Sicherheitsforscher haben eine ernste Datenschutzschwachstelle in Firefox und allen darauf basierenden Browsern aufgedeckt. Die Lücke betrifft auch den Tor Browser, der eigentlich als eine der sichersten Optionen für anonymes Surfen gilt. Das Kernproblem liegt in der Art und Weise, wie Firefox die Web-API IndexedDB implementiert – eine clientseitige Datenbankschnittstelle, die Websites zur lokalen Datenspeicherung nutzen können.
Wie die Schwachstelle funktioniert
Der Angriff basiert auf einem subtilen, aber folgenreichen Implementierungsdetail: Wenn eine Website mehrere IndexedDB-Datenbanken anlegt und anschließend deren Einträge abfragt, liefert Firefox diese in einer Reihenfolge zurück, die nicht zufällig, sondern deterministisch und prozessweit konsistent ist. Aus dieser Reihenfolge lässt sich ein eindeutiger Identifier ableiten – ein Fingerabdruck, der für die gesamte Laufzeit des Browser-Prozesses stabil bleibt. Entscheidend dabei ist, dass dieser Identifier nicht an eine bestimmte Origin oder Domain gebunden ist, sondern prozessweit gilt. Das bedeutet: Zwei völlig unabhängige Websites können denselben Identifier unabhängig voneinander auslesen und so die Aktivitäten eines Nutzers origin-übergreifend miteinander verknüpfen.
Besonders kritisch: Tor Browser und Private Browsing
Die Schwachstelle ist besonders brisant im Kontext des Tor Browsers, der auf Firefox basiert und explizit dafür entwickelt wurde, verschiedene Identitäten strikt voneinander zu trennen. Nutzer, die etwa über die "Neue Tor-Identität"-Funktion eine frische Verbindung aufbauen, gehen davon aus, dass ihre vorherige Browsersitzung nicht mehr rückverfolgbar ist. Genau diese Annahme wird durch die IndexedDB-Lücke untergraben: Solange der Browser-Prozess läuft, bleibt der abgeleitete Identifier konstant – unabhängig davon, wie viele neue Identitäten gewechselt werden.
Auch der Private Browsing Mode von Firefox bietet keinen ausreichenden Schutz. Der Identifier kann selbst dann noch persistieren, wenn alle privaten Fenster geschlossen wurden – solange der zugrunde liegende Prozess weiterläuft. Das widerspricht der intuitiven Erwartung vieler Nutzer, die den Privatmodus als vollständige Isolation verstehen.
Einordnung: Browser-Fingerprinting als wachsendes Problem
Der Fund reiht sich in eine längere Geschichte von Browser-Fingerprinting-Techniken ein. Während Cookies durch gesetzliche Regelungen wie die DSGVO und technische Gegenmaßnahmen wie automatisches Löschen zunehmend eingeschränkt werden, weichen Tracker auf schwerer zu blockierende Methoden aus. Fingerprinting über Canvas, WebGL, Audio-APIs oder Schriftarten ist seit Jahren bekannt. Die IndexedDB-Methode ist jedoch besonders heimtückisch, weil sie keine aktive Speicherung erfordert und damit klassische Schutzmechanismen umgeht.
Für sicherheitsbewusste Nutzer bedeutet dies: Selbst der Einsatz von Tor oder Privatmodus garantiert keine vollständige Anonymität, solange solche prozessweiten Seitenkanäle existieren. Es empfiehlt sich, Firefox und den Tor Browser stets auf dem aktuellsten Stand zu halten und auf offizielle Patches zu warten. Langfristig müssen Browser-Hersteller die Isolation von Web-APIs konsequenter auf Origin-Ebene durchsetzen, um derartige Fingerprinting-Vektoren strukturell zu schließen.
Quellen: Hacker News