Der chinesische Online-Händler Alibaba soll auf seiner Webseite Scripte verwenden, die im Browser "stumme" Audiosignale generieren. Ziel ist es, die Nutzer durch Auswertung der Verarbeitung im Browser per Fingerprinting zu identifizieren. Aufgefallen ist dies, weil ein geöffneter Alibaba Browser-Tab die Weiterleitung des Tons eines Bluetooth-Headsets vom PC zum Smartphone immer wieder verhinderte.
Ein kurzer Hinweis im Web
Krasse Geschichte, die gerade im Internet hoch poppt. Der chinesische Online-Händler Alibaba soll auf seiner Webseite eine "Fingerprinting-Technik" verwenden, die "stumme Audiosignale" generiert und so die Identifikation der Benutzer ermöglicht. Mir ist dieser Sachverhalt über nachfolgenden Tweet untergekommen.
Die Aussage ist, dass eine Person das Problem hatte, dass seine Bluetooth-Kopfhörer sich immer wieder weigerten, den Ton an das Smartphone weiterzuleiten. Bei der Suche nach der Ursache stellte sich heraus, dass dieses Problem auftrat, sobald eine AliExpress-Webseite in einem Browser-Tab geöffnet war. Die Analyse ergab, dass AliExpress wohl eine Audio-Fingerprinting-Technik verwendet, um die Nutzer zu tracken.
Wer ist der Entdecker des Sachverhalts?
Mir kam die Sache erst etwas spanisch vor, also habe ich noch ein wenig recherchiert. Der Entdecker des Sachverhalts scheint ein Australier zu sein, der unter dem Alias m-c-tech und dem Namen Matt Callaghan auf Github Programmcode veröffentlicht. Er betreibt seit 2013 einen kleinen, privaten Blog mit dem Titel laserphile auf Googles Plattform blogger.com. Im Blog finden sich diverse Artikel rund um technische Themen, von Signal-Processing bis zum Säubern von WordPress-Webseiten von Infektionen, wobei pro Jahr nur wenige Artikel erscheinen.
Ein Fake scheint es nicht zu sein, denn es gibt ein Firefox Bug-Ticket und ein Firefox-Entwickler hat hier was zu geschrieben. Auf Hacker News gibt es diese Diskussion und die technische Beschreibung des Entdeckers ist so ausgefeilt, dass ich einen Fake-Artikel ausschließen möchte.
Das aufgetretene Problem
Der Aufhänger für den Beitrag war, dass die Person Bluetooth-Kopfhörer verwendet, die Multipoint-Bluetooth-Audio unterstützen. Dadurch können sie gleichzeitig mit einem PC und einem Smartphone verbunden sein. Normalerweise habe der PC bei der Audiowiedergabe Vorrang, während das Smartphone Audio wiedergeben kann, wenn der PC gerade nicht läuft, schrieb die Person.
Plötzlich weigerten sich die Bluetooth-Kopfhörer der Person immer wieder, den Ton an das Smartphone weiterzuleiten. Es stellte sich heraus, dass dass Problem immer dann auftrat, wenn die AliExpress-Webseite in einem Browser-Tab geöffneter war. Daher begann die betreffende Person mit der genaueren Analyse des Sachverhalts.
Die technische Beschreibung des AliExpress-Fingerprinting
Die Kurzfassung der sehr detaillierten technischen Beschreibung: Es stellte sich heraus, dass die Ursache ein geöffneter AliExpress-Tab war, der einen unhörbaren Ton erzeugte, um einen heimlich zu verfolgen. Der Hintergrund ist, dass die Anti-Missbrauchs-Skripte von Alibaba eine Fingerabdruck-Technik mit einem versteckten "Audiodiagramm" auf der Startseite nutzen.
Die AlibExpress-Webseite verwendet die Tracking-Skripte collina.js und fireyejs.js um Audioausgaben zu generieren. Der erzeugte Sägezahn-Ton wird durch die Audio-Engine des Browsers geleitet. Dann wird beim Ausgang gemessen, was ankommt. CPU, Betriebssystem und Browser verarbeiten diesen Sägezahn-Ton jeweils etwas unterschiedlich.
Die Skripte von Alibaba analysieren die Audio-Wellenformen, um CPU- und GPU-Details zu sammeln. Die ermittelten Abweichungen der Laufzeit dieser Signale ermöglichen einen Fingerabdruck für das Gerät zu erzeugen, mit dem die Nutzer sich verfolgen lassen. Die Verstärkung der Audioausgabe ist auf Null eingestellt, sodass von diesem Sägezahn-Ton für den Nutzer nichts zu hören ist (was aber die Bluetooth-Umschaltung beim Betroffenen verhinderte).
Das Audio-Diagramm bleibt jedoch mit dem Audioausgang des Systems verbunden, sodass der Browser weiterhin Live-Audio verarbeitet. Das Stummschalten des Tabs kann dies nicht verhindern, da es kein Medienelement gibt, das stummgeschaltet werden könnte.
Der Entdecker hat den Sachverhalt zum 20. August 2026 detaillierter im Beitrag AliExpress webpage keeping multipoint Bluetooth headphones active with WebAudio fingerprinting beschrieben.
Einige Browser wie Firefox haben den Fingerabdruck selbst bereits "abgeflacht" bzw. modifiziert, um gegen dieses Fingerprinting anzugeben. So geben beispielsweise 99,24 % der Firefox-Nutzer nur einen von drei Werten zurück, heißt es. Das verhindert jedoch nicht, dass das Audio-Fingerprinting weiterläuft und beim Entdecker die Probleme verursacht.
MVP: 2013 – 2016
Vielleicht stehe ich am Schlauch, aber:
Im Artikel steht ein dutzend mal, daß der BT-Kopfhörer kein Audiosignal an das Smartphone senden kann.
Keiner meiner Kopfhörer kann das. Sie alle EMPFANGEN ein Audiosignal, keiner SENDET eines.
#verwirrt
Das empfand ich ebenfalls als verwirrend. Gemeint ist sicherlich, dass die Kopfhörer den Ton vom Smartphone nicht wiedergegeben haben, weil der PC mit dem stummen Signal die Kopfhörer für sich in Anspruch nahm.
Im Tweet auf Englisch stehts ja richtig "hand audio back", geht also um die Übergabe ans andere Gerät, daher wurde es ja nur bei Multipoint bemerkt, wo diese automatische Übergabe ein Feature ist, aber durch Dauersender teilweise sabotiert wird.
Seltsam finde ich nur, dass da überhaupt ein Audiogerät in Beschlag genommen wird. Da soll ernsthaft auch funktionieren, wenn man der Seite Audioausgabe verbietet, was bei mir Default ist? Laut weiterführender Links ist dieses Fingerprinting per Audio sowieso schon längst in allen Browsern unschädlich gemacht.
Die allermeisten BT-Kopfhörer haben auch ein Mikrofon und sind damit sowohl Empfänger wie auch Sender. Nicht jeder trennt präzise zwischen Kopfhörer und Headset.
Kann mich noch sehr gut an das Gespräch von vor einem Jahr mit dem hp-Support erinnern, warum wir in allen PC (W-Lan/BT und Audio) im Bios deaktiviert hätten. :-)
genau das, die Signalverarbeitung ist am Kopfhörer ist so eingestellt das Töne vom PC Vorrang haben vor Töne vom Handy… da der PC mit Alibaba Tab demnach immer Töne produziert (für das menschliche Ohr hörbar oder nicht, spielt keine Rolle) wird immer das PC Audiosignal an den Kopfhörer geleitet.
Die Kopfhörer können scheinbar eben nur entweder oder…ein Mixsignal von 2 Quellen ist nicht drin.
Schon dreckig wie Drecksfirmen einem ausspionieren… da gehört der CEO auf ne Blacklist ;-P
Earphones (In-Ear Headphones) haben auch ein Mikrofon, damit man damit auch Telefonieren kann und auch zwecks Geräuschunterdrückung (Noise-cancelling).
Ist bekannt, hier schon seit einem Jahr bei allen PC das Audio im Bios komplett abgeschaltet und es wird nicht nur von Alibaba so genutzt.
Hilft das denn wirklich? Dem Artikel nach geht es nur darum, wie der Browser die Audiosignale berechnet. Je nach verwendeter GPU und CPU kam es dabei wohl früher zu unterschiedlichen Ergebnissen, die für Fingerprinting interessant sind. Eine tatsächliche Audioausgabe geschweige denn Aufnahme findet dabei nie statt. Sollte mit einem Dummy-Gerät also genauso funktionieren.
Nein wenn im Bios abgeschaltet funktioniert auch kein Dummy und falls sich jetzt so einige fragen warum plötzlich bei PC's (ohne audio – btw: abgeschaltet) beim letzten 25H2 Update die Inhalte der Taskleiste (unten rechts) nicht mehr angezeigt werden, denk mal drüber nach. :-)
Was genau wird auf deinem PC unten rechts nicht mehr angezeigt?
Und wie stellst du dir vor, dass eine Einstellung im Bios ALLE Audiogeräte abschalten kann? Normalweise wird der integrierte Audiochip abgeschaltet, aber das Bios kann nicht die ganze Hardware-Klasse "Audio" abschalten. Technisch unmöglich. Audiogeräte können auf vielfältigste Weise (USB, HDMI, …) angeschlossen werden.
Nur zur Information – heise hat es die Tage im Beitrag Audio-Fingerprinting: Wie AliExpress Nutzer über die Soundkarte trackt etwas genauer erklärt – alles läuft im Browser ab.
Glaube Windows Rolf hat es nicht ganz verstanden. Zum fingerprinting wird die webaudio api des browsers genutzt, ist denke ich egal ob das darunterliegende OS tatsächlich ein sounddevice besitzt… hier ist es veranschaulicht: https://glassbox.codecanary.org/Ein
naja.. was falsches gegessen?
Kein Browser kann Heutzutage Töne abspielen, ohne dass der User das bemerkt.
Audio Signale haben auch nichts mit BT zu tun, und mit BT-Paring sowieso nicht.
Es werden keine Töne abgespielt.
Der Browser zeigt nichts an, es gibt auch keinen mute-Button, da keine Media-Datei vorhanden ist.
Dass Audio-Signale etwas mit Bluetooth oder mit Bluetooth-Pairing zu tun haben hat außer dir niemand behauptet.
@xx Auch mal zu AudioContext per Script via User Gesture Workaround nachlesen…
Testseite für diese Fingerprinting-Methode:
*https://ritter.vg/misc/ff/webaudio-alibaba.html
Dieser Link steht auf der hier im Blog verlinkten Seite *ttps://ritter.vg/blog-webaudio_alibaba.html
Bei mir haben die Browser Firefox 153.1.0 ESR und Waterfox 6.6.17 den selben sha256-Fingerprint.
Ebenso haben die Browser ungoogled Chromium 150.0.7871.225 (von Marmaduke alias MacChrome) und Opera 135.0.5973.41 einen identischen sha256-Fingerprint, aber dieser Fingerprint ist verschieden von den ersten beiden Browsern (Firefox, Waterfox).
Keiner dieser Browser zeigt ein Mute-Symbol im Tab an, weil keine Medien-Datei abgespielt wird.
Im laserphile Link ( *https://blog.laserphile.com/2026/08/aliexpress-webpage-keeping-multipoint.html ) befinden sich auch die Anweisungen für ublock Origin, um diese Javascript-Fingerprinting von AliExpress zu blockieren:
To block the scripts open the uBlock dashboard, select My filters, and add:
! AliExpress AWSC fingerprinting scripts
||assets.aliexpress-media.com/g/AWSC/uab/*/collina.js$script,domain=aliexpress.com
||assets.aliexpress-media.com/g/AWSC/fireyejs/*/fireyejs.js$script,domain=aliexpress.com
Wenn Firefox das eh schon entschärft hat und man der einzige ist, der es mit uBlock unterdrückt wird man dadurch besser und nicht schlechter identifizierbar.
Heißen die Scripts konkret collina.js und fireyejs.js? Namen sind Schall und Rauch, beim nächsten Relaunch werden sie umgetauft in b2sdn5jkf.js und uBlock läuft ins Leere.
Einfach die Seite AliExpress gar nicht aufrufen. Ist in jedem Fall das beste, auch aus vielen anderen Gründen.
Macht das NFON/Cloudya mit seiner App auch? Jedes mal wenn ich die App verwendet habe, kann ich danach, wenn auch das Handy mit dem Auto verbindet, keine Musik abspielen. Ich muss immer erst die App hart beenden. Das Auto findet bis dahin keinen Fokus (ist die Meldung vom Auto). Volvo v60. Beim Hyundai ist i30 war es ebenso.
Ich finde es irgendwie merkwürdig, das solche "Probleme" die wie hier z.b. Bluebooth eigentlich Unbrauchbar machen immer nur den Leuten auffällt, die zufällig auch schon über jahre irgendwelche Blogs betreiben.
Wenn diese Tracking Funktion solch gravierenden einfluss auf die BT Funktionalität haben, muss das doch schon viel mehr leuten aufgefallen sein.
Entsprechend wird doch mehr darüber zu finden sein, oder nehmen die leute das einfach so hin und Kaufen sich dann halt ein neues Headset, welches dann direkt wieder nicht Funktioniert?
Kann man sich irgendwie kaum vorstellen.
Naja, wer von den 08/15‑ ***n ist denn überhaupt in der Lage, solche Symptome zuzuordnen und nachzuverfolgen? Eben! Da ist ein „Scheiß, geht nicht, defekt" das höchste der Gefühle.
Das Bluetooth wird ja auch nicht unbrauchbar, sondern macht halt genau in diesem Fall: Alibaba‑Seite auf und die Multipoint‑Verbindung, die da gestört ist… kommt sicher auch nicht ständig vor, sodass einem das gleich auffällt.
Schön ist halt das solche Drecksmethoden doch irgendwann auffliegen!
So what? warum ausschliesslich nun über alibaba aufregen?
Ist halt eines der schmutzigen Sachen mehr (die aufgedeckt wurden).
Bekannt könnten/sollten Sachen sein wie:
fingerprinting per: canvas, svg, font, webgl -Rendering/Test in nicht sichtbaren Bereichen, auch CSS media queries, in Kombination mit browserhersteller css-selector extensions (z.B. -ms-high-contrast, -moz-any-link, -webkit-border-radius, -khtml-user-select), Timings bei Berechnngen mathematischen Ausdrücken, Rundungs/Berechnungsfehler in javascript in den verschiedenen Browsern. usw.
Batteriestatus, Pluginliste, CPU Concurrency, Media Devices, Unterstützte Aufio und Media-Formate/Codecs.
Bluetohn teils in Low Energy Mode, SSL/TLS handshake Analyse bei HTTPS. …
Gibt's alles schon seit Jahren, einiges oder mehreres davon wird/wurde auch von
google, youtube, amazon, paypal, facebook, ebay, internationalen Zeitungen, Medienhäusern, … extensiv genutzt.
Beispielsweise freie Bibliothek
*ttps://github.com/fingerprintjs/fingerprintjs
gibt auch Komerzielle Version davon.
Gab auch schon (wissenschaftl.) Arbeiten dazu, wie sich auf mit Javascript generierte Timinganalysen bezüglich RAM Speichezellen Zugriffe eindeutige Muster erkennen lassen.
Das klappt dann sogar nicht nur für/in einen Browser, sondern auf Hardware von Rechner bezogen.
Virtualisierung konnten dann auch übergangen werden, mind. sofern Host/VM direkte Mapping erlauben (egal ob RAM oder GraKa). DAs ist dann über Browser und VM Grenzen hinweg.
Find ich leider gerade nicht, einge Jahre her. Evtl wurde das auch als Überlegung/Nebenergebnis nur angesprochen in einem Paper zu Javascript/Timing/Analysen auf Speicherzellenebene.
Browser Fingerprinting Using WebAssembly
*ttps://arxiv.org/html/2506.00719v1
mal da die Referenzen ansehen und auch in einige reingehen und dort wieder die Referenzen durchsehen.
Ich sagte ja schon öfter, Tracking ohne ausdrückliche individuelle Erlaubnis sollte gesetzlich verboten werden – mit Strafen ähnlich derer in der DSGVo.
Anders werden wir die Trackingwerbung und alle anderen derartigen Auswüchse nicht mehr umfassend los.