Drittanbieter-Apps: Wer hat Zugriff auf deine Daten?

Alte Berechtigungen sind der häufigste Weg, über den Konten kompromittiert werden. Der Widerruf dauert keine 5 Minuten.

Zwei Arten von Zugriff

Der Unterschied ist entscheidend, weil er über das Risiko bestimmt.

Offizielle Berechtigungen. Du meldest dich über Metas eigenen Dialog an und erteilst bestimmte Rechte. Dein Passwort bleibt bei Meta, und der Zugriff lässt sich jederzeit widerrufen. Erkennbar daran, dass der Anmeldedialog auf instagram.com oder facebook.com läuft.

Weitergegebene Zugangsdaten. Ein Dienst verlangt dein Passwort und meldet sich in deinem Namen an. Er hat damit vollen Zugriff, und ein Widerruf ist nur über eine Passwortänderung möglich. Das verstößt zusätzlich gegen Instagrams Nutzungsbedingungen.

Die zweite Variante ist das eigentliche Problem – und der Grund, warum die Passwortabfrage das einzige Kriterium ist, das du dir merken musst. Wie solche Angebote aussehen, steht im Beitrag über Viewer-Betrug.

Was kann eine App mit Zugriff?

Der Umfang hängt vollständig davon ab, welcher der beiden Wege gewählt wurde. Über den offiziellen Dialog bekommt niemand deine Nachrichten oder dein Passwort; über weitergegebene Zugangsdaten bekommt er beides.

Recht	Typischer Umfang
Profildaten lesen	Nutzername, Profilbild, Beschreibung
Medien lesen	Beiträge und deren Statistiken
Statistiken lesen	Reichweite, Interaktionen
In deinem Namen posten	nur bei ausdrücklicher Erteilung
Nachrichten lesen	nur bei weitergegebenem Passwort
Passwort ändern	nur bei weitergegebenem Passwort

Die letzten beiden Zeilen zeigen den Unterschied deutlich: Über den offiziellen Weg bekommt niemand Zugriff auf deine Nachrichten oder dein Passwort. Über weitergegebene Zugangsdaten bekommt er alles.

Wie prüfst und entziehst du Berechtigungen?

Fünf Schritte, zusammen etwa 5 Minuten. Bei Konten, die einige Jahre bestehen, stehen in der Liste meist fünf bis zwanzig Einträge, von denen die wenigsten noch genutzt werden.

Schritt 1: Berechtigungen öffnen

Einstellungen, „Website-Berechtigungen“, dann „Apps und Websites“. Dort stehen aktive, abgelaufene und entfernte Berechtigungen getrennt.

Schritt 2: Aktive Einträge durchgehen

Alles, was du nicht in den letzten Monaten aktiv genutzt hast, kann weg. Im Zweifel entfernen – eine erneute Erteilung dauert Sekunden.

Schritt 3: Anmeldeaktivität prüfen

Unter „Kontostatus“ und „Anmeldeaktivität“ siehst du alle Geräte. Unbekanntes abmelden.

Schritt 4: Bei Verdacht auf Passwortweitergabe handeln

Passwort ändern, alle Sitzungen beenden, Zwei-Faktor-Authentifizierung aktivieren, hinterlegte E-Mail-Adresse prüfen.

Schritt 5: Prüfen, ob etwas verändert wurde

Beiträge, Nachrichten und Follower-Liste durchsehen. Der Unfollowers Tracker zeigt aus zwei Exportständen, ob sich deine Follower-Liste unerwartet verändert hat – und braucht dafür selbst kein Passwort, weil er nur die exportierte Datei liest.

Welche Apps sind unbedenklich?

Keine pauschal, aber die Prüfung ist einfach. Unbedenklich sind Dienste, die über den offiziellen Meta-Dialog arbeiten, nur die Rechte verlangen, die sie für ihre Funktion brauchen, und die sich in den Berechtigungen wiederfinden lassen.

Kritisch sind alle, die dein Instagram-Passwort direkt abfragen; die Funktionen versprechen, die Instagram gar nicht anbietet – Profilbesucher, Einblick in private Konten, rückwirkende Unfollow-Daten; oder die eine Installation verlangen, obwohl die Funktion im Browser laufen könnte.

Was ist mit Werkzeugen, die den Datenexport auswerten?

Sie sind eine eigene Kategorie und die unbedenklichste. Sie greifen gar nicht auf Instagram zu: Du forderst deine Daten selbst bei Meta an, lädst die Datei herunter und lässt sie auswerten.

Dabei entsteht keine Berechtigung, keine Anmeldung und kein Zugriff auf dein Konto. Wie der Export funktioniert, steht im Beitrag über den Datenexport.

Was steht meist in deiner Liste?

Bei Konten, die einige Jahre bestehen, sind es meist zwischen fünf und zwanzig Einträge, und die wenigsten davon werden noch genutzt. Vier Kategorien tauchen regelmäßig auf.

Planungswerkzeuge für Beiträge, die vor Jahren einmal getestet wurden. Sie haben oft Veröffentlichungsrechte.

Analyse-Dienste, die Statistiken auswerten. Meist harmlos, aber sie lesen laufend mit.

Gewinnspiel-Plattformen, über die eine Teilnahme lief. Sie brauchen den Zugriff längst nicht mehr.

Login-mit-Instagram-Verknüpfungen bei anderen Diensten — Fotodruck, Buchungsportale, Foren. Wer sie widerruft, verliert dort vielleicht den Zugang und muss ein Passwort setzen.

Nur die letzte Kategorie erfordert vor dem Widerruf einen kurzen Gedanken. Alle anderen können ohne Nebenwirkung weg.

Was passiert nach dem Widerruf?

Die Anfragen des Dienstes schlagen fehl, mehr nicht. Es gibt keine Benachrichtigung an den Anbieter und keine Bestätigung, die du abwarten müsstest. Wichtig ist nur der Unterschied zwischen Widerruf und Deinstallation, den der nächste Absatz behandelt.

Wichtig ist der Unterschied zwischen Widerruf und Deinstallation. Wer eine App vom Handy löscht, entfernt sie von seinem Gerät — die serverseitige Berechtigung besteht weiter, und der Anbieter kann weiterhin auf die freigegebenen Daten zugreifen.

Das ist der Grund, warum die Liste bei den meisten Konten so lang ist: Apps werden gelöscht, Berechtigungen bleiben. Beides muss getrennt erledigt werden.

Wie prüfst du einen neuen Dienst?

Vier Fragen vor der Erteilung, und sie dauern zusammen keine Minute.

Läuft die Anmeldung über Meta? Der Dialog muss auf instagram.com oder facebook.com liegen. Alles andere ist Phishing.

Welche Rechte werden verlangt? Ein Analyse-Werkzeug braucht 1 Recht — Lesezugriff — und keine Veröffentlichungsrechte. Wer mehr verlangt, als seine Funktion erfordert, ist ein Warnzeichen.

Wer steht dahinter? Ein Impressum, eine Datenschutzerklärung, ein identifizierbarer Anbieter. Fehlt das, fehlt auch jede Handhabe im Problemfall.

Ginge es ohne Zugriff? Für Unfollower-Auswertungen ja — der Datenexport braucht keine Berechtigung. Wer trotzdem eine verlangt, hat einen anderen Zweck.

FAQ

Fünf Fragen zu App-Berechtigungen, die im Ernstfall Zeit sparen.

Wie oft sollte ich die Berechtigungen prüfen?

Alle 6 Monate reicht für die meisten. Bei beruflich genutzten Konten öfter.

Merkt der Anbieter, dass ich den Zugriff entzogen habe?

Seine Anfragen schlagen fehl, mehr passiert nicht. Eine Benachrichtigung gibt es nicht.

Kann eine App in meinem Namen posten?

Nur wenn du dieses Recht ausdrücklich erteilt hast – oder wenn du dein Passwort weitergegeben hast.

Reicht das Löschen der App vom Handy?

Nein. Die Berechtigung besteht serverseitig weiter und muss getrennt widerrufen werden.

Sind Browsererweiterungen sicherer als Apps?

Eher nicht. Erweiterungen sehen alles, was du im Browser tust – das ist ein größerer Vertrauensvorschuss als eine einzelne Website.

Der eine Schritt mit dem besten Verhältnis von Aufwand zu Nutzen: einmal die Berechtigungsliste öffnen und ausmisten.