‘Nej til cookies’ giver en falsk følelse af privatliv: Sådan spores din browser alligevel

Cookie-vinduerne pryder efterhånden hver eneste side, og lige siden GDPR blev håndhævet, har mange danskere trykket “afvis alt” i tro på, at det ryddede sporet. Det gør det bare ikke længere. Forskere har for første gang leveret empirisk bevis for, at hjemmesider identificerer den enkelte bruger via de tekniske aftryk, browseren selv sender, uanset om cookies er slettet eller browseren kører i incognito. Samtidig har Google i februar 2025 formelt åbnet for, at annoncører på selskabets platforme må bruge netop den teknik, som selskabet selv i 2019 kaldte i strid med brugerens valg.

Det efterlader den almindelige bruger med et privatlivsværn, der reelt er svagere end for få år siden, og et cookie-banner, der langt hen ad vejen løser det forkerte problem.

Forskerne har nu bevis for, at aftrykket bliver brugt

I juni 2025 offentliggjorde et forskerhold fra Texas A&M University og Johns Hopkins University det, som Texas A&M kalder det første empiriske bevis for, at hjemmesider aktivt bruger browserens digitale fingeraftryk til at følge brugere på tværs af sessioner og sider, også når brugeren har ryddet eller slettet cookies. Holdet bygger på et måleværktøj, FPTrace, der aflæser, hvordan annoncesystemer reagerer, når man ændrer browserens fingeraftryk, og derved kortlægger, om aftrykket rent faktisk påvirker bud og sporing i realtid.

Ledende på studiet er Dr. Nitesh Saxena, professor ved Department of Computer Science and Engineering på Texas A&M og associeret direktør ved skolens Global Cyber Research Institute, sammen med de to ph.d.-studerende Zengrui Liu og Jimmy Dani samt Dr. Yinzhi Cao fra Johns Hopkins. Arbejdet blev præsenteret ved ACM Web Conference 2025.

“Tænk på det som en digital signatur, du ikke vidste, du efterlod. Du kan se anonym ud, men din enhed eller browser afslører dig,” siger Zengrui Liu i universitetets fremlæggelse. Forskningen viser også, at brugere, der har frameldt sporing efter GDPR eller den californiske CCPA-lov, i praksis stadig kan blive fulgt via de samme aftryk, som de netop troede, de havde slukket for.

Din browser sender mere med, end du selv har rørt ved

Et browser-fingeraftryk er en samling tekniske detaljer, som browseren og enheden helt automatisk oplyser til hver hjemmeside, du besøger. Enkeltvis er de trivielle. Kombineret bliver de næsten unikke. En teknisk gennemgang af metoderne ridser tolv centrale signaler op: browserens User-Agent, skærmens opløsning og farvedybde, canvas-rendering, WebGL-grafik, lydbehandling, installerede skrifttyper, aktive udvidelser, JavaScript-Navigator-egenskaber som platform og processorkerner, tidszone og sprogsignaler, TLS-cipher-suiter, adfærdsmønstre som musebevægelser og hardwarespecifikke sensorsignaler.

Særligt canvas-metoden er lumsk, fordi den udnytter noget, ingen ser. Sporingssystemet tegner et skjult billede via Canvas API og aflæser pixlene bagefter. Bittesmå forskelle i GPU, driver, skrifttyper og subpixel-rendering giver et resultat, der er stabilt for netop din maskine og kan hashes til en fast identifikator, en tracker kan genkende næste gang.

Hvor stort et identifikationsværktøj det bliver, illustrerer Electronic Frontier Foundations mangeårige måleprojekt: 83,6 procent af de undersøgte browsere har et fingeraftryk, der er unikt nok til nøjagtig sporing. Kombinationen af en bestemt browserversion, en specifik skærmopløsning, en bestemt tidszone og en håndfuld installerede skrifttyper er sjældent den samme hos to tilfældige internetbrugere.

Incognito rydder historikken. Ikke identiteten

Der er en udbredt forestilling om, at privat browsing gør én anonym. Det gør den ikke. Privat browsing “begrænser, hvad der gemmes lokalt efter sessionen slutter” og “skaber ikke et fuldstændigt separat langsigtet miljø”, som Multilogin formulerer det. Selve browserens egenskaber, det, en tracker aflæser i canvas-billedet eller i skærmopløsningen, ændrer sig ikke, fordi du åbner et nyt vindue.

Samme pointe understreges i en teknisk oversigt fra 2026: “Privat browsing (incognito) stopper ikke browser fingerprinting. Denne funktion forhindrer kun browseren i at gemme cookies, historik og cache efter du lukker sessionen.”

At rydde cookies har samme begrænsning. Cookies er en bestemt type lokalt gemt data. Fingeraftryk hentes derimod på tværs af sessionen fra selve enheden, ofte og i praksis lagres og korreleres af en tredjepart, du aldrig selv har været i kontakt med.

Google åbnede for teknikken, ICO kaldte det uansvarligt

Det politiske landskab tegner samme retning. I 2019 kaldte Google selv fingerprinting en metode, der “underminerer brugerens valg”. I december 2024 gjorde selskabet det modsatte. Google meddelte, at reglerne for annoncekunder fra 16. februar 2025 ikke længere ville forbyde fingerprinting-baseret sporing.

Beslutningen fik det britiske datatilsyn ICO til at markere sig hårdere, end tilsynet plejer. “Vi mener, at ændringen er uansvarlig,” skrev tilsynets vicedirektør Stephen Almond, og fortsatte med at understrege, at virksomheder ikke har frie tøjler til at bruge teknikken, som de vil. Al annonceteknologi skal, som ICO formulerer det, “anvendes lovligt og gennemsigtigt, og hvis ikke, vil vi handle.” ICO fremhævede også Googles egen tidligere pointe om, at brugere ikke let kan give informeret samtykke til fingerprinting på samme måde, som de kan til cookies, netop fordi der ikke findes et synligt banner at klikke i.

Fra dansk side gælder det, at ePrivacy-direktivet og GDPR, som Datatilsynet håndhæver herhjemme, dækker fingerprinting præcis som cookies. Det Europæiske Databeskyttelsesråd, EDPB, udgav i 2024 en opdateret vejledning om det tekniske omfang af ePrivacy-direktivets artikel 5(3), som slår fast, at også fingerprinting og andre nyere sporingsmetoder er omfattet af kravet om, at brugeren først skal have “klar og fyldestgørende information” og derefter aktivt samtykke.

Hvor cookie-samtykket er et banner, du klikker i, er fingerprint-samtykket i praksis usynligt. Det er et juridisk paradoks, tilsyn i hele Europa nu skal finde en form for at håndhæve.

Sådan får du reelt et mindre unikt fingeraftryk

Der findes ikke ét knap-tryk, der løser problemet. Men der findes to reelle skoler i browserverdenen, som den tekniske oversigt fra pitg.gitlab.io opridser: enten at få så mange browsere som muligt til at ligne hinanden, så trackeren ikke kan skelne (Tor Browser og Mullvad Browser bruger den tilgang), eller aktivt at randomisere aftrykket for hver session og hvert site, så trackeren ikke kan bygge en stabil identifikator (Brave-browseren gør det).

Safari har fra version 17 avanceret fingerprint-beskyttelse i privat browsing, mens Safari 26 slår beskyttelsen til som standard. Brave påfører beskyttelsen automatisk uden, at brugeren behøver ændre noget. For dem, der ikke vil skifte browser, tilbyder Electronic Frontier Foundation gratistjenesten Cover Your Tracks, som viser dig, hvor unik din nuværende browser rent faktisk er, og hvad der påvirker aftrykket mest.

En sidebemærkning, der ofte overses: også i annonce-økosystemet uden for browseren findes greb, du selv kan tage. Facebook har fx en håndfuld annonceindstillinger, som langt de færreste ved eksisterer. Vi har tidligere gennemgået fem gratis indstillinger på Facebook, der skærer kraftigt ned på annoncerne. De fjerner ikke fingeraftrykket, men de begrænser, hvor meget de indsamlede data må bruges til at målrette dig.

Konklusionen er kort. Bannere løser det forkerte problem

Kernen i det, forskerne fra Texas A&M og Johns Hopkins har vist, er ikke, at fingerprinting findes. Det har man vidst i årevis. Det nye er, at teknikken beviseligt bliver brugt i selve annoncemarkedet, at bud og sporing reagerer på ændringer i aftrykket, og at cookie-nej og incognito ikke standser den.

Cookie-samtykket blev opfundet til en tid, hvor sporing lå synligt i browserens gemte data. Fingeraftryk lever et andet sted, i selve den signatur, din maskine sender med hver forespørgsel, og som du hverken kan slette eller normalt se. Skal privatliv i browseren løftes over det symbolske, kræver det enten et browservalg, der aktivt gør noget ved aftrykket, eller et regulatorisk pres, der får virksomheder til at behandle fingerprinting som det, EDPB og ICO allerede beskriver det som, nemlig sporing på samme fod som cookies. Det ene kan du selv gøre i dag. Det andet vil tage flere år endnu.