Ashio whistleblowing software

Nov 1, 2026

Fingerprinting im Meldekanal verhindern: Anonymität richtig schützen

Eine Frau erstattet vertraulich eine Online-Meldung.

Ein anonymer Meldekanal ist nur so anonym wie die Technik dahinter. Auch ohne Namen, E-Mail-Adresse und Cookies kann eine Website anhand von Bildschirmauflösung, Schriftarten, Spracheinstellungen und Browserkonfiguration einen digitalen Fingerabdruck erstellen und ein Gerät wiedererkennen. Fingerprinting verhindern Sie im Meldekanal vor allem auf der Betreiberseite: Das Meldeportal fragt keine Gerätemerkmale aktiv ab, bindet keine Drittanbieter-Skripte ein und speichert weder IP-Adressen noch Tracking-Daten. Hinweisgebende können zusätzlich selbst vorsorgen, etwa mit einem privaten Gerät außerhalb des Firmennetzes und einem Browser mit Fingerprinting-Schutz. Dieser Leitfaden zeigt beide Seiten: was Ihr Unternehmen technisch und organisatorisch umsetzen sollte und was Sie Ihren Beschäftigten als Tipps mitgeben können.

Ashio
Anonymität beginnt beim Meldekanal
Ashio schützt die Identität Hinweisgebender und bietet Unternehmen einen sicheren, anonymen Kanal zur Erfassung und Verwaltung von Meldungen.
Ashio kennenlernen

Kurz gesagt

  • Fingerprinting braucht keine Cookies: Aus vielen kleinen Geräte- und Browsermerkmalen entsteht ein Profil, das sich nicht einfach löschen lässt.
  • Die wirksamste Stelle ist das Meldeportal selbst: Was der Server nicht abfragt und nicht speichert, kann später niemand auswerten.
  • VPN allein reicht nicht: Eine verschleierte IP-Adresse schützt nicht vor der Wiedererkennung über Browsereinstellungen.
  • Organisation zählt genauso: Metadaten in Anhängen, Zugriffsrechte und der Umgang mit Rückfragen entscheiden mit über die Anonymität.
  • Rechtlicher Rahmen: Das Hinweisgeberschutzgesetz verpflichtet Meldestellen, die Identität hinweisgebender Personen vertraulich zu behandeln.

Inhaltsverzeichnis

Was Browser-Fingerprinting ist

Beim Browser-Fingerprinting sammelt ein Webserver zahlreiche technische Merkmale eines Besuchers und setzt sie zu einem individuellen Fingerabdruck zusammen. Die Verbraucherzentrale Bayern beschreibt als typische Merkmale Betriebssystem, Bildschirmauflösung, installierte Schriftarten, Spracheinstellungen, Browserkonfiguration, Plugins und teils sogar Scroll- und Klickverhalten. Einzeln wirken diese Angaben harmlos. In Kombination werden sie oft so eindeutig, dass ein Browser über verschiedene Websites hinweg wiedererkannt werden kann.

Der entscheidende Unterschied zu Cookies: Ein Cookie liegt auf dem Gerät und lässt sich löschen. Ein Fingerprint wird bei jedem Besuch neu berechnet. Wer Cookies blockiert oder den Verlauf leert, ändert an seinem Fingerabdruck nichts.

Merkmal Cookie IP-Adresse Fingerprint
Wo entsteht es? Wird im Browser gespeichert Wird bei jeder Verbindung übermittelt Wird aus Geräte- und Browserdaten berechnet
Kann der Nutzer es löschen? Ja Nur indirekt, etwa per VPN oder anderem Netz Nein, nur verändern oder angleichen
Sichtbar für den Nutzer? In den Browsereinstellungen Kaum Praktisch nicht
Risiko im Meldekanal Wiedererkennung bei erneutem Besuch Rückschluss auf Firmennetz oder Anschluss Wiedererkennung eines konkreten Geräts
Schutz auf Betreiberseite Keine Cookies setzen Keine IP-Adressen speichern Keine Merkmale aktiv abfragen, keine Drittanbieter-Skripte

Warum Fingerprinting im Meldekanal besonders heikel ist

Im Online-Shop ist Fingerprinting ein Werbe- und Datenschutzthema. Im Hinweisgebersystem geht es um mehr: Wer einen Missstand meldet, muss darauf vertrauen können, dass niemand im Unternehmen nachvollziehen kann, von welchem Gerät die Meldung kam.

Das Risiko ist in einem Unternehmen größer als im offenen Internet. Der Kreis möglicher Meldender ist überschaubar, die IT kennt die Firmengeräte, und auf Dienstlaptops ist die Konfiguration oft standardisiert, bis auf wenige Details wie Bildschirmgröße, Sprachpaket oder ein zusätzlich installiertes Programm. Genau diese Details können ausreichen, um aus einer Gruppe von zwanzig Kolleginnen und Kollegen eine einzelne Person herauszufiltern, wenn ein Fingerprint mit internen Logdaten abgeglichen wird.

Dazu kommt der rechtliche Rahmen. Nach § 8 HinSchG müssen Meldestellen die Vertraulichkeit der Identität hinweisgebender Personen wahren, wenn die Meldung in den Anwendungsbereich des Gesetzes fällt oder die Person hinreichenden Grund zu dieser Annahme hatte. Das gilt auch für Personen, die Gegenstand der Meldung sind, und für weitere genannte Personen. Ihre Identität darf nur den Personen bekannt werden, die für die Bearbeitung zuständig sind oder dabei unterstützen. Ausnahmen regelt § 9, wie auch der Landesbeauftragte für den Datenschutz Baden-Württemberg in seinen FAQ zusammenfasst. Ein Meldeportal, das über Tracking-Technik Rückschlüsse auf die meldende Person zulässt, untergräbt diese Vertraulichkeit an der Wurzel.

Für externe Meldestellen gilt laut § 27 HinSchG übrigens: Sie müssen ihre Kanäle nicht zwingend für anonyme Meldungen auslegen, sollen anonym eingehende Meldungen aber bearbeiten. Für Unternehmen ist das ein guter Grund, intern einen Kanal anzubieten, dem die Beschäftigten wirklich vertrauen. Denn wer intern keine sichere Möglichkeit sieht, wendet sich eher nach außen.

Warum Fingerprinting im Meldekanal besonders heikel ist

Was Sie als Betreiber technisch umsetzen sollten

Die wirksamste Maßnahme gegen Fingerprinting ist Datensparsamkeit auf dem Server. Was nie erhoben wird, kann weder ausgewertet noch herausgegeben noch gehackt werden. Diese Punkte gehören auf Ihre Checkliste:

  1. Keine aktive Abfrage von Gerätemerkmalen. Die Datenschutzkonferenz unterscheidet laut GDD-Praxishilfe zwischen Browserinformationen, die automatisch übermittelt und passiv entgegengenommen werden, und Daten, die aktiv, etwa per JavaScript, abgefragt werden. Nur Letzteres ist nach ihrer Auffassung ein Zugriff im Sinne von § 25 TDDDG. Für das Meldeportal heißt das: Skripte, die Schriftarten, Canvas-Darstellung, Bildschirmdaten oder Hardwaredetails auslesen, haben dort nichts zu suchen.
  2. Keine Drittanbieter-Inhalte. Webanalyse, eingebettete Videos, Chat-Widgets, Social-Media-Buttons, extern geladene Schriftarten oder Skripte aus fremden Content-Delivery-Netzwerken übertragen Verbindungsdaten an Dritte. Jede dieser Quellen ist ein möglicher Fingerprinting-Punkt, auf den Sie keinen Einfluss haben.
  3. Keine IP-Adressen in Logs. Webserver, Firewalls und Load-Balancer protokollieren standardmäßig oft IP-Adressen und User-Agent-Strings. Prüfen Sie jede Stufe der Infrastruktur, nicht nur die Anwendung.
  4. Keine Cookies und keine Sitzungskennungen, die über die Meldung hinaus bestehen. Für die spätere Rückmeldung reicht ein Zugangscode, den die meldende Person selbst aufbewahrt.
  5. Verschlüsselung der Inhalte. Meldungen, Anhänge und Nachrichten sollten verschlüsselt gespeichert und übertragen werden, sodass auch Administratoren der Infrastruktur nichts mitlesen können.
  6. Getrennte Infrastruktur. Läuft das Meldeportal auf Servern des eigenen Unternehmens oder hinter dem Firmen-Proxy, hat die interne IT potenziell Zugriff auf Verbindungsdaten. Ein unabhängig betriebenes System außerhalb des Firmennetzes nimmt diese Möglichkeit von vornherein weg.
  7. Minimales Formular. Fragen Sie nur ab, was Sie für die Bearbeitung brauchen. Pflichtfelder wie Abteilung, Standort oder Funktion grenzen den Personenkreis schnell ein. Mit einem anpassbaren Meldeformular legen Sie selbst fest, welche Angaben freiwillig bleiben.

Wenn Sie das Portal von einem Dienstleister beziehen, klären Sie vertraglich, wer welche Daten verarbeitet. Der Landesbeauftragte für den Datenschutz Baden-Württemberg weist darauf hin, dass ein Auftragsverarbeitungsvertrag nach Art. 28 DS-GVO nur dann der richtige Rahmen ist, wenn tatsächlich eine Auftragsverarbeitung vorliegt. Lassen Sie diese Einordnung von Ihrem Datenschutzbeauftragten prüfen, bevor Sie den Kanal live schalten.

Organisatorische Lücken, die Technik nicht schließt

Auch das sauberste Portal schützt nicht, wenn die Prozesse drumherum Spuren erzeugen. Diese Punkte übersehen Unternehmen häufig:

Metadaten in Anhängen

Fotos enthalten oft Aufnahmezeitpunkt, Gerätemodell und manchmal GPS-Koordinaten. Office-Dokumente und PDFs speichern Autor, Firmenname aus der Lizenz und Bearbeitungsverlauf. Weisen Sie im Meldeformular darauf hin, dass Metadaten vor dem Hochladen entfernt werden sollten, etwa durch einen Screenshot oder den Export in ein neues Dokument.

Zugriff auf die Fälle

Nur die zuständigen Personen der internen Meldestelle sollten Meldungen sehen. Wer diese Rolle übernehmen kann, ob ein interner Beauftragter, eine Kanzlei oder ein externer Dienstleister, haben wir im Beitrag Wer kann interne Meldestelle sein? zusammengestellt. Ein lückenloser Audit-Trail zeigt später, wer wann auf einen Fall zugegriffen hat, und schützt damit auch die Bearbeitenden selbst.

Rückfragen und Kommunikation

Rückfragen per E-Mail oder Telefon heben die Anonymität sofort auf. Die Kommunikation sollte ausschließlich über ein geschütztes Postfach im Meldesystem laufen, auf das die meldende Person mit ihrem Zugangscode zugreift.

Zeitpunkt und Kontext

Eine Meldung, die um 14:03 Uhr eingeht, während nur drei Personen Zugang zu einem bestimmten Dokument hatten, kann die Person verraten, ganz ohne Technik. Die Meldestelle sollte solche Kontextinformationen im Umgang mit dem Fall bewusst zurückhalten, etwa bei Gesprächen mit der betroffenen Abteilung.

Was Hinweisgebende selbst tun können

Das folgende Vorgehen können Sie Ihren Beschäftigten im Intranet oder auf der Startseite des Meldeportals mitgeben. Es ergänzt einen sicheren Kanal, ersetzt ihn aber nicht. Weitere Hinweise für Meldende finden sich auf unserer Seite zu sicheren anonymen Meldungen.

  1. Privates Gerät nutzen. Dienstrechner und Diensthandys sind häufig mit Verwaltungssoftware ausgestattet, die Aktivitäten protokolliert. Ein privates Smartphone oder ein privater Laptop ist die bessere Wahl.
  2. Nicht über das Firmennetz melden. Auch mit privatem Gerät verrät das Firmen-WLAN die Verbindung. Mobile Daten oder der private Anschluss zu Hause sind sicherer.
  3. Fingerprinting-Schutz im Browser aktivieren. In Firefox geht das laut Computerwoche so: Einstellungen öffnen, Bereich „Datenschutz & Sicherheit“ wählen, beim „Verbesserten Schutz vor Aktivitätenverfolgung“ auf „Benutzerdefiniert“ stellen und bei „Vermutete Identifizierer“ die Option „In allen Fenstern“ aktivieren.
  4. Tor-Browser in Betracht ziehen. Die Verbraucherzentrale Bayern nennt den Tor-Browser neben einem VPN als Möglichkeit, Fingerprinting zu erschweren. Er ist darauf ausgelegt, Nutzer einander möglichst ähnlich aussehen zu lassen.
  5. Mit Erweiterungen sparsam sein. Viele zusätzliche Add-ons machen einen Browser eher einzigartiger. Gegenmaßnahmen gegen Fingerprinting sind ein fortlaufendes Wettrüsten, und Erweiterungen können Nutzer durch ihre Besonderheit sogar besser identifizierbar machen, wie der Landesbeauftragte Baden-Württemberg festhält.
  6. Anhänge bereinigen. Metadaten vor dem Hochladen entfernen, Fotos lieber als Screenshot speichern.
  7. Auf die eigene Sprache achten. Typische Formulierungen, interne Spitznamen oder Details, die nur wenige kennen, können die Person verraten. Sachlich und knapp schreiben hilft.
  8. Zugangscode sicher aufbewahren. Er ist der einzige Weg, den Status der Meldung zu verfolgen und Rückfragen zu beantworten, ohne die eigene Identität preiszugeben.

Warum ein VPN allein nicht genügt

Viele verlassen sich auf ein VPN. Es verbirgt die IP-Adresse, ändert aber nichts an Schriftarten, Bildschirmauflösung oder Browserkonfiguration. Das nationale CERT Aserbaidschans warnt deshalb vor der Illusion der Online-Anonymität: Auch bei maskierter IP-Adresse kann die einzigartige Kombination von Browsereinstellungen eine Wiedererkennung ermöglichen. Ein VPN ist also ein Baustein, kein Ersatz für ein Meldeportal, das solche Merkmale gar nicht erst erfasst.

Der Kern: Schutz muss beim Kanal ansetzen

Die meisten Ratgeber zum Thema Fingerprinting richten sich an Privatnutzer und empfehlen Browser-Einstellungen, Blocker und VPNs. Für einen Meldekanal ist das nur die halbe Antwort. Hinweisgebende sind keine IT-Fachleute, und wer gerade einen Missstand meldet, ist ohnehin angespannt. Wenn die Anonymität davon abhängt, dass jemand vorher die richtige Firefox-Option findet, wird ein Teil der Beschäftigten gar nicht erst melden.

Der Kern: Schutz muss beim Kanal ansetzen

Deshalb gilt: Das Unternehmen trägt die Verantwortung dafür, dass der Kanal selbst keine Spuren sammelt. Die Tipps für Meldende sind eine zusätzliche Sicherheitsschicht. Beides zusammen schafft das Vertrauen, das ein Hinweisgebersystem braucht, um überhaupt genutzt zu werden.

Unsere Perspektive

Wir sehen in Gesprächen mit Compliance- und HR-Teams immer wieder dasselbe Muster: Ein Meldeformular wird auf der Unternehmenswebsite eingebaut, mit dem gleichen Analyse-Tool, den gleichen extern geladenen Schriften und dem gleichen Server-Logging wie der Rest der Seite. Formal ist der Kanal anonym, technisch hinterlässt jede Meldung eine Spur.

Wir haben Ashio deshalb von Anfang an so gebaut, dass Anonymität nicht von der Disziplin der Meldenden abhängt. Unser Meldekanal verzichtet auf jegliche Identitätsdaten, speichert keine IP-Adressen, setzt keine Cookies und verwendet keinerlei Tracking. Meldungen sind Ende-zu-Ende-verschlüsselt, und die Plattform läuft unabhängig vom Arbeitgeber in der Schweiz, in nach ISO 27001 zertifizierter Umgebung.

Für uns ist das der eigentliche Punkt beim Thema Fingerprinting: Die beste Abwehr ist ein System, das gar nicht erst wissen will, wer meldet. Hinweisgebende sollen sich auf ihren Hinweis konzentrieren können, nicht auf Browser-Einstellungen. Und die Meldestelle soll mit sauber dokumentierten Fällen, Fristen und einem unveränderlichen Audit-Trail arbeiten, ohne je in Versuchung zu geraten, eine Identität zu ermitteln.

Author

Ein Meldekanal ohne IP-Adressen, Cookies und Tracking

Wenn Sie Ihren Meldekanal so aufstellen möchten, dass Fingerprinting gar keine Angriffsfläche bekommt, ist Ashio dafür gebaut. Unsere wirklich anonyme Meldesoftware erfasst keine IP-Adressen und setzt keine Cookies. Meldende verfolgen den Status ihrer Meldung in Echtzeit, Ihr Team bearbeitet Fälle strukturiert mit automatischer Fristenüberwachung und revisionssicherer Dokumentation. Details zu Verschlüsselung und Schweizer Hosting finden Sie auf unserer Seite zu Sicherheit und DSGVO-Konformität.

Der Basic-Tarif kostet 29 € pro Monat, nach einer kostenfreien Testphase. Die Einrichtung kommt ohne IT-Aufwand aus, weil die Workflows standardisiert sind.

Häufige Fragen

Kann ein Unternehmen über den Meldekanal herausfinden, wer gemeldet hat?

Das hängt von der Technik ab. Erfasst das Portal IP-Adressen, setzt es Cookies oder bindet es Analyse- und Drittanbieter-Skripte ein, sind Rückschlüsse grundsätzlich möglich. Ein Kanal ohne diese Elemente, unabhängig vom Firmennetz betrieben, lässt solche technischen Rückschlüsse gar nicht erst entstehen.

Reicht der Inkognito-Modus, um Fingerprinting zu verhindern?

Nein. Der private Modus verhindert vor allem, dass Verlauf und Cookies gespeichert werden. Bildschirmauflösung, Schriftarten und Browserkonfiguration bleiben gleich, der Fingerprint also weitgehend auch.

Ist Fingerprinting auf Websites in Deutschland überhaupt erlaubt?

Die Datenschutzkonferenz sieht im aktiven Auslesen von Gerätedaten, etwa per JavaScript, einen Zugriff nach § 25 TDDDG, der grundsätzlich eine Einwilligung erfordert, sofern keine Ausnahme greift. Für ein Meldeportal stellt sich die Frage praktisch nicht: Dort sollte Fingerprinting schlicht nicht stattfinden. Klären Sie Einzelfälle mit Ihrem Datenschutzbeauftragten.

Sollten Hinweisgebende den Tor-Browser nutzen?

Der Tor-Browser erschwert Fingerprinting deutlich und ist eine gute zusätzliche Schutzschicht. Wichtiger ist aber, nicht vom Dienstgerät und nicht über das Firmennetz zu melden. Ein gut gebauter Meldekanal funktioniert auch mit einem normalen Browser anonym.

Wie bleibt Rückfragen möglich, wenn die Meldung anonym ist?

Über ein geschütztes Postfach im Meldesystem. Die meldende Person erhält beim Absenden einen Zugangscode, mit dem sie den Status einsehen und Nachrichten der Meldestelle beantworten kann, ohne Name oder E-Mail-Adresse anzugeben.

Quellen