Instagrams eigenes App Privacy Label auf iOS listet 37 separate Datentypen auf, die von Nutzern gesammelt werden. Davon sind exakt 8 erforderlich, damit das Kernprodukt funktioniert: dein Username, E-Mail, Fotos die du postest, Direktnachrichten, die Accounts denen du folgst, deine Profilinformationen und grundlegende Gerätekennungen für Login-Sicherheit.

Das bedeutet: 29 Datenpunkte sind überschüssig. Instagram saugt deinen Browserverlauf auf anderen Websites auf, deinen präzisen Standortverlauf, deine Kontaktliste, deine Gesundheits- und Fitnessdaten aus verbundenen Apps, deine Finanzinformationen, Suchverlauf, Kaufverlauf und jede Interaktion mit Drittanbieter-Inhalten innerhalb der App. Das Unternehmen verknüpft all dies mit deiner Identität und nutzt es zum Aufbau von Werbeprofilen. Ein Teil davon wird mit Facebooks App-Familie unter einer gemeinsamen Infrastruktur geteilt, die Meta “one account, many surfaces” nennt.

Die Frage “ist Instagram Spyware” wird normalerweise als paranoid oder technisch unbedarft abgetan. Aber wenn du Spyware definierst als Software, die persönliche Daten über das für ihre erklärte Funktion Notwendige hinaus sammelt und dies auf Weisen tut, die die meisten Nutzer nicht vollständig verstehen, dann lautet die Antwort ja, zu mindestens 79 Prozent.

Der funktionale Baseline-Test

Fang damit an, was Instagram tatsächlich zum Funktionieren braucht. Foto-Sharing benötigt Speicherzugriff, damit du Bilder auswählen kannst. Der Feed braucht ein Account-System, um Posts zuzuordnen. Direktnachrichten brauchen Message-Content. Stories brauchen temporären Medienzugriff. Die Explore-Seite braucht ein Signal darüber, was du magst, das aus deinen Follows und Likes innerhalb von Instagram selbst abgeleitet werden kann.

Nichts davon erfordert, dass Instagram weiß, was du letzte Woche bei Amazon gekauft hast. Nichts davon erfordert Zugriff auf deine Kontakte (du kannst manuell nach Leuten suchen). Nichts davon erfordert deine präzisen GPS-Koordinaten, wenn du nicht aktiv eine location-getaggte Story postest. Nichts davon erfordert Tracking dessen, was du in Safari oder Chrome tust, nachdem du die App geschlossen hast.

Trotzdem sammelt Instagram all das. Das Privacy Label schlüsselt nicht auf, wie jeder Datentyp verwendet wird, aber unabhängige Forschung aus 2021 fand heraus, dass Instagrams SDK jedes Mal, wenn die App geöffnet wird, 14 Typen von Gerätedaten an Facebook-Server sendet, darunter Batterielevel, freier Speicherplatz, Bildschirmdimensionen und Bewegungssensordaten. Einiges davon könnte theoretisch die App-Performance verbessern, aber das meiste ist Fingerprinting-Material, das dich durchs Web trackt, selbst wenn du ausgeloggt bist.

Was tatsächlich Spyware ausmacht

Klassische Spyware wie Pegasus oder kommerzielle Stalkerware operiert heimlich. Sie versteckt ihr Icon, läuft still und leitet Daten ohne Zustimmung ab. Instagram tut nichts davon. Du hast den Bedingungen zugestimmt. Du hast die Permission-Anfragen durchgetippt. Die Datensammlung wird irgendwo in der Datenschutzerklärung offengelegt, selbst wenn diese 5.000 Wörter lang ist und vierteljährlich ohne sinnvolle Benachrichtigung aktualisiert wird.

Aber Zustimmung, die durch Informationsasymmetrie erlangt wird, ist keine bedeutungsvolle Zustimmung. Du kannst den Privacy-Tradeoff nicht vernünftig bewerten, wenn der volle Umfang der Datensammlung absichtlich hinter juristischer Sprache verborgen und über mehrere Policy-Dokumente verstreut ist. Und du kannst definitiv nicht Praktiken zustimmen, von deren Existenz du nichts weißt, wie die Art, wie Instagram deine Gesichtszüge in Fotos analysiert, um demografische Profile aufzubauen, selbst wenn du nie jemanden taggst.

Die Überwachung passiert in aller Öffentlichkeit, aber die Mechanismen und finalen Verwendungszwecke bleiben undurchsichtig. Metas eigene Forscher gaben in geleakten Dokumenten zu, dass das Unternehmen Schwierigkeiten hat nachzuvollziehen, wohin Nutzerdaten gehen, sobald sie ihre Systeme betreten. Wenn das Unternehmen, das die Daten sammelt, seine eigenen Datenflüsse nicht vollständig erfassen kann, haben Nutzer keine Chance.

Das ökonomische Modell ist der Beweis

Instagram ist kostenlos, weil deine Daten mehr wert sind als eine Abo-Gebühr. Metas durchschnittlicher Umsatz pro Nutzer in Nordamerika lag im Q4 2025 bei 68,44 Dollar. Das ist der Marktpreis für deine Verhaltensdaten, Engagement-Muster und Aufmerksamkeit. Die gesamte Werbeinfrastruktur hängt von granularem Tracking ab, das weit über das hinausgeht, was die App zum Funktionieren braucht.

Das ist keine Verschwörungstheorie. Es ist ihr Geschäftsmodell, klar formuliert in Investoren-Präsentationen. Die Anreizstruktur besteht darin, alles Mögliche zu sammeln, es unbegrenzt zu speichern und neue Verwendungszwecke dafür zu finden, während sich Ad-Targeting-Techniken weiterentwickeln. Deshalb hat Instagram Shopping-Features, Reels und Direktnachrichten-Reactions hinzugefügt. Mehr Oberflächen bedeuten mehr Engagement-Daten zum Ernten.

Die Permissions, die du Instagram gewährst, verfallen nicht. Das Unternehmen behält sich das Recht vor, Daten zu verwenden, die du vor Jahren generiert hast, auf Weisen, die nicht existierten, als du gepostet hast. Deine alten Stories werden zu Trainingsdaten für KI-Modelle. Dein Gesicht wird Teil von Facial Recognition Datasets. Dein Standortverlauf wird in Bewegungsmuster-Datenbanken aggregiert, die Dinge über dich ableiten können, die du nie explizit geteilt hast.

Wo die Grenze zu ziehen ist

Nicht alle Datensammlung ist Spyware. Apps brauchen gewisse Informationen zum Funktionieren. E-Mail-Clients müssen deine Nachrichten speichern. Karten-Apps brauchen deinen Standort. Die Unterscheidung liegt in Zweck und Verhältnis.

Instagram überschreitet die Grenze, weil die Sammlung extraktiv statt funktional ist. Die App würde mit 70 Prozent weniger Daten gut funktionieren. Sie würde mit 90 Prozent weniger großartig funktionieren. Meta sammelt sie trotzdem, weil das Geschäftsmodell maximale Extraktion verlangt, nicht optimale Produkt-Experience.

Du kannst Instagram immer noch nutzen. Aber tu es mit dem Verständnis, dass du unter aktiver Überwachung durch ein Unternehmen operierst mit einer nachgewiesenen Geschichte von Datenmissbrauch, Privacy-Verletzungen und regulatorischen Strafen. Die FTC verhängte 2019 eine Strafe von 5 Milliarden Dollar gegen Meta. 2023 verhängte die EU eine Strafe von 1,3 Milliarden Dollar wegen Datentransfer-Verletzungen. Das sind keine Unfälle. Sie sind die Kosten, Geschäfte zu machen, wenn dein Geschäft Überwachung ist.