Risiken durch Cookie, localStorage und IndexedDB
Cookies, localStorage, IndexedDB, Cache und Service Worker können Browserhandlungen verbinden, auch wenn IP-Adresse, VPN oder Tor-Nutzung geändert werden.
Websites können Informationen im Browser speichern.
Das bekannteste Beispiel sind Cookies. Daneben gibt es Speicherbereiche wie localStorage und IndexedDB. Sie werden genutzt, um Anmeldestatus, Einstellungen, Warenkörbe, Identifikatoren und App-Daten zu speichern.
Diese Mechanismen sind praktisch, werden bei Anonymität aber starkes Korrelationsmaterial.
Wenn dieselben Cookies gesendet werden, wird man auch nach Änderung der IP-Adresse als derselbe Browser behandelt. Auch mit VPN oder Tor verbindet sich die Nutzung, wenn Klarnamenumgebung und anonyme Aktivität denselben Speicherbereich verwenden.
Dieser Artikel ordnet, wie Speicherbereiche im Browser mit Anonymität zusammenhängen. Die Details behandelt „Unterschied zwischen Cookie, sessionStorage und localStorage“.
Speicherbereiche im Browser
Cookie, localStorage und IndexedDB sind Mechanismen, mit denen Websites auf Browserseite Informationen speichern.
| Speicherbereich | Hauptnutzung | Hinweis für Anonymität |
|---|---|---|
| Cookie | Anmeldestatus, Sitzung, Identifikator | wird bei Requests gesendet |
| localStorage | Einstellungen, einfache Daten | wird von JavaScript genutzt |
| IndexedDB | größere App-Daten | Informationen von Web-Apps bleiben |
| sessionStorage | temporärer Speicher pro Tab | Zustand während einer Sitzung bleibt |
| Cache | Bilder und Skripte | Hinweis auf Browserverlauf |
Diese Speicher machen das Web bequemer.
Solange man denselben Browser weiterverwendet, wird Verhalten aber leichter fortlaufend sichtbar.
Warum das bei Anonymität ein Problem ist
Bei Anonymität ist problematisch, wenn Handlungen derselben nutzenden Person verbunden werden.
Cookies und localStorage schaffen diese Verbindung. Wenn man etwa eine Website zuerst mit Heim-IP besucht und später per VPN dieselbe Website aufruft, aber dasselbe Cookie sendet, wird derselbe Browser erkannt.
| Situation | Was passiert | Problem für Anonymität |
|---|---|---|
| Nur IP ändern | Cookie wird unverändert gesendet | derselbe Browser wird sichtbar |
| Nach Klarnamenlogin anonym browsen | Speicherbereich bleibt | Verhalten verbindet sich mit Klarnamenumgebung |
| Mehrere Konten im selben Browser | Speicherzustände vermischen sich | Kontentrennung bricht |
| Web-App nutzen | Daten bleiben in IndexedDB | frühere Nutzung bleibt |
| Cache bleibt | erneute Besuche und Betrachtetes bleiben | Spur auf dem Gerät |
VPN und Tor verändern die Sicht auf den Kommunikationsweg.
Speicherbereiche im Browser sind ein anderes Problem.
Cookie-Löschung reicht manchmal nicht
Cookies zu löschen kann sinnvoll sein.
Wenn aber localStorage, IndexedDB, Cache, Service Worker oder anderes bleiben, kann der Zustand einer Web-App bleiben.
| Was bleibt | Inhalt | Hinweis |
|---|---|---|
| localStorage | Seiteneinstellungen und Identifikatoren | verschwindet nicht immer mit Cookie-Löschung |
| IndexedDB | Daten von Web-Apps | große Informationsmengen bleiben |
| Cache | abgerufene Dateien | wird Spur von Ansicht oder Nutzung |
| Service Worker | Offline-Verarbeitung und Benachrichtigung | Website-Verhalten kann weiterlaufen |
| Anmeldestatus | Sitzung auf Dienstseite | endet nicht nur im Browser |
Für anonyme Aktivität ist es wichtig, Klarnamenbrowser und anonymen Browser zu trennen.
Statt jedes Mal per Löschung zu arbeiten, ist ein Design ohne Vermischung stabiler.
Zu prüfen
Beim Umgang mit Browser-Speicherbereichen überlegt man zuerst nicht, was gelöscht wird, sondern was nicht vermischt werden darf.
| Prüfpunkt | Grund |
|---|---|
| Sind Klarnamen- und anonyme Nutzung in getrennten Browsern? | Vermischung von Speicherbereichen vermeiden |
| Wird dieselbe Website mit Klarnamen und anonym genutzt? | Kontokorrelation vermeiden |
| Wurden Speicherbereiche außer Cookies geprüft? | localStorage und IndexedDB können bleiben |
| Sind Browserprofile getrennt? | Erweiterungen und Verlauf ebenfalls trennen |
| Sind Tor-Browser-Standardeinstellungen unverändert? | eigene Einstellungen machen auffällig |
Bei Hochrisikoaktivität erwägt man, nicht nur Browser, sondern auch OS-Benutzer, Gerät und Kommunikationsweg zu trennen.
Trennung vor Löschung
Cookies und Speicherbereiche können gelöscht werden.
Aber ein Betrieb, der jedes Mal perfektes Löschen verlangt, bricht leicht. Vergessene Löschung, erneutes Einloggen, Speicher anderer Websites und Synchronisierungseinstellungen führen zu Vermischung.
| Methode | Vorteil | Hinweis |
|---|---|---|
| Jedes Mal löschen | einfacher Einstieg | Vergessen und ausgelassene Speicherbereiche passieren |
| Anderer Browser | Klarnamen und anonym leichter trennen | Erweiterungen und Einstellungen ebenfalls trennen |
| Anderes Profil | Trennung im selben Browser möglich | Verwechslungen vermeiden |
| Tor Browser | gegen Speicherung und Identifizierung ausgelegt | Standardeinstellungen nicht verändern |
| Anderes Gerät | starke Trennung möglich | höherer Verwaltungsaufwand |
Bei niedrigem Risiko kann Profiltrennung reichen.
Bei hohem Risiko erwägt man Trennung bis zu Gerät oder OS. Wichtig ist, den nötigen Trennungsgrad aus dem Bedrohungsmodell abzuleiten.
Häufige Fehler
Fehler bei Browser-Speicherbereichen entstehen in vertrauten Handlungen.
| Fehler | Was passiert |
|---|---|
| Anonymer Post im Alltagsbrowser | Klarnamen-Cookies und Verlauf vermischen sich |
| Nur VPN einschalten | Cookie wird unverändert gesendet |
| Sich mit Logout sicher fühlen | localStorage und IndexedDB bleiben |
| Dieselben Erweiterungen nutzen | Browserumgebung wirkt ähnlich |
| Cloud-Synchronisierung nicht abschalten | Verlauf und Einstellungen verteilen sich auf Geräte |
Bei Anonymität prüft man Kommunikationsweg und Browserzustand gleichzeitig.
Grundhaltung bei anonymer Aktivität
Bei Cookies und Speicherbereichen ist „nicht vermischen“ wichtiger als „löschen“.
Wenn ein Browser für anonyme Aktivität festgelegt ist, öffnet man darin keine Klarnamendienste. Im Klarnamenbrowser öffnet man keine anonymen Konten. Auch Cloud- und Passwortsynchronisierung werden getrennt. Diese einfache Praxis ist langfristig eine starke Maßnahme.
| Grundsatz | Bedeutung |
|---|---|
| Nutzungen trennen | Klarnamen- und anonyme Nutzung nicht vermischen |
| Synchronisierung prüfen | Verlauf und Einstellungen nicht auf andere Geräte ausweiten |
| Logins trennen | Kontokorrelation vermeiden |
| Speicherbereiche regelmäßig prüfen | unnötige Daten nicht behalten |
| Bei hohem Risiko auch Geräte trennen | nicht allein auf Browsertrennung verlassen |
Zusammenfassung
Cookie, localStorage und IndexedDB sind Mechanismen, mit denen Websites Informationen im Browser speichern.
Sie sind praktisch, verbinden bei Anonymität aber Handlungen desselben Browsers.
Auch wenn die IP-Adresse geändert wird, kann man durch dieselben Cookies oder Speicherbereiche als derselbe Browser oder dieselbe Umgebung behandelt werden.
Bei Anonymität betrachtet man Kommunikationsweg und Browserspeicher getrennt.
Klarnamenumgebung und anonyme Umgebung nicht zu vermischen und bei Bedarf dedizierte Browser oder Profile zu nutzen, ist wichtig.
Verwandte Werkzeuge
BrowserLeaks WebRTC
Eine externe Ressource zu diesem Artikel. Öffne sie nur, wenn sie zu deiner Situation und deinem Bedrohungsmodell passt.
Warum es hier aufgeführt ist: Sie kann beim Thema des Artikels helfen, liegt aber außerhalb von Anonymity Sense und sollte vor der Nutzung geprüft werden.
Tor Project
Eine externe Ressource zu diesem Artikel. Öffne sie nur, wenn sie zu deiner Situation und deinem Bedrohungsmodell passt.
Warum es hier aufgeführt ist: Sie kann beim Thema des Artikels helfen, liegt aber außerhalb von Anonymity Sense und sollte vor der Nutzung geprüft werden.