Is Strava veilig? Onderzoekers vonden verborgen woningen

In 2023, enkele uren voordat Joe Biden arriveerde bij het hotel in San Francisco waar hij verbleef voor gesprekken met Xi Jinping van China, ging een van zijn Secret Service-agenten vanuit dat hotel hardlopen en legde de route vast op Strava. De Franse krant Le Monde vond die run, meldde de Associated Press, terwijl ze de openbare Strava-profielen natrok van 26 Secret Service-agenten, 12 leden van de Franse presidentiële beveiligingsgroep en zes leden van de Federale Beschermingsdienst van Rusland.

Niets aan die runs was ongewoon. Strava toont de activiteiten van een volwassene aan iedereen, tenzij je de instelling wijzigt, en de plek waar een route begint, is vaak een woning of een werkplek. Strava biedt wel manieren om te verbergen waar een route begint en eindigt. Deze gids kijkt naar wat er gebeurde toen onderzoekers door die verborgen plekken heen probeerden te kijken, wat de Strava-warmtekaart kan verraden, en welke instellingen je adres echt van de kaart houden.

Strava zegt meer dan 195 miljoen atleten in meer dan 185 landen te hebben, en het helpcentrum noemt de privacystandaarden waarmee elk nieuw volwassen account begint. Profiel, activiteiten en groepsactiviteiten zijn zichtbaar voor Everyone. Flyby, dat je activiteit naast die van andere mensen in de buurt afspeelt, staat op No One. Map Visibility verbergt de eerste en laatste 200 meter van toekomstige activiteitenkaarten.

Een openbare activiteit toont de route op een kaart, het moment waarop ze plaatsvond en hoe ver ze ging. Eén activiteit is een lijn; een paar maanden aan activiteiten vormen een routine, met een startpunt dat nauwelijks verschuift. Accounts die door jongeren onder de 18 zijn geopend, beginnen met strengere instellingen, die verderop worden behandeld.

De warmtekaart die Strava in november 2017 uitbracht, bestond uit een miljard activiteiten en volgens het bedrijf meer dan 3 biljoen GPS-punten, als gloeiende lijnen op een donkere kaart. In januari 2018 wees Nathan Ruser, analist bij het Institute for United Conflict Analysts, erop dat Amerikaanse bases “duidelijk herkenbaar en in kaart te brengen” waren. In Afghanistan, Djibouti en Syrië bestonden de Strava-gebruikers volgens The Guardian vrijwel uitsluitend uit buitenlands militair personeel, waardoor de bases opvielen. Inzoomen op één grote basis liet de interne indeling zien, getekend door de joggingroutes van soldaten.

Het onderzoek van Le Monde uit 2024 gebruikte in plaats daarvan individuele profielen. Door de runs van de lijfwachten van Emmanuel Macron te volgen, plaatste het de Franse president in Honfleur tijdens een privéweekend in 2021 dat niet op zijn officiële agenda stond. De Amerikaanse Secret Service zei tegen Le Monde: “Wij schatten niet in dat er gevolgen zijn geweest voor beveiligingsoperaties, of dat er dreigingen zijn geweest voor beschermde personen.”

In juli 2025 was het de beurt aan Zweden. De krant Dagens Nyheter meldde dat zeven medewerkers van de veiligheidsdienst runs en ritten hadden gedeeld die de privévakanties van het koninklijk huis onthulden, meldde NBC News. Eerdere berichten van de krant wezen uit dat de trainingsgegevens van lijfwachten bij minstens 35 gelegenheden details over premier Ulf Kristersson blootlegden, waaronder zijn looproutes, reizen naar het buitenland en een privéadres. Strava vertelde NBC News dat er geen lek of inbreuk op gebruikersgegevens was, en dat het verwacht dat gebruikers in gevoelige beroepen de beschikbare privacy-instellingen gebruiken.

In geen van deze gevallen werd Strava gehackt. De activiteiten waren openbaar, en de plekken waar ze begonnen, vertelden de rest.

Het dagelijkse voorbeeld is een fietsdiefstal. In 2015 vertelde Mark Leigh, een fietser in Failsworth bij Manchester, aan de Manchester Evening News dat zijn garage was opengebroken de ochtend na een rit die hij met Strava had bijgehouden, en dat zijn twee fietsen, ter waarde van £500 en £1.000, waren meegenomen. Er was niets anders weggenomen, en hij dacht dat de dieven hem via de app hadden gevonden. Hij wist niet van de instelling om zijn thuisadres te verbergen, meldde The Register.

Onderzoekers hebben die soort instelling meer dan eens getest. In 2022 bestudeerde een team van KU Leuven in België de privacyzones van Strava: cirkels rond een beschermd adres, waarbinnen een route verborgen is voor anderen. Hun aanval gebruikte drie dingen die iedereen kon zien: de straatkaart, de punten waarop een route de verborgen cirkel binnenging, en de afstandsgegevens, die het verborgen stuk nog steeds meetelden. Over meerdere activiteiten zochten ze de plek op het straatrooster die het best bij al die afstanden paste.

“Van de 1,4 miljoen Strava-activiteiten die we hebben geanalyseerd, konden we tot 85 procent van de verborgen locaties toch achterhalen, puur op basis van de extra gegevens die openbaar beschikbaar waren,” zei onderzoeker Victor Le Pochat. Dat cijfer gold voor zones van 200 meter, de grootte die de meeste Strava-gebruikers kozen. Grotere zones hielpen, maar maakten er geen einde aan: het slagingspercentage was 55% bij 1 km en 39% bij 1,6 km, de grootste maat die Strava toen aanbood.

Strava heeft de functie sindsdien aangepast. Map Visibility kan nu het gebied rond een adres verbergen, het begin en einde van elke activiteit verbergen waar die ook plaatsvindt, of de hele kaart verbergen, en nieuwe volwassen accounts krijgen standaard 200 meter verborgen aan elk uiteinde. Het KU Leuven-artikel besprak het verbergen van een vaste afstand aan elk uiteinde, wat Strava kort daarvoor had ingevoerd. Het stelde dat die maatregel slechts één stap van de aanval minder betrouwbaar maakte: de afsnijpunten en afstanden bleven beschikbaar voor de voorspelling.

De eigen helppagina van Strava is eerlijk over de grens. Een deel van een kaart verbergen, zegt het, “betekent niet dat het onmogelijk zou zijn voor iemand om een verborgen locatie af te leiden met behulp van aanvullende informatie”, en het verwijst wie geen kaart wil tonen naar de optie die die volledig verbergt. Strava vertelde Cycling Weekly in 2023 ook dat er “geen lekken en geen cyberaanvallen met betrekking tot de gegevens van Strava of de gegevens van onze gemeenschap in verband met dit onderzoek” waren. De onderzoekers beweerden nooit iets anders: hun methode gebruikte alleen wat de app openbaar toonde, een lek van dezelfde soort als wat onderzoekers in datingapps hebben gevonden.

“In een dichtbevolkt gebied, met veel routes en veel gebruikers, zijn er zoveel gegevens dat het buitengewoon moeilijk zou zijn om één specifiek persoon te volgen,” zei Anupam Das, de senior auteur van de studie. “In gebieden met weinig gebruikers en/of weinig routes wordt het echter een simpel proces van eliminatie,” vooral voor een zeer actieve gebruiker. Zijn team markeerde 143.799 interessepunten op de warmtekaart en koppelde 11.165 Strava-gebruikers aan kiezersregisters om hun gissingen te controleren.

Het zoeken was even eenvoudig. De onderzoekers zochten gebruikers op via de plaats die in hun profiel stond, en op dat moment verschenen zelfs accounts die op alleen-volgers stonden in die zoekopdracht. Gebruikers die hun stad leeg hadden gelaten, konden zo niet worden gevonden.

De huidige regels van Strava dichten een deel van die kloof. Het helpcentrum zegt dat de wereldwijde warmtekaart de activiteit van het afgelopen jaar toont, maandelijks bijgewerkt, en activiteiten weglaat die niet op Everyone staan, delen die door de instellingen voor kaartzichtbaarheid zijn verborgen, en activiteiten van mensen die zich hebben afgemeld. Er verschijnt geen warmte in een gebied totdat meerdere gebruikers daar actief zijn geweest.

1. Step 1Maak activiteiten alleen zichtbaar voor volgersOpen in de app het tabblad You, tik op het instellingenpictogram en daarna op Privacy Controls, en zet Activities op Followers, of op Only You voor runs die je voor jezelf houdt. Zet Profile ook op Followers, zodat mensen om toestemming moeten vragen om je te volgen en op je goedkeuring moeten wachten. Strava zegt dat dit ook voorkomt dat zoekmachines je profiel indexeren. Vreemden zien dan geen enkele route.
2. Step 2Verberg je thuisadresGa naar Privacy Controls > Map Visibility en vul je adres in. Strava verbergt dan het deel van elke eerdere of toekomstige activiteit dat in de buurt begint of eindigt, en jij kiest hoeveel, tot anderhalve mijl (ongeveer 1,6 km). Voeg ook je werk, je school of het huis van een partner toe, en kies een grote afstand: “Hoe groter, hoe beter,” zei KU Leuven-onderzoeker Karel Dhondt.
3. Step 3Verberg het begin en het einde van allesDe tweede optie van Map Visibility verbergt het begin en einde van alle toekomstige activiteiten, waar ze ook beginnen. Dat dekt een hotel, het appartement van een vriend of een nieuw adres dat je bent vergeten toe te voegen. De standaard is 200 meter; een grotere afstand verbergt meer. Wil je helemaal geen kaart tonen, dan verbergt de derde optie de hele kaart.
4. Step 4Begin en eindig ergens andersDe onderzoekers van KU Leuven adviseerden ook om te variëren waar je begint en eindigt. Loop enkele minuten voordat je op start drukt, en stop met opnemen voordat je je straat in slaat. Een verborgen zone kan geen deur verraden die de route nooit bereikt.
5. Step 5Meld je af voor de warmtekaartZet in Privacy Controls de instelling uit die je gegevens bijdraagt aan de geaggregeerde functies van Strava: Product Improvements in de huidige helppagina's van Strava, in oudere pagina's aggregated data usage genoemd. Strava zegt dat afgemelde gegevens niet worden opgenomen in de wereldwijde warmtekaart en in Strava Metro.
6. Step 6Controleer wat je profiel zegtHet team van NC State vond gebruikers door iedereen op te zoeken die een bepaalde plaats had opgegeven. Laat je stad weg uit je profiel, of houd die breed.
7. Step 7Zet Flyby uitFlyby staat standaard uit en bevat alleen activiteiten die voor iedereen zichtbaar zijn. Heb je je ervoor aangemeld, overweeg dan je weer af te melden.

Nieuwe volgers moeten ook eerst om goedkeuring vragen, en daar komen ouders om de hoek kijken. Een clubtraining of schoolrit die vanuit huis begint, toont hetzelfde patroon aan elke goedgekeurde volger, dus kijk wie dat zijn en voeg het thuisadres toe onder Map Visibility. De activiteiten van een tiener horen in hetzelfde gesprek als wat de foto's van een kind aan vreemden vertellen.

De zones verschilden ook. Strava bood cirkels van 200 meter tot 1,6 km aan en Garmin Connect van 100 meter tot 1 km, terwijl Komoot een willekeurig gevormd gebied gebruikte in plaats van een cirkel. Volgens de onderzoekers maakt dat de zone moeilijker te achterhalen. Welke app je ook gebruikt, de eerste instelling om te wijzigen is die waarmee activiteiten openbaar worden.

Een verborgen kaart verbergt alleen de lijn. EXIF-gegevens verwijderen haalt de coördinaten uit het bestand, en één selfie kan onthullen waar je woont somt de aanwijzingen op die een camera oppikt: huisnummers, straatnaamborden en het uitzicht uit een raam. Foto's van dezelfde hoek, week na week, bouwen het soort patroon op dat wordt beschreven in de privacyrisico's van fotometadata.

Strava plaatst ook foto's. Nieuwe volwassen accounts beginnen met Public Photos on Routes ingeschakeld, dus foto's van openbare activiteiten kunnen verschijnen op de gemeenschapsroutes van Strava, niet gekoppeld aan je account. Foto's die binnen een adres zijn genomen dat je hebt verborgen, worden weggelaten, en de instelling kan worden uitgezet onder Privacy Controls.

Fotoanalyse op geospys.com hoort bij GeoSpy Premium: 7,99 Amerikaanse dollar per week of 29,99 Amerikaanse dollar per jaar (neem het jaarabonnement), onbeperkt binnen het redelijk gebruik en op elk moment op te zeggen. Het schat een stad en een land, geen adres. De GeoSpy-iPhone-app heeft een gratis proefperiode.