AliExpress soll unhörbares Web-Audio für Geräte-Fingerprinting eingesetzt haben

Eine Analyse von AliExpress-Code deutet auf einen Web-Audio-Mechanismus hin, der technische Merkmale der Browser- und Geräteumgebung erfassen konnte. Entdeckt wurde er, nachdem der Entwickler Matt Callaghan laut seiner Schilderung beim Öffnen einer AliExpress-Seite in Chrome oder Firefox ein Bluetooth-Multipoint-Problem beobachtete: Der Kopfhörer wechselte offenbar nicht mehr zuverlässig zwischen Computer und Smartphone. Es handelt sich um eine Einzelfallbeobachtung, die sich nicht ohne Weiteres auf alle Geräte übertragen lässt.

Callaghan beschrieb in der stark verschleierten AliExpress- beziehungsweise Alibaba-Codebasis zwei Skripte mit einem Verarbeitungsgraphen der Web Audio API. Darin wurden unter anderem ein Oszillator und Analysefunktionen eingerichtet, die Frequenzdaten auslasen. Das Signal wurde mit einer Verstärkung von null verarbeitet und war deshalb für Nutzer nicht hörbar, während der Web-Audio-Graph im Browser aktiv blieb. Weil offenbar kein sichtbares Medienelement abgespielt wurde, konnten herkömmliche Tab- oder Browser-Stummschaltungen die Verarbeitung nach der technischen Darstellung nicht unbedingt unterbinden.

Nach Callaghans Analyse wurden geringfügige Unterschiede darin gemessen, wie die jeweilige Kombination aus Browser, Software und Hardware das Signal verarbeitete. Solche Messwerte können als Audio-Fingerprint in einen umfassenderen Browser- oder Geräte-Fingerprint einfließen. Ein Audio-Fingerprint ist dabei zunächst ein technisches Merkmal der Verarbeitung und keine persönliche Identität. Die Methode benötigt für dieses Signal zudem nicht zwingend Cookies und könnte damit grundsätzlich ein zusätzliches Wiedererkennungssignal liefern, wenn Cookies gelöscht oder blockiert werden. Für eine persönliche Zuordnung wären jedoch weitere Daten oder eine Kontoverknüpfung erforderlich.

Nicht belegt ist, dass AliExpress die Messwerte tatsächlich an einen Server übermittelte, dauerhaft speicherte oder mit Nutzerkonten und anderen Identifikatoren verknüpfte. Ebenso ist nicht geklärt, ob der Mechanismus der Betrugs- oder Bot-Erkennung, der Personalisierung, allgemeinem Tracking oder mehreren Zwecken diente. Die öffentlich beschriebenen Befunde belegen damit vor allem die technische Analyse und den daraus abgeleiteten Verdacht – nicht die abgeschlossene Identifizierung einzelner Nutzer.

Audio-Fingerprinting ist als Verfahren seit Jahren wissenschaftlich beschrieben. Unhörbare oder nahezu unhörbare Signale können dabei gerätespezifische Verarbeitungsmerkmale sichtbar machen. Für Firefox wird berichtet, dass Web-Audio-Berechnungen seit Version 118 beziehungsweise seit 2023 randomisiert werden und die Methode dadurch weitgehend unbrauchbar werden kann. Brave erklärte laut aktueller Berichterstattung, die für den Vorfall verantwortlichen AliExpress-Skripte zu blockieren und bereits seit mehr als sechs Jahren standardmäßige Schutzmaßnahmen gegen Audio-Fingerprinting einzusetzen. Die konkrete Schutzwirkung hängt von Browser-Version und Konfiguration ab.

Ein gezielter Aktualitäts-Check bis zum 24. August 2026, 19:09 UTC, ergab keine belastbare veröffentlichte Stellungnahme von AliExpress oder Alibaba zu Zweck, Umfang oder Rechtmäßigkeit der Audioverarbeitung. Auch eine bestätigte Entfernung der Skripte ist nicht dokumentiert. Aktuelle Berichte nennen weiterhin funktionierende Blockierregeln für die beobachteten Skriptfamilien und Tests, nach denen die AliExpress-Startseite auch bei gezielter Blockierung lädt. Das ist ein Hinweis auf mögliche fortbestehende Nachladbarkeit, aber keine unabhängige Live-Prüfung des unveränderten Produktionscodes für alle Seiten, Regionen und Nutzer.