Schützen

Zwei Fragen tauchen ständig auf, und sie werden vermischt, obwohl die Antworten verschieden sind. **Kann der WLAN-Betreiber sehen, was ich tue?** Und **steht etwas davon auf der Internetrechnung?** Kurz: ja zur ersten, enger gefasst als befürchtet, und nein zur zweiten.

Was der Netzbetreiber sieht und was nicht

Beginnen wir mit der Rechnung, denn sie ist der einfache Teil und die Annahme ist schlicht falsch. **Eine Internetrechnung listet keinen Browserverlauf.** Sie zeigt den Vertrag, den Tarif, manchmal das verbrauchte Datenvolumen und etwaige Zusatzkosten. Sie enthält keine Liste der besuchten Seiten. Anbieter speichern in vielen Ländern Verbindungsdaten für gesetzliche Fristen, doch das steht nicht auf einer Rechnung, und der Vertragsinhaber kann es im Kundenportal nicht abrufen.

Die WLAN-Frage ist interessanter, denn die ehrliche Antwort lautet *manches ja, anderes nicht*, und die Grenze verläuft an einer überraschenden Stelle.

**Was der Netzbetreiber sieht.** Wer den Router kontrolliert, sieht die Ziele, zu denen Ihr Gerät Verbindungen aufbaut: IP-Adressen und meist auch Domainnamen. Domains werden auf zwei alltägliche Weisen sichtbar, selbst bei verschlüsselten Verbindungen. Nutzt Ihr Gerät den DNS-Server des Routers, läuft jede Abfrage über ihn. Und der TLS-Handshake am Beginn einer HTTPS-Verbindung trug den Hostnamen historisch im Klartext, in einem Feld namens SNI. `beispiel.de` ist also in der Regel sichtbar.

Was daran wirklich etwas ändert

Sichtbar ist auch die Form Ihres Datenverkehrs: wann Sie online waren, wie viele Daten flossen und ungefähr, um welche Art Dienst es sich handelte. Ein langer gleichmässiger Strom auf Video-Bitraten ist als Streaming erkennbar, ohne dass jemand ein einziges Byte gelesen hätte.

• **Für den Netzbetreiber sichtbar:** Ziel-IP-Adressen, Domainnamen über DNS und das TLS-Feld SNI, Zeitpunkte und Datenmengen
• **Mit HTTPS nicht sichtbar:** Seiteninhalte, vollständige URLs, Suchbegriffe, Nachrichten, Formulardaten, Passwörter
• **Nicht auf der Rechnung:** Browserverlauf steht in keiner Form auf einer Internetrechnung
• **Verschlüsseltes DNS (DoH/DoT):** beseitigt das DNS-Leck zum Router
• **Encrypted Client Hello:** schliesst das SNI-Leck, wo Browser und Seite es unterstützen
• **Ein VPN:** der Betreiber sieht einen verschlüsselten Tunnel und nichts von dessen Inhalt

**Was er nicht sieht.** Mit HTTPS, heute Standard im Web, sieht der Betreiber weder die gelesene Seite noch Ihre Suchbegriffe, gesendete Nachrichten, Formularinhalte oder Passwörter. Die vollständige URL nach der Domain, der Teil nach dem Schrägstrich, liegt im verschlüsselten Kanal. Zu wissen, dass Sie eine Nachrichtenseite aufgerufen haben, ist nicht dasselbe wie zu wissen, welchen Artikel.

Das ist die entscheidende Unterscheidung, die die meisten Texte verwischen: **die Domain ist oft sichtbar, der Inhalt fast nie.**

**Ob überhaupt etwas aufgezeichnet wird, ist eine andere Frage.** Die meisten Consumer-Router führen standardmässig kein detailliertes Browserprotokoll; ihr Speicher ist winzig und die Funktion meist aus. Firmen-, Schul- und Hotelnetze sind etwas anderes, denn dort steht häufig Technik, die genau zum Protokollieren und Filtern gebaut ist. Faustregel: In einem Netz, das Sie nicht kontrollieren, gehen Sie davon aus, dass die Ziele aufgezeichnet werden könnten.

**Was das Bild wirklich ändert.** Verschlüsseltes DNS (DoH oder DoT) nimmt dem Router die Sicht auf Ihre Abfragen. Encrypted Client Hello schliesst die SNI-Lücke, wo Browser und Seite es unterstützen. Ein **VPN** tut beides zugleich und mehr: Der Betreiber sieht dann eine einzige verschlüsselte Verbindung zum VPN-Server und nichts von dem, was darin läuft. Das ist der reale Unterschied, den ein VPN hier macht, und er gehört präzise gesagt statt vage.

Was ein VPN nicht tut: Es macht Sie gegenüber den besuchten Seiten nicht anonym und verbirgt nichts vor dem VPN-Anbieter selbst, weshalb dessen Wahl zählt. Die ehrliche Zusammenfassung: Der WLAN-Betreiber sieht, wohin Sie gehen, nicht was Sie dort tun; die Rechnung zeigt beides nicht; und wenn das *Wohin* privat bleiben soll, ist Verschlüsselung auf der richtigen Schicht das, was es entfernt.