Strava Datenschutz sicher? Was Ihre Läufe verraten

Im Jahr 2023, wenige Stunden bevor Joe Biden in dem Hotel in San Francisco eintraf, in dem er sich zu Gesprächen mit Chinas Xi Jinping aufhielt, ging einer seiner Personenschützer vom Secret Service von diesem Hotel aus joggen und zeichnete die Strecke auf Strava auf. Die französische Zeitung Le Monde entdeckte diesen Lauf, wie die Nachrichtenagentur Associated Press berichtete, als sie die öffentlichen Strava-Profile von 26 Agenten des Secret Service, 12 Mitgliedern der französischen Präsidentensicherheitsgruppe und sechs Angehörigen des russischen Föderalen Schutzdienstes verfolgte.

An diesen Läufen war nichts Ungewöhnliches. Strava zeigt die Aktivitäten Erwachsener allen, solange die Einstellung nicht geändert wird, und der Ort, an dem eine Strecke immer wieder beginnt, ist oft ein Zuhause oder ein Arbeitsplatz. Strava bietet durchaus Möglichkeiten, Anfang und Ende einer Route zu verbergen. Dieser Ratgeber zeigt, was passierte, als Forscher versuchten, diese Schutzmaßnahmen zu durchschauen, was die Strava-Heatmap verraten kann und welche Einstellungen Ihre Adresse tatsächlich von der Karte fernhalten.

Nach eigenen Angaben hat Strava mehr als 195 Millionen Sportlerinnen und Sportler in über 185 Ländern, und sein Hilfecenter nennt die Datenschutz-Voreinstellungen, mit denen jedes neue Erwachsenenkonto startet. Profil, Aktivitäten und Gruppenaktivitäten sind für Everyone (alle) sichtbar. Flyby, das Ihre Aktivität gemeinsam mit denen anderer Personen in der Nähe abspielt, steht auf No One (niemand). Map Visibility verbirgt die ersten und letzten 200 Meter künftiger Aktivitätskarten.

Eine öffentliche Aktivität zeigt die Strecke auf einer Karte, den Zeitpunkt und die zurückgelegte Distanz. Eine Aktivität ist eine Linie; ein paar Monate davon sind eine Routine mit einem Startpunkt, der sich kaum verändert. Konten, die unter 18-Jährige eröffnen, starten mit strengeren Einstellungen, dazu weiter unten mehr.

Die im November 2017 veröffentlichte Heatmap von Strava stellte eine Milliarde Aktivitäten, laut Unternehmen mehr als 3 Billionen GPS-Punkte, als leuchtende Linien auf einer dunklen Karte dar. Im Januar 2018 wies Nathan Ruser, Analyst beim Institute for United Conflict Analysts, darauf hin, dass US-Stützpunkte „klar erkennbar und kartierbar“ seien. In Afghanistan, Dschibuti und Syrien seien die Strava-Nutzer, so der Guardian, offenbar fast ausschließlich ausländisches Militärpersonal gewesen, weshalb die Stützpunkte hervorstachen. Beim Hineinzoomen in einen großen Stützpunkt zeigte sich sein innerer Aufbau, nachgezeichnet von den Joggingrouten der Soldaten.

Die Recherche von Le Monde aus dem Jahr 2024 nutzte stattdessen einzelne Profile. Indem die Zeitung die Läufe der Leibwächter von Emmanuel Macron verfolgte, ortete sie den französischen Präsidenten für ein privates Wochenende 2021 in Honfleur, das nicht in seinem offiziellen Terminplan stand. Der US-Secret-Service erklärte gegenüber Le Monde: „Wir gehen nicht davon aus, dass es Auswirkungen auf Schutzmaßnahmen oder Bedrohungen für geschützte Personen gab.“

Im Juli 2025 war Schweden an der Reihe. Wie NBC News berichtete, meldete die Zeitung Dagens Nyheter, sieben Mitglieder des schwedischen Sicherheitsdienstes hätten Läufe und Radtouren geteilt, die die privaten Urlaube der Königsfamilie verrieten. Frühere Berichte der Zeitung hatten ergeben, dass die Trainingsdaten von Leibwächtern bei mindestens 35 Gelegenheiten Details über Ministerpräsident Ulf Kristersson preisgaben, darunter seine Laufstrecken, Auslandsreisen und seine Privatadresse. Strava erklärte gegenüber NBC News, es habe kein Datenleck und keine Datenpanne gegeben, und erwarte von Nutzern in sensiblen Berufen, dass sie die verfügbaren Datenschutzeinstellungen verwenden.

In keinem dieser Fälle wurde Strava gehackt. Die Aktivitäten waren öffentlich, und die Orte, an denen sie begannen, verrieten den Rest.

Die Alltagsvariante ist ein Fahrraddiebstahl. Mark Leigh, ein Radfahrer aus Failsworth bei Manchester, berichtete 2015 den Manchester Evening News, in seine Garage sei am Morgen nach einer auf Strava aufgezeichneten Fahrt eingebrochen worden, seine beiden Räder im Wert von 500 und 1.000 Pfund seien gestohlen worden. Sonst fehlte nichts, und er glaubte, die Diebe hätten ihn über die App gefunden. Von der Einstellung, mit der sich das eigene Zuhause verbergen lässt, hatte er nichts gewusst, wie The Register berichtete.

Forscher haben diese Art von Einstellung mehr als einmal getestet. 2022 untersuchte ein Team der KU Leuven in Belgien die Privatzonen von Strava: Kreise um eine geschützte Adresse, in denen eine Strecke für andere Personen verborgen bleibt. Ihr Angriff stützte sich auf drei Dinge, die jeder sehen konnte: die Straßenkarte, die Stellen, an denen eine Strecke in den verborgenen Kreis eintrat, und die Entfernungsangaben, die das verborgene Stück weiterhin mitzählten. Über mehrere Aktivitäten hinweg suchten sie den Punkt im Straßennetz, der zu all diesen Entfernungen am besten passte.

„Unter den 1,4 Millionen Strava-Aktivitäten, die wir analysiert haben, konnten wir bis zu 85 Prozent der versteckten Orte trotzdem aufdecken, allein anhand der zusätzlichen öffentlich verfügbaren Daten“, sagte der Forscher Victor Le Pochat. Diese Zahl galt für Zonen von 200 Metern, die Größe, die die meisten Strava-Nutzer wählten. Größere Zonen halfen, beendeten das Problem aber nicht: Bei 1 km lag die Erfolgsquote bei 55 Prozent, bei 1,6 km bei 39 Prozent, der größten Einstellung, die Strava damals anbot.

Strava hat die Funktion seither verändert. Map Visibility kann jetzt den Bereich um eine Adresse verbergen, Anfang und Ende jeder Aktivität unabhängig vom Ort verbergen oder die gesamte Karte ausblenden, und neue Erwachsenenkonten verbergen standardmäßig 200 Meter an jedem Ende. Die Arbeit der KU Leuven behandelte das Verbergen einer festen Entfernung an jedem Ende, das Strava kurz zuvor eingeführt hatte, und hielt fest, dass dies nur einen Schritt des Angriffs weniger zuverlässig machte: Die Schnittpunkte und Entfernungen blieben für die Vorhersage verfügbar.

Stravas eigene Hilfeseite ist offen, was die Grenze angeht. Das Verbergen eines Teils der Karte bedeute nicht, „dass es unmöglich wäre, einen verborgenen Ort mithilfe zusätzlicher Informationen abzuleiten“, heißt es dort, und wer gar keine Karte anzeigen will, wird auf die Option verwiesen, die sie vollständig verbirgt. Gegenüber Cycling Weekly erklärte Strava 2023 außerdem, es habe „keine Lecks und keine Cyberangriffe auf Strava oder die Daten unserer Community im Zusammenhang mit dieser Forschung“ gegeben. Die Forscher haben nie etwas anderes behauptet: Ihre Methode nutzte nur, was die App öffentlich zeigte, ein Leck derselben Art, wie es Forscher in Dating-Apps gefunden haben.

„In einem dicht besiedelten Gebiet mit vielen Routen und vielen Nutzern gibt es so viele Daten, dass es extrem schwierig wäre, eine bestimmte Person zu verfolgen“, sagte Anupam Das, Seniorautor der Studie. „In Gebieten mit wenigen Nutzern und/oder wenigen Routen wird es dagegen zu einem einfachen Ausschlussverfahren“, besonders bei einem sehr aktiven Nutzer. Sein Team markierte 143.799 interessante Punkte auf der Heatmap und ordnete 11.165 Strava-Nutzer Wählerregistern zu, um seine Vermutungen zu überprüfen.

Die Suche war ebenso einfach. Die Forscher suchten Nutzer anhand der in ihren Profilen genannten Stadt, und damals tauchten in dieser Suche sogar Konten auf, die nur für Follower sichtbar waren. Nutzer, die das Feld für ihre Stadt leer gelassen hatten, konnten auf diesem Weg nicht gefunden werden.

Stravas aktuelle Regeln schließen einen Teil dieser Lücke. Laut Hilfecenter zeigt die Global Heatmap die Aktivität des letzten Jahres, monatlich aktualisiert, und lässt Aktivitäten aus, die nicht für alle sichtbar sind, Abschnitte, die durch die Einstellungen zur Kartensichtbarkeit verborgen sind, sowie Aktivitäten von Personen, die sich abgemeldet haben. In einem Gebiet erscheint erst dann etwas, wenn dort mehrere Nutzer aktiv waren.

1. Step 1Aktivitäten nur für Follower freigebenÖffnen Sie in der App den Reiter mit Ihrem Profil (englisch „You“), tippen Sie auf das Einstellungssymbol, dann auf Privacy Controls (Datenschutzeinstellungen) und stellen Sie Activities (Aktivitäten) auf Followers, oder auf Only You (nur Sie) für Läufe, die Sie für sich behalten. Stellen Sie auch Profile (Profil) auf Followers, damit andere eine Follow-Anfrage senden und auf Ihre Freigabe warten müssen; laut Strava verhindert das außerdem, dass Suchmaschinen Ihr Profil indexieren. Fremde sehen dann überhaupt keine Strecke.
2. Step 2Die Heimatadresse verbergenGeben Sie unter Privacy Controls > Map Visibility (Kartensichtbarkeit) Ihre Adresse ein. Strava verbirgt dann bei allen vergangenen und künftigen Aktivitäten den Teil, der in der Nähe beginnt oder endet, und Sie legen fest, wie viel, bis zu einer Meile (etwa 1,6 km). Tragen Sie auch Arbeitsplatz, Schule oder die Wohnung Ihres Partners ein und wählen Sie eine große Entfernung: „Je größer, desto besser“, sagte der KU-Leuven-Forscher Karel Dhondt.
3. Step 3Anfang und Ende von allem verbergenDie zweite Option unter Map Visibility verbirgt Anfang und Ende aller künftigen Aktivitäten, egal wo sie beginnen. Das deckt ein Hotel, die Wohnung eines Freundes oder eine neue Adresse ab, die Sie nicht eingetragen haben. Voreingestellt sind 200 Meter; eine größere Entfernung verbirgt mehr. Wer gar keine Karte zeigen will, wählt die dritte Option, die die gesamte Karte ausblendet.
4. Step 4Woanders starten und endenDie Forscher der KU Leuven rieten außerdem, Start- und Endpunkt zu variieren. Gehen Sie ein paar Minuten, bevor Sie auf Start drücken, und beenden Sie die Aufzeichnung, bevor Sie in Ihre Straße einbiegen. Eine verborgene Zone kann keine Tür verraten, die die Strecke nie erreicht.
5. Step 5Sich von der Heatmap abmeldenSchalten Sie unter Privacy Controls die Einstellung aus, mit der Ihre Daten in die Sammelfunktionen von Strava einfließen: In den aktuellen Hilfeseiten von Strava heißt sie Product Improvements (Produktverbesserungen), in älteren „aggregierte Datennutzung“. Laut Strava bleiben Daten abgemeldeter Nutzer aus der Global Heatmap und aus Strava Metro heraus.
6. Step 6Prüfen, was Ihr Profil verrätDas Team der NC State fand Nutzer, indem es nach allen suchte, die eine bestimmte Stadt angegeben hatten. Lassen Sie die Stadt in Ihrem Profil weg oder bleiben Sie ungenau.
7. Step 7Flyby ausgeschaltet lassenFlyby ist standardmäßig aus und bezieht nur Aktivitäten ein, die für alle sichtbar sind. Haben Sie es aktiviert, sollten Sie überlegen, es wieder abzuschalten.

Neue Follower müssen außerdem zuerst um Freigabe bitten, und hier kommen die Eltern ins Spiel. Ein Vereinstraining oder der Schulweg, der von zu Hause startet, zeigt jedem freigegebenen Follower dasselbe Muster. Schauen Sie sich deshalb an, wer das ist, und tragen Sie die Heimatadresse unter Map Visibility ein. Die Aktivitäten eines Jugendlichen gehören in dasselbe Gespräch wie das, was die Fotos eines Kindes Fremden verraten.

Auch die Zonen unterschieden sich. Strava bot Kreise von 200 Metern bis 1,6 km, Garmin Connect von 100 Metern bis 1 km, während Komoot statt eines Kreises einen zufällig geformten Bereich verwendete, was laut den Forschern die Ermittlung der Zone erschwert. Bei jeder App ist die erste Einstellung, die Sie ändern sollten, die, die Aktivitäten öffentlich macht.

Eine verborgene Karte verbirgt nur die Linie. EXIF-Daten zu entfernen nimmt die Koordinaten aus der Datei, und der Beitrag Wie ein Selfie verrät, wo Sie wohnen listet die Hinweise auf, die eine Kamera aufnimmt: Hausnummern, Straßenschilder, den Blick aus einem Fenster. Fotos von derselben Ecke, Woche für Woche, ergeben das Muster, das in den Datenschutzrisiken von Foto-Metadaten beschrieben ist.

Auch Strava platziert Fotos. Neue Erwachsenenkonten starten mit eingeschaltetem Public Photos on Routes, sodass Fotos aus öffentlichen Aktivitäten auf Stravas Community-Routen erscheinen können, ohne mit Ihrem Konto verknüpft zu sein. Fotos, die innerhalb einer von Ihnen verborgenen Adresse aufgenommen wurden, bleiben außen vor, und die Einstellung lässt sich unter Privacy Controls ausschalten.

Die Fotoanalyse auf geospys.com gehört zu GeoSpy Premium: 7,99 US-Dollar pro Woche oder 29,99 US-Dollar pro Jahr (Jahresabo holen), im Rahmen fairer Nutzung unbegrenzt und jederzeit kündbar. Sie schätzt eine Stadt und ein Land, keine Adresse. Die GeoSpy-App für das iPhone hat eine kostenlose Testphase.