Geräteeigenschaften aus und erzeugt keine Kennung, die einen Besucher später wiederfindet. Der Server schlägt im öffentlichen Netzregister nach, wem das Netz gehört. Danach wird die IP-Adresse verworfen. Wie das technisch abläuft, beschreibt [Wie funktioniert Firmenerkennung? Technik in 6 Schritten](https://whovisit.app/blog/firmenerkennung-website-technik). Ob das damit sicher außerhalb von § 25 TDDDG liegt, ist trotzdem keine Selbstverständlichkeit. Der Europäische Datenschutzausschuss hält in den genannten Leitlinien fest (Rn. 54 und 55), dass Art. 5 Abs. 3 auch bei Tracking allein anhand der IP-Adresse greifen kann, soweit diese vom Endgerät des Nutzers stammt. Gemeint ist das Nachverfolgen der Navigation. Dass eine Anwendung den Artikel berührt, heißt nach dem Ausschuss nicht, dass immer eine Einwilligung nötig ist, die Ausnahmen sind einzeln zu prüfen. Aus der Vorsicht heraus laden manche Anbieter, auch Whovisit, das Skript erst nach der Einwilligung in eine Statistik-Kategorie. ## Prüfliste für Ihre Website 1. Listen Sie, welche Skripte Geräteeigenschaften auslesen. Das schließt Analyse-, Betrugsschutz- und Werbewerkzeuge ein. 2. Fragen Sie jeden Anbieter, ob er Fingerprinting einsetzt und zu welchem Zweck. 3. Prüfen Sie, ob der Zweck „unbedingt erforderlich“ im Sinne der Ausnahme ist. Betrugsabwehr wird teils so argumentiert, ist aber eng auszulegen und mit Ihrer Datenschutzberatung zu klären. 4. Laden Sie alles, was nicht notwendig ist, erst nach Einwilligung. 5. Beschreiben Sie die Technik verständlich in der Datenschutzerklärung. „Wir verwenden keine Cookies“ reicht dafür nicht. ## Häufige Fragen **Ist Fingerprinting verboten?** Nein. Es braucht aber in der Regel eine Einwilligung, wenn es um Tracking oder Werbung geht. Für Betrugsabwehr und Sicherheit wird teils eine Ausnahme vertreten, die eng ausgelegt wird. **Reicht „Do Not Track“ oder ein Werbeblocker als Schutz für Besucher?** Das schützt den Einzelnen, ersetzt aber nicht Ihre Pflichten. Verantwortlich bleibt der Betreiber der Website. **Fällt die Auswertung des User-Agents unter § 25?** Nach der Linie der Datenschutzkonferenz nicht, wenn der Server nur verwertet, was der Browser ohnehin mitsendet. Wird der Wert zu Fingerprinting oder Tracking zusammengesetzt, kann die Bewertung anders ausfallen, wie die Leitlinien des Europäischen Datenschutzausschusses zeigen.