Zwischen Überwachung und Selbstschutz: Digitale Privatsphäre in Europa und der Schweiz

Beitrag von

11. Juli 2026

·

Ein TikTok-Video macht derzeit die Runde mit einer einfachen These: Anonym im Internet zu sein sei praktisch unmöglich. Hinter dem Video steht Matt Moyer, ein auf Personenschäden spezialisierter Anwalt aus Chicago mit Abschluss der Notre Dame Law School.

Bemerkenswert ist, wie präzise sich Moyer als Jurist in diesen sehr technischen IT-Themen bewegt. Er erklärt Funkzellen, Geräte-IDs und Verhaltensbiometrie mit einer Genauigkeit, die man eher von Fachleuten aus der IT-Sicherheit erwartet.

Nebenbei ist er auch ein guter Beatboxer und spickt das Video mit rhythmischen Einlagen. Er hat also verstanden, wie soziale Medien funktionieren. Moyer spielt das Szenario Schritt für Schritt durch. Er kauft ein Wegwerf-Handy mit Bargeld, schaltet es weit weg von zu Hause ein, meidet jedes vertraute WLAN, schaltet einen VPN dazwischen und loggt sich nirgends mit einem echten Konto ein. Am Ende bleibt trotzdem eine Spur.

Die Überwachungskamera im Laden, die Seriennummer des Geräts, die Funkzelle, der Tipprhythmus. Sein Fazit: «Es gibt keine Privatsphäre im Internet und dagegen kann man nichts tun.»

Click here to display content from TikTok.
Learn more in TikTok’s privacy policy.

Always display content from TikTok

Die einzelnen Behauptungen des Videos stimmen fast alle. Ein Faktencheck mit unserem kostenlosen Video Fact Checker, den wir bei Openstream frei zur Verfügung stellen, bestätigt Punkt für Punkt, dass die technischen Aussagen belastbar sind. Falsch ist erst die Schlussfolgerung. Sie verwechselt zwei Dinge, die auseinandergehalten werden müssen. Und sie blendet aus, dass in Europa und der Schweiz Recht und Technik ein anderes Bild zeichnen als in den USA.

Ich mag den Auftritt. Der Mann ist sichtlich qualifiziert und ausgesprochen sympathisch. Trotzdem folgt das Video am Ende der klassischen Schwarz-Weiss-Rhetorik sozialer Medien. Wir sind Opfer, wir können nichts tun, das System hat gewonnen.

Das ist ein bekanntes Muster, im Netz oft Ragebait genannt, also gezielt auf Empörung und Ohnmacht gebautes Material. Ob Moyer das bewusst so anlegt, wissen wir nicht. Wahrscheinlich schon, denn es funktioniert. Genau diese Zuspitzung dürfte der Grund sein, warum sein Video über eine Million Aufrufe hat. Und natürlich, weil er ein begnadeter Beatboxer ist und das bei einem Rechtsanwalt ziemlich unerwartet ist. Nur wird eine Behauptung durch Reichweite nicht richtiger. Und die Ohnmacht, die das Video verkauft, verdient einen zweiten Blick.

Inhalt

Anonymität ist nicht Privatsphäre

Der Kern des Missverständnisses liegt in zwei Wörtern, die im Alltag gern in einen Topf geworfen werden. Anonymität heisst: niemand weiss, dass du es bist. Privatsphäre heisst: du bestimmst, wer was über dich erfährt und wozu er es verwenden darf. Das Video beweist sauber, dass vollständige Anonymität kaum noch zu haben ist. Daraus folgt aber nicht, dass es keine Privatsphäre gibt. Es sind zwei verschiedene Fragen.

Der Sicherheitsforscher Bruce Schneier hat das Beispiel geprägt, das die Sache auf den Punkt bringt. Dein elektronisches Patientendossier soll privat sein. Nur befugtes Personal soll sie einsehen. Gegenüber deiner Ärztin bist du dabei nie anonym, sie muss wissen, wer du bist, um dich behandeln zu können. Privatsphäre und Anonymität sind hier sogar gegenläufig. Wer beides gleichsetzt, kommt zu unsinnigen Schlüssen. Genau das passiert im Video. Es zeigt, dass Anonymität praktisch unerreichbar ist. Daraus leitet es ab, Privatsphäre sei es auch. Das ist ein Kategorienfehler.

Für den Alltag von Nutzerinnen und Nutzern ist die zweite Frage die wichtigere. Kaum jemand will spurlos verschwinden. Die meisten wollen etwas anderes: dass ihre Daten nicht ohne ihr Wissen gesammelt, verknüpft und verkauft werden. Dass ein Werbenetzwerk nicht die Suchanfrage von gestern mit dem Standort von heute und der Kreditkarte von morgen zusammenführt. Dieses Ziel ist erreichbar. Nicht vollständig, aber in einem Ausmass, das den Unterschied ausmacht.

Das Wegwerf-Handy und der Denkfehler dahinter

Die Ausgangsszene stimmt. Ein mit Bargeld gekauftes Handy ist nicht anonym. Der Laden führt ein Inventar mit Seriennummern, die Kasse protokolliert den Zeitpunkt, die Überwachungskamera filmt die Person an Kasse drei um 14:14 Uhr. Wer die Ressourcen und die rechtliche Befugnis hat, diese Fäden zusammenzuziehen, findet den Käufer. Das ist keine Übertreibung, das ist die Realität forensischer Ermittlung.

Nur ist die Kamera im Laden nicht überall gleich wahrscheinlich. Die Dichte der Videoüberwachung unterscheidet sich zwischen den Weltregionen dramatisch. China betreibt schätzungsweise 700 Millionen Kameras, fast eine für jeden zweiten Menschen.

Die USA liegen pro Kopf sogar an der Spitze, mit rund 15 Kameras auf 100 Einwohnerinnen und Einwohner. In Grossbritannien ist London die mit Abstand überwachteste Stadt Europas, in der Londoner City kommen über 75 Kameras auf 1’000 Menschen.

Kontinentaleuropa liegt deutlich darunter. Deutschland zählt etwa 6 Kameras pro 100 Personen, Frankreich rund 2,5. Für die Schweiz gibt es keine belastbare landesweite Zahl, doch die Grössenordnung liegt im europäischen Rahmen und damit weit entfernt von den Verhältnissen in China, den USA oder Grossbritannien. Das Szenario des Videos ist also stark davon geprägt, wo man sich befindet. Was in einer amerikanischen oder britischen Grossstadt gilt, lässt sich nicht eins zu eins auf einen Schweizer Elektronikladen übertragen.

Der Denkfehler steckt im unausgesprochenen Bedrohungsmodell. Das Video setzt stillschweigend voraus, dass ein Gegner mit den Mitteln eines Staates hinter dir her ist, der Kassenbelege, Kameraaufnahmen und Funkzellendaten kombinieren darf. Gegen dieses Modell verliert man tatsächlich fast immer. Nur betrifft dieses Modell die wenigsten. Wer sich vor gezielter, ressourcenstarker staatlicher Verfolgung schützen muss, ist Whistleblowerin, Investigativjournalist oder Dissidentin. Für diese Menschen ist Anonymität eine reale, schwierige und teils lebenswichtige Aufgabe.

Für alle anderen ist der Gegner ein anderer. Es ist das Geschäftsmodell der Datensammlung. Werbenetzwerke, Datenhändler, App-Anbieter, die dein Verhalten protokollieren, um es zu Geld zu machen. Wer die ideologischen Wurzeln der Tech-Industrie kennt, weiss, wie tief dieses Modell im Silicon Valley verankert ist. Gegen diesen Gegner braucht es kein Wegwerf-Handy und keine Verkleidung. Es braucht Datensparsamkeit, ein paar technische Entscheidungen und Rechte, die man kennt und nutzt. Das Video vermischt beide Bedrohungsmodelle und erzeugt so ein Gefühl der Ohnmacht, das der Lage der meisten Menschen nicht entspricht.

Ein Handy ist ein Ortungsgerät

Auch hier trifft das Video einen wahren Kern. Ein Smartphone ist von Bauart her ein Gerät, das seinen Standort verrät. Ortungsdienste abzuschalten stoppt nur die höfliche GPS-Auskunft an Apps. Das Gerät spricht weiter mit Funkzellen, sieht WLAN-Netze in der Umgebung, sendet Bluetooth-Signale. Taucht ein unbekanntes Gerät wiederholt geografisch nahe an einem bekannten Gerät auf, lässt sich beides verknüpfen. Das ist eine etablierte Methode.

Der Unterschied liegt darin, wer diese Daten sehen und nutzen darf. In den USA ist der Handel mit Standortdaten weitgehend ungeregelt. Datenhändler kaufen Standortprotokolle von App-Anbietern und verkaufen sie weiter, an Werbetreibende, an Behörden, die so den richterlichen Beschluss umgehen. In der EU und der Schweiz ist genau dieser Handel rechtlich eingehegt. Standortdaten sind personenbezogene Daten. Wer sie bearbeitet, braucht eine Rechtsgrundlage, meist die Einwilligung. Wer sie ohne diese Grundlage weiterverkauft, handelt rechtswidrig.

Das heisst nicht, dass in Europa nicht getrackt würde. Es heisst, dass die betroffene Person Rechte hat, die sie in den USA nicht hätte. Sie kann Auskunft verlangen, welche Standortdaten über sie gespeichert sind. Sie kann deren Löschung fordern. Und der Bruch dieser Regeln ist mit Bussen bewehrt, die für grosse Anbieter spürbar sind. Die Technik ist dieselbe wie im Video. Der rechtliche Rahmen ist ein anderer.

Der VPN-Irrtum

Der stärkste Moment des Videos ist die Passage über VPNs, weil sie einen weit verbreiteten Irrtum korrigiert. Ein VPN (Virtual Private Network) macht nicht unsichtbar. Es ist ein Tunnel. Dein Verkehr läuft zuerst zum VPN-Anbieter und von dort zur Website. Die Website sieht die Adresse des VPN-Servers statt deiner. Damit verschiebst du dein Vertrauen aber nur. Vom Internetanbieter zum VPN-Anbieter. Führt dieser Protokolle, kann er dich «verraten». Manche Anbieter sind billig, undurchsichtig oder aus Marketinggründen gebaut und nicht aus Datenschutzüberzeugung.

Die Electronic Frontier Foundation formuliert es nüchtern: Ein VPN verschafft keine Anonymität. Das ist richtig und wichtig. Ein VPN ist kein Tarnmantel. Es ist ein Werkzeug für einen begrenzten Zweck. Es schützt deinen Verkehr im offenen WLAN eines Cafés vor Mitlesenden im selben Netz. Es verbirgt deine Adresse vor der besuchten Website. Es umgeht geografische Sperren. Für diese Zwecke taugt es. Als Unsichtbarkeitsversprechen taugt es nicht.

Hier zeigt sich, warum der Standort des Anbieters zählt. Ein VPN-Anbieter, der einer Vorratsdatenpflicht unterliegt, muss speichern, wer wann verbunden war. Ein Anbieter in einer Rechtsordnung ohne solche Pflicht muss es nicht. Genau an diesem Punkt wird die Schweizer Debatte konkret, auf die wir gleich kommen. Wer maximale Anonymität sucht, ist mit dem Tor Browser besser bedient als mit einem VPN. Tor verteilt das Vertrauen über mehrere Knoten, sodass kein einzelner Betreiber Herkunft und Ziel zugleich sieht. Auch Tor ist nicht unfehlbar, aber es löst das Vertrauensproblem des VPN auf eine grundlegend andere Art.

Es gibt zudem inzwischen VPN-Dienste, die dieses Vertrauensproblem konstruktiv angehen. Wir selbst nutzen dafür Obscura. Der Dienst arbeitet mit zwei getrennten Parteien statt einer. Dein Verkehr läuft zuerst über einen Relay-Server von Obscura und von dort über einen Exit-Server des schwedischen Anbieters Mullvad ins offene Netz.

Der Trick liegt in der Aufteilung. Der Obscura-Server leitet deine Daten nur weiter, kann sie aber nicht entschlüsseln, weil sie an die Schlüssel von Mullvad gerichtet sind. Der Mullvad-Server wiederum sieht deine echte Adresse nie, weil Obscura sie durch Adressübersetzung verbirgt. Keine der beiden Parteien besitzt beide Puzzleteile zugleich, Herkunft und Ziel.

Obscura kann deine Aktivität selbst dann nicht protokollieren, wenn es dazu gezwungen würde, weil ihm schlicht die Information fehlt. Technisch setzt der Dienst auf WireGuard über das QUIC-Protokoll, was die Verbindung wie gewöhnlichen Internetverkehr aussehen lässt. Das ist kein Unsichtbarkeitsversprechen, aber ein VPN, das sein eigenes Vertrauensproblem ernst nimmt.

Der Fingerabdruck, den du nicht abgibst

Der raffinierteste Teil des Videos betrifft die Wiedererkennung ohne Namen. Selbst wenn du dich nirgends einloggst, verrät dich dein Muster. Die Art, wie du schreibst, deine wiederkehrenden Tippfehler, sogar die Zeit zwischen zwei Tastenanschlägen. Dazu kommt das Browser-Fingerprinting: die Kombination aus Bildschirmauflösung, installierten Schriften, Grafikkarte und Dutzenden weiterer Merkmale ergibt einen Fingerabdruck, der einen Browser unter Millionen wiedererkennt, ganz ohne Cookie. Das ist real und technisch etabliert.

Und hier trennt sich der europäische Weg deutlich vom amerikanischen. Der Europäische Datenschutzausschuss hat in seinen Leitlinien klargestellt, dass die Einwilligungspflicht nicht nur für Cookies gilt. Sie erfasst auch Fingerprinting, Tracking-Pixel und die Auswertung der IP-Adresse zu Trackingzwecken. Wer einen Browser-Fingerabdruck zur Wiedererkennung nimmt, braucht dafür grundsätzlich eine Einwilligung, sofern die Technik nicht für den Dienst zwingend nötig ist. Fingerprinting ist also kein rechtsfreier Raum, es ist eine Bearbeitung wie jede andere.

Fingerabdruck — Illustration von David Palma

Parallel dazu hat sich die Technik der Browser bewegt. Safari, Firefox und Brave wehren sich aktiv gegen Fingerprinting. Brave verändert die ausgelesenen Merkmale pro Sitzung und pro Website leicht, sodass der Fingerabdruck verrauscht und nicht mehr eindeutig ist. Firefox blockt Drittanbieter-Tracking standardmässig und hat seine Abwehr gegen Canvas- und Font-Auslesung ausgebaut. Safari kombiniert seinen Trackingschutz mit einer erweiterten Fingerprinting-Abwehr. Wer Chrome durch einen dieser Browser ersetzt, senkt seine Wiedererkennbarkeit spürbar. Das Video lässt diesen Gegentrend weg. Es beschreibt die Angriffe und schweigt über die Verteidigung.

Was europäisches Recht zurückgibt

Der grösste blinde Fleck des Videos ist das Recht. Es argumentiert rein technisch und beschreibt eine Welt, in der Daten fliessen und niemand sie aufhalten kann. In Europa fliessen Daten nicht in einem rechtsfreien Raum. Die Datenschutz-Grundverordnung gibt jeder betroffenen Person durchsetzbare Rechte. Das Auskunftsrecht nach Artikel 15 zwingt Unternehmen offenzulegen, welche Daten sie über eine Person halten. Das Recht auf Löschung nach Artikel 17 zwingt sie, diese Daten zu entfernen. Das Widerspruchsrecht nach Artikel 21 erlaubt es, der Verarbeitung zu widersprechen. Und Artikel 22 schützt davor, einer rein automatisierten Entscheidung mit rechtlicher Wirkung unterworfen zu werden.

Diese Rechte sind kein Papiertiger. Der Digital Markets Act verbietet den grossen Plattformen, die als Gatekeeper gelten, personenbezogene Daten ohne echte Einwilligung über ihre Dienste hinweg zusammenzuführen. Als Meta 2025 versuchte, den Nutzerinnen und Nutzern nur die Wahl zwischen Bezahlen und Tracking zu lassen, verhängte die Kommission eine Busse von 200 Millionen Euro. Das ist ein anderer Umgang mit Tracking als jener, den das Video zeichnet. Nicht «du kannst nichts tun», sondern «der Datensammler muss sich rechtfertigen».

Ehrlich bleiben muss man bei den Lücken. Die geplante ePrivacy-Verordnung, die das Cookie- und Trackingrecht modernisieren sollte, hat die EU-Kommission am 11. Februar 2025 nach acht Jahren Verhandlung zurückgezogen. Es fand sich keine Einigung. Es gilt weiter die alte ePrivacy-Richtlinie mit ihren bekannten Cookie-Bannern. Das europäische Datenschutzrecht ist nicht perfekt und in Teilen veraltet. Aber es existiert, es wird durchgesetzt und es verschiebt die Machtverhältnisse. Das ist mehr, als das Video zugesteht.

Die Schweiz zwischen Datenschutz und Überwachungsplänen

Die Schweiz hat ihr Datenschutzrecht am 1. September 2023 revidiert. Das revidierte Datenschutzgesetz brachte den Betroffenen ein kostenloses Auskunftsrecht, ein Recht auf Berichtigung und Löschung sowie neu ein Recht auf Datenherausgabe. Wichtiger noch ist die gestärkte Aufsicht. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte kann seither von Amtes wegen untersuchen und verbindliche Verfügungen erlassen, also die Anpassung, Unterbrechung oder Löschung einer Datenbearbeitung anordnen. Zuvor konnte er nur Empfehlungen aussprechen. Das ist ein realer Machtzuwachs der Aufsicht.

Zugleich beherbergt die Schweiz Anbieter, die Datenschutz zum Geschäftsmodell gemacht haben. Proton aus Genf mit verschlüsselter Mail, VPN und Passwortverwaltung. Threema aus Zürich mit einem Messenger, der ohne Telefonnummer auskommt. Diese Anbieter gehören zu einer Schweizer Tech-Landschaft, die wir im Kontext der digitalen Souveränität und der Schweizer KI-Anbieter schon mehrfach eingeordnet haben. Beide berufen sich auf den Schutz der Privatsphäre in der Bundesverfassung und darauf, dass die Schweiz nicht Teil der angelsächsischen Geheimdienstallianzen ist. Dieses Argument taugt als Marketing besser als als Garantie, denn bei rechtmässigen Ersuchen kooperiert auch die Schweiz. Aber die grundsätzliche Ausrichtung ist real. Sie beruht auf einer Rechtslage, die solche Dienste bisher nicht zur Vorratsspeicherung zwingt.

Genau diese Rechtslage steht auf der Kippe. Der Bundesrat treibt eine Revision der Verordnung über die Überwachung des Post- und Fernmeldeverkehrs voran, kurz VÜPF. Sie würde Dienste bereits ab 5’000 Nutzerinnen und Nutzern verpflichten, diese zu identifizieren und Verbindungsdaten zu speichern. Die erste Vernehmlassung fiel vernichtend aus, sämtliche Akteure ausser den Kantonen stellten sich gegen den Entwurf. Statt einer öffentlichen zweiten Runde verschickte das zuständige Departement Anfang 2026 einen überarbeiteten Entwurf nur an ausgewählte Unternehmen. Proton hat angekündigt, bei unveränderter Annahme die Schweiz zu verlassen. Server werden bereits nach Deutschland und Norwegen verlagert.

Der Widerstand hat einen Namen. Die Digitale Gesellschaft, die wichtigste Schweizer Organisation für digitale Grundrechte, übergab im August 2025 gemeinsam mit Campax über 15’000 Unterschriften gegen die Verschärfung. Im Februar 2026 warnte sie zusammen mit einem internationalen Bündnis von Menschenrechts- und Digitalrechtsorganisationen in einem offenen Brief vor dem Ausbau der Vorratsdatenspeicherung. Als der geheim gehaltene Entwurf durchsickerte, bezeichnete sie den Bundesrat als «Geisterfahrer». Dieselbe Organisation kämpft seit Jahren vor Gericht gegen die anlasslose Speicherung von Verbindungsdaten, ein Verfahren dazu liegt beim Europäischen Gerichtshof für Menschenrechte. Das ist das Gegenteil von Ohnmacht. Es ist organisierte, teils erfolgreiche Gegenwehr. Sie zeigt, dass Datenschutz kein Naturzustand ist. Er ist ein politisches Ergebnis, das man verteidigen muss.

Dasselbe Spannungsfeld zeigt die E-ID. Am 28. September 2025 nahm das Schweizer Stimmvolk die staatliche elektronische Identität mit hauchdünnen 50,4 Prozent an, vier Jahre nachdem es eine private Lösung abgelehnt hatte. Die knappe Mehrheit spiegelt genau die Ambivalenz, um die es hier geht. Der Wunsch nach digitalen Diensten auf der einen Seite, die Sorge vor Datensammlung und Überwachung auf der anderen. Wer behauptet, Privatsphäre sei ohnehin verloren, macht es sich in dieser Auseinandersetzung zu einfach. Wie heikel der Umgang mit Personendaten ist, hat zuletzt das umstrittene Reddit-Experiment der Universität Zürich gezeigt.

Was tatsächlich hilft

Zwischen der Ohnmacht des Videos und einer Illusion perfekter Anonymität liegt der praktische Bereich, in dem sich für die meisten Menschen viel gewinnen lässt. Keine dieser Massnahmen macht spurlos. Alle zusammen reduzieren, wie viel über dich gesammelt und verknüpft werden kann.

Ein Browser mit Trackingschutz statt Chrome. Firefox, Brave oder Safari senken Fingerprinting und Drittanbieter-Tracking spürbar, ohne dass du etwas dafür tun musst.
Ein verschlüsselter Messenger für vertrauliche Kommunikation. Signal und Threema schützen die Inhalte. Beachte, dass Metadaten, also wer wann mit wem, schwerer zu verbergen sind als der Inhalt selbst.
E-Mail-Aliase statt der echten Adresse überall. Dienste wie Proton Pass oder Apples «E-Mail-Adresse verbergen» erzeugen für jede Anmeldung eine eigene Adresse. Taucht Spam auf, siehst du, welcher Dienst deine Adresse weitergegeben hat. Den Alias schaltest du dann einfach ab.
Tracker netzwerkweit blocken. Ein Pi-hole oder ein DNS-Dienst wie NextDNS filtert bekannte Tracker-Domains für alle Geräte im Haushalt. Gegen Fingerprinting und First-Party-Tracking hilft das nicht, gegen die breite Masse der Werbetracker sehr wohl.
Datensparsamkeit als Grundhaltung. Jedes Konto, das du nicht anlegst, jede Berechtigung, die du einer App verweigerst, jedes Formularfeld, das du leer lässt, ist Datenschutz an der Quelle. Das ist unspektakulär und wirkt am stärksten.
Deine Rechte nutzen. Ein Auskunftsersuchen nach revDSG oder DSGVO kostet nichts und zwingt ein Unternehmen offenzulegen, was es über dich weiss. Ein Löschersuchen zwingt es, diese Daten zu entfernen. Diese Hebel gibt es nur, weil das europäische Recht sie geschaffen hat.

Einordnung

Das Video ist ein gutes Gedankenexperiment und eine schlechte Handlungsanleitung. Seine technischen Beobachtungen stimmen fast alle. Sein Fazit stimmt nicht, weil es die falsche Frage beantwortet. Wer die Lehre daraus ziehen will, sollte drei Dinge auseinanderhalten.

Kläre dein Bedrohungsmodell, bevor du dich schützt. Vollständige Anonymität gegen einen staatlichen Gegner ist eine andere Aufgabe als der Schutz vor kommerzieller Datensammlung. Für die meisten Menschen geht es um Letzteres. Dort ist viel erreichbar.
Nutze Recht und Technik zusammen. Ein Browser mit Trackingschutz senkt, was gesammelt wird. Ein Auskunfts- oder Löschersuchen holt zurück, was bereits gesammelt wurde. In Europa und der Schweiz greifen beide Hebel, in den USA fehlt der zweite fast ganz.
Behandle Datenschutz als politisches Ergebnis, nicht als Naturgesetz. Die zurückgezogene ePrivacy-Verordnung, die VÜPF-Revision und die knappe E-ID-Abstimmung zeigen, dass der Rahmen ständig neu ausgehandelt wird. «Es gibt keine Privatsphäre» ist keine Beobachtung, es ist eine Kapitulation. Und sie ist verfrüht.

Quellen

Hauptbeitragsbild erstellt mit GPT-5.5.