Geräteerkennung im Online-Casino: was dein Browser verrät, bevor du dich anmeldest

Du hast noch nichts eingegeben. Kein Name, keine Mail, kein Geburtsdatum. Die Seite ist gerade erst fertig geladen.

Trotzdem liegt auf der Gegenseite bereits eine Reihe von Angaben über die Umgebung, aus der du kommst. Nicht, weil jemand etwas ausspioniert hätte, sondern weil ein Browser eine Seite nur dann korrekt darstellen kann, wenn er verrät, wer er ist und womit er arbeitet. Welche Version, welches System, wie breit das Fenster, welche Sprache, welche Zeitzone.

Aus diesen Angaben entsteht etwas, das in deinem Konto nirgends auftaucht und das du in keiner Einstellung findest: eine zweite Kennung. Sie ist kein Cookie. Sie lässt sich nicht wegklicken. Und sie erfüllt zwei Zwecke, die kaum weiter auseinanderliegen könnten.

Zwei Kennungen pro Konto, und nur eine stammt von dir

Die erste Kennung kennst du. Sie besteht aus dem, was du bei der Anmeldung eingetippt und später mit einem Ausweis belegt hast: Name, Adresse, Geburtsdatum, Mailadresse, eine Zahlungsmethode. Diese Kennung hast du selbst geliefert und kannst sie in Grenzen ändern.

Die zweite Kennung hast du nie angegeben. Sie entsteht aus der Ausstattung, mit der du die Seite besuchst, und sie entsteht bei jedem Aufruf neu. Der Anbieter muss dafür nichts installieren und nichts von dir verlangen. Er muss nur festhalten, was ihm ohnehin mitgeliefert wird.

Für die Unterscheidung ist ein Punkt entscheidend, der leicht untergeht: Die zweite Kennung funktioniert schon, bevor die erste existiert. Sie hängt nicht am Konto, sondern am Gerät. Deshalb kann sie eine Frage beantworten, an der die Kontodaten scheitern, nämlich ob zwei Anmeldungen mit unterschiedlichen Namen aus derselben Umgebung kommen.

Genau daraus ergibt sich die Doppelnatur des Verfahrens. Dieselbe Beobachtung, die eine Sperre wirksam hält, ermöglicht auch das Wiedererkennen von jemandem, der lieber nicht wiedererkannt worden wäre.

Die Bausteine sind einzeln völlig unauffällig

Wer wissen will, warum sich das nicht abstellen lässt, muss sich ansehen, woraus die Kennung besteht. Das Ernüchternde daran: Es ist nichts Exotisches dabei. Jeder einzelne Wert hat einen banalen technischen Grund, und ohne ihn würde die Seite schlechter funktionieren.

Man kann diese Liste durchgehen und bei jedem Eintrag mit den Schultern zucken. Dass jemand die Bildschirmbreite deines Handys kennt, ist kein Eingriff. Die Zeitzone verrät nicht einmal die Stadt. Und die Schriften eines gängigen Büropakets sind alles andere als eine Besonderheit.

Der Punkt ist auch nicht der einzelne Wert. Der Punkt ist, dass keiner dieser Werte für sich betrachtet wird.

Wie aus Allerweltswerten eine schmale Schnittmenge wird

Das Prinzip lässt sich ohne jede Technik nachvollziehen. Eine bestimmte Jackenfarbe sagt in einer vollen Bahnhofshalle nichts. Dieselbe Jackenfarbe zusammen mit einem bestimmten Rucksack, einer bestimmten Schuhmarke, einem Verband am linken Handgelenk und einer Uhr am rechten führt sehr schnell zu einer sehr kleinen Gruppe. Kein einzelnes Merkmal identifiziert. Die Aufzählung tut es beinahe.

So verhält es sich mit den Angaben aus der Tabelle, und das Prinzip dahinter ist eine Verschachtelung. Zahllose Geräte nutzen dieselbe Browserversion. Nur ein Ausschnitt daraus läuft auf demselben Betriebssystem. Ein kleinerer Ausschnitt davon hat zusätzlich diese Bildschirmbreite bei dieser Skalierung. Kleiner wird er noch einmal, wenn diese Zeitzone und diese Sprachreihenfolge dazukommen. Und wenn zuletzt die auf dem System vorhandenen Schriften hinzutreten, wird aus einer unübersehbaren Menge eine überschaubare.

Wichtig ist, was daraus nicht folgt. Es folgt kein Name. Es folgt keine Adresse. Es folgt nicht einmal die Gewissheit, dass zwei Sitzungen von derselben Person stammen, denn ein Gerät kann geteilt werden und ein Mensch kann mehrere Geräte haben. Was folgt, ist eine Aussage über Ähnlichkeit, und die reicht für den Zweck, um den es geht, aus.

Konkrete Genauigkeitsangaben stehen hier deshalb nicht. Sie kursieren zwar, aber sie hängen von der jeweils untersuchten Nutzergruppe, dem Zeitpunkt und der Zahl der ausgewerteten Merkmale ab und lassen sich nicht sinnvoll auf dein Gerät übertragen. Was sich sagen lässt: Je gewöhnlicher deine Ausstattung, desto schlechter funktioniert die Zuordnung. Je individueller sie ist, desto besser. Das ist die Pointe, auf die weiter unten noch einmal zurückzukommen ist.

Kein Cookie, kein Löschen-Knopf

Das geläufige Modell davon, wie Wiedererkennung im Netz funktioniert, heißt Cookie. Eine kleine Datei wird bei dir abgelegt, sie enthält eine Nummer, beim nächsten Besuch wird sie gelesen. Das Modell hat einen angenehmen Nebeneffekt: Es gibt einen Knopf, der die Sache beendet. Browserdaten löschen, fertig.

Bei einer Gerätekennung greift dieser Knopf ins Leere, und zwar aus einem einfachen Grund: Es liegt nichts bei dir, das gelöscht werden könnte. Die Merkmale sind keine Ablage, sie sind Eigenschaften. Sie werden nicht gespeichert und wiedergefunden, sondern jedes Mal aufs Neue abgelesen. Deine Bildschirmauflösung ist kein Rückstand eines früheren Besuchs.

Daraus ergeben sich drei Folgen, die im Alltag zählen. Erstens hilft das Leeren des Browserspeichers gegen diese Form der Wiedererkennung nicht. Zweitens hilft ein privates Fenster wenig, weil es verhindert, dass Spuren bei dir zurückbleiben, aber nichts daran ändert, welche Merkmale dein Gerät nach außen zeigt. Drittens überlebt die Kennung einen Kontowechsel, weil sie am Gerät hängt und nicht am Konto.

Das ist kein Grund zur Panik, aber ein Grund für Genauigkeit. Wer glaubt, mit einem geleerten Speicher sei er ein neuer Besucher, verwechselt zwei verschiedene Verfahren. Welche Kategorien in einem Spielerkonto sonst noch zusammenlaufen und wie sie miteinander verknüpft werden, ist im Beitrag zum Datenprofil im Spielerkonto aufgeschlüsselt.

Die Seite, die für dich arbeitet

Jetzt zum unbequemen Teil, jedenfalls für alle, die das Thema gern eindeutig hätten. Dieselbe Technik, die nach Überwachung klingt, trägt an einer entscheidenden Stelle den Spielerschutz.

Der klarste Fall ist die Selbstsperre. Wer sich über OASIS sperren lässt, wird bundesweit und anbieterübergreifend an der Anmeldung gehindert. Die Sperre setzt an der Person an, und die Prüfung läuft über die Angaben, die bei der Registrierung erhoben werden. Das funktioniert genau so lange, wie diese Angaben stimmen.

Der schwache Moment ist genau der, für den eine Sperre gedacht ist. Wer gesperrt ist und trotzdem spielen will, kommt irgendwann auf den Gedanken, es mit abweichenden Angaben noch einmal zu versuchen. Wie das im Einzelnen aussehen könnte, gehört nicht hierher. Entscheidend ist die andere Seite der Rechnung: Gäbe es kein Merkmal jenseits der eingegebenen Angaben, wäre eine Sperre ausgerechnet in dem Moment wertlos, in dem sie am meisten gebraucht wird. Erst ein Signal, das unabhängig von den Formularfeldern entsteht, macht es möglich, überhaupt zu bemerken, dass die neue Anmeldung aus derselben Umgebung kommt wie ein gesperrtes Konto.

Wer diesen Gedanken bei sich selbst bemerkt, sollte ihn ernst nehmen statt ihn weiterzudenken. An dieser Stelle trägt ein Gespräch mehr als jeder weitere Anlauf: Die Beratung der BZgA ist kostenlos und anonym unter 0800 1 37 27 00 erreichbar, und die Sperre bleibt das Werkzeug, das anbieterübergreifend wirkt.

Der zweite Fall ist die Kontoübernahme. Wenn sich jemand mit deinem Passwort anmeldet, sind die Zugangsdaten korrekt und trotzdem ist etwas faul. Woran soll ein System das erkennen, wenn nicht daran, dass die Sitzung aus einer Umgebung kommt, die zu diesem Konto noch nie gehört hat? Genau dieser Abgleich ist der Grund, warum ein Login von einem fremden Gerät eine zusätzliche Bestätigung auslösen kann. Welche Schutzmaßnahmen daneben in deiner Hand liegen, steht im Beitrag zur Kontosicherheit im Online-Casino.

Der dritte Fall betrifft Mehrfachkonten. Ein Mensch, ein Konto ist bei lizenzierten Anbietern keine Schikane, sondern die Grundlage dafür, dass Einzahlungslimits und Sperren überhaupt greifen können. Wenn dieselbe Person unter mehreren Identitäten spielt, laufen sämtliche Schutzmechanismen ins Leere, die auf der Annahme beruhen, dass ein Konto einer Person entspricht. Was das im Alltag bedeutet, auch für gut gemeinte Hilfskonstruktionen im Familienkreis, ist beim Thema geteilte Casino-Konten ausführlicher beschrieben.

Wer diesen Abschnitt unangenehm findet, liest richtig. Ein Verfahren kann gleichzeitig invasiv wirken und notwendig sein, und beides gilt hier zur selben Zeit.

Die Seite, die gegen dich laufen kann

Dieselbe Kennung ändert ihren Charakter, sobald sie den Bereich verlässt, für den sie gerade beschrieben wurde. Drei Verwendungen gehören dazu. Keine davon lässt sich von außen von den eben beschriebenen Schutzfunktionen unterscheiden, weil beide Richtungen auf dieselben Merkmale zugreifen.

Wiedererkennung über einzelne Angebote hinaus. Eine Kennung, die ohne Cookie funktioniert, funktioniert auch dann noch, wenn du eine Seite verlässt und eine andere ansteuerst. Ob und in welchem Umfang solche Zusammenführungen stattfinden, hängt an Verträgen und Dienstleistern, die von außen nicht einsehbar sind. Wir schreiben hier deshalb keinem konkreten Anbieter und keinem Netzwerk etwas zu. Die technische Möglichkeit besteht, das ist der Punkt.

Zuordnung zu Werbeprofilen. Wer wiedererkannt wird, kann adressiert werden. Für Glücksspielwerbung ist das ein heikler Bereich, weil sich Zielgruppen dann nicht mehr über Interessen, sondern über beobachtetes Verhalten bilden lassen. Wer wiederkehrt, ist für Werbung wertvoller als ein einmaliger Besucher.

Einordnung in Risiko- oder Wertklassen. Prüfungen, die von der Einschätzung eines Kontos abhängen, greifen nicht nur auf Zahlungsdaten zu, sondern auch auf das technische Umfeld. Ein Zugang, der immer aus derselben Umgebung kommt, erzeugt ein anderes Bild als einer, bei dem sich Standort, Gerät und Netzzugang laufend ändern. Wie solche Einschätzungen zustande kommen und was sie im Ablauf auslösen, steht im Beitrag zur Risikoprüfung im Online-Casino.

Die eigentliche Schwierigkeit liegt nicht in einer dieser Verwendungen, sondern in ihrer Ununterscheidbarkeit. Von außen siehst du nur, dass Merkmale erhoben werden. Ob sie eine Sperre absichern oder ein Werbeprofil füttern, siehst du nicht. Diesen Unterschied stellt nicht die Technik her, sondern der Zweck, den ein Anbieter angibt und einhält.

Technische Merkmale sind trotzdem deine Daten

Es gibt eine verbreitete Vorstellung, wonach alles, was technisch klingt, außerhalb des Datenschutzes stattfindet. Eine Bildschirmauflösung sei eben ein Gerätewert und kein Personenmerkmal. Diese Trennung hält nicht.

Maßgeblich ist nicht, wie technisch ein Wert klingt, sondern ob er einer Person zugeordnet werden kann. Und im Casino ist genau das der Normalfall: Die Merkmale hängen an einem Konto, das auf einen Namen läuft, das ausweisgeprüft ist und an dem eine Zahlungsmethode klebt. Der Umweg über die Technik führt also nicht aus dem Personenbezug heraus, sondern direkt hinein.

Für dich folgt daraus, dass dieser Teil deiner Daten kein Sonderbereich ist. Du kannst danach fragen, was gespeichert wird, zu welchem Zweck und woher es stammt. Wie ein solches Auskunftsverlangen abläuft und was dabei zurückkommt, haben wir im Beitrag zum Datenprofil beschrieben und wiederholen es hier nicht.

Zwei Erwartungen sollte man dabei allerdings herunterschrauben. Zum einen ist eine Auskunft eine Darstellung dessen, was verarbeitet wird, und nicht zwangsläufig eine Tabelle jedes einzelnen Merkmals. Zum anderen ist die Frage, welche dieser Verarbeitungen im Einzelfall zulässig ist und welche nicht, keine, die sich in einem Ratgeber beantworten lässt. Sie gehört zu einer fachlichen Beratung, und wir tun nicht so, als wäre es anders.

Was ein VPN und ein privates Fenster hier tatsächlich ändern

Wenn das Thema aufkommt, folgt der naheliegende Reflex: dann eben VPN. Er ist verständlich und er zielt an der Sache vorbei, weil er das falsche Merkmal adressiert.

Ein VPN wirkt auf die IP-Adresse. Es verändert, aus welchem Netz dein Zugriff zu kommen scheint, und damit die grobe geografische Einordnung. Das ist genau ein Wert von vielen, und es ist einer der wenigen, die sich überhaupt leicht austauschen lassen. Alles, was in der Tabelle oben steht, bleibt davon unberührt. Der Browser meldet dieselbe Version, das System dieselbe Kennung, der Bildschirm dieselbe Größe, die Schriftenliste dieselben Einträge.

Beim Glücksspiel kommt ein zweiter Punkt hinzu, der schwerer wiegt als der technische. Eine Standortverschleierung kollidiert mit Bedingungen, die an den Aufenthaltsort anknüpfen, und kann eigenständig zum Problem werden, unabhängig davon, ob sie funktioniert. Warum das ein schlechtes Geschäft ist und wo es typischerweise auffliegt, ist im Beitrag Casino mit VPN spielen ausgeführt.

Das private Fenster hat ein ähnliches Missverständnis im Gepäck. Es ist ein Werkzeug gegen lokale Spuren: Verlauf, Cookies, ausgefüllte Formulare bleiben nach dem Schließen nicht auf dem Gerät. Wer einen gemeinsam genutzten Rechner benutzt, hat davon etwas. Gegenüber der Seite, die du besuchst, ändert sich dagegen wenig, weil deine Ausstattung dieselbe bleibt. Der Name der Funktion legt eine Anonymität nahe, die sie nie versprochen hat.

Was in dieser Lage tatsächlich hilft, ist unspektakulär und liegt auf einer anderen Ebene: sparsam sein bei dem, was du freiwillig zusätzlich angibst, den Anbieter bewusst wählen und die Datenschutzhinweise dort tatsächlich ansehen, bevor das Konto eröffnet wird. Und wenn dich das Thema aus einem konkreten Anlass beschäftigt, etwa weil du spürst, dass dein Spiel Grenzen braucht, sind Einzahlungslimits und die Sperre über OASIS die Werkzeuge, die wirken. Die kostenlose Beratung der BZgA erreichst du unter 0800 1 37 27 00, eine Übersicht steht unter verantwortungsvolles Spielen.

Der Punkt, an dem Unauffälligkeit teuer wird

Hier schließt sich der Kreis zu der Beobachtung aus dem Abschnitt über die Kombination. Eine Gerätekennung wird umso aussagekräftiger, je ungewöhnlicher deine Umgebung ist. Und das führt zu einem Ergebnis, das der Erwartung widerspricht.

Wer sein Gerät auffällig unauffällig macht, wird nicht unsichtbar, sondern selten. Eine Umgebung, die Merkmale unterdrückt oder verändert, sieht anders aus als eine, die einfach so ist, wie sie ist. Sie ist damit gerade nicht in der großen Menge verschwunden, sondern von ihr abgegrenzt. Das ist der Grund, warum hier keine Werkzeuge genannt und keine Einstellungen empfohlen werden. Nicht nur, weil es beim Glücksspiel gegen die Bedingungen gehen kann, sondern weil der Effekt leicht das Gegenteil dessen ist, was beabsichtigt war.

Richtig teuer wird es an der Stelle, an der es um Geld geht. Vor der ersten Auszahlung steht die Verifizierung, und dort trifft alles aufeinander: die Angaben im Konto, der Ausweis, die Zahlungsmethode und das technische Umfeld, aus dem die Anmeldung und die Sitzungen kamen. Wenn diese Teile zueinander passen, ist der Vorgang eine Formsache. Wenn sie es nicht tun, entsteht ein Widerspruch, und Widersprüche muss jemand auflösen.

Das Muster ist immer dasselbe: Nicht die Prüfung ist das Problem, sondern die Erklärungslast. Ein Konto, dessen Registrierung aus einer Umgebung kam, die danach nie wieder auftaucht, wirft eine Frage auf. Ein angegebener Wohnsitz, der nicht zu den technischen Angaben passt, wirft eine Frage auf. Keine dieser Fragen ist automatisch ein Vorwurf. Aber jede kostet Zeit, und sie kostet sie genau dann, wenn du sie am wenigsten aufbringen willst, nämlich beim Warten auf eine Auszahlung.

Der reibungsloseste Weg durch eine Verifizierung ist der, bei dem nichts zu erklären ist.

Dieselbe Technik trägt beide Richtungen, und das lässt sich nicht auftrennen

Die naheliegende Forderung wäre, das Verfahren für den Spielerschutz zu behalten und für alles andere abzuschaffen. Sie klingt vernünftig und ist technisch nicht umsetzbar, denn beide Verwendungen greifen auf dieselben Beobachtungen zu. Es gibt keinen Schalter, der eine Bildschirmauflösung zu einem Schutzmerkmal macht und einem Werbeprofil vorenthält. Den Unterschied macht ausschließlich, was mit den erhobenen Merkmalen geschieht, wie lange sie aufbewahrt werden und ob sie das Haus verlassen.

Damit verschiebt sich die Frage von der Technik zur Aufsicht. Ob ein Anbieter Gerätemerkmale erhebt, taugt kaum als Unterscheidung, weil ohne diese Merkmale keine Seite ausgeliefert werden könnte. Sinnvoll ist die Frage, wozu er sie erklärtermaßen verwendet, ob er das nachvollziehbar dokumentiert und ob es eine Stelle gibt, die ihn daran misst. Bei Anbietern mit deutscher Erlaubnis existiert diese Stelle, und die Verpflichtungen zu Sperrsystem, Einzahlungslimit und Spielerschutz sind der Grund, warum ein Teil dieser Datenverarbeitung überhaupt vorgeschrieben ist.

Für dich als Spieler bleibt eine ehrliche Bilanz, die niemandem gefällt: Du kannst diese Kennung nicht loswerden, und der Versuch macht es tendenziell schlechter. Du kannst aber entscheiden, wem du sie überlässt. Das ist keine Kleinigkeit, sondern die einzige Stellschraube, die tatsächlich in deiner Hand liegt, und sie wird bei der Wahl des Anbieters gedreht, nicht in den Browsereinstellungen.

Und es bleibt eine Einsicht, die über das Casino hinausreicht: Anonymität im Netz ist nicht der Normalzustand, den man durch Nachlässigkeit verliert. Sie ist die Ausnahme, die durch Aufwand entsteht. Wer das weiß, trifft andere Entscheidungen darüber, wo er ein Konto eröffnet.

Offene Fragen zu Geräteerkennung, Löschen und Sperren

Woraus besteht so eine Gerätekennung überhaupt?

Aus Angaben, die dein Browser beim Aufbau einer Seite ohnehin preisgibt oder die sich aus seinem Verhalten ableiten lassen: Browser und Version, Betriebssystem und Gerätetyp, Bildschirmauflösung und Fenstergröße, eingestellte Zeitzone, Sprache und Spracheinstellungen, die auf dem System verfügbaren Schriften sowie kleine Unterschiede darin, wie die Grafikeinheit Zeichen und Formen darstellt. Keiner dieser Werte ist ein Ausweis. Sie werden erst zusammen zu einer Kennung, weil die Kombination seltener ist als jeder Einzelwert.

Warum hilft das Löschen von Cookies gegen diese Erkennung nicht?

Weil nichts gespeichert wurde, das sich löschen ließe. Ein Cookie ist eine Datei auf deinem Gerät, die du entfernen kannst. Die Merkmale, aus denen eine Gerätekennung entsteht, liegen nicht als Datei bei dir, sondern werden bei jedem Seitenaufruf neu abgelesen. Sie sind Eigenschaften deiner Ausstattung, nicht Spuren eines früheren Besuchs. Wer den Browserspeicher leert, entfernt die Ablage, nicht die Merkmale.

Kann ein Casino mich damit eindeutig identifizieren?

Das lässt sich nicht pauschal beantworten, und seriöse Genauigkeitsangaben dazu gibt es nicht. Sinnvoll ist eine andere Beschreibung: Die Kennung grenzt ein. Sie sagt nicht, wer du bist, sondern dass zwei Sitzungen von einer sehr ähnlichen Ausstattung kommen. Wie stark diese Eingrenzung ausfällt, hängt davon ab, wie gewöhnlich deine Kombination ist. Ein Standardgerät mit Standardeinstellungen fällt weniger auf als eine ungewöhnlich zusammengestellte Umgebung.

Wozu braucht ein Anbieter diese Erkennung überhaupt?

Für Fälle, in denen die Angaben im Konto nicht ausreichen. Dazu gehören mehrere Konten derselben Person, die Frage, ob ein Login von einer bisher unbekannten Umgebung kommt, und die Durchsetzung einer Sperre auch dann, wenn jemand sich unter anderen Angaben neu anmeldet. Ohne ein Merkmal, das unabhängig von den eingegebenen Daten funktioniert, würde eine Selbstsperre genau dort ins Leere laufen, wo sie gebraucht wird.

Bringt ein privates Fenster oder ein VPN etwas dagegen?

Beides wirkt an anderer Stelle. Ein privates Fenster verhindert, dass Verlauf und Cookies auf deinem Gerät zurückbleiben, ändert aber Browser, Betriebssystem, Auflösung, Schriften und Grafikverhalten nicht. Ein VPN tauscht die IP-Adresse und damit den scheinbaren Standort, lässt die Ausstattung des Geräts aber ebenfalls unberührt. Gegen eine Erkennung, die genau auf diese Ausstattung sieht, greifen beide Mittel deshalb kaum. Beim Glücksspiel kommt hinzu, dass ein VPN gegen die Nutzungsbedingungen verstoßen kann.

Sind technische Gerätemerkmale personenbezogene Daten?

Sobald sie einer Person zugeordnet werden können, werden sie wie personenbezogene Daten behandelt. Genau das passiert im Casino, denn die Merkmale hängen an einem Konto, das auf einen Namen läuft und ausweisgeprüft ist. Damit ist dieser Teil kein Sonderbereich: Die Frage, welche Daten zu dir gespeichert sind und wozu sie verarbeitet werden, kannst du auch dafür stellen. Wie weit eine Antwort im Einzelfall reichen muss, gehört zu den Fragen, die eine fachliche Beratung klärt.

Was passiert, wenn Gerätedaten und Ausweisdaten nicht zusammenpassen?

Es entsteht ein Widerspruch, den jemand auflösen muss, und das kostet Zeit. Wenn die Registrierung aus einer Umgebung kam, die später nicht mehr auftaucht, oder wenn der angegebene Wohnsitz nicht zu den technischen Angaben passt, wird die Prüfung nicht kürzer, sondern länger. Wer sich unkenntlich zu machen versucht, erzeugt damit nicht Ruhe, sondern zusätzlichen Erklärungsbedarf an der Stelle, an der es um die Auszahlung geht.