#Netzwerk & Sicherheit · 5 Min. Lesezeit · Tim Rinkel

STILLER LAUSCHANGRIFF! AliExpress kapert deinen Ton — und killt dein Bluetooth-Headset

STILLER LAUSCHANGRIFF! AliExpress kapert deinen Ton — und killt dein Bluetooth-Headset

Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.

Manche Fehler sind so absurd, dass man erst gar nicht auf die richtige Fährte kommt. Ein Entwickler wunderte sich, warum die Musik von seinem Handy immer dann verstummte, wenn er im Browser eine bestimmte Seite öffnete. Kein Klick auf ein Video. Kein Ton auf der Seite. Trotzdem: Musik weg.

Die Seite war die Startseite von AliExpress. Und die Ursache ist deutlich interessanter als ein Browser-Bug.

WAS DER ENTWICKLER GEFUNDEN HAT

Beim Öffnen der Startseite legt die Seite laut seiner Analyse zwei laufende WebAudio-Graphen an — erzeugt von stark verschleierten Skripten aus dem Alibaba-Sicherheitsumfeld.

Diese Graphen erzeugen eine Wellenform und analysieren sie anschließend selbst. Das Ergebnis fließt in einen umfangreichen Browser-Fingerabdruck ein. Angeschlossen sind die Graphen über einen Knoten mit Verstärkung null an den System-Ton — es kommt also nichts Hörbares heraus.

Hörbar ist es nicht. Wirksam ist es trotzdem.

Warum ausgerechnet das Headset leidet

Hier kommt Bluetooth-Multipoint ins Spiel — die Funktion, mit der moderne Kopfhörer gleichzeitig mit Laptop und Handy verbunden sind und automatisch zu der Quelle wechseln, die gerade Ton ausgibt.

Genau diese Automatik ist das Problem. Für den Kopfhörer sieht ein aktiver Audiopfad wie ein aktiver Audiopfad aus — ob dabei Musik oder Stille übertragen wird, spielt keine Rolle. Der Laptop meldet also faktisch „ich spiele etwas ab“, der Kopfhörer schaltet auf den Laptop um, und die Musik vom Handy verstummt.

Besonders unangenehm: Die Stummschaltung des Browser-Tabs half nicht. Der Ton war ja bereits null — was die Seite belegte, war nicht die Lautstärke, sondern der Audiopfad selbst.

DER EIGENTLICHE PUNKT: Tracking mit Nebenwirkungen

Browser-Fingerprinting an sich ist nichts Neues. Seiten sammeln Schriftarten, Bildschirmauflösung, Grafik-Eigenheiten und eben auch Audio-Merkmale, um Besucher ohne Cookies wiederzuerkennen. Anbieter begründen das meist mit Betrugserkennung — was in einem Shop-Umfeld nicht einmal unplausibel ist.

Neu ist die Beobachtung, dass diese Technik inzwischen so tief ins System greift, dass sie das Verhalten externer Hardware verändert. Ein Tracking-Mechanismus, der stark genug ist, deinem Kopfhörer eine Entscheidung aufzuzwingen, ist keine passive Messung mehr.

Und für dich als Nutzer heißt das vor allem eines: Wenn dein Bluetooth-Gerät sich seltsam verhält, ist das nicht zwingend ein Hardware-Defekt. Es kann eine Webseite sein, die im Hintergrund arbeitet.

SO WEHRST DU DICH — 4 Optionen

  1. Autoplay- und Audio-Rechte einschränken. Firefox und Chrome erlauben es, Seiten das automatische Abspielen von Ton pauschal zu verbieten. Das trifft nicht jeden Fingerprinting-Fall, ist aber die Maßnahme mit dem besten Aufwand-Nutzen-Verhältnis.
  2. Erweiterten Tracking-Schutz nutzen. Firefox bringt in der strengen Einstellung Gegenmaßnahmen gegen Fingerprinting mit, Brave ebenso. Die verfälschen Audio-Merkmale gezielt, statt sie nur zu blockieren.
  3. Solche Seiten isolieren. Ein eigenes Browser-Profil oder ein Container-Tab nur für Shopping-Seiten hält den Rest deiner Sitzung sauber — und du merkst sofort, wenn Effekte auftreten.
  4. Netzwerkweit filtern. Ein Filter im eigenen Netz erwischt Tracking-Domains für alle Geräte gleichzeitig, auch für Fernseher und Handys ohne Erweiterungen.

EXTRA-TIPP: Filter fürs ganze Netz

Wenn du den vierten Punkt ernsthaft angehen willst, brauchst du kein großes Gerät. Ein Raspberry Pi 5* reicht für Pi-hole oder AdGuard Home in einem normalen Haushalt locker aus und läuft mit wenigen Watt durch.

Ehrlich dazugesagt: Ein Netzwerkfilter ist eine Ergänzung, kein Ersatz. Skripte, die von derselben Domain wie die Webseite selbst geladen werden, kann er nicht blockieren, ohne die Seite kaputtzumachen. Gegen die Masse an Drittanbieter-Trackern hilft er hervorragend, gegen den hier beschriebenen Fall nur begrenzt.

FAZIT

Der Fall ist ein schönes Beispiel dafür, wie unsichtbare Technik sichtbare Folgen hat. Niemand bei AliExpress hat sich vorgenommen, Bluetooth-Kopfhörer zu stören — das ist ein Nebeneffekt einer aggressiv gebauten Erkennungsroutine.

Aber genau das ist der Grund, warum solche Funde wichtig sind: Sie machen greifbar, was sonst nur in Datenschutzerklärungen steht. Und sie erinnern daran, dass ein Browser-Tab heute mehr Zugriff auf dein System hat, als die meisten Nutzer vermuten würden.

Häufige Fragen

Was ist WebAudio-Fingerprinting überhaupt?
Der Browser kann über die WebAudio-Schnittstelle Töne erzeugen und verarbeiten. Weil jedes Gerät und jede Software-Kombination dabei minimal andere Ergebnisse liefert, entsteht ein wiedererkennbares Merkmal. Zusammen mit Schriftarten, Auflösung und Grafik-Eigenheiten ergibt das einen Fingerabdruck, mit dem sich Besucher ohne Cookies wiedererkennen lassen.
Warum bricht dabei die Musik vom Handy ab?
Bluetooth-Multipoint schaltet automatisch zu der Quelle um, die gerade Ton ausgibt. Für den Kopfhörer ist ein aktiver Audiopfad ein aktiver Audiopfad — ob Musik oder Stille übertragen wird, kann er nicht unterscheiden. Der Laptop meldet also Aktivität, der Kopfhörer wechselt, und die Wiedergabe vom Handy stoppt.
Hilft es, den Tab stummzuschalten?
Nein, und das ist der aufschlussreiche Teil. Die Wiedergabe erfolgt ohnehin mit Verstärkung null, es ist also nichts zu hören. Belegt wird nicht die Lautstärke, sondern der Audiopfad selbst — und den räumt die Stummschaltung des Browsers nicht frei.
Kann ein Netzwerkfilter wie Pi-hole das verhindern?
Nur teilweise. Netzwerkfilter arbeiten auf Domain-Ebene und blockieren hervorragend Drittanbieter-Tracker. Skripte, die von derselben Domain wie die Webseite selbst kommen, lassen sich damit nicht sperren, ohne die Seite unbrauchbar zu machen. Gegen diesen konkreten Fall hilft ein Filter also begrenzt, im Alltag darüber hinaus aber sehr wohl.
Ist das illegal?
Das ist eine juristische Frage, die pauschal nicht zu beantworten ist und vom jeweiligen Rechtsraum, der Einwilligung und dem Zweck abhängt. Fingerprinting zur Betrugserkennung wird von Anbietern anders begründet als Tracking zu Werbezwecken. Wer das für seinen Fall bewerten will, sollte sich juristisch beraten lassen — ich bin kein Anwalt.

Quellen

Kommentar hinterlassen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert