Wie lange speichern Internetanbieter meinen Verlauf?

Was dein Internetanbieter tatsächlich sehen kann

Fast jede Website nutzt heute HTTPS, und das ändert, was dein Anbieter wissen kann. HTTPS verbirgt „alles nach dem Schrägstrich“: die Seite, die du liest, was du auf der Seite suchst, was du in Formulare eingibst. Übrig bleibt Folgendes:

Deine IP-Adresse und wann du sie hattest. Der Anbieter vergibt sie, also weiß er es immer. Bei gemeinsam genutzten Adressen (CGNAT) speichert er auch die Portnummern, sodass er die Kunden trotzdem auseinanderhalten kann.
Die Seiten, mit denen du dich verbindest. Dein Gerät fragt den Namen jeder Seite ab, bevor es sich verbindet, und wenn es dafür den DNS-Server des Anbieters nutzt, sieht der Anbieter jede Abfrage. Der Name wird außerdem zu Beginn der meisten verschlüsselten Verbindungen offen übertragen; der Standard, der das beheben soll, nennt ihn „vielleicht die sensibelste Information, die bei der heutigen Verschlüsselung unverschlüsselt bleibt“.
Wann und wie viel. Verbindungszeiten und Datenmengen, die Anbieter ohnehin für die Abrechnung und für Datenlimits speichern.

Die FTC hat das in ihrer Studie von 2021 über sechs US-Anbieter bestätigt: Mehrere erfassten Surfdaten auf der Ebene von Domains und Subdomains, und viele hatten Zugriff auf den gesamten unverschlüsselten Datenverkehr ihrer Kunden. Der „Verlauf“, den dein Anbieter von dir hat, ähnelt also eher einem Einzelverbindungsnachweis als einem Tagebuch. Er weiß, dass du nachts um 2 Uhr vierzig Minuten auf einer Gesundheitsseite warst, nicht aber, welchen Artikel du gelesen hast.

Der private Modus (Inkognito-Modus) ändert daran nichts. Er verhindert nur, dass der Verlauf auf deinem eigenen Gerät gespeichert wird; AT&T weist sogar darauf hin, dass seine Datenerfassung als Internetanbieter „unabhängig von den Cookie- und Privatmodus-Einstellungen deines Webbrowsers funktioniert“. Was ein VPN vor dem Anbieter verbirgt, steht in unserem Ratgeber Kann mein Internetanbieter meinen Verlauf sehen, wenn ich ein VPN nutze?

Wie lange Internetanbieter deine Daten speichern, Land für Land

Zwei Arten von Regeln entscheiden darüber. Manche Länder haben Gesetze zur Vorratsdatenspeicherung, die Anbieter verpflichten, bestimmte Daten für die Polizei aufzubewahren, ob sie sie brauchen oder nicht. Überall sonst speichert der Anbieter, was er für sein eigenes Geschäft braucht, so lange er will, bis jemand ihn auffordert, einen Datensatz zu sichern.

In der EU wurde eine allgemeine Pflicht, die Daten aller Menschen zu speichern, zweimal gekippt. Der Europäische Gerichtshof (EuGH) erklärte die Richtlinie zur Vorratsdatenspeicherung 2014 für ungültig und entschied 2016, dass das EU-Recht eine „allgemeine und unterschiedslose“ Speicherung von Verkehrsdaten verbietet. Seitdem erlaubt er den Ländern, IP-Adressen für begrenzte Zeit zu speichern, wenn es um die nationale Sicherheit und schwere Kriminalität geht, und seit 2024 auch bei Urheberrechtsverletzungen im Internet, sofern die IP-Daten streng getrennt von anderen Daten aufbewahrt werden. Deshalb hat heute jedes Land seine eigene Antwort:

Zwei Dinge fallen auf. Wo es ein Gesetz gibt, geht es darum, wer welche IP-Adresse hatte und wer sich womit verbunden hat, nicht um die Seiten, die du liest; Australien nimmt den Surfverlauf im Gesetz selbst aus, und Brasilien verbietet Anbietern, die besuchten Seiten zu protokollieren. Und die Regeln ändern sich ständig. In Deutschland entschied das Bundesverwaltungsgericht 2023, dass die alte Pflicht von zehn Wochen nicht mehr angewendet werden darf; seitdem speichern Anbieter IP-Adressen nur so lange, wie sie sie brauchen, die Telekom sieben Tage. Das Bundeskabinett hat im April 2026 eine dreimonatige Speicherpflicht für IP-Adressen beschlossen, und der Bundestag hat dazu im Oktober Sachverständige angehört; Kanadas Bill C-22 liegt im Senat; und der Plan der Europäischen Kommission für eine neue EU-weite Regelung wirkte im Juli 2026 „unsicherer“.

Die USA: keine Mindestdauer, jeder Anbieter entscheidet selbst

Kein US-Gesetz verpflichtet Internetanbieter, Daten zu speichern. Es gibt nur eine Pflicht zur Sicherung: Sobald die Polizei darum bittet, muss ein Anbieter die Daten, die er schon hat, 90 Tage lang und weitere 90 Tage aufbewahren, wenn die Anfrage erneuert wird. Was schon gelöscht ist, bleibt gelöscht.

Die eigentliche Antwort steht also in den Regeln des jeweiligen Anbieters, und die meisten veröffentlichen sie nicht:

• Comcast (Xfinity): „IP-Adress-Logs werden 180 Tage lang aufbewahrt“, heißt es in seinem Leitfaden für Strafverfolgungsbehörden (Februar 2026). Die Fristen für andere Daten stehen in einem Portal, das nur die Polizei sehen kann.
• Cox: Logs über die Vergabe von IP-Adressen bis zu 6 Monate (Mitteilung von 2020).
• AT&T, Verizon, T-Mobile und Spectrum: keine Frist. Laut ihren Datenschutzerklärungen speichern sie Daten so lange, wie es für geschäftliche, steuerliche oder rechtliche Zwecke nötig ist.

Die FTC-Studie über sechs Anbieter zeigt, wie weit diese Fristen auseinanderliegen können. Einer löschte seine Logs der besuchten Websites nach 24 Stunden, ein anderer speicherte sie 35 Tage, ein dritter ein ganzes Jahr; demografische Daten wurden zwei bis drei Jahre aufbewahrt. Die FTC nannte die Speicherregeln der Anbieter einen „praktisch uneingeschränkten Ermessensspielraum“.

Diese Logs dienen vor allem dazu, eine IP-Adresse und eine Uhrzeit einem Kunden zuzuordnen, und genau das wollen die meisten Polizeianfragen. Verizon erhielt 93.805 Subpoenas (behördliche Anordnungen) in der ersten Hälfte von 2026 und sagt, sie verlangten „in der Regel“ nur Name und Adresse zu einer Telefonnummer oder IP-Adresse.

Das Vereinigte Königreich: bis zu 12 Monate, und niemand sagt es dir

Nach dem Investigatory Powers Act 2016 kann die Innenministerin oder der Innenminister einen Anbieter anweisen, Kommunikationsdaten bis zu 12 Monate lang zu speichern. Dazu können Internetverbindungsdaten (Internet Connection Records) gehören: mit welchen Seiten und Diensten sich ein Gerät wann verbunden hat. Das Home Office beschreibt sie als Aufzeichnung „einer besuchten Website, etwa einer Suchmaschine, aber nicht der Informationen, nach denen gesucht wurde“.

Welche Anbieter eine solche Anordnung erhalten haben, ist geheim. Das Gesetz verbietet ihnen, die „Existenz oder den Inhalt“ einer Speicheranordnung offenzulegen; deshalb veröffentlichen BT, Sky und Virgin Media keine Frist für Verbindungsdaten. In der Datenschutzerklärung von BT stehen 7 Tage für den Inhalt von Textnachrichten und bis zu 12 Monate für Anrufdaten, außerdem der Hinweis, dass BT Daten nach den Gesetzen über Ermittlungsbefugnisse weitergeben muss. Für Surfdaten nennt sie keine Frist.

Wie lange speichert BT also deinen Verlauf? Bis zu 12 Monate, wenn es dazu verpflichtet wurde, deutlich kürzer, wenn nicht – und BT darf nicht sagen, was davon zutrifft.

Seit Oktober 2024 dürfen auch MI5, MI6, GCHQ und die National Crime Agency Verbindungsdaten durchsuchen, um herauszufinden, wer einen bestimmten Dienst genutzt hat, und zwar in einem bestimmten Zeitraum, ohne die Person vorher zu kennen. Die Gerichte haben Grenzen gesetzt: Der High Court entschied 2022, dass das Gesetz keine „allgemeine und unterschiedslose“ Speicherung der Daten aller Menschen erlaubt.

Nutzen oder verkaufen Internetanbieter deine Surfdaten?

Manche tun es, und in den USA ist das legal, solange sie es dir mitteilen. Der Kongress hob 2017 die Breitband-Datenschutzregel der FCC auf, die deine Einwilligung verlangt hätte. Seitdem gibt es keine bundesweite Opt-in-Regel; Maine verlangt mit einem eigenen Gesetz die Einwilligung. Die FTC stellte fest, dass zwei der sechs untersuchten Anbieter Informationen über das Surfen im Web nutzten, um Werbung zu steuern, und ein dritter sich das Recht dazu vorbehielt.

Das sagen die großen Anbieter heute:

• Verizon: Sein Programm Custom Experience nutzt die Domains und Subdomains der Seiten, die du besuchst, und die Apps, die du verwendest, und du bist dabei, „sofern du nicht widersprichst“. Widersprechen kannst du in Verizons Datenschutzeinstellungen.
• AT&T: Nur das Programm Personalized Plus, bei dem man sich aktiv anmelden muss (Opt-in), nutzt die Surfdaten, die AT&T als dein Internetanbieter erfasst, auch Websites, die es aus verschlüsselten Verbindungen ableitet. Einstellungen unter att.com/PrivacyChoices.
• Comcast: nennt „DNS-Abfragen und Netzwerkverkehrsaktivitäten“ unter den erfassten Daten und darf aggregierte oder de-identifizierte Informationen verkaufen. Auswahlmöglichkeiten im Privacy Preferences Center.
• BT: erstellt ein Profil für personalisierte Angebote, zum Teil aus Aufzeichnungen des Surfverhaltens, und sagt, dass du dem jederzeit widersprechen kannst.

Bei Standortdaten sieht es anders aus. 2024 verhängte die FCC gegen AT&T, Verizon, T-Mobile und Sprint Bußgelder von knapp 200 Millionen Dollar, weil sie den Zugang zum Standort von Kunden ohne Einwilligung verkauft hatten, und der Supreme Court ließ die Bußgelder im Juni 2026 bestehen.

Dein Anbieter ist das einzige Unternehmen, das jede Seite sieht, mit der du dich verbindest, von jedem Gerät im Haushalt aus. Dass er daraus auch Werbung machen darf, ist ein guter Grund, zwei Minuten für die Seite zum Widerspruch (Opt-out) einzuplanen.

Kannst du den Verlauf bekommen oder löschen lassen, den dein Anbieter speichert?

Du kannst ihn anfordern. In der EU und im Vereinigten Königreich gibt dir die DSGVO das Recht auf eine Kopie deiner Daten und auf die Auskunft, wie lange sie gespeichert werden; Anbieter haben normalerweise einen Monat Zeit zu antworten. In Kalifornien gibt der CCPA ein ähnliches Auskunftsrecht, mit 45 Tagen Antwortfrist (bis zu 90). Comcast nimmt Auskunftsanfragen von allen Kunden an, nicht nur von Kaliforniern; Verizon hat ein Formular für Datenschutzanfragen, AT&T die Seite Choices and Controls, und BT beantwortet Anfragen innerhalb eines Monats.

Erwarte keinen ordentlichen Surfverlauf als Antwort. Die FTC fand bei den untersuchten Anbietern kaum aussagekräftige Auskünfte: Die herausgegebenen Daten seien „oft entweder unverständlich oder ohne Kontext sinnlos“. Was ein Anbieter aufgrund einer Speicheranordnung für die Polizei aufbewahrt, ist eine andere Frage, und kein Anbieter sagt, ob solche Daten in der Auskunft enthalten sind.

Das Löschen ist schwieriger. Das Recht auf Löschung nach der DSGVO gilt nicht, wenn ein Gesetz den Anbieter zur Speicherung verpflichtet (Artikel 17 Absatz 3 Buchstabe b); andernfalls dürfen die Daten nicht länger als nötig gespeichert werden. In den USA zwingt kein Gesetz Anbieter, Logs rechtzeitig zu löschen, und eine Sicherungsanordnung friert sie ein. Wenn du den Verlauf in deinem Browser oder Router löschst, werden nur diese Kopien gelöscht; unser Ratgeber zum Löschen des WLAN-Verlaufs behandelt den Router.

So landet weniger von deinem Surfen in den Logs deines Anbieters

Du kannst nicht verhindern, dass dein Anbieter deine IP-Adresse, deine Verbindungszeiten und deinen Datenverbrauch protokolliert. Du kannst aber die Namen der Seiten vor ihm verbergen:

• Verschlüsseltes DNS: Nutze einen anderen DNS-Server als den deines Anbieters, über DNS over HTTPS (DoH). Firefox und Chrome haben das in den Einstellungen, und Mozilla verpflichtet seine Partner-Resolver, identifizierbare Daten innerhalb von 24 Stunden zu löschen.
• Encrypted Client Hello (ECH): verbirgt den Namen der Seite zu Beginn der Verbindung. Es wurde im März 2026 zum Internetstandard und ist in Chrome und Firefox standardmäßig aktiv, funktioniert aber nur bei Seiten, die es unterstützen, etwa solchen hinter Cloudflare. Es braucht auch verschlüsseltes DNS: Der DNS-Server eines Anbieters kann es abschalten.
• Ein VPN: Dein Anbieter sieht dann nur, dass du ein VPN nutzt, und welches. Der VPN-Anbieter sieht, was bisher dein Internetanbieter sah; die EFF nennt das deshalb eine Möglichkeit, „dein Vertrauen zu verlagern“. Wähle eines mit einer geprüften No-Logs-Richtlinie (unsere Liste). In Indien müssen VPN-Anbieter Kundendaten fünf Jahre lang speichern.
• Tor: Dein Anbieter sieht nur, dass du dich mit dem Tor-Netzwerk verbindest. Es ist langsamer, und manche Netzwerke blockieren es; in unserem Tor-Ratgeber findest du Bridges.

Nichts davon löscht, was dein Anbieter schon hat, und nichts verbirgt, dass du online warst. Datenschutz, der von den Speicherregeln eines Unternehmens abhängt, ist kein richtiger Datenschutz. Besser ist, ihm weniger zum Speichern zu geben.