MAC-Randomisierung: was sie behoben hat, und was sie nie konnte
Handyhersteller randomisierten WLAN-Adressen, um beiläufiges Tracking zu stoppen, und es hat funktioniert. Doch Forschung zeigt immer wieder, dass sich Randomisierung allein umgehen lässt, weshalb der Datenschutz eines Zählsystems auf seiner Architektur beruht, nicht auf den Adressen, die es sieht.
Vor etwa einem Jahrzehnt änderten Handyhersteller einen der leisesten Standardwerte im Computing: Die MAC-Adresse, der dauerhafte Hardware-Identifikator, den ein Handy mit jeder WLAN-Übertragung sendete, wurde randomisiert. Es war eine echte Verbesserung für den Datenschutz, gerichtet gegen einen realen Missbrauch, das stille Protokollieren dauerhafter Identifikatoren, während sich Menschen durch Städte bewegten. Es entstanden auch zwei Mythen, die noch heute prägen, wie Menschen über WLAN-Analytik denken: dass Randomisierung Tracking unmöglich gemacht hat, und dass Randomisierung das ist, was Besucher vor Zählsystemen schützt. Beide sind falsch, auf lehrreiche Weise.
Was Randomisierung tatsächlich bewirkt
Ein randomisierendes Handy zeigt in unterschiedlichen Kontexten unterschiedliche MAC-Adressen: eine beim Scannen, typischerweise eine weitere pro Netz, dem es beitritt, mit Rotationsplänen, die je nach Hersteller und Betriebssystem variieren. Die Plattformdokumentation beschreibt das Designziel unmissverständlich: Die Adresse, die ein Netz sieht, soll kein stabiler, universeller Identifikator sein, der dem Gerät überallhin folgt. Gegen den groben Tracker, den Randomisierung ins Visier nahm, einen Adress-Logger, der eine dauerhafte ID über Standorte hinweg abgleicht, funktioniert sie.
Was die Forschung immer wieder findet
Gegenüber entschlossenerer Analyse sieht das Bild anders aus, und die Sicherheitsforschung war darüber konsistent. Studien zu Randomisierungsimplementierungen haben praktische Wege gezeigt, sie auszuhebeln, und Analysen von Probe-Request-Verkehr zeigen, dass Timing, Sequenz und Inhaltsmuster der Übertragungen eines Geräts einen Fingerabdruck bilden, der Adresswechsel übersteht. Spätere Arbeiten, die zeitliche und inhaltsbasierte Fingerabdrücke kombinieren, berichten Erfolgsraten bei der Rückgängigmachung der Randomisierung, die jede Illusion von Anonymität durch Adressen beenden sollten. Die ehrliche Schlussfolgerung: MAC-Randomisierung hat beiläufiges Tracking verringert, und ein fähiger Angreifer mit Zugang zu Rohsignalen kann sie oft umgehen.
Diese Schlussfolgerung zählt dafür, wie Sie jedes System bewerten, das WLAN-Signale hört, einschließlich Zählsysteme. Wenn die Datenschutzgeschichte eines Anbieters darauf hinausläuft, „Adressen sind ohnehin randomisiert”, stützt er Ihre Compliance auf die unvollständige Verteidigung des Handyherstellers statt auf sein eigenes Design.
Datenschutz durch Architektur, nicht durch Adresse
Die richtige Lehre ist architektonisch. Ein für Datenschutz entworfenes Messsystem hängt nicht davon ab, was das Handy tut, weil es die Angriffsfläche auf seiner eigenen Seite entfernt: Personenbezogene Daten werden unwiderruflich gelöscht, niemals gehasht und aufbewahrt, niemals gespeichert, am Anfang der Verarbeitungskette, und übrig bleibt nur anonyme, aggregierte Statistik. Es gibt kein Adressprotokoll, das rückgängig gemacht werden könnte, kein Rohsignal-Archiv für einen Fingerabdruck, nichts zu verletzen und nichts vorzuladen. Das ist das Design hinter unserer Wi-Fi-Methode, der einzigen Methode zur Besuchermessung in Europa, die von einer Datenschutzbehörde genehmigt wurde, und es ist der Maßstab, den die DSFA-Fragen im Grunde prüfen.
Und ja, es hat die Zählung ehrlicherweise schwieriger gemacht
Diese Geschichte hat auch eine Genauigkeitsseite. Ein Zähler, der Adressen vertraut, zählt jedes randomisierende Handy doppelt, weshalb ernsthafte Messung Randomisierungsmuster erkennt, Spoofing und stationäre Geräte herausfiltert und das statistische Modell gegen manuelle Kontrollzählungen kalibriert. Diese Korrekturebene, nicht der Sensor, entscheidet über die Zählqualität. Randomisierung zwang die Branche, zweimal erwachsen zu werden: beim Datenschutz und bei der Methode. Wie die Signale überhaupt erst zu Statistik werden, behandelt was ist ein Probe Request, der natürliche Begleitartikel zu diesem hier.
Häufig gestellte Fragen
Was ist MAC-Randomisierung?
Statt seine dauerhafte Hardware-Adresse zu senden, zeigt ein modernes Handy randomisierte MAC-Adressen, die sich mit der Zeit ändern und je nach Netz unterscheiden. Über das letzte Jahrzehnt auf den großen mobilen Plattformen eingeführt, sollte sie die gröbste Form des WLAN-Trackings stoppen: das Protokollieren eines dauerhaften Identifikators, während er wieder auftaucht.
Macht MAC-Randomisierung WLAN-Tracking unmöglich?
Nein, und das ist gut dokumentiert. Wissenschaftliche Arbeiten haben gezeigt, dass Geräte trotz Randomisierung anhand von Timing-, Sequenz- und Inhaltsmustern in ihren Übertragungen erkannt werden können, und die Plattformdokumentation selbst beschreibt Randomisierung, die pro Netz bestehen bleibt, statt sich ständig zu ändern. Randomisierung hat die Latte höher gelegt; sie hat keine Mauer gebaut.
Wenn Randomisierung unvollständig ist, was schützt Besucher dann tatsächlich?
Die Architektur des empfangenden Systems. Ein für Datenschutz entworfenes System löscht personenbezogene Daten unwiderruflich am Anfang seiner Verarbeitungskette, niemals gehasht und aufbewahrt, niemals gespeichert, sodass nur anonyme, aggregierte Statistik übrig bleibt. Dann spielt es keine Rolle, was ein cleverer Angreifer im Prinzip mit Rohsignalen anstellen könnte, weil das Rohmaterial für einen Angriff gar nicht existiert.
Wie wirkt sich Randomisierung auf die Zählgenauigkeit aus?
Ein naiver Zähler, der Adressen vertraut, zählt dasselbe Handy mehrfach. Ernsthafte Messung erkennt und korrigiert Randomisierung, Spoofing, stationäre Geräte und Personalmuster, und kalibriert dann gegen manuelle Kontrollzählungen. Diese Korrekturebene, nicht die Sensorwahl, entscheidet über die Zählqualität, weshalb Methodenreife mehr zählt als die Wahl des Sensors.