Die Kluft zwischen „für Reisen zwingend erforderlich“ und „erfasst, weil niemand es verhindert hat“ ist größer, als jede Fluggesellschaft zugeben möchte.
Christina Maas
Du betrittst den Flughafen in dem Glauben, du seist eine Person, die eine Reise unternimmt. Das Gebäude widerspricht. Für die Systeme um dich herum bist du ein Bündel von Identifikatoren, die sich durch ein Terminal bewegen, und jeder Identifikator ist für eine andere Organisation lesbar, von denen keine du jemals bewusst damit beauftragt hast, dich zu beobachten.
Zähle sie. Die Fluggesellschaft hat deine Buchung und, falls du die App installiert hast, ein Berechtigungspaket, das deinen Standort und die Werbe-ID deines Telefons enthalten kann. Das dahinterliegende Buchungssystem, ein Amadeus oder Sabre oder Expedia, behält eine eigene Kopie deines Reiseplans.
Die Werbenetzwerke, über die du deine Flugsuche durchgeführt hast, verfolgen dich weiterhin im Internet. Die Datenbroker kaufen die Standortdaten deines Smartphones von den Apps, die du laufen gelassen hast. Der Flughafenbetreiber betreibt das WLAN, die App und die im Terminal verteilten Analyse-Beacons.
Die Grenz- und Sicherheitsbehörde – hier die TSA und das DHS, die Border Force oder eine vergleichbare Behörde – gleicht dein Gesicht ab und verfügt bereits über die Passagierdaten, die die Fluggesellschaft im Vorfeld übermittelt hat. Dein Kartenaussteller und das Zahlungsnetzwerk protokollieren den Kauf und den Händler. Und hinter einigen dieser Akteure stehen die Auftragnehmer für Gesichtserkennung, die die Kameras tatsächlich entwickeln und betreiben.
Das sind acht Überwachungsmaßnahmen für einen Flug, und ehrlich gesagt lässt sich diese Zahl nicht auf null reduzieren. Ein Teil davon ist unvermeidbar. Man kann eine Grenze rechtlich gesehen nicht ohne Identitätskontrolle passieren, und so zu tun, als wäre es anders, hilft niemandem. Aber die meisten dieser acht Maßnahmen sind optional, undicht oder beides, und genau in dem Bereich zwischen „für die Reise zwingend erforderlich“ und „erfasst, weil niemand es verhindert hat“ liegt der Spielraum, in dem man etwas bewirken kann. Hier erfährst du, wie du jeden einzelnen Schritt für Schritt abschalten kannst – von der Suche nach einem Flugtarif bis zu dem Moment, in dem du die Ankunftshalle verlässt.
Bevor Sie buchen, richten Sie das Telefon ein
Nahezu jeder kommerzielle Tracker in diesem Artikel stützt sich auf eine einzige Sache: eine kurze Zeichenfolge, die als „Mobile Advertising ID“ bezeichnet wird. Apple nennt sie IDFA, Android bezeichnet sie als „Advertising ID“ – sie soll als zurücksetzbarer Ersatz für Ihren Namen dienen, damit Werbetreibende Sie von einer App zur nächsten wiedererkennen können. Die Branche hat jahrelang beteuert, diese IDs seien anonym.
Die Studie des Citizen Lab aus dem Jahr 2026 zu einem werbebasierten Überwachungssystem ergab, dass diese Systeme dazu genutzt werden, Personen zu verfolgen und Profile von ihnen zu erstellen – unter anderem von Anbietern, die ihre Produkte an Regierungen verkaufen. So viel zur Anonymität.
Bevor Sie also etwas buchen, sollten Sie drei Dinge tun. Setzen Sie die Werbe-ID zurück oder löschen Sie sie. Auf einem iPhone finden Sie die entsprechende Option unter „Einstellungen“, „Datenschutz und Sicherheit“, „Tracking“; wenn Sie dort die Option „Apps dürfen Tracking anfordern“ deaktivieren, müssen Apps um Erlaubnis fragen, bevor sie auf die IDFA zugreifen können. Wenn Apps um Erlaubnis fragen müssen, sagen etwa drei von vier iPhone-Nutzern „Nein“, und diese Ablehnung hat die Qualität der iPhone-Standortdaten, die die Broker kaufen können, messbar verschlechtert.
Unter Android können Sie nun unter Einstellungen > Datenschutz > Werbung die Werbe-ID vollständig löschen, was wirksamer ist als die Deaktivierung der Werbe-ID. Stellen Sie anschließend die Standortbestimmung auf „Nur während der Nutzung“ oder „Aus“ ein, wählen Sie bei allen Funktionen, die Ihre Koordinaten nicht unbedingt benötigen, „ungefähr“ statt „genau“ und schalten Sie Bluetooth und WLAN aus, wenn Sie sie nicht nutzen, da beide Signale aussenden, die von Beacons und Analysesystemen passiv erfasst werden können.
Der Grund dafür, dass dies mehr bewirkt, als es zunächst den Anschein hat, ist das SDK. Apps verkaufen Ihren Standort nicht an einen einzigen Käufer. Sie enthalten Software Development Kits sowie Code von Drittanbietern, der für Werbe- und Analysezwecke eingebunden wird, und dieser Code übernimmt alle Berechtigungen, die Sie der App erteilt haben.
Diese Kits können Ihre Daten an mehrere Parteien gleichzeitig übermitteln, während Sie die App nutzen. Entziehen Sie ihnen die Werbe-ID und einen frischen Standortdatenstrom, und Sie haben bereits den größten Teil der kommerziellen Hälfte der acht Maßnahmen geblendet.
Buchen, wie man sucht und bezahlt, ohne die Auktion zu füttern
Wenn Sie nach einem Tarif suchen, fragen Sie nicht nur eine Fluggesellschaft ab. Sie lösen eine Echtzeit-Auktion aus, die automatisierte Auktion in Bruchteilen von Sekunden, die entscheidet, welche Werbung auf der Seite geladen wird. Hier ist der Teil, den die meisten Reisenden nie erfahren. Die Auktion verkauft nicht nur den Werbeplatz. Sie überträgt ein Profil von Ihnen an jedes Unternehmen, das zur Teilnahme an der Auktion eingeladen wurde.
Ein Broker muss die Auktion nicht gewinnen und muss keine Beziehung zu der App oder der Website haben. Jeder, der sich als Werbekäufer ausgibt, kann auf den Datenstrom zugreifen, der täglich Daten über Milliarden von Menschen überträgt.
Die Branche nennt es den Bidstream, und so hat der Broker Mobilewalla eine Datenbank mit mehr als einer Milliarde Menschen aufgebaut, von denen etwa 60 Prozent direkt aus diesen Auktionen stammen.
Die praktischen Abwehrmaßnahmen: Suchen Sie nach Tarifen in einem privaten Browserfenster und nicht in der Airline-App, und verwenden Sie wenn möglich einen Browser mit Tracker-Blockierung (Firefox mit strengem Schutz, Brave oder Safari mit aktiviertes Cross-Site-Tracking). Installieren Sie die Airline-App nach Möglichkeit überhaupt nicht. Wenn Sie sie unbedingt installieren müssen, verweigern Sie den Zugriff auf Standort, Kontakte und Tracking, wenn die App danach fragt. Die App ist aus demselben Grund praktisch, aus dem sie gefährlich ist. Sie ist ein wesentlich reichhaltigerer Sensor als die Website.
Was die Zahlung betrifft, sollten Sie wissen, was Sie eintauschen. Ein Kartenkauf verknüpft Ihren echten Namen mit dem Händler, dem Betrag und der Uhrzeit, und dieser Datensatz wird zwischen dem Emittenten und dem Zahlungsnetzwerk geteilt.
Das kann man für einen Flug normalerweise nicht vermeiden, weil Fluggesellschaften namentlich zurückverfolgbare Zahlungen zur Betrugsbekämpfung benötigen, und das ist eine legitime Einschränkung. Was Sie verhindern können, ist das Marketing-Leak. Lehnen Sie es ab, die Karte in einem marketingverknüpften Profil zu speichern, widersprechen Sie der „Personalisierung“ des Händlers und verwenden Sie eine Einmal- oder virtuelle Kartennummer, falls Ihre Bank eine ausstellt. Dadurch wird verhindert, dass der Kauf von den nachgeschalteten Brokern sauber in den Rest Ihres Profils eingefügt werden kann.
Check-in und Bordkarte, respektieren Sie den Barcode
Dieses dichte Quadrat oder der Streifen auf Ihrer Bordkarte ist keine Dekoration. Er folgt einem IATA-Standard (Resolution 792) und enthält eine überraschende Menge an Informationen über Sie: Ihren Namen, den Flug, das Datum, die Strecke, Ihren Sitzplatz, die Sequenznummer, die Buchungsklasse und den PNR, die sechsstellige Buchungsreferenz. Der PNR ist der Hauptschlüssel zu Ihrer Reservierung.
Mit ihm und Ihrem Nachnamen kann, wie Reise- und Sicherheitsjournalisten immer wieder warnen, ein Fremder Ihre Buchung einsehen und manchmal sogar ändern. Genau deshalb sollten Sie niemals ein Foto Ihrer Bordkarte online stellen.
Checken Sie also nach Möglichkeit über die Website und nicht über die App ein, fügen Sie die Bordkarte Ihrer Phone-Wallet hinzu, anstatt einen Screenshot in Ihrer Kamerarolle liegen zu lassen, und fotografieren Sie den Barcode niemals für soziale Medien. Weder das „Ich fliege in den Urlaub!“-Foto noch das zugeschnittene, denn das Zuschneiden des Bildes entfernt nicht die in den Code eingebackenen Daten. Vernichten Sie nach der Reise die Papier-Bordkarten, anstatt sie intakt in den Müll zu werfen.
Am Flughafen: das WLAN, die Beacons und die Kamera
Drei Beobachter treffen hier zusammen. Der erste ist das eigene Netzwerk des Flughafens. Kostenloses Flughafen-WLAN läuft normalerweise über ein Captive Portal, das eine E-Mail-Adresse haben möchte und Ihr Gerät protokolliert, und die Beacons und WLAN-Sensoren im Terminal können ein Telefon anhand der Signale verfolgen, die es auf der Suche nach Netzwerken aussendet. Moderne Telefone randomisieren ihre WLAN-Hardwareadresse pro Netzwerk, was die primitivste passive Verfolgung abschwächt, aber die sauberere Verteidigung ist einfacher. Lassen Sie WLAN und Bluetooth ausgeschaltet, nutzen Sie mobile Daten und verzichten Sie auf das kostenlose Netzwerk. Wenn Sie sich doch verbinden müssen, verwenden Sie ein VPN und eine Wegwerf-E-Mail.
Die zweite ist die Gesichtserkennung, und hier hängen Ihre Optionen stark davon ab, wo Sie sich befinden. In den Vereinigten Staaten lief der Gesichtsabgleich der TSA im Frühjahr 2026 an mehr als 65 Flughäfen, unterstützt von allen fünf großen Fluggesellschaften, und er ist offiziell weiterhin freiwillig.
Sie können dem Beamten sagen, dass Sie lieber nicht möchten, dann wird Ihr Ausweis auf traditionelle Weise geprüft, und es gibt keine zusätzliche Kontrolle und keine Verpflichtung, sich zu erklären. Zwei Dinge sind hier wichtig zu wissen. Erstens weiß fast niemand, dass diese Option existiert. Die Algorithmic Justice League hat herausgefunden, dass 99 Prozent der Passagiere nie mündlich darüber informiert wurden, dass sie widersprechen können.
Zweitens sind die Kameras keine neutralen Instrumente. Die eigenen NIST-Tests der Regierung haben wiederholt ergeben, dass viele Gesichtserkennungsalgorithmen Frauen und dunkelhäutige Reisende mit erheblich höheren Raten falsch identifizieren als weiße Männer. Also widersprechen Sie. Sagen Sie dem Beamten am Pult, dass Sie eine manuelle Ausweiskontrolle wünschen.
Im Vereinigten Königreich und in der EU ist die Kamera nicht optional, und ich werde nicht so tun, als wäre sie es. Die britische Grenze betreibt mehr als 270 eGates, die Ihr Live-Bild mit Ihrem Passchip und Regierungsdatenbanken abgleichen, offen für Reisende ab zehn Jahren, und Manchester, Heathrow und Gatwick haben Gates getestet, die Sie in weniger als acht Sekunden ohne Pass in der Hand abfertigen.
Sie können eine Grenzidentitätsprüfung nicht verweigern. Was Sie tun können, ist den Schalter mit Personal anstelle des eGates zu nutzen, wodurch der automatische Gesichtsabgleich durch einen Menschen ersetzt wird, der Ihren Pass ansieht. Und Sie können den dritten Beobachter hier verweigern: den eigenen Gesichtsscan der Fluggesellschaft am Gate, der als „digitales Reisezertifikat“ daherkommt. Dieser Scan der Fluggesellschaft ist getrennt von der Grenzkontrolle und in der Regel optional. Sagen Sie Nein dazu.
Vielfliegerprogramme und Kontoeinstellungen, der Kleingedruckte-Beobachter
Der am wenigsten sichtbare Beobachter ist das Treuekonto, das Sie vor Jahren angelegt haben, um einen kostenlosen Aufgabegepäck-Koffer zu bekommen. Vielflieger- und Prämienkonten sind Datenweitergabe-Maschinen, die Ihre Reisehistorie mit Partnern, Einzelhändlern und Werbeplattformen verknüpfen, normalerweise über Einstellungen, die tief in den Kontoeinstellungen vergraben sind und nicht im Buchungsablauf.
Gehen Sie in Ihre Fluggesellschafts- und Reisebürokonten und schalten Sie „personalisierte Werbung“, „Daten mit Partnern teilen“ und alle anderen Marketingoptionen Dritter, die Sie finden, aus. Trennen Sie verknüpfte Konten, die Sie nicht mehr nutzen. Das holt nicht zurück, was bereits geteilt wurde, aber es schaltet den Wasserhahn für die Zukunft ab.
Nach der Landung, eine fünfminütige Aufräumaktion
Überspringen Sie diesen Schritt nicht, denn hier setzen Sie für das nächste Mal zurück. Setzen Sie die Werbe-ID erneut zurück. Überprüfen Sie, welche Apps während der Reise Standortzugriff erhalten haben, und entziehen Sie alles, was ihn nicht benötigt. Vergessen Sie das Flughafen-WLAN-Netzwerk. Löschen Sie die Bordkarte aus Ihrer Wallet sowie alle Screenshots.
Wenn Sie technisch versierter sind, richten Sie den DNS Ihres Telefons auf einen blockierenden Resolver aus, da Dienste wie NextDNS oder ein Pi-hole zu Hause Blockierlisten pflegen, die den Datenverkehr zu bekannten Broker-Endpunkten (die alte X-Mode/Outlogic- und SafeGraph-Infrastruktur gehört dazu) auf Netzwerkebene unterbrechen.
Und für die wirklich Engagierten bietet ein gehärteter Android-Build wie GrapheneOS den stärksten Schutz, den Sie auf ein Telefon bekommen können.
Das Gesetz bewegt sich, aber es wird Sie noch nicht retten
Es ist fair zu fragen, warum das alles an Ihnen, dem Reisenden, hängt. Die ehrliche Antwort ist, dass das Gesetz ungleichmäßig aufholt und die Last in der Zwischenzeit bei Ihnen liegt.
Die Argumente der Gegenseite sind nicht frivol. Die Gesichtserkennung an Grenzen erwischt tatsächlich Hochstapler und beschleunigt die Schlangen, Fluggesellschaften benötigen tatsächlich rückverfolgbare Zahlungen zur Betrugsbekämpfung, und Sicherheitsbehörden haben tatsächlich einen echten Auftrag, zu wissen, wer an Bord des Flugzeugs geht. Nichts davon wird bestritten. Strittig ist die schleichende Ausweitung, die Abdrift von „diesen Reisenden jetzt überprüfen“ hin zu „die Bewegungen aller für immer speichern, teilen und vermarkten“.
Auf der kommerziellen Seite haben die Regulierungsbehörden begonnen, diese Abdrift als illegal zu bezeichnen. Die Federal Trade Commission hat eine Reihe von Maßnahmen gegen Standortbroker eingeleitet, darunter Mobilewalla, X-Mode/Outlogic, Gravy Analytics und InMarket.
Die X-Mode-Anordnung war das erste Mal, dass die Behörde einem Unternehmen verbot, sensible Standortdaten zu verkaufen – also Daten, die aufzeichnen, wer eine Klinik oder einen Gottesdienstort besucht hat.
Die Mobilewalla-Anordnung ging noch weiter: Es war das erste Mal, dass die FTC die Erhebung von Daten aus diesen Werbeauktionen zu irgendeinem anderen Zweck als der Durchführung der Auktion als an sich unlautere Praxis behandelte. In Europa weicht der Boden unter der verhaltensbasierten Werbung.
Ein Urteil des Gerichtshofs vom März 2024 stellte fest, dass das Zustimmungssignal, das Online-Werbeauktionen stützt, selbst personenbezogene Daten sind, und im Mai 2025 bestätigte ein Brüsseler Gericht eine Geldstrafe von 250.000 Euro und stellte fest, dass das eigene Zustimmungsframework der Werbebranche gegen europäisches Recht verstößt, was ein Fragezeichen darüber hängt, wie die gesamte Auktion in der EU und im Vereinigten Königreich abläuft.
Hier ist die Lücke, die diese Siege offen lassen. Selbst wenn eine Regierung Ihre Daten nicht erzwingen kann, kann sie sie oft einfach kaufen. Derselbe Bidstream, den die FTC überwacht, war eine Hintertür für den Staat.
Im Jahr 2026 beschaffte sich der US-Zoll und Grenzschutz (US Customs and Border Protection) Standortdaten von Amerikanern über das Werbe-Ökosystem, und Tools wie Babel Streets Locate X ermöglichen es Behörden, kommerzielle Standortdaten zu durchsuchen – mit nichts weiter als einem Regierungsvertrag, ohne Durchsuchungsbefehl und ohne Richter.
Der Oberste Gerichtshof entschied in Carpenter gegen die Vereinigten Staaten (2018), dass die Polizei einen Durchsuchungsbefehl für historische Telefonstandortdaten benötigt, aber dieses Urteil regelt, was der Staat von einem Mobilfunkanbieter erzwingen kann, nicht, was ein Broker verkaufen wird. Diese Gesetzeslücke ist konkret, nicht spekulativ.
Und der Kontrollpunkt bewegt sich in eine Richtung. Als eine überparteiliche Gruppe von Senatoren versuchte, Ihr Recht, Gesichtsscans zu widersprechen, in ein tatsächliches Gesetz zu schreiben, lehnte die TSA den Änderungsantrag ab. Der ehemalige Chef der Behörde selbst hat gesagt, dass er erwartet, dass die biometrische Kontrolle irgendwann verpflichtend wird.
Das Fazit
Sie werden einen Flug nie unsichtbar machen können. Grenzen, Zahlungen und Flugsicherheit sind nicht verhandelbare Überwachung, und so zu tun, als wäre es anders, hilft niemandem. Aber die acht Beobachter sind nicht gleich, und die meisten von ihnen sind nicht verpflichtend. Die Werbe-ID, die App-Berechtigungen, der Bidstream, die Broker, das Flughafen-WLAN, der optionale Gesichtsscan der Fluggesellschaft, die Treue-Einstellungen – jeder einzelne davon kann von einem normalen Reisenden ohne besondere Fähigkeiten und mit etwa fünfzehn Minuten Aufwand, verteilt über die Reise, verweigert, zurückgesetzt oder abgelehnt werden.
Sie sind nicht paranoid. Die Voreinstellungen wurden von denjenigen gewählt, die die Daten sammeln, nicht von Ihnen, und jede Verweigerung ist eine Stimme für eine Welt, in der private Bewegung noch möglich ist. Die Opt-out-Option existiert heute. Sie ist eine Politik, kein Recht, und genau deshalb ist der sauberste Zeitpunkt, sie zu nutzen, die nächste Reise mit dem Flugzeug.
