Verlauf auf dem iPhone inkognito: Was sichtbar bleibt und wann eine Kontrolle zulässig ist

Wer auf dem iPhone privat surft, findet die dabei besuchten Seiten normalerweise nicht im gewöhnlichen Browserverlauf. In Safari heißt diese Funktion „Privates Surfen“, andere Browser verwenden Bezeichnungen wie „Inkognito“. Eine gesonderte Besuchsliste privater Sitzungen, die sich anschließend wie der gewöhnliche Verlauf öffnen ließe, stellt Safari nicht bereit. Privates Surfen bedeutet allerdings weder vollständige Spurenfreiheit noch Anonymität gegenüber Webseiten und anderen beteiligten Diensten. [1]

Rechtlich entscheidend ist deshalb nicht nur, welche Informationen technisch vorhanden sind, sondern auch, wer darauf zugreifen darf. Die Suche nach eigenen geöffneten Tabs ist anders zu beurteilen als die heimliche Überwachung eines Partners, eines Kindes oder eines Beschäftigten. Dabei können das allgemeine Persönlichkeitsrecht, die Datenschutz-Grundverordnung, das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz und strafrechtliche Vorschriften betroffen sein. [2][3][4][5][7]

Der Beitrag erläutert die technischen Grenzen und ordnet typische Situationen nach deutschem Recht ein. Eine Anleitung zum Umgehen fremder Zugangssicherungen oder zur verdeckten Überwachung ist damit nicht verbunden.

• Safari führt beim privaten Surfen keine gewöhnliche Verlaufsliste der besuchten Seiten. [1]
• Offene private Tabs, gespeicherte Dateien und Daten beim jeweiligen Online-Dienst sind vom Browserverlauf zu unterscheiden.
• Eine vollständige Wiederherstellung privater Surfaktivitäten aus einem iCloud- oder Gerätebackup lässt sich nicht allgemein zusagen.
• Gerätebesitz, eine Partnerschaft oder ein bekanntes Passwort begründen für sich genommen keine umfassende Zugriffsberechtigung. [2][4]
• Heimliche Überwachung kann Persönlichkeitsrechte verletzen und unter zusätzlichen Voraussetzungen strafbar sein. [2][4]
• Bei Kindern und Beschäftigten gelten besondere Maßstäbe: Schutz- beziehungsweise Kontrollinteressen müssen mit Privatsphäre, Erforderlichkeit und Verhältnismäßigkeit abgewogen werden. [2][3][6]

Was „inkognito“ auf dem iPhone tatsächlich bedeutet

Privates Surfen ist eine Browserfunktion, keine Anonymisierung

Der Schutz betrifft vor allem die lokale Nachvollziehbarkeit innerhalb des Browsers. Die Funktion verhindert nicht grundsätzlich, dass eine Webseite einen Besuch technisch verarbeitet. Wer sich während einer privaten Sitzung bei einem Benutzerkonto anmeldet, kann vom jeweiligen Anbieter diesem Konto zugeordnet werden.

Welche Informationen ein Internetzugangsanbieter, ein Unternehmensnetzwerk oder ein anderer Netzbetreiber erkennen kann, hängt unter anderem von Verschlüsselung, DNS-Konfiguration, VPN-Nutzung und weiteren technischen Umständen ab. Bei einer ordnungsgemäß abgesicherten HTTPS-Verbindung sind Seitenpfade, Formulareingaben und Inhalte auf dem Transportweg grundsätzlich verschlüsselt. Netzbetreiber können deshalb nicht allein aufgrund ihrer Stellung als Vermittler sämtliche Inhalte mitlesen. Verbindungsinformationen können dennoch sichtbar bleiben. Eine gesondert eingerichtete Entschlüsselung, etwa auf einem verwalteten Dienstgerät, ist davon zu unterscheiden. [13]

Die pauschale Behauptung, ein Router könne sämtliche privat besuchten Seiten einschließlich ihrer Inhalte anzeigen, ist deshalb ebenso unzutreffend wie das Versprechen vollständiger Unsichtbarkeit.

Bei der Suche nach einem „Inkognito-Verlauf“ werden häufig verschiedene Datenarten verwechselt:

• Gewöhnlicher Browserverlauf: Eine vom Browser geführte Liste früherer Seitenaufrufe. Für private Sitzungen stellt Safari eine solche Liste nicht bereit. [1]
• Noch geöffnete private Tabs: Sie können weiterhin Seiten zeigen, sind aber kein vollständiges Protokoll zuvor besuchter Angebote.
• Bewusst gespeicherte Inhalte: Downloads, Lesezeichen oder Screenshots können unabhängig vom privaten Surfen erhalten bleiben.
• Daten außerhalb des Browsers: Dazu gehören beispielsweise Bestellungen, Nachrichten oder Suchaktivitäten, die ein angemeldeter Online-Dienst verarbeitet.

Aus einer vorhandenen Datei lässt sich nicht ohne Weiteres ableiten, wann, durch wen und in welchem Browsermodus sie heruntergeladen wurde. Ebenso wenig beweist ein leerer Verlauf, dass das Gerät nicht benutzt wurde. Diese begrenzte Aussagekraft ist besonders wichtig, wenn Informationen später als Beweismittel dienen sollen.

Offene private Tabs ansehen

Wer ausschließlich das eigene Gerät und die eigene Sitzung prüfen möchte, kann in Safari die Tabübersicht öffnen und in den Bereich „Privat“ wechseln. Die genaue Anordnung der Bedienelemente hängt von der iOS-Version ab. Private Tabs können gesperrt sein und eine Authentifizierung verlangen. [1]

Sichtbar sind dort gegebenenfalls noch geöffnete Seiten. Ein Wechsel zurück zu normalen Tabs schließt die privaten Tabs nicht zwingend. Umgekehrt entsteht durch das Öffnen des privaten Bereichs keine vollständige Liste bereits geschlossener privater Seiten.

Eine vorhandene Sitzung anzusehen ist somit etwas anderes, als einen nicht regulär geführten Verlauf nachträglich auszulesen.

Downloads und eigene Kontodaten prüfen

Geht es darum, eine selbst besuchte Seite wiederzufinden, können folgende Anhaltspunkte helfen:

• selbst angelegte Lesezeichen;
• heruntergeladene Dateien;
• eigene Screenshots;
• Bestellbestätigungen oder andere Nachrichten;
• Aktivitätsübersichten eines selbst genutzten Benutzerkontos.

Diese Informationen dokumentieren allenfalls einzelne Vorgänge. Sie ergeben nicht automatisch einen vollständigen Surfverlauf.

Bei gemeinsam verwendeten Geräten muss außerdem geklärt werden, wem die betreffende Sitzung oder das Benutzerkonto zuzuordnen ist. Die technische Erreichbarkeit eines Kontos ersetzt keine rechtliche Berechtigung, dessen Inhalte zu durchsuchen. [2][4]

Warum Backups keine verlässliche Wiederherstellung ermöglichen

Ein Backup sichert die von der jeweiligen Sicherungsfunktion erfassten Daten. Es erzeugt nicht nachträglich eine reguläre Besuchsliste, die der Browser zuvor nicht geführt hat.

Deshalb ist die pauschale Empfehlung irreführend, man müsse lediglich ein iCloud- oder Gerätebackup öffnen, um den Inkognito-Verlauf zu sehen. Einzelne gespeicherte Inhalte oder technische Artefakte sind von einem vollständigen, geordneten Verlauf privater Sitzungen zu unterscheiden.

Ob eine fachkundige forensische Untersuchung im konkreten Fall verwertbare Spuren findet, bleibt ohne Untersuchung offen. Maßgeblich können insbesondere Gerätezustand, Softwareversion, verfügbare Sicherungen und Datenart sein. Ein Erfolg lässt sich nicht allgemein zusagen. Technische Untersuchungsmöglichkeiten begründen außerdem keine rechtliche Zugriffsberechtigung. [2][4]

Welche rechtlichen Grenzen in Deutschland gelten

Persönlichkeitsschutz und informationelle Selbstbestimmung

Surfaktivitäten können Rückschlüsse auf Gesundheit, Sexualität, politische Überzeugungen, finanzielle Schwierigkeiten oder persönliche Beziehungen ermöglichen. Ihre Erfassung kann deshalb tief in die Privatsphäre eingreifen.

Verfassungsrechtlicher Ausgangspunkt ist das allgemeine Persönlichkeitsrecht aus Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG. Im Verhältnis zwischen Privatpersonen werden dessen Wertungen insbesondere über das Zivilrecht berücksichtigt. Bei rechtswidrigen Eingriffen kommen unter den jeweiligen Voraussetzungen Unterlassungs- und Beseitigungsansprüche aus § 1004 BGB analog in Verbindung mit § 823 Abs. 1 BGB in Betracht. [2][7]

Daraus folgt allerdings nicht, dass jeder Blick auf ein gemeinsam benutztes Display rechtswidrig wäre. Entscheidend sind insbesondere Berechtigung, Anlass, Umfang, Heimlichkeit und die Schutzwürdigkeit der betroffenen Informationen.

Datenschutzrecht: Nicht jede private Handlung fällt unter die DSGVO

Wer personenbezogene Surf- oder Nutzungsdaten verarbeitet, benötigt im Anwendungsbereich der Datenschutz-Grundverordnung grundsätzlich eine Rechtsgrundlage nach Art. 6 DSGVO. Je nach Fall kommen beispielsweise eine wirksame Einwilligung oder berechtigte Interessen in Betracht. Art. 6 Abs. 1 Buchst. f DSGVO ist jedoch keine pauschale Überwachungserlaubnis: Die Verarbeitung muss erforderlich sein, und entgegenstehende Interessen oder Grundrechte der betroffenen Person dürfen nicht überwiegen. [3]

Zusätzlich gelten die Grundsätze aus Art. 5 DSGVO, darunter Zweckbindung, Datenminimierung und Speicherbegrenzung. Werden besondere Kategorien personenbezogener Daten verarbeitet, etwa Gesundheitsdaten, sind außerdem die zusätzlichen Voraussetzungen des Art. 9 DSGVO zu prüfen. [3]

Eine wichtige Einschränkung enthält Art. 2 Abs. 2 Buchst. c DSGVO: Die Verarbeitung durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten ist vom Anwendungsbereich ausgenommen. Ob eine konkrete Datenerfassung darunter fällt, hängt von den Umständen ab. Insbesondere eine allgemein zugängliche Veröffentlichung oder eine Verarbeitung im beruflichen Zusammenhang kann nicht ohne Weiteres dieser Ausnahme zugeordnet werden. [3]

Die Haushaltsausnahme ist keine Überwachungserlaubnis. Selbst wenn die DSGVO nicht anwendbar ist, bleiben zivilrechtlicher Persönlichkeitsschutz und Strafrecht zu beachten. [2][4]

Zugang zu Informationen auf dem Endgerät

§ 25 Abs. 1 TDDDG regelt die Speicherung von Informationen in Endeinrichtungen und den Zugriff auf bereits gespeicherte Informationen. Soweit die Vorschrift anwendbar ist, verlangt sie grundsätzlich eine Einwilligung auf der Grundlage klarer und umfassender Informationen. Die Anforderungen an Information und Einwilligung richten sich nach der DSGVO. [5]

§ 25 Abs. 2 TDDDG enthält Ausnahmen: Eine Einwilligung ist insbesondere nicht erforderlich, wenn Speicherung oder Zugriff unbedingt notwendig sind, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann. Eine weitere Ausnahme betrifft Vorgänge, deren alleiniger Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist. Bloße Nützlichkeit oder ein allgemeines Kontrollinteresse genügen dafür nicht. [5]

Die Vorschrift kann bei Anwendungen relevant sein, die Informationen auf einem iPhone auslesen oder dort speichern. Ihre Anwendung auf eine konkrete Zugriffsgestaltung ist jedoch gesondert zu prüfen. Sie ist weder eine abschließende Regelung sämtlicher manueller Gerätezugriffe noch eine umfassende Erlaubnis für Überwachungssoftware. Zusätzlich können Datenschutzrecht, Persönlichkeitsrechte und Strafrecht maßgeblich sein. [2][3][4][5]

Wann ein Zugriff strafbar sein kann

Nach § 202a StGB kann sich strafbar machen, wer sich oder einem anderen unbefugt Zugang zu nicht für ihn bestimmten, besonders gegen unberechtigten Zugang gesicherten Daten verschafft und dabei die Zugangssicherung überwindet. Nicht jedes Lesen fremder Daten erfüllt diesen Tatbestand. Sämtliche gesetzlichen Voraussetzungen müssen vorliegen. [4]

Für das unbefugte Verschaffen nicht für den Täter bestimmter Daten aus einer nichtöffentlichen Datenübermittlung unter Anwendung technischer Mittel kann § 202b StGB einschlägig sein. Werden Daten rechtswidrig gelöscht, unterdrückt, unbrauchbar gemacht oder verändert, kommt unter den jeweiligen Voraussetzungen § 303a StGB in Betracht. [4]

Weder eine Partnerschaft noch das Eigentum am Gerät beantworten abschließend, wer auf bestimmte Daten zugreifen darf. Auch eine erteilte Erlaubnis muss nach ihrem Umfang ausgelegt werden: Die Zustimmung, kurz eine Nachricht zu versenden, ist keine allgemeine Zustimmung zur Durchsicht privater Konten. [2][4]

Partner, Kinder und Beschäftigte: typische Fallkonstellationen

Partnerschaft und gemeinsam genutzte Geräte

Auch innerhalb einer Ehe oder Partnerschaft besteht ein Recht auf Privatsphäre. Wer eine Geräte-PIN kennt, darf daraus nicht ohne Weiteres eine umfassende Kontrollbefugnis ableiten. [2][7]

Für eine einverständliche Einsicht sollte klar sein, welche Daten betroffen sind, zu welchem Zweck sie angesehen werden und ob Kopien erstellt werden dürfen. Eine einmalige Zustimmung zur gemeinsamen Suche nach einer Webseite rechtfertigt keine dauerhaft laufende Überwachung.

Bei einem gemeinsamen Tablet oder iPhone kommt es besonders auf die tatsächlichen Absprachen und die Zuordnung von Konten und Sitzungen an. Ein offener privater Tab beseitigt nicht automatisch das Geheimhaltungsinteresse seines Nutzers. Ob ein Zugriff lediglich eine persönliche Grenze überschreitet oder zusätzlich zivil- beziehungsweise strafrechtliche Folgen hat, ist gesondert zu prüfen. [2][4]

Eltern dürfen schützen, müssen aber die Entwicklung des Kindes beachten

Die elterliche Sorge umfasst nach §§ 1626 und 1631 BGB insbesondere Erziehung und Aufsicht. Zugleich verpflichtet § 1626 Abs. 2 BGB Eltern, die wachsende Fähigkeit und das wachsende Bedürfnis des Kindes zu selbstständigem, verantwortungsbewusstem Handeln zu berücksichtigen. Fragen der elterlichen Sorge sollen sie mit dem Kind entsprechend dessen Entwicklungsstand besprechen und Einvernehmen anstreben. [2]

Daraus ergibt sich keine allgemeine Befugnis zur lückenlosen Überwachung sämtlicher Surfaktivitäten bis zur Volljährigkeit. Maßgeblich sind unter anderem:

• Alter und Entwicklungsstand;
• konkrete Gefahren oder nachvollziehbare Anhaltspunkte;
• Umfang und Dauer der Kontrolle;
• verfügbare mildere Schutzmaßnahmen;
• die besondere Vertraulichkeit der betroffenen Inhalte.

Bei jüngeren Kindern können altersgerechte Beschränkungen und gemeinsam vereinbarte Nutzungsregeln angemessen sein. Mit zunehmender Selbstständigkeit gewinnt die eigenständige Privatsphäre an Gewicht. [2][7]

Auch ein nachvollziehbarer Schutzanlass rechtfertigt nicht automatisch das vollständige Mitlesen aller Kommunikation. Möglichst transparente, sachlich und zeitlich begrenzte Maßnahmen können weniger eingriffsintensive Alternativen sein. Ein familienrechtlicher Schutzauftrag ersetzt nicht die Prüfung der Zulässigkeit der konkret eingesetzten Software; außerdem können Rechte der Kommunikationspartner betroffen sein. [2][4][5]

Arbeitgeber haben kein allgemeines Recht auf Surfprofile

Bei dienstlichen iPhones sind das Eigentum des Arbeitgebers, betriebliche Sicherheitsinteressen und die Rechte der Beschäftigten auseinanderzuhalten. Das Verbot privater Nutzung erlaubt nicht automatisch jede Kontrolle. [3][6][8]

§ 26 Abs. 1 BDSG sieht Beschäftigtendatenverarbeitung insbesondere vor, soweit sie für die dort genannten Zwecke des Beschäftigungsverhältnisses erforderlich ist. Für die Aufdeckung von Straftaten verlangt die Vorschrift unter anderem dokumentierte tatsächliche Anhaltspunkte für eine im Beschäftigungsverhältnis begangene Straftat, die Erforderlichkeit der Verarbeitung und eine Verhältnismäßigkeitsprüfung. Die Anwendung des § 26 BDSG muss zugleich den unionsrechtlichen Anforderungen der DSGVO entsprechen; der Verweis auf die Vorschrift allein legitimiert keine Überwachungsmaßnahme. [3][6]

Bei der Einführung und Anwendung technischer Einrichtungen zur Überwachung von Verhalten oder Leistung kann zudem ein Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG bestehen. Die Einführung einer Kontrollsoftware ist deshalb nicht allein eine IT-Entscheidung. [12]

Rechtsprechungslinie: Keine anlasslose Totalaufzeichnung

Das Bundesarbeitsgericht hat im Urteil vom 27. Juli 2017 – 2 AZR 681/16 die Verwertung von Erkenntnissen aus dem Einsatz eines Software-Keyloggers im Kündigungsschutzverfahren abgelehnt. Dabei sind die vorherige Ankündigung, der tatsächliche Überwachungsumfang und die Gründe der Unzulässigkeit zu unterscheiden. [8]

Der Arbeitgeber hatte den Beschäftigten zuvor mitgeteilt, dass der gesamte Internetverkehr und die Benutzung der Systeme mitprotokolliert und dauerhaft gespeichert würden. Der Fall lässt sich deshalb nicht zutreffend als vollständig unangekündigte Überwachung beschreiben. Tatsächlich zeichnete die eingesetzte Software sämtliche Tastatureingaben auf und fertigte regelmäßig Bildschirmfotos an. Die Maßnahme ging damit deutlich über die bloße Erfassung besuchter Internetseiten hinaus. Dass der Arbeitnehmer der angekündigten Protokollierung nicht widersprochen hatte, wertete das Gericht nicht als Einwilligung. [8]

Tragend war die Verletzung des Rechts auf informationelle Selbstbestimmung durch eine nach § 32 Abs. 1 BDSG in der damals geltenden Fassung nicht gerechtfertigte Datenerhebung. Es fehlte ein durch konkrete Tatsachen begründeter Verdacht einer Straftat oder einer anderen schwerwiegenden Pflichtverletzung. Die umfassende Aufzeichnung ohne solchen Anlass war unverhältnismäßig. Die vorherige Mitteilung machte diese intensive Überwachung nicht zulässig; die aus dem Keylogger-Einsatz gewonnenen Erkenntnisse durften nicht verwertet werden. [8]

Die Entscheidung erging zur damaligen Rechtslage und betrifft keine besondere iPhone-Funktion. Sie verdeutlicht aber einen weiterhin bedeutsamen Maßstab: Umfassende technische Überwachung lässt sich weder allein mit einem allgemeinen Kontrollinteresse noch allein mit ihrer Ankündigung rechtfertigen. Auch bei einer konkreten Verdachtslage bleiben Rechtsgrundlage, mildere Mittel und Eingriffsintensität gesondert zu prüfen. [3][6][8]

Verdacht auf Überwachung: Ablauf, Fristen und Belege

Zuerst das Sicherheitsrisiko einschätzen

Wer eine heimliche Kontrolle des eigenen iPhones vermutet, sollte mögliche Folgen von Änderungen an Konten, Freigaben oder Geräteeinstellungen bedenken. In einer bedrohlichen Beziehung können solche Änderungen bemerkt werden und die Situation verschärfen. [11]

Für sensible Kommunikation kann zunächst ein vertrauenswürdiges anderes Gerät sinnvoll sein. Apples „Sicherheitsprüfung“ ermöglicht auf unterstützten Geräten unter anderem die Überprüfung bestimmter Freigaben und Zugriffe. Sie ist jedoch kein allgemeiner Nachweis dafür, dass ein Gerät frei von Überwachung ist. [11]

Bei unmittelbarer Gefahr hat der persönliche Schutz Vorrang vor einer vollständigen technischen Untersuchung.

Verdachtsmomente nachvollziehbar dokumentieren

Für eine rechtliche Prüfung sind konkrete Beobachtungen hilfreicher als die pauschale Vermutung, jemand kenne den privaten Verlauf. Dokumentiert werden können insbesondere:

• Datum und Inhalt auffälliger Anmelde- oder Sicherheitsmeldungen;
• unbekannte Geräte in der eigenen Kontoübersicht;
• unbekannte Konfigurations- oder Verwaltungsprofile;
• Nachrichten, in denen eine andere Person ungewöhnlich genaue Kenntnisse offenbart;
• vorhandene Vereinbarungen zur Geräte- und Kontonutzung;
• Zeitpunkt, Umfang und Art eigener Änderungen am Gerät.

Ein unbekanntes Profil oder eine auffällige Meldung beweist für sich genommen noch keine rechtswidrige Überwachung. Die Dokumentation sollte sich außerdem auf rechtmäßig zugängliche Informationen beschränken. Ein vermuteter Eingriff in die eigene Privatsphäre berechtigt nicht ohne Weiteres dazu, seinerseits fremde Konten zu durchsuchen. [2][4]

Screenshots können Anhaltspunkte sichern, beweisen aber nicht automatisch die Ursache oder den Verantwortlichen. Vor einem Zurücksetzen des Geräts kann fachkundige Unterstützung sinnvoll sein, weil dabei relevante Spuren verloren gehen können.

Auskunft und Beschwerde bei datenschutzrechtlich Verantwortlichen

Soweit die DSGVO anwendbar ist, kann Art. 15 DSGVO einen Auskunftsanspruch vermitteln, etwa gegenüber einem Arbeitgeber oder einem Dienstanbieter. Er umfasst unter den gesetzlichen Voraussetzungen auch eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Daraus folgt jedoch kein pauschaler Anspruch auf ein vollständiges Geräteabbild und kein allgemeines Auskunftsrecht gegenüber einem Partner bei ausschließlich persönlicher oder familiärer Tätigkeit. [3]

Nach Art. 12 Abs. 3 DSGVO sind Informationen über Maßnahmen aufgrund eines Betroffenenantrags unverzüglich, spätestens innerhalb eines Monats nach Eingang bereitzustellen. Soweit dies unter Berücksichtigung der Komplexität und der Anzahl der Anträge erforderlich ist, kann die Frist um zwei weitere Monate verlängert werden. Über die Verlängerung und ihre Gründe muss innerhalb des ersten Monats informiert werden. [3]

Wird der Verantwortliche nicht tätig, muss er nach Art. 12 Abs. 4 DSGVO unverzüglich, spätestens innerhalb eines Monats, über die Gründe und die Möglichkeit einer Beschwerde bei einer Aufsichtsbehörde oder eines gerichtlichen Rechtsbehelfs informieren. Das Beschwerderecht bei einer Datenschutzaufsichtsbehörde ergibt sich aus Art. 77 DSGVO. [3]

Zivilrechtlicher Eilrechtsschutz und Strafantrag

Bei fortdauernden Eingriffen können Unterlassungsansprüche und gegebenenfalls eine einstweilige Verfügung nach §§ 935, 940 ZPO in Betracht kommen. Für einen solchen Eilantrag gibt es keine allgemeine, für sämtliche Überwachungsfälle identische Tagesfrist. Unnötiges Zuwarten kann allerdings gegen die erforderliche Eilbedürftigkeit sprechen. [2][10]

Strafanzeige und Strafantrag sind zu unterscheiden. Für Taten nach §§ 202a und 202b StGB sieht § 205 StGB grundsätzlich ein Strafantragserfordernis vor, soweit die Strafverfolgungsbehörde nicht wegen besonderen öffentlichen Interesses von Amts wegen einschreitet. Die Strafantragsfrist beträgt nach § 77b StGB grundsätzlich drei Monate und beginnt mit Ablauf des Tages, an dem der Berechtigte von Tat und Täter Kenntnis erlangt. Sie läuft nicht vor Beendigung der Tat. [4]

Eine Strafanzeige ersetzt einen erforderlichen Strafantrag nicht automatisch. Ob eine Erklärung zugleich als Strafantrag anzusehen ist, richtet sich nach ihrem Inhalt und den gesetzlichen Anforderungen. § 158 StPO regelt die Entgegennahme von Strafanzeigen und Strafanträgen. [9]

Kosten, Beweisrisiken und typische Fehler

Kosten einer Untersuchung realistisch abwägen

Für eine privat beauftragte technische Analyse eines iPhones lässt sich kein allgemeingültiger Festpreis nennen. Aufwand und Vergütung hängen insbesondere vom Untersuchungsumfang und der getroffenen Vereinbarung ab. Eine Prüfung von Kontoeinstellungen ist von einer beweissichernden forensischen Untersuchung zu unterscheiden.

Vor einer Beauftragung sollten Untersuchungsziel, zulässiger Zugriff, Kostenrahmen, Dokumentationsform und Umgang mit vertraulichen Daten geklärt werden. Eine Zusage, einen vollständigen Inkognito-Verlauf sicher wiederherzustellen, ist ohne belastbare Grundlage nicht gerechtfertigt.

Im Zivilprozess trägt nach § 91 ZPO grundsätzlich die unterliegende Partei die Kosten des Rechtsstreits und die notwendigen Kosten der Rechtsverfolgung oder Rechtsverteidigung der Gegenseite, soweit keine abweichende Regelung greift. Kosten privat beauftragter technischer Untersuchungen werden nicht automatisch vollständig erstattet; ihre Erstattungsfähigkeit ist gesondert zu prüfen. [10]

Rechtswidrig beschaffte Informationen sind ein eigenes Risiko

Wer Daten heimlich beschafft, kann sich selbst Ansprüchen oder strafrechtlichen Ermittlungen aussetzen. Außerdem ist nicht gesichert, dass die Informationen im gewünschten Verfahren verwertet werden dürfen. [2][4][8]

Ein allgemeines Beweisverwertungsverbot für sämtliche rechtswidrig erlangten Daten gibt es ebenso wenig wie eine allgemeine Verwertungserlaubnis. Maßgeblich sind das jeweilige Verfahrensrecht, die Art der Rechtsverletzung und die betroffenen Rechte. Die Keylogger-Entscheidung des Bundesarbeitsgerichts zeigt einen konkreten Fall der Nichtverwertung. [8]

Auch Schadensersatz folgt nicht automatisch aus jedem Datenschutzverstoß. Art. 82 DSGVO setzt neben dem Verstoß einen materiellen oder immateriellen Schaden und einen ursächlichen Zusammenhang zwischen beiden voraus. [3]

Häufige Fehlannahmen vermeiden

Besonders problematisch sind die Annahmen, dass

• ein leerer Verlauf fehlende Internetnutzung beweise;
• Gerätebesitz uneingeschränkten Datenzugriff erlaube;
• ein bekanntes Passwort jede Nutzung des Kontos gestatte;
• Überwachungssoftware sämtliche früheren privaten Sitzungen rekonstruieren könne;
• ein berechtigter Verdacht jede technische Maßnahme rechtfertige.

Ein sachgerechter nächster Schritt besteht deshalb darin, zuerst die konkrete Frage festzulegen: Soll eine eigene Seite wiedergefunden, ein Konto abgesichert, eine Kindesgefährdung abgeklärt oder eine Rechtsverletzung dokumentiert werden? Erst danach lässt sich beurteilen, welche Maßnahme technisch sinnvoll und rechtlich vertretbar ist.

Häufige Fragen

Wo finde ich den Inkognito-Verlauf auf meinem iPhone?

Safari bietet keine gewöhnliche Verlaufsliste privater Sitzungen. Im Bereich „Privat“ können noch geöffnete Tabs vorhanden sein. Bereits geschlossene private Seiten erscheinen dort nicht nachträglich als vollständige Besuchsliste. [1]

Kann ich den privaten Verlauf über iCloud wiederherstellen?

Eine vollständige Wiederherstellung lässt sich nicht allgemein zusagen. Ein Backup erzeugt keinen regulären Verlauf, den Safari nicht geführt hat. Einzelne gespeicherte Dateien, Kontodaten oder technische Spuren sind von einer vollständigen Besuchsliste zu unterscheiden.

Kann mein Arbeitgeber trotz Inkognito-Modus meine Internetnutzung erkennen?

Je nach technischer Umgebung können außerhalb des Browsers Verbindungs- oder Nutzungsdaten anfallen. Der Inkognito-Modus verhindert das nicht grundsätzlich. Ob der Arbeitgeber solche Daten erheben und auswerten darf, hängt insbesondere von Rechtsgrundlage, Zweck, Erforderlichkeit, Transparenz und Verhältnismäßigkeit ab. [3][6][8]

Darf ich das iPhone meines Partners kontrollieren, wenn ich die PIN kenne?

Die Kenntnis der PIN ist keine umfassende Zustimmung zur Kontrolle. Entscheidend ist, welche Nutzung tatsächlich erlaubt wurde. Eine heimliche Durchsicht kann Persönlichkeitsrechte verletzen; eine Strafbarkeit setzt zusätzlich die jeweiligen gesetzlichen Tatbestandsmerkmale voraus. [2][4]

Dürfen Eltern den privaten Verlauf ihres Kindes überwachen?

Eltern haben Schutz- und Aufsichtspflichten, aber keine pauschale Erlaubnis zur lückenlosen Überwachung. Alter, Reife, konkrete Gefahren und mildere Maßnahmen sind zu berücksichtigen. Mit zunehmender Selbstständigkeit gewinnt die Privatsphäre des Kindes an Gewicht. Technisch stellt Safari auch für diese Situation keine vollständige private Verlaufsliste bereit. [1][2]

Was sollte ich tun, wenn jemand meine privaten Surfaktivitäten kennt?

Zunächst ist zu klären, auf welchem Weg die Informationen bekannt geworden sein könnten. Mögliche Ursachen sind offene Tabs, gemeinsame Konten, gespeicherte Dateien oder Kontozugriffe. Konkrete Beobachtungen sowie eigene Freigaben und Anmeldungen können Anhaltspunkte liefern. Bei einer bedrohlichen Situation kann ein vertrauenswürdiges anderes Gerät für die Kommunikation darüber sinnvoll sein. Änderungen an Freigaben sollten unter Berücksichtigung der eigenen Sicherheit erfolgen. [11]

Sind Überwachungs-Apps immer illegal?

Nein. Die rechtliche Bewertung hängt von Funktion, Einsatz, Berechtigung und betroffenen Personen ab. Transparenz allein genügt allerdings ebenso wenig wie das Eigentum am Gerät. Auch eine offen eingesetzte Geräteverwaltung benötigt die jeweils erforderliche Rechtsgrundlage und muss die einschlägigen gesetzlichen Grenzen beachten. Die Verfügbarkeit einer App beweist nicht ihre rechtliche Zulässigkeit für den beabsichtigten Zweck. [2][3][4][5][6]

Zusammenfassung

Einen gewöhnlichen Inkognito-Verlauf gibt es beim privaten Surfen in Safari nicht. Noch offene Tabs, Downloads, gespeicherte Inhalte und Daten bei Online-Diensten können dennoch Informationen über einzelne Aktivitäten enthalten. Daraus folgt weder eine vollständige Rekonstruierbarkeit noch eine allgemeine Spurenfreiheit.

Rechtlich sind technische Zugriffsmöglichkeit und Zugriffsberechtigung strikt zu trennen. Partnerschaft, Gerätebesitz oder Passwortkenntnis ersetzen keine umfassende Erlaubnis. Bei Kindern und Beschäftigten müssen Schutz- beziehungsweise Kontrollinteressen mit den Rechten der Betroffenen abgewogen werden.

Wer einen unbefugten Zugriff vermutet, sollte konkrete Anhaltspunkte sichern, Sicherheitsmaßnahmen an der eigenen Gefährdungslage ausrichten und mögliche Antragsfristen sowie die Voraussetzungen gerichtlichen Eilrechtsschutzes beachten. Verdeckte Gegenüberwachung schafft dagegen zusätzliche Risiken.