Cross-Device-Tracking: Sitzungen ohne Login verknüpfen

Wenn ein Nutzer Ihre Website morgens auf dem Laptop und nachmittags auf dem Smartphone besucht, sehen die meisten Analytics-Plattformen zwei völlig getrennte Besucher. Unser Algorithmus zur Device Identification kann diese Sitzungen probabilistisch verknüpfen — ohne dass ein Login erforderlich ist — indem er die Signalüberschneidung analysiert und Device Graphs aufbaut.

Das geräteübergreifende Problem

Traditionelles Fingerprinting erzeugt pro Browser-Instanz eine einzigartige ID. Chrome auf einem Laptop erzeugt eine ID; Safari auf einem iPhone eine andere. Selbst auf demselben Gerät erzeugen unterschiedliche Browser unterschiedliche Fingerprints, weil sie unterschiedliche User Agents, unterschiedliche Feature-Unterstützung und unterschiedliche Rendering-Eigenschaften haben.

Doch Nutzer denken nicht in Browsern. Sie denken in Sitzungen. Sie beginnen einen Kauf mittags auf dem Smartphone und schließen ihn abends auf dem Laptop ab. Sie recherchieren ein Produkt auf dem Tablet und kaufen es auf dem Desktop. Für Betrugserkennung und Personalisierung ist es entscheidend zu verstehen, dass diese Sitzungen zur selben Person gehören.

Probabilistischer Signalabgleich

Unsere geräteübergreifende Verknüpfung ist um einen Personengraphen mit drei Arten von Knoten herum aufgebaut: den Besucher (ein Browser-Profil), das Gerät (die Maschine unter mehreren Browser-Profilen) und eine gehashte Kennung, die aus einer signierten E-Mail-Adresse oder Telefonnummer abgeleitet wird, die Ihre eigene Anwendung an uns übergibt. Die Kanten zwischen diesen Knoten sind es, die zwei Sitzungen zu einer Person zusammenführen.

Bewusst nicht in dieser Liste: die IP-Adresse und die ASN. Das geteilte Netzwerk ist das verlockende und zugleich falsche Signal — ein Büro, ein Universitätscampus oder ein Carrier-Grade NAT setzt Tausende einander fremder Menschen hinter dieselbe Adresse, sodass eine IP-basierte Kante genau die falsche Verknüpfung erzeugt, die am teuersten wieder aufzulösen ist. Die deterministischen Kanten, die wir tatsächlich verwenden — dasselbe Gerät, dieselbe gehashte Kennung, dieselbe kanonische Besucherwurzel —, kann ein geteiltes Netzwerk nicht herbeifälschen.

Darüber liegt eine begrenzte probabilistische Komponente: Die bestätigten Verhaltenspaare eines Besuchers können als Kandidaten für eine Anbindung berücksichtigt werden, begrenzt auf eine kleine Zahl pro Besucher und nur oberhalb einer Konfidenzschwelle. Sie erweitert ein Cluster, das deterministische Kanten bereits verankert haben; sie beginnt keines von sich aus.

Aufbau des Device Graph

Jede bestätigte oder hochwahrscheinliche Verknüpfung zwischen Sitzungen erzeugt eine Kante in einem Device Graph. Der Graph verbindet Browser-Instanzen mit Geräteknoten und Geräteknoten mit Personenknoten. Mit der Zeit, wenn sich mehr Sitzungen ansammeln, wird der Graph zunehmend genauer.

Der Aufbau des Graphen verfolgt einen konservativen Ansatz. Eine deterministische Kante — dasselbe Gerät, das unter zwei Browser-Profilen aufgelöst wird, oder dieselbe gehashte Kennung, die für zwei Konten geliefert wird — erzeugt die Verknüpfung unmittelbar. Alles Schwächere wird als Kandidat behandelt statt als Verknüpfung, muss eine Konfidenzschwelle überschreiten und ist gedeckelt, damit ein einzelner Besucher kein unbegrenztes Cluster hinter sich herziehen kann. Ein Besucher oder eine Brücke unter Quarantäne wird vollständig übersprungen, statt auf Verdacht hin zusammengeführt zu werden.

Anwendungen in der Betrugserkennung

Geräteübergreifende Verknüpfung ist besonders leistungsfähig für die Betrugserkennung. Ein Betrüger, der Konten über mehrere Browser-Profile hinweg betreibt, lässt sich identifizieren, wenn diese Profile darunter auf dasselbe Gerät aufgelöst werden oder wenn dieselbe signierte Kennung hinter zwei der Konten auftaucht. Eine gestohlene Kreditkarte, die auf einem Gerät verwendet wird, das nie mit dem Device Graph des Karteninhabers verknüpft war, löst einen sofortigen Alarm aus.

Wir haben Betrugsringe gesehen, in denen ein einzelner Operator Dutzende virtuelle Maschinen betreibt, um gefälschte Konten anzulegen. Jede VM zeigt einen eigenen Browser-Fingerprint, doch sie laufen alle auf derselben physischen Hardware, und die Geräteauflösung ist es, die sie wieder auf eine einzige Maschine zusammenfallen lässt. Dieser geteilte Geräteknoten ist die Kante, auf der der Graph aufbaut — er deckt den Ring von einem einzigen erkannten Konto aus auf, ganz ohne Rückgriff auf eine geteilte Adresse.

Datenschutzfreundliches Design

Geräteübergreifende Verknüpfung wirft berechtigte Datenschutzbedenken auf. Unser Ansatz mindert diese durch mehrere Design-Entscheidungen. Erstens ist die Schicht standardmäßig deaktiviert — sie kommt nicht mit einem Deployment ins Haus, sondern wird bewusst für einen Workspace aktiviert, und bis dahin wird überhaupt kein Personengraph aufgebaut. Zweitens läuft die Verknüpfung serverseitig ab und wird niemals an den Browser weitergegeben, sodass der Graph der Verknüpfungen vom Client aus nicht lesbar ist und der Modus auf unserer Seite gesetzt wird statt durch irgendetwas, das die Seite senden kann. Drittens existiert die Kennungs-Kante nur, wenn Ihre eigene Anwendung sich entscheidet, eine signierte E-Mail-Adresse oder Telefonnummer zu liefern — wir leiten sie nicht vom Besucher ab. Viertens können Nutzern über Ihre Datenschutz-Oberfläche Transparenz über verknüpfte Geräte bereitgestellt werden.

Genauigkeitsmetriken

Der Kompromiss ist bewusst gewählt und fällt zugunsten der Precision gegenüber dem Recall aus: Wir übersehen lieber eine Verknüpfung, als eine falsche zu erzeugen. Diese Präferenz zeigt sich im Design statt in einer Schlagzeilenzahl — deterministische Kanten erzeugen Verknüpfungen, schwache Signale erweitern nur bereits verankerte Cluster, Brücken unter Quarantäne werden übersprungen, und jedes Cluster ist gedeckelt. Eine übersehene Verknüpfung kostet Sie ein Betrugsmuster, das Sie später auf anderem Weg ohnehin gefunden hätten. Eine falsche Verknüpfung führt zwei reale Kunden zu einer Person zusammen, und dieser Fehler pflanzt sich in jede danach getroffene Entscheidung fort.

Messen Sie es an Ihrem eigenen Traffic, bevor Sie sich darauf verlassen. Der geräteübergreifende Recall hängt davon ab, wie viele Ihrer Nutzer sich überhaupt authentifizieren — die Kennungs-Kante ist die stärkste verfügbare, und sie existiert nur dort, wo Ihre Anwendung sie liefert.