Unsichtbare Audiografik: Wie AliExpress offenbar Bluetooth-Verbindungen beeinflusste

Ein ungewöhnliches Bluetooth-Problem führte zu einer technischen Untersuchung von AliExpress: Während ein Tab des Online-Marktplatzes geöffnet war, wollten sich Multipoint-Kopfhörer offenbar nicht wieder mit dem Smartphone verbinden. Bei der Analyse des Browsers wurden zwei versteckte, aktive AudioContext-Instanzen entdeckt. Sie ließen sich zu stark verschleierten Alibaba-Sicherheitsskripten aus dem AWSC-Verzeichnis zurückverfolgen: collina.js und fireyejs.js.

Wichtig ist die Einordnung: Die vorliegenden Belege bestätigen nicht, dass Brave die ursprüngliche Entdeckung gemacht hat. Ebenso gibt es weder ein belegtes Eingeständnis von Alibaba noch eine behördliche Feststellung, dass die beschriebene Praxis rechtswidrig war.

Was im Hintergrund passiert sein soll

Die untersuchten Skripte bauten laut Analyse versteckte Web-Audio-Verarbeitungsketten auf. Dabei wurde ein bekanntes Signal erzeugt, analysiert und verarbeitet. Am Ende stand ein Verstärker mit dem Wert null – der Ton war für Nutzerinnen und Nutzer nicht hörbar. Trotzdem blieb die Kette mit AudioContext.destination, also dem Audioausgang des Browsers, verbunden.

Vereinfacht sah der Signalweg so aus:

Oszillator → Analyse/Verarbeitung → Verstärkung 0 → AudioContext.destination

Eine Verstärkung von null verhindert zwar die hörbare Ausgabe. Sie bedeutet aber nicht automatisch, dass der Browser die gesamte Audiografik nicht mehr berechnet. Solange sie mit dem Zielausgang verbunden ist, kann der Browser oder das Betriebssystem die Seite weiterhin als aktive Audiositzung behandeln. Das liefert eine plausible Erklärung für die beobachtete Bluetooth-Nebenwirkung. Allerdings ist nicht belegt, dass sich jeder Browser, jedes Betriebssystem und jedes Headset identisch verhält.

Warum Web Audio für Fingerprinting geeignet ist

Beim Rendern von Web Audio können zwischen Geräten und Software-Umgebungen minimale Unterschiede entstehen. Einfluss haben unter anderem Browser, Betriebssystem, Audiobibliotheken, Treiber, Hardware und numerische Verarbeitungswege. Ein Skript kann das Ergebnis messen und die Abweichungen als Bestandteil eines Geräte-Fingerabdrucks verwenden.

Die Untersuchung ordnete die beiden Skripte dem Bereich Anti-Missbrauch beziehungsweise Betrugsbekämpfung zu. Die Audio-Messung soll demnach mit weiteren Signalen kombinierbar sein, etwa aus Canvas- und WebGL-Rendering, Bildschirmdaten sowie Browser- und Hardwaremerkmalen. Dadurch kann ein wiederkehrendes Gerät oder ein Browser leichter erkannt werden.

Der clientseitige Code zeigt jedoch nicht, wie die Ergebnisse anschließend auf dem Server gespeichert, einer Identität zugeordnet, wie lange sie aufbewahrt oder mit wem sie geteilt wurden. Auch die tatsächliche Genauigkeit einer solchen Wiedererkennung lässt sich daraus nicht ableiten.

Entscheidend sind deshalb drei verschiedene Aussagen:

• Null Lautstärke: Der Nutzer hört das Signal nicht.
• Keine Audioverarbeitung: Die Audiografik läuft nicht oder ist nicht mit einem Ausgang verbunden.
• Kein Tracking: Das Renderingergebnis wird nicht erfasst oder zur Wiedererkennung genutzt.

„Stumm“ und „nicht berechnet“ sind also nicht dasselbe. Eine unhörbare Audiografik kann weiterhin Rechenarbeit leisten und – abhängig von der Implementierung – ein messbares Ergebnis erzeugen.

Warum die Stummschaltung eines Tabs nicht unbedingt genügt

Die Stummschaltung eines Tabs oder einer Website richtet sich normalerweise gegen hörbare Ausgaben. Sie beendet nicht zwangsläufig das JavaScript der Seite, hält nicht jeden AudioContext an, trennt keine einzelnen Audioknoten und gibt auch nicht garantiert eine Audiositzung des Betriebssystems frei.

Darum muss das Stummschalten eines AliExpress-Tabs das beschriebene Problem nicht lösen. Es gab laut Untersuchung keinen Hinweis auf ein verstecktes Lied, Video oder eine hörbare Aufnahme. Der mögliche Auslöser war vielmehr eine mit dem Audioausgang verbundene Web-Audio-Grafik, die trotz Verstärkung null aktiv blieb.

Ein Browser könnte für solche lautlosen, aber ausgangsverbundenen Audiografiken strengere Regeln anwenden. Das wäre jedoch eine Entscheidung des jeweiligen Browserherstellers und nicht die übliche Funktion einer Tab-Stummschaltung.

Welche Datenschutzfragen in der EU entstehen

Artikel 5 Absatz 3 der ePrivacy-Richtlinie betrifft das Speichern von Informationen auf dem Endgerät eines Nutzers oder den Zugriff auf dort bereits gespeicherte Informationen. Ausnahmen gelten nur für bestimmte Zwecke. Der Europäische Datenschutzausschuss (EDSA beziehungsweise EDPB) betrachtet bei neuen Tracking-Techniken insbesondere drei Punkte: Gibt es Informationen, betrifft der Vorgang ein Endgerät, und findet ein Speichern oder Zugreifen statt? 17

Diese Systematik macht Geräte-Fingerprinting zu einem ernsthaften Datenschutzthema. Ob die konkrete Audio-Technik im Einzelfall unter Artikel 5 Absatz 3 fällt, hängt jedoch von den technischen Details ab – etwa davon, welche Informationen die Skripte tatsächlich aus dem Endgerät auslesen und ob ein erzeugtes Ergebnis gespeichert oder zur Wiedererkennung genutzt wird. Die EDPB-Leitlinien sind keine Entscheidung zu den AliExpress-Skripten und belegen keinen Rechtsverstoß. 17

Kann ein daraus entstehender Fingerabdruck eine Person oder zumindest ein bestimmtes Gerät wiedererkennbar machen, stellen sich zusätzlich Fragen nach der Datenschutz-Grundverordnung. Dazu gehören Transparenz, Rechtsgrundlage, Zweckbindung, Datenminimierung, Speicherdauer und Sicherheit. Die Bezeichnung „Anti-Fraud“ – also Betrugsbekämpfung – beweist für sich genommen nicht, dass eine Ausnahme von der Einwilligungspflicht greift. Maßgeblich wären unter anderem die Erforderlichkeit und die jeweilige nationale Umsetzung der Regeln.

Was Nutzer tun können

Brave

Brave beschreibt Schutzmechanismen, die Fingerprinting-Signale über APIs wie Canvas und Web Audio reduzieren oder zufällig verändern können. Das kann Audio-Fingerprints unzuverlässiger machen, bedeutet aber nicht automatisch, dass jedes individuelle Anti-Betrugs-Skript blockiert wird oder gar keine Audiografik entsteht. 15

Berichte schrieben Brave außerdem die Aussage zu, dass die identifizierten AliExpress-Skripte durch die eigenen Schutzmaßnahmen blockiert würden. In den vorliegenden Materialien findet sich dafür jedoch kein primärer Brave-Beitrag, der diese konkrete Behauptung bestätigt.

Firefox

Die verfügbaren Belege zeigen nicht eindeutig, ob Firefox diese beiden First-Party-Skripte standardmäßig blockiert. Stärkere Anti-Fingerprinting-Einstellungen können die Aussagekraft von Geräte-Signalen verringern. Nutzer sollten aber nicht davon ausgehen, dass allgemeine Datenschutzeinstellungen jedes speziell entwickelte Anti-Betrugs-Skript am Laden hindern.

uBlock Origin

Direkter ist eine Netzwerkblockade: Werden collina.js und fireyejs.js nicht geladen, können sie die beschriebene Audiografik nicht erzeugen. Für uBlock Origin wurden folgende Community-Filter veröffentlicht:

||assets.aliexpress-media.com/g/AWSC/uab/*/collina.js$script,domain=aliexpress.com
||assets.aliexpress-media.com/g/AWSC/fireyejs/*/fireyejs.js$script,domain=aliexpress.com

Die Regeln können veralten, wenn AliExpress Domains, Pfade oder Dateinamen ändert. Nach dem Hinzufügen müssen bereits geöffnete AliExpress-Tabs möglicherweise geschlossen und neu geladen werden. Community-Filter sollten deshalb gegen die aktuell verwendeten Ressourcen geprüft und nicht als dauerhafte Lösung betrachtet werden.

Der Haken: Datenschutz gegen Betrugsbekämpfung

Die Skripte wurden als Teil von Alibabas Anti-Missbrauch-Infrastruktur beschrieben. Werden sie blockiert, kann das Auswirkungen auf die Website haben. Möglich sind zusätzliche Verifizierungen, Login- oder Checkout-Probleme und andere Kompatibilitätsfehler. Die vorliegenden Belege zeigen allerdings nicht, dass normales Surfen oder Einkaufen grundsätzlich scheitert.

Praktisch kann ein separates Browserprofil helfen, die Folgen zu testen. Bricht eine wichtige Funktion weg, lässt sich anschließend abwägen, ob sie die Freigabe der Skripte wert ist.

Das belastbarste Fazit fällt damit etwas nüchterner aus als manche Überschrift: Eine unabhängige Untersuchung berichtete über lautlose Web-Audio-Verarbeitung durch zwei mit AliExpress verbundene Skripte. Als möglicher Zweck wurde Fingerprinting genannt, als mögliche Nebenwirkung eine blockierte Bluetooth-Audio-Umschaltung. Nicht belegt sind hingegen eine ursprüngliche offizielle Enthüllung durch Brave, die serverseitige Nutzung oder Speicherung der Daten durch Alibaba und ein behördlich festgestellter Gesetzesverstoß.