Sieht der WLAN-Besitzer, was ich auf Instagram mache?

Das gilt für den heimischen Router genauso wie für ein Firmen- oder Hotelnetz. Was sichtbar bleibt, ist nur die Verbindung selbst.

Was ist sichtbar und was nicht?

8 Angaben im Vergleich, und nur 3 davon sieht der Netzbetreiber. Inhalte gehören nicht dazu — Instagram ist durchgehend per HTTPS verschlüsselt. Die erste Zeile funktioniert über die Domainauflösung und die Zieladressen.

Angabe	Für den Netzbetreiber sichtbar
Dass du Instagram nutzt	ja
Zeitpunkt und Dauer der Nutzung	ja
Übertragene Datenmenge	ja
Welche Profile du ansiehst	nein
Inhalt deiner Nachrichten	nein
Welche Beiträge du likest	nein
Deine Zugangsdaten	nein
Welche Fotos du ansiehst	nein

Die erste Zeile funktioniert über die Domainauflösung und die Zieladressen. Der Betreiber sieht, dass eine Verbindung zu Metas Servern besteht – der Inhalt bleibt verschlüsselt.

Was lässt sich aus dem Datenvolumen ableiten?

Grobes, aber nicht nichts. Ein längerer Videostream erzeugt deutlich mehr Datenverkehr als das Lesen von Nachrichten. Wer über 2 bis 3 Wochen mitliest, kann daraus Nutzungsmuster erkennen: wann du aktiv bist und wie intensiv.

Was daraus nicht ableitbar ist: mit wem du schreibst, was du ansiehst, welchen Konten du folgst. Dafür wäre der Zugriff auf die Inhalte nötig, und den verhindert die Verschlüsselung.

Wo bestehen tatsächlich Risiken?

Nicht beim normalen WLAN, sondern in drei Sonderfällen:

• Verwaltete Firmengeräte. Wenn dein Arbeitgeber ein Zertifikat auf dem Gerät installiert hat, kann Datenverkehr aufgebrochen und mitgelesen werden. Das ist die einzige verbreitete Technik, die HTTPS umgeht.
• Überwachungssoftware auf dem Gerät. Sogenannte Stalkerware liest direkt auf dem Handy mit, unabhängig von jeder Verschlüsselung.
• Zugriff auf dein Konto. Wenn jemand dein Passwort hat, braucht er das Netzwerk gar nicht.

Der zweite und dritte Punkt haben mit WLAN nichts zu tun, werden aber häufig damit verwechselt. Was bei Kontozugriff zu tun ist, steht im Beitrag über Überwachung erkennen.

Wie schützt du dich zusätzlich?

5 Schritte. Der zweite deckt den einzigen verbreiteten Fall auf, in dem HTTPS umgangen werden kann: ein Zertifikat auf einem verwalteten Gerät. Der zweite deckt den einzigen Fall auf, in dem die Verschlüsselung tatsächlich umgangen werden kann.

Schritt 1: Nutze Mobilfunk statt fremder WLANs

Der einfachste Schritt. Im Mobilfunknetz sieht der Netzbetreiber ähnlich wenig, aber der WLAN-Betreiber gar nichts.

Schritt 2: Prüfe verwaltete Profile auf deinem Gerät

Unter iOS in den Einstellungen bei „VPN und Geräteverwaltung“, unter Android bei den Sicherheitseinstellungen. Unbekannte Zertifikate sind ein Warnzeichen.

Schritt 3: Erwäge ein VPN in fremden Netzen

Es verbirgt auch die Zieladressen vor dem Netzbetreiber. Dafür sieht der VPN-Anbieter, was vorher der Netzbetreiber sah – die Wahl des Anbieters ist also entscheidend.

Schritt 4: Trenne Berufliches und Privates

Auf einem Firmengerät gehört nichts Privates, unabhängig von der Technik. Das ist eine organisatorische Lösung, keine technische.

Schritt 5: Sichere das Konto selbst

Zwei-Faktor-Authentifizierung und ein Blick auf die verbundenen Apps schützen besser als jede Netzwerkmaßnahme – beschrieben im Beitrag über Drittanbieter-Apps.

Was ist mit dem heimischen Router?

Technisch dasselbe wie in jedem anderen Netz. Wer Zugriff auf die Router-Oberfläche hat, sieht in den Protokollen, welche Geräte wann mit welchen Domains verbunden waren.

Bei Mitbewohnern oder in Familien kann das relevant sein. Auch hier gilt aber: Sichtbar ist „Instagram wurde genutzt“, nicht „diese Person wurde angesehen“.

Was steht in einem Router-Protokoll?

Meist weniger, als die Frage vermuten lässt, und mehr, als die meisten annehmen. Handelsübliche Router protokollieren Verbindungen: welches Gerät wann mit welcher Domain oder IP-Adresse verbunden war und wie viele Daten dabei flossen.

Was nicht darin steht, sind Inhalte. HTTPS verschlüsselt sie, und der Router sieht nur die Zieladresse — vergleichbar mit einem Briefumschlag, auf dem der Empfänger steht, während der Inhalt verschlossen bleibt.

In Firmen- und Hotelnetzen kann die Protokollierung ausführlicher sein, weil dort professionelle Geräte im Einsatz sind. Auch dort bleibt die Grenze aber dieselbe: Verbindungsdaten ja, Inhalte nein — es sei denn, ein Zertifikat auf deinem Gerät bricht die Verschlüsselung auf.

Wie erkennst du ein verwaltetes Gerät?

Es ist der einzige verbreitete Fall, in dem HTTPS umgangen werden kann, und er lässt sich in 2 Minuten prüfen.

Unter iOS findest du das unter „Allgemein“ und dort „VPN und Geräteverwaltung“. Steht dort ein Konfigurationsprofil, das du nicht selbst installiert hast, ist das Gerät verwaltet.

Unter Android liegt es in den Sicherheitseinstellungen unter „Verschlüsselung und Anmeldedaten“ oder bei den Geräteverwaltungs-Apps. Unbekannte Zertifikate und Apps mit Administratorrechten sind das Warnzeichen.

Auf einem privaten Gerät sollte dort nichts stehen, was du nicht kennst. Auf einem Firmengerät ist es normal — und der praktische Schluss daraus ist organisatorisch: Privates gehört nicht auf ein verwaltetes Gerät, unabhängig von der Technik.

Wann lohnt sich ein VPN?

In fremden Netzen, wenn du nicht möchtest, dass der Betreiber überhaupt sieht, welche Dienste du nutzt. Ein VPN verbirgt auch die Zieladressen — der Netzbetreiber sieht dann nur eine verschlüsselte Verbindung zum VPN-Anbieter.

Der Haken ist eine Verlagerung, keine Beseitigung: Der VPN-Anbieter sieht anschließend das, was vorher der Netzbetreiber sah. Die Wahl des Anbieters ist damit die eigentliche Entscheidung, und kostenlose Dienste finanzieren sich häufig genau über diese Daten.

Für die reine Instagram-Nutzung ist ein VPN in aller Regel überflüssig. Die Inhalte sind ohnehin verschlüsselt, und dass du Instagram nutzt, ist selten die kritische Information.

FAQ

5 Fragen zu WLAN, Verschlüsselung und dem, was im Router-Protokoll landet.

Sieht mein Arbeitgeber, mit wem ich schreibe?

Auf einem privaten Gerät im Firmen-WLAN nicht. Auf einem verwalteten Firmengerät vielleicht schon.

Hilft der Inkognito-Modus?

Nein. Er verhindert nur lokale Spuren im Browser, nicht die Sichtbarkeit im Netzwerk.

Sieht mein Internetanbieter mehr als ein WLAN-Betreiber?

Generell dasselbe: Verbindungsdaten, keine Inhalte. In Deutschland gelten dafür zusätzlich die Beschränkungen aus § 3 TTDSG.

Kann jemand mein Instagram-Passwort im WLAN abfangen?

Bei HTTPS nicht. Die Anmeldung ist verschlüsselt, auch in einem offenen Netz.

Ist ein offenes WLAN gefährlich für Instagram?

Für die Instagram-Nutzung selbst kaum, wegen der durchgehenden Verschlüsselung. Vorsicht ist eher bei Seiten ohne HTTPS geboten.

Die Zusammenfassung: „Dass“ ist sichtbar, „was“ nicht. Und die realen Risiken liegen auf dem Gerät, nicht im Netzwerk.