Wie Websites erfahren, wo du bist

Kanal 1: die Berechtigungsabfrage (genau, nur mit Zustimmung)

Den genauen Standort bekommt eine Website nur über die Geolocation-API des Browsers — die Abfrage 'Darf diese Seite auf deinen Standort zugreifen?'. Dahinter kombiniert das Betriebssystem GPS-, WLAN- und Mobilfunksignale (siehe wie GPS-Genauigkeit funktioniert) und übergibt der Seite einen Satz Koordinaten, typischerweise auf wenige Meter genau. Zwei Dinge werden dabei falsch eingeschätzt: Eine Seite kann das nicht heimlich auslösen — die Berechtigung gilt pro Seite, ist widerrufbar und in der Adressleiste sichtbar — und 'während der Nutzung' heißt genau das; Tracking im Hintergrund aus einem Browser-Tab lässt die API nicht zu. Diese Seite nutzt genau diesen Kanal, wenn du auf die Ortungs-Schaltfläche tippst, und die Koordinaten verlassen deinen Browser nie: Die Abfrageseiten sind so gebaut, dass die Position clientseitig angezeigt und nicht protokolliert wird.

Kanal 2: deine IP-Adresse (grob, automatisch)

Jeder Server, den du kontaktierst, sieht deine IP-Adresse — er muss, sonst kann er die Antwort nicht schicken. Kommerzielle Datenbanken ordnen IP-Blöcke Orten zu, und so rät eine Seite ganz ohne Abfrage deine Stadt. Das ist grob und oft falsch: auf Länderebene meist richtig, auf Stadtebene mal so, mal so, und nie auf Hausebene. Sieh auf der Seite Was ist meine IP nach, was deine IP verrät, und lies warum der IP-Standort so oft danebenliegt, wenn du die Mechanik dahinter wissen willst. Was dieser Kanal zeigt, ändert sich nur, wenn du deine scheinbare IP änderst — per VPN oder Tor —, denn er sitzt unterhalb der Browser-Einstellungen. Ob deines dich wirklich verbirgt, lässt sich mit dem VPN-Check prüfen.

Kanal 3: was du hochlädst (Fotos, Dateien, Beiträge)

Handys schreiben GPS-Koordinaten standardmäßig in die Foto-Metadaten (EXIF). Wer die Originaldatei teilt, teilt den Aufnahmeort mit — manchmal bis auf den Raum genau. Die gute Nachricht: Die großen Messenger und sozialen Netzwerke entfernen EXIF beim Hochladen; das übliche Leck sind also direkte Dateiübertragungen, E-Mail-Anhänge, Cloud-Links und Kleinanzeigen. Unser Foto-Standort-Tool liest das EXIF eines Fotos vollständig in deinem Browser, damit du siehst, was eine Datei verraten würde, und lädt eine bereinigte Kopie ohne GPS herunter. GPX- und KML-Exporte aus Fitness-Apps verdienen dieselbe Vorsicht — eine Lauf-Heatmap, die an deiner Haustür beginnt und endet, ist eine Adresse.

Fingerprinting: der leisere Verwandte des Standorts

Über den Standort hinaus können Seiten versuchen, dich über mehrere Besuche hinweg wiederzuerkennen, indem sie Merkmale kombinieren, die dein Browser bereitwillig preisgibt — Bildschirmgröße, Schriften, GPU-Kennung, Zeitzone, Sprachliste, Eigenheiten beim Canvas-Rendering. Kein einzelnes Merkmal identifiziert dich; die Kombination tut es oft. Schon deine Zeitzone verrät deine Region, selbst hinter einem VPN — das ist eine der Prüfungen, die unser VPN-Check durchführt. Führe den Browser-Datenschutz-Check aus, um zu sehen, wie groß deine Fingerprint-Fläche ist und ob WebRTC deine echte IP verrät — die beiden wichtigsten Tests, lokal in deinem Browser.

Eine vernünftige Checkliste für die Einstellungen

Fünf Minuten Hygiene decken das meiste ab. Geh die Standortberechtigungen deiner Websites durch (Chrome: Einstellungen → Datenschutz → Website-Einstellungen → Standort; Safari: Einstellungen → Websites → Ortungsdienste; Firefox: Einstellungen → Datenschutz & Sicherheit → Berechtigungen) und entferne Seiten, die du nicht kennst. Stell die GPS-Markierung der Kamera so ein, wie du sie willst — du kannst sie anlassen und die Daten stattdessen vor jedem Teilen entfernen. Wenn du ein VPN nutzt, prüfe es mit den Leck-Tests oben, statt dem grünen Schild in der App zu vertrauen. Und kalibriere, statt in Panik zu verfallen: Der Berechtigungskanal ist an deine Zustimmung gebunden, der IP-Kanal ist auf Stadtebene grob, und der Upload-Kanal liegt in deiner Hand. Dass eine Website dein GPS genau, still und ohne dein Zutun verfolgt — so funktioniert die Web-Plattform nicht.