UA-SID

Wenn du eine Internetseite aufrufst, schickt dein Browser bei jedem Klick eine neue Anfrage an den Computer, der die Seite bereitstellt. Dieser Computer, der Server, merkt sich von sich aus nichts. Er weiß also zunächst nicht, dass die zweite Anfrage vom selben Menschen kommt wie die erste. Damit er das trotzdem erkennt, bekommt jeder Besucher eine zufällige Nummer, die Sitzungskennung. UA-SID verbindet diese Nummer zusätzlich mit dem sogenannten User-Agent: einer kurzen Textzeile, die dein Browser mitschickt und die Programmname, Version und Betriebssystem nennt. Die Kennung gilt damit nur für diese eine Kombination aus Nummer und Browserangabe.

Warum Seiten überhaupt eine Sitzung brauchen

Ohne Sitzungskennung wäre ein Online-Shop unbenutzbar. Du legst ein Produkt in den Warenkorb, klickst weiter, und der Korb wäre wieder leer. Die Kennung ist der Faden, an dem der Server alle deine Aktionen aufreiht. Auch das Eingeloggtbleiben funktioniert nach diesem Prinzip.

Der Zusatz mit dem User-Agent hat einen Sicherheitsgrund. Eine gestohlene Sitzungskennung ist wie ein geklauter Schlüssel: Wer sie besitzt, kann sich als du ausgeben. Das nennt man Session Hijacking, also Sitzungsentführung. Prüft der Server zusätzlich, ob die Browserangabe zur Kennung passt, wird der Diebstahl schwerer. Ein Angreifer müsste dann auch noch exakt denselben Browser vortäuschen.

Gleichzeitig ist das Verfahren umstritten. Wer Nummer und Browsermerkmale kombiniert, kann Menschen auch dann wiedererkennen, wenn sie Cookies gelöscht haben. Genau das interessiert Werbefirmen. Datenschützer sehen darin deshalb oft ein Tracking-Verfahren, für das eine Einwilligung nötig ist.

Was der Server dabei abgleicht

Beim ersten Besuch erzeugt der Server eine lange Zufallszeichenfolge. Diese legt er in einer Tabelle ab, zusammen mit dem Text des User-Agents. Dein Browser bekommt die Zeichenfolge zurück und schickt sie bei jeder weiteren Anfrage mit. Der Server schaut in seiner Tabelle nach und weiß so, wer du bist.

Der entscheidende Schritt ist der Vergleich. Passt der aktuelle User-Agent nicht zu dem gespeicherten, gilt die Sitzung als verdächtig. Viele Systeme beenden sie dann sofort und verlangen eine neue Anmeldung. Manche speichern statt des vollen Textes nur einen kurzen Prüfwert davon, einen sogenannten Hash. Das spart Platz und verrät weniger, falls die Datenbank je gestohlen wird.

Ein verbreiteter Irrtum ist, dass diese Prüfung echte Sicherheit schafft. Der User-Agent lässt sich frei fälschen, er ist nur ein Text ohne Beweiskraft. Und er ändert sich ständig, etwa bei jedem Browser-Update. Dann fliegen echte Nutzer grundlos aus ihrer Sitzung. UA-SID ist deshalb eine zusätzliche Hürde, kein Schloss.

Wo dir das Verfahren im Netz begegnet

Am häufigsten merkst du es, ohne es zu bemerken. Wenn du nach einem Systemupdate plötzlich neu einloggen musst, kann eine solche Prüfung dahinterstecken. Auch Online-Banking arbeitet oft mit strengen Sitzungsregeln und wirft dich bei jeder Unstimmigkeit hinaus.

In Nachrichten taucht der Begriff meist im Umfeld von Datenschutz auf. Wenn Behörden prüfen, ob eine Firma Nutzer ohne Zustimmung verfolgt, geht es oft um genau solche Kennungen. Ähnlich funktioniert das Browser-Fingerprinting, das noch mehr Merkmale wie Bildschirmgröße und Schriftarten auswertet. UA-SID ist gewissermaßen dessen kleiner Verwandter.

Für KI-Dienste ist das Thema ebenfalls relevant. Chatbots im Browser müssen wissen, zu welchem Gespräch eine neue Nachricht gehört. Auch dort trägt eine Sitzungskennung diesen Zusammenhang. Und weil jede Anfrage an ein Sprachmodell Geld kostet, nutzen Anbieter solche Kennungen auch, um Nutzung zu zählen und zu begrenzen.