OpSec: Warum niemand unsichtbar ist und was trotzdem schützt

Ende Januar 2018 zoomte ein junger Konfliktforscher durch eine Weltkarte, die eigentlich nur schön sein sollte. Die Fitness-App Strava hatte eine Heatmap veröffentlicht, gebaut aus den Lauf- und Radrouten ihrer Nutzer, nach Firmenangaben rund eine Milliarde Aktivitäten. Städte glühten, Uferwege leuchteten. Und in der Provinz Helmand in Afghanistan, wo Sportuhren sonst eine Seltenheit sind, zeichneten sich helle Rechtecke ab: die Joggingrunden von Soldaten um ihre Stützpunkte. Nathan Ruser schrieb dazu auf Twitter, die Karte sehe sehr hübsch aus, sei aber „not amazing for Op-Sec“, also schlecht für die OpSec, die operative Sicherheit. Militärbasen seien klar zu erkennen.

Dabei hatte kein Soldat etwas Geheimes gepostet. Jeder hatte nur seine Morgenrunde aufgezeichnet, so wie es Millionen Menschen jeden Tag tun. Gefährlich wurde erst die Summe.

Um genau diese Summe geht es bei OpSec. Dieser Artikel erklärt, woher der Begriff kommt, was hinter den fünf Schritten steckt, die Behörden ihren Mitarbeitern beibringen, und warum die Forschung ziemlich eindeutig sagt, dass niemand im Netz wirklich unsichtbar ist. Danach geht es um die Frage, die für dich zählt: Wenn Unsichtbarkeit ausfällt, was bleibt dann übrig? Eine ganze Menge, wie sich zeigt.

Was ist OpSec?

OpSec ist die Kurzform von Operational Security, auf Deutsch ungefähr operative Sicherheit. Der Begriff stammt aus dem Vietnamkrieg, und seine Geschichte ist ein gutes Lehrstück.

Im Sommer 1966 fiel der US-Führung auf, dass ihre Bombenangriffe weniger bewirkten als erwartet. Nach den Einsätzen der B-52-Bomber, Deckname Arc Light, fanden Bodentruppen in den Zielgebieten deutlich weniger Verluste des Gegners als erhofft. Bald stand die Frage im Raum, ob die Angriffe vorab verraten wurden. Ein Team unter dem Decknamen Purple Dragon sollte das klären. Statt nur nach Spionen und geknackten Codes zu suchen, nahmen sich die Leute vor, so steht es in der späteren Geschichtsschreibung der NSA, sich in die Lage des Gegners zu versetzen und die eigenen Einsätze Schritt für Schritt durchzugehen, von der Planung bis lange nach dem Ende. Besonderes Augenmerk galt dabei den kleinen, scheinbar unbedeutenden Details.

Eine der wahrscheinlichen Quellen fanden sie in einem Routinevorgang. Wer mit einem Flugzeug von einem Luftraum in den nächsten wechselt, muss nach internationalen Regeln einen Flugplan bei der Flugsicherung anmelden. Die gibt Höhe, Route und Zeitfenster als Hinweis an benachbarte Kontrollstellen weiter. Für die Piloten war das Papierkram, für den Gegner eine Vorwarnung. Im Dezember 1966 warnten zwei nordvietnamesische Funkstationen vor 34 Prozent der B-52-Angriffe, im Schnitt achteinhalb Stunden vorher. Nachdem die Empfehlungen von Purple Dragon umgesetzt waren, sank der Anteil bis April 1967 auf fünf Prozent, mit weniger als einer halben Stunde Vorlauf.

Die Hinweise lagen in Abläufen, die alle Beteiligten für unverdächtig hielten, und genau dort lag auch die Lösung. Das Verfahren wurde danach im US-Militär Pflicht, und 1988 machte Präsident Reagan es mit der Direktive NSDD 298 zum Standard für alle Behörden, die mit sensiblen Vorgängen arbeiten.

Die fünf Schritte, übersetzt für dich

In der Direktive von 1988 stehen fünf Schritte, die bis heute in jedem Behördenkurs auftauchen. Sie klingen sperrig, lassen sich aber fast eins zu eins auf ein normales Leben übertragen. Die US-Bürgerrechtsorganisation EFF stellt in ihrem Ratgeber „Surveillance Self-Defense“ sehr ähnliche Fragen, nur in Alltagssprache.

Der wichtigste Schritt ist der zweite, und er wird am häufigsten übersprungen. Ohne ein Gegenüber im Kopf gibt es keine sinnvolle Abwägung. Wer sich vor allem und jedem schützen will, landet entweder in Panik oder gibt nach zwei Wochen auf. Wer dagegen weiß, dass die reale Sorge ein Betrüger mit einer gekauften Adressliste ist, muss nicht gleich das Handy wegwerfen.

Die EFF ergänzt die amtliche Liste um eine Frage, die in keiner Direktive steht: Wie viel Mühe willst du dir machen? Das ist kein Eingeständnis von Schwäche. Eine Maßnahme, die du nach drei Tagen wieder abschaltest, schützt dich am Ende schlechter als eine kleinere, die du durchhältst.

Warum unsichtbar nicht geht

Viele Menschen hoffen, sie könnten sich mit den richtigen Werkzeugen aus dem Netz herausnehmen. VPN an, falscher Name, fertig. Die Forschung seit dem Jahr 2000 spricht ziemlich deutlich dagegen, und zwar aus einem einfachen Grund: Menschen sind in ihren Kombinationen erstaunlich einzigartig.

Im Jahr 2000 rechnete die Informatikerin Latanya Sweeney mit US-Volkszählungsdaten nach. Ihr Ergebnis: 87 Prozent der Bevölkerung, 216 von 248 Millionen Menschen, waren allein durch Postleitzahl, Geschlecht und Geburtsdatum eindeutig zu bestimmen. Kein Name, keine Ausweisnummer, nur drei Angaben, die in vielen Formularen nebenbei abgefragt werden.

2013 untersuchte ein Team um Yves-Alexandre de Montjoye die Handydaten von 1,5 Millionen Menschen über 15 Monate. Die Positionen waren grob, nur auf die Funkzelle genau und auf die Stunde gerundet. Trotzdem genügten vier zufällige Orts- und Zeitpunkte, um 95 Prozent der Personen eindeutig herauszufiltern. Wer morgens an der einen Funkzelle und abends an einer anderen auftaucht, teilt dieses Muster mit fast niemandem. Wie Behörden an solche Funkzellendaten kommen, steht im Artikel über stille SMS und IMSI-Catcher.

Sechs Jahre später ging dieselbe Gruppe weiter. In einer Studie in Nature Communications schätzten Luc Rocher, Julien Hendrickx und de Montjoye, dass 15 demografische Merkmale ausreichen, um 99,98 Prozent der Menschen in den USA in einem angeblich anonymisierten Datensatz korrekt wiederzuerkennen. Ihr Fazit richtete sich an Firmen und Behörden: Auch stark ausgedünnte Datensätze erfüllen die Anforderungen an echte Anonymisierung kaum.

Dasselbe Prinzip gilt für Geräte. 2010 sammelte die EFF mit einem Testprojekt Daten von 470.161 Browsern: Bildschirmgröße, Schriftarten, Zeitzone, installierte Erweiterungen. 83,6 Prozent davon waren anhand dieser Angaben einzigartig, obwohl die Teilnehmer eher datenschutzbewusst waren. Was ein Browser heute alles verrät und wie viel davon sich zähmen lässt, steht im Artikel über Browser-Fingerprinting.

Für die Frage der Unsichtbarkeit reicht die Richtung: Es braucht keine Ausweisnummer, um dich zu erkennen. Ein paar Gewohnheiten, Orte und technische Eigenheiten tun es auch. Daraus folgt nicht, dass Schutz sinnlos wäre. Es verschiebt nur das Ziel. Statt unsichtbar zu werden, geht es darum, wie viele dieser Teile ein Fremder in die Hand bekommt und ob sie zusammenpassen.

Vier Fälle, ein Muster

Die Heatmap vom Anfang ist kein Einzelfall. Die folgenden Beispiele kommen aus sehr verschiedenen Welten, und doch ähneln sie sich auffällig.

Die Bordkarte, März 2020. Australiens früherer Premierminister Tony Abbott postete auf Instagram ein Foto seiner Bordkarte samt Gepäckschein. Der Programmierer Alex Hope las den Buchungscode aus dem Barcode, gab ihn zusammen mit Abbotts Nachnamen in die Buchungsverwaltung von Qantas ein und landete in der Reservierung. Im Hintergrund der Seite standen Abbotts Passnummer, seine Telefonnummer und interne Notizen der Airline. Hope meldete das zwei Tage später dem australischen Nachrichtendienst ASD, der auch für Cybersicherheit zuständig ist. Qantas schloss die Lücke nach eigenen Angaben im Juli. Öffentlich gemacht hat Hope den Fall erst im September 2020.

Die Telefonschalte, Februar 2024. Vier hochrangige Offiziere der Luftwaffe besprachen per Webex, wie ein Einsatz von Taurus-Marschflugkörpern in der Ukraine aussehen könnte. Am 1. März veröffentlichte das russische Staatsfernsehen den Mitschnitt. Verteidigungsminister Boris Pistorius erklärte wenige Tage später, ein Teilnehmer habe sich aus Singapur über einen offenen, nicht autorisierten Kanal zugeschaltet. Dort lief gerade eine Luftfahrtmesse mit vielen europäischen Militärs, für russische Dienste laut Pistorius „ein gefundenes Fressen“. Der Zugriff sei wohl ein Zufallstreffer bei breit gestreutem Abhören gewesen.

Die Chatgruppe, März 2025. Der Chefredakteur des US-Magazins The Atlantic, Jeffrey Goldberg, bekam am 11. März eine Kontaktanfrage auf Signal von einem Nutzer namens Michael Waltz, damals Nationaler Sicherheitsberater. Zwei Tage später fand er sich in einer Gruppe namens „Houthi PC small group“ wieder, in der Regierungsmitglieder Angriffe im Jemen abstimmten. Signal selbst war dabei nicht gebrochen. Jemand hatte schlicht die falsche Person in die Gruppe geholt, und in der Runde fiel das offenbar tagelang nicht auf. Erst nach den ersten Einschlägen war Goldberg sicher, dass der Chat echt war.

Das Muster: In keinem dieser Fälle war das Werkzeug das Problem. Strava, Qantas, Webex und Signal haben jeweils getan, wofür sie gebaut waren. Gescheitert sind Gewohnheiten an Stellen, die sich unverdächtig anfühlten. Genau dort setzt OpSec an.

Dein eigenes Bedrohungsmodell

Fachleute nennen den zweiten Schritt Bedrohungsmodell, im Englischen threat model. Das klingt nach Konzern, ist für Privatleute aber eine Viertelstunde Nachdenken. Du musst kein Geheimdienstopfer sein, um davon zu profitieren. Für die allermeisten Menschen kommen nur wenige Gegenüber ernsthaft in Frage, und jedes davon interessiert sich für andere Dinge.

Die meisten Leser werden sich in den oberen drei Zeilen wiederfinden. Das ist eine gute Nachricht, denn gegen diese Gruppen reichen meist Gewohnheiten und Einstellungen. Wer ernsthaft fürchtet, gezielt von einem Staat beobachtet zu werden, etwa als Journalistin oder Aktivist in einem autoritären Land, braucht mehr als einen Blogartikel. Die EFF und Organisationen wie Reporter ohne Grenzen bieten dafür eigene Hilfe an.

OpSec im Alltag: Gewohnheiten, die tragen

Die Fälle oben haben eins gemeinsam: Ein Moment des Nachdenkens hätte gereicht. Daraus lassen sich ein paar Gewohnheiten ableiten, die wenig kosten.

Vor dem Posten einmal mit fremden Augen schauen. Was ist im Hintergrund zu sehen? Ein Straßenschild, das Klingelschild, ein Schulwappen, ein Barcode? Fotos enthalten außerdem oft unsichtbare Zusatzangaben wie den Aufnahmeort. Was dort drinsteckt und wie du es entfernst, steht im Artikel über das Drumherum von Dateien.

Zeitversetzt posten. Urlaubsfotos nach der Rückkehr, das Foto aus dem Lieblingscafé, wenn du schon wieder zu Hause bist. Für dich ändert das fast nichts, für jemanden, der dich gerade sucht, sehr viel. Live-Standorte gehören nur an Menschen, denen du ihn wirklich zeigen willst. Wie du laufende Freigaben findest und beendest, erklärt der Text zum Standort teilen.

Identitäten trennen. Die Mailadresse für die Bank muss nicht dieselbe sein wie die für Gewinnspiele, und der Benutzername im Gaming-Forum nicht derselbe wie auf LinkedIn. Ein durchgehender Name ist der bequemste Faden, an dem Fremde ziehen, wie der Artikel zur Benutzernamen-Suche zeigt. Für Anmeldungen, bei denen du nur einmal etwas herunterladen willst, gibt es Wegwerf-Adressen und Aliase.

Routinen gelegentlich brechen. Die Strava-Läufer wurden durch Wiederholung sichtbar. Wer jeden Dienstag zur gleichen Uhrzeit dieselbe Runde öffentlich aufzeichnet, verrät einen Termin. Die Aufzeichnung kann privat bleiben, oder die ersten und letzten Meter verschwinden aus der öffentlichen Karte.

Voreinstellungen misstrauen. Viele Apps starten mit „öffentlich“. Einmal im Jahr durch die Privatsphäre-Einstellungen der wichtigsten Konten zu gehen, ist die vielleicht ertragreichste halbe Stunde, die du für dich investieren kannst. Das gilt auch für Werbekennungen auf dem Handy, über die Standortdaten im Handel landen, wie der Artikel zur Werbe-ID belegt.

Dich selbst suchen. Einmal im Jahr den eigenen Namen, die Telefonnummer und alte Benutzernamen in eine Suchmaschine geben. Was dabei auftaucht, ist ungefähr das, was ein neugieriger Fremder in zehn Minuten auch findet. Wie du dabei vorgehst und was du löschen lassen kannst, steht im Artikel zur Personensuche. Wer die Methoden der Gegenseite verstehen will, findet sie im Überblick zu OSINT.

Wo OpSec an Grenzen stößt

Ehrlich gesagt hast du nicht alles in der Hand. Freunde markieren dich auf Fotos, der Verein veröffentlicht die Mannschaftsaufstellung, ein Händler verliert deine Kundendaten in einem Leck. Diese Spuren kannst du nur nachträglich eindämmen, etwa indem du Markierungen nur nach Freigabe zulässt oder Löschung verlangst.

Dazu kommt Altes. Was vor zehn Jahren öffentlich war, steckt womöglich in Archiven, Suchmaschinen-Caches oder gekauften Datensätzen. Gelöscht heißt nicht ungesehen. Auch deshalb lohnt sich der Blick nach vorne mehr als die Jagd nach jedem alten Beitrag.

Und schließlich hat jede Maßnahme einen Preis. Ein Handy mit allen Funktionen abgeschaltet ist ziemlich privat und ziemlich nutzlos. Die Kunst liegt darin, die zwei, drei Stellen zu finden, an denen für dich das meiste herausläuft, und dort anzusetzen. Selbst die Technik in deiner Tasche hat solche Stellen, wie die wechselnde MAC-Adresse deines Handys zeigt, die genau dafür erfunden wurde. Ein VPN hilft an einer anderen Stelle und ersetzt keinen der Gedanken oben.

Was bleibt

OpSec ist am Ende eine Gewohnheit, die das US-Militär in den 1960er-Jahren aus einem peinlichen Befund entwickelt hat: Der Gegner war nicht nur auf Spione angewiesen, schon der Papierkram verriet viel. Für dich heißt das, ab und zu den Blickwinkel zu wechseln und das eigene Leben so anzuschauen, wie es ein Fremder mit etwas Geduld sehen würde.

Unsichtbar wirst du dadurch nicht. Die Studien von Sweeney bis Rocher lassen daran wenig Zweifel, und jeder, der dir etwas anderes verspricht, verkauft vermutlich etwas. Was du bekommst, ist eine kleinere Angriffsfläche, in der die Teile nicht mehr so bequem zusammenpassen: das Urlaubsfoto ohne Adresse daneben, ein Forumsname, der bei keinem Arbeitgeber endet. Für fast alle realen Gegenüber ist das der Unterschied zwischen einem leichten und einem lästigen Ziel. Und lästige Ziele werden meistens übersprungen.

---

Quellen: The Guardian, Alex Hern, Fitness tracking app Strava gives away location of secret US army bases (englisch), 28.01.2018 · National Security Agency, Center for Cryptologic History, Purple Dragon: The Origin and Development of the United States OPSEC Program (englisch, 1993, freigegeben 2007) · The White House, National Security Decision Directive 298: National Operations Security Program (englisch), 22.01.1988 · Electronic Frontier Foundation, Surveillance Self-Defense, Your Security Plan (englisch) · Latanya Sweeney, Simple Demographics Often Identify People Uniquely (englisch, PDF), Carnegie Mellon University, 2000 · Yves-Alexandre de Montjoye u. a., Unique in the Crowd: The privacy bounds of human mobility (englisch), Scientific Reports, 25.03.2013 · Luc Rocher, Julien M. Hendrickx, Yves-Alexandre de Montjoye, Estimating the success of re-identifications in incomplete datasets using generative models (englisch), Nature Communications, 23.07.2019 · Peter Eckersley, How Unique Is Your Web Browser? (englisch, PDF), PETS 2010 · Alex Hope, When you browse Instagram and find former Australian Prime Minister Tony Abbott’s passport number (englisch), 16.09.2020 · tagesschau, Pistorius: Russische Abhöraktion wegen „Anwendungsfehler“ möglich, 05.03.2024 · The Atlantic, Jeffrey Goldberg, The Trump Administration Accidentally Texted Me Its War Plans (englisch), 24.03.2025

Häufige Fragen

Was bedeutet OpSec?

OpSec ist die Abkürzung für Operational Security, auf Deutsch etwa operative Sicherheit. Gemeint ist eine Denkweise aus dem Militär: Man betrachtet das eigene Handeln mit den Augen eines Gegenübers und fragt, welche für sich harmlosen Details zusammen etwas Wichtiges verraten. Für Privatleute heißt das, die eigenen Spuren so zu ordnen, dass Fremde daraus kein vollständiges Bild bauen können.

Was sind die fünf Schritte von OpSec?

Die US-Regierung hat sie 1988 festgeschrieben: kritische Informationen bestimmen, Bedrohungen analysieren, Schwachstellen analysieren, Risiken bewerten und passende Gegenmaßnahmen anwenden. Übersetzt in den Alltag: Was will ich schützen, vor wem, wo sickert es heraus, wie schlimm wäre es und was ändere ich mit vertretbarem Aufwand.

Kann man im Internet komplett anonym sein?

Auf Dauer praktisch nicht. Forschung zeigt, wie wenige Merkmale reichen, um Menschen wiederzuerkennen: Postleitzahl, Geschlecht und Geburtsdatum machten in den USA rund 87 Prozent der Bevölkerung eindeutig, vier Ortspunkte aus Handydaten 95 Prozent der Nutzer. Erreichbar ist etwas anderes, nämlich dass deine Spuren nicht zusammenpassen und nur die Leute sie sehen, die sie sehen sollen.

Brauche ich als Privatperson überhaupt OpSec?

Nicht in der Form einer Militäreinheit. Die Grundfrage hilft aber jedem: Wer könnte sich für mich interessieren, und was würde er aus meinen öffentlichen Spuren erfahren? Für die meisten Menschen sind Betrüger, ein aufdringlicher Ex-Partner oder Datenhändler das realistische Gegenüber. Gegen diese Gruppen helfen schon wenige Gewohnheiten.

Reicht ein VPN für gute OpSec?

Nein. Ein VPN verbirgt deine IP-Adresse vor den Seiten, die du besuchst, und schützt im fremden WLAN. Es ändert nichts daran, was du postest, unter welchem Namen du dich anmeldest oder was dein Browser über sich verrät. OpSec beginnt vor jedem Werkzeug mit der Frage, welche Information du überhaupt herausgibst.

Was ist ein Beispiel für schlechte OpSec?

Ein klassisches ist das Foto der eigenen Bordkarte. 2020 postete Australiens früherer Premierminister Tony Abbott eine auf Instagram. Mit dem Buchungscode im Barcode und seinem Nachnamen gelangte ein Fremder in die Buchungsverwaltung der Airline und fand dort Abbotts Passnummer und Telefonnummer. Das Foto selbst wirkte harmlos, der Schaden entstand erst durch die Kombination.