Foto-Metadaten: Was Kleinanzeigen-Websites wirklich über den Wohnort ihrer Anbieter verraten
Ein Anbieter, der eine neue Anzeige erstellt, macht das Naheliegende: Er öffnet die Kamera-App, macht ein paar Fotos bei gutem Licht, lädt sie ins Konto hoch und veröffentlicht die Anzeige. Nichts an diesem Vorgang fühlt sich wie eine Sicherheitsentscheidung an. Es fühlt sich an wie der schnellste Weg, eine Seite online zu bringen, und auf den meisten Seiten ist es tatsächlich genau so schnell: Zwischen dem Foto, das vor fünf Minuten aufgenommen wurde, und dem Foto, das ein Fremder auf der Seite sieht, steht nichts.
Was dieser Fremde sehen kann, beschränkt sich nicht auf das, was im Bild sichtbar ist. Smartphone-Kameras mit Standortzugriff, und das sind die meisten, die meiste Zeit, schreiben den genauen Breiten- und Längengrad des Aufnahmeorts in einen Datenblock innerhalb der Datei selbst, die sogenannten EXIF-Metadaten. Diese Koordinaten wandern mit der Datei durch Upload, Speicherung und Veröffentlichung, sofern nicht irgendein Schritt in dieser Kette sie gezielt entfernt. Ein Foto, das im eigenen Schlafzimmer eines Anbieters aufgenommen wird, für eine Anzeige, die genau dieses Schlafzimmer zeigen soll, trägt standardmäßig die Adresse dieses Schlafzimmers in sich.
Das ist kein theoretischer Fehler, den ein Sicherheitsforscher entdeckt hat. Es ist dieselbe Designentscheidung, die jeder Handyhersteller für Fotografen getroffen hat, die ihre Urlaubsbilder nach Standort sortiert haben wollten, ausnahmslos angewendet auch auf ein Foto, das für ein völlig anderes Publikum gedacht ist. Die Kamera weiß nicht, und kann nicht wissen, dass genau dieses Foto an einem Ort landet, wo die Person, die es aufgenommen hat, ihre Heimatadresse ganz und gar nicht angehängt haben möchte.
Was ein Handy heimlich in jedes Foto schreibt
Das technische Detail, das man verstehen sollte, weil es bestimmt, was eine Lösung tatsächlich leisten muss, ist Folgendes: EXIF-Daten stecken in der Bilddatei selbst, in einem Bereich, den das Auge nie sieht und den die meisten Fotoanzeigeprogramme nur auf Anfrage überhaupt zeigen. Es handelt sich nicht um eine Bildunterschrift, einen Dateinamen oder irgendetwas, das ein Anbieter selbst eingibt. Sie entstehen in dem Moment, in dem der Auslöser schließt, automatisch vom Betriebssystem hinzugefügt, und sie überleben Umbenennen, Verschieben oder den Versand als E-Mail-Anhang. Zuverlässig entfernt werden sie nur durch eine Neucodierung des Bildes: Die Pixeldaten werden neu zusammengesetzt und als neue Datei geschrieben, wodurch alte Metadaten wegfallen, sofern ein Tool nicht ausdrücklich angewiesen wird, sie zu erhalten.
Eine Situation, die fast jeder schon einmal erlebt hat, ohne zu wissen, warum sie funktioniert hat: Ein Screenshot eines Fotos enthält keine Standortdaten, weil ein Screenshot ein komplett neues Bild dessen ist, was der Bildschirm angezeigt hat, ohne die versteckten Daten der ursprünglichen Datei. Das ist auch der Grund, warum sich ein gutmeinender Anbieter nicht einfach dadurch schützen kann, dass er die Standortdienste nachträglich abschaltet: Jedes Foto, das bereits mit aktivierter Einstellung aufgenommen wurde, hat die Koordinaten schon eingebacken, und das Abschalten der Einstellung ändert nur, was mit dem nächsten Foto passiert, nicht mit den Fotos, die bereits in der Kamerarolle liegen und auf den Upload warten.
Nichts davon ist neu oder wenig bekannt. Ein Forschungsprojekt der University of Colorado Boulder untersuchte 2012 neunzig Dating-Websites und stellte fest, dass einundzwanzig davon, die meisten vom selben Unternehmen betrieben, Nutzerfotos veröffentlichten, ohne die darin eingebetteten Standortdaten zu entfernen. Das ist kein Ausreißerergebnis eines einzelnen schlechten Akteurs. Es ist rund ein Viertel einer ganzen Branche, das vor über einem Jahrzehnt still und leise Heimatadressen preisgab, über eine Funktion, um die niemand, der die Seite nutzte, gebeten hatte und von der niemand wusste.
Warum dieses Versagen hier etwas anderes bedeutet
Auf einer allgemeinen Kleinanzeigenseite ist ein solches Leck peinlich. Auf einer Seite, auf der die Person im Foto eine selbstständige Anbieterin ist, deren Einkommen davon abhängt, erreichbar zu sein, deren Sicherheit aber davon abhängt, nicht auffindbar zu sein, ist dasselbe Leck eine völlig andere Art von Problem. Die Adresse ist keine nebensächliche Information über den Verkäufer eines gebrauchten Sofas. Es ist genau die eine Information, die eine Anzeige explizit niemals offenlegen soll, und die still in der Datei unter dem Foto liegt, das der Anbieter bewusst gezeigt hat.
Wie viel ein einziger Datenvorfall an Umfang mit sich bringen kann, wurde im Juli 2025 konkret, als die Dating-Sicherheits-App Tea offenlegte, dass Hacker über eine offen zugängliche Datenbank auf rund 72.000 Bilder zugegriffen hatten: etwa 13.000 Selfies und Ausweisfotos, die zur Konto-Verifizierung eingereicht worden waren, sowie etwa 59.000 Bilder aus Beiträgen, Kommentaren und Direktnachrichten. Das Unternehmen erklärte, dass keine E-Mail-Adressen oder Telefonnummern offengelegt wurden und dass nur Konten betroffen waren, die vor Februar 2024 erstellt worden waren. Niemand hat behauptet, die Angreifer hätten gezielt nach eingebetteten Standortdaten in diesem Datenfundus gesucht, und auch dieser Artikel behauptet das nicht.
Was der Tea-Vorfall tatsächlich zeigt, ist enger gefasst und nützlicher: Sobald eine Plattform die rohe, unverarbeitete Datei speichert und ausliefert, die eine App oder ein Browser ursprünglich hochgeladen hat, wandert alles, was diese Datei zufällig enthält, mit ihr an jeden Ort, an dem die Datei später landet, ob es einen Sicherheitsvorfall gibt oder nicht. Bei einer Kleinanzeige braucht es dafür gar keinen Hacker. Die Plattform selbst übergibt die Datei absichtlich der Öffentlichkeit, jedes Mal, wenn ein Foto online geht, ohne dass die Metadaten vorher entfernt wurden.
Ein altes, langweiliges, längst gelöstes Problem
Das Beruhigende daran: Das ist kein schwieriges technisches Problem, und war es schon lange nicht mehr. Facebook und Instagram entfernen die Standort-Metadaten aus der öffentlich ausgelieferten Kopie eines Fotos, und das seit Jahren, gerade weil sich eine Plattform mit hunderten Millionen Uploads täglich nicht leisten kann, dieses Gespräch mit jedem einzelnen Nutzer zu führen. Es wird einmal, zentral, in dem Codepfad erledigt, den jedes Foto ohnehin auf dem Weg zur Veröffentlichung durchläuft, und niemand, der ein Geburtstagsfoto hochlädt, muss jemals darüber nachdenken.
Das Versagen zeigt sich, wenig überraschend, bei kleineren und spezialisierteren Plattformen, die diesen Schritt nie eingebaut haben, weil in einem kleinen Team niemand dafür zuständig war und kein Nutzer je ein Support-Ticket für eine Funktion einreicht, von der er nicht weiß, dass sie fehlt. Eine wissenschaftliche Studie aus dem Jahr 2024 zu standortbasierten Dating-Apps stellte fest, dass einer der untersuchten Dienste, MeetMe, Fotos noch immer mit den ursprünglichen, unangetasteten EXIF-Metadaten auslieferte, während jede andere App in derselben Studie sie ordnungsgemäß entfernt hatte. Die Kluft zwischen den Plattformen, die das Problem gelöst haben, und denen, die nie dazu gekommen sind, hat nichts damit zu tun, wie sensibel der Inhalt ist. Sie hat damit zu tun, ob auf der Entwicklungsseite jemals irgendjemand ein Häkchen dafür gesetzt hat.
Diese Kluft spielt nicht nur praktisch, sondern auch rechtlich eine Rolle. Präzise Standortdaten dieser Art werden in mehreren Rechtsordnungen datenschutzrechtlich als eigene besonders geschützte Kategorie behandelt, und Kaliforniens Datenschutzgesetz führt präzise Geolokalisierung, definiert als Daten, die eine Person auf etwa 1.850 Fuß (rund 560 Meter) genau verorten, ausdrücklich als sensible personenbezogene Daten mit eigenen Regeln auf. Ein Kleinanzeigenbetreiber, der solche Daten versehentlich veröffentlicht, eingebettet in ein Foto, das niemand genauer angesehen hat, ist von diesen Regeln nicht befreit, nur weil die Offenlegung unbeabsichtigt war.
Warum der Anbieter das nicht allein lösen kann
Die naheliegende Antwort, Anbietern zu sagen, sie sollten die Geotagging-Funktion selbst abschalten, klingt vernünftig und funktioniert in der Praxis nicht. Die meisten Menschen haben die dafür zuständige Einstellung nie geöffnet, wissen nicht, dass sie existiert, und haben keinen Grund, danach zu suchen, bevor nicht schon etwas schiefgegangen ist. Wer sie kennt, vergisst sie meist bei jedem neuen Handy wieder, weil sich die Einstellung mit dem Gerät zurücksetzt. Und eine Gewohnheit, die für immer, von jedem Anbieter, auf jedem Gerät, ausnahmslos korrekt befolgt werden muss, ist keine Sicherheitsmaßnahme. Es ist ein Wunsch.
Das ist derselbe blinde Fleck, der überall dort auftaucht, wo eine Plattform die Verantwortung für eine technische Schutzmaßnahme an die Person delegiert, die am wenigsten in der Lage ist, sie konsequent durchzusetzen. Am Ende ist allein der Betreiber in der Position, garantieren zu können, dass eine Schutzmaßnahme wirklich für jede Datei, jedes Mal greift, genauso wie niemand bewusst entschieden hat, wie lange ein eingereichtes Ausweisdokument auf einem Server liegen bleiben soll. Nur dass hier die Entscheidung, die nie getroffen wurde, lautet, ob ein veröffentlichtes Foto weiterhin auf eine Haustür zurückweisen darf.
Was die Upload-Pipeline wirklich leisten muss
Die Lösung gehört vollständig auf die Serverseite, in den Code, der ohnehin jedes Foto verarbeitet, bevor es online geht, nicht in eine Einstellung, die sich ein Anbieter merken muss. Das Neucodieren eines Bildes, das die meisten Upload-Pipelines bereits durchführen, um es in der Größe anzupassen und die kleineren Versionen für Thumbnails und Vorschaubilder zu erzeugen, entfernt EXIF-Daten bei manchen Tools als Nebeneffekt und bei anderen nicht: Die beliebte Bibliothek Sharp entfernt sie in diesem Schritt standardmäßig, während ImageMagick, ebenso verbreitet, sie behält, sofern der Vorgang nicht ausdrücklich mit dem Parameter aufgerufen wird, der das Entfernen der Metadaten anweist. Die beiden Tools verhalten sich im Auslieferungszustand nicht gleich, und genau deshalb darf man das nicht einfach voraussetzen, nur weil es bereits einen Schritt zur Größenanpassung gibt.
Der einzige Weg, herauszufinden, wie sich die eigene Pipeline tatsächlich verhält, ist der direkte Test: ein Foto mit aktiviertem Standort aufnehmen, es genau über den Weg hochladen, den auch ein echter Anbieter nutzen würde, anschließend die Datei herunterladen, die die Seite tatsächlich öffentlich ausliefert, und deren Metadaten mit einem beliebigen kostenlosen EXIF-Viewer prüfen. Sind die Koordinaten noch da, leistet der Größenanpassungsschritt nicht das, was man angenommen hat, ganz egal, welche Bibliothek dahintersteckt.
Zwei naheliegende Abkürzungen scheitern auf dieselbe Art und aus demselben Grund. Metadaten im Browser mit clientseitigem Code zu entfernen, scheint zu funktionieren, bis ein Upload über eine mobile App, ein Massenimport-Tool oder einen direkten Aufruf desselben Upload-Endpunkts erfolgt, denn keiner dieser Wege führt diesen Browser-Code überhaupt aus. Und sich darauf zu verlassen, dass ein Upload-Widget eines Drittanbieters das schon erledigt hat, ist eine Vermutung, keine Überprüfung, solange niemand den Test aus dem vorigen Absatz tatsächlich dagegen laufen lassen und das Ergebnis angesehen hat.
Für nichts davon braucht man neue Rechtsberatung oder einen Sicherheitsberater. Es braucht nur jemanden, der diese Woche einen einzigen Test durchführt: ein geotaggtes Foto über den echten Anzeigen-Ablauf hochladen, die Version herunterladen, die die Seite zurückliefert, und ihre Metadaten öffnen. Kommen die Koordinaten sauber zurück, erledigt die Pipeline ihre Aufgabe bereits, und nichts weiter muss sich ändern. Wenn nicht, ist das die eine Korrektur auf dieser Liste, die es sich lohnt anzugehen, bevor die nächste Anzeige online geht, denn die Alternative ist, bei jedem hochgeladenen Foto eine Heimatadresse zu veröffentlichen und das eine Funktion zu nennen, um die niemand gebeten hat.
