Incognito Mode Is a Lie: How Porn Sites Actually Track You (And What to Do About It)

Du schließt den Tab. Du verspürst diese kleine, private Genugtuung, das digitale Äquivalent dazu, die Schmutzwäsche vor Besuch in den Wäschekorb zu werfen. Der Inkognitomodus hat alles geregelt. Niemand hat etwas gesehen. Du bist sauber. Oder doch nicht? Im Dezember 2025 brachten Forscher einen Datenleck mit Pornhubs integrierter Mixpanel-Analyse in Verbindung, und die Ergebnisse waren alles andere als subtil: rund 201 Millionen Datensätze. Keine Anmeldepasswörter. Verhaltensmuster. Was die Nutzer ansahen. Wie lange. Wann. Auf welchem Gerät. Diese Daten flossen die ganze Zeit an ein externes Analyseunternehmen, während die Nutzer darauf vertrauten, dass ein privates Browserfenster sie schützen würde. Das tat es nicht.Die Geschichte erhielt nicht die verdiente Aufmerksamkeit. Die meisten Nutzer von Erwachsenenwebseiten haben nie davon gehört. Doch falls Sie jemals erleichtert einen Inkognito-Tab geschlossen haben, wünschen wir uns, dieser Artikel hätte schon existiert, bevor diese Daten in Umlauf gerieten. Wir von PornGeek haben uns eingehend mit den Recherchen zum Tracking auf Erwachsenenwebseiten auseinandergesetzt: den GDPR-Einreichungen von TrackingExposed, den Analysen von AI Forensics zum Datenfluss durch Werbenetzwerke, den Fingerprinting-Dokumenten der Electronic Frontier Foundation und den zahlreichen Gesetzesinitiativen, die die Funktionsweise dieser Seiten in den USA aktuell grundlegend verändern. Im Folgenden präsentieren wir unsere Ergebnisse, übersichtlich dargestellt, damit Sie aktiv etwas dagegen unternehmen können.

Was der Inkognito-Modus tatsächlich bewirkt (und was er nicht bewirkt)

Der private Browsermodus hat eine einzige Aufgabe und erfüllt diese hervorragend. Wenn Sie eine Inkognito-Sitzung schließen, löscht Ihr Browser den lokalen Verlauf, die Sitzungscookies und alle während dieser Sitzung hinzugefügten Autofill-Daten. Der Tab wird geschlossen. Das ist die vollständige Liste der Dinge, vor denen Sie der Inkognitomodus schützt.Es verbirgt Ihre IP-Adresse nicht vor den von Ihnen besuchten Websites. Es hindert Ihren Internetanbieter nicht daran, zu protokollieren, mit welchen Domains Sie sich verbinden. Es blockiert keine in die geladenen Seiten eingebetteten Tracker-Skripte. Es verhindert nicht, dass eine Website anhand der Signale, die Ihr Gerät allein durch das Rendern einer Webseite aussendet, ein Verhaltensprofil in Ihrem Browser erstellt. Es verhindert nicht, dass Ihre Verhaltensdaten die Website verlassen und an einen externen Analysedienst übermittelt werden.Googles eigener Inkognito-Startbildschirm sagt das. Auch der private Browser-Bildschirm von Firefox sagt das. Die Browser verheimlichen es Ihnen nicht. Sie haben einfach vor fünfzehn Jahren aufgehört, die Hinweise zu lesen, und es nie wieder getan. Verständlich. Aber jetzt wissen Sie es.

Fünf Arten, wie Pornoseiten tatsächlich wissen, dass du es bist

Canvas Fingerprinting

Wenn Ihr Browser eine Seite rendert, nutzt er die GPU Ihres Geräts. Canvas-Fingerprinting funktioniert, indem ein Tracking-Skript Ihren Browser anweist, ein unsichtbares Bild zu zeichnen und anschließend genau zu melden, wie die GPU es gerendert hat. Das Rendering-Ergebnis variiert geringfügig je nach Ihrer Grafikhardware, den installierten Schriftarten und der Treiberversion. Diese Variation erzeugt eine Zahl, die nur Ihnen zugeordnet ist. Sie ändert sich weder beim Löschen von Cookies noch im Inkognito-Modus. Sie bleibt auf Websites erhalten, die dieselbe Fingerprinting-Bibliothek verwenden. Das bedeutet, dass dieselbe Kennung Sie von einer Videoplattform zur anderen begleiten kann, ohne dass jemals ein Cookie gesetzt wird.Die Electronic Frontier Foundation hat ein Tool namens „Cover Your Tracks“ entwickelt, das speziell darauf abzielt, die Einzigartigkeit der Browsersignatur aufzuzeigen. Die meisten Nutzer stellen fest, dass sie unter Hunderttausenden getesteten Nutzern identifiziert werden können. Dies ist kein Fehler ihrer Hardwarekonfiguration, sondern ein Tracking-System, das genau wie vorgesehen funktioniert.

Browser-Metadaten

Neben der GPU-Signatur übermittelt Ihr Browser bei jedem Seitenaufruf eine lange Liste an Informationen. Ihr User-Agent-String gibt Ihre genaue Browserversion und Ihr Betriebssystem preis. Bildschirmauflösung, Farbtiefe und Pixelverhältnis Ihres Geräts schränken die Auswahl weiter ein. Die auf Ihrem System installierten Schriftarten, Ihre aktiven Plugins, Ihre Zeitzone, Ihre Systemsprache und Ihre regionalen Einstellungen ergeben zusammen ein Profil, das deutlich spezifischer ist, als Sie es wünschen. All dies geschieht ohne Cookies. Auch im Inkognito-Modus ändert sich nichts davon. Es ist fester Bestandteil der Browserkommunikation mit Servern, da die meisten dieser Signale legitimen Zwecken dienen, wie beispielsweise der korrekten Darstellung von Seiten auf Ihrem Gerät.

IP-Adressenprotokollierung

Ihre IP-Adresse wird von jedem Server protokolliert, mit dem Sie sich verbinden. Dies ist eine grundlegende Netzwerkfunktion und keine Erfindung von Erwachsenenwebseiten. Doch speziell bei Pornoseiten kann eine mit dem Sitzungsverlauf verknüpfte IP-Adresse Ihren ungefähren Standort, Ihren Internetanbieter und mit der Zeit Ihre Identität preisgeben, falls diese Daten bei einem Datenleck an die Öffentlichkeit gelangen oder im Rahmen einer gerichtlichen Anordnung zugänglich gemacht werden. Große Videoportale speichern IP-Protokolle für einen von ihren Rechtsabteilungen festgelegten Zeitraum. Die Speicherdauer variiert je nach Rechtslage. Dass dies geschieht, ist jedoch immer gleich.

Cookie-Respawning und Evercookies

Standard-Cookies lassen sich leicht löschen. Deshalb sind sie nicht der einzige Speichermechanismus. Evercookie-Techniken speichern dieselbe Tracking-Kennung gleichzeitig an mehreren Orten: Standard-HTTP-Cookies, im lokalen Speicher, in IndexedDB, im Cache und in manchen Implementierungen in den ETags, die Ihr Browser zum Zwischenspeichern statischer Ressourcen verwendet. Wenn Sie Ihre Cookies löschen, überprüft die Website die verbleibenden Speicherorte, findet Ihre alte Kennung und speichert sie wieder im Cookie-Speicher. Sie denken, Sie hätten Ihre Daten gelöscht. Sie haben Wäsche gewaschen und dabei einen Stift in der Tasche gehabt.Samy Kamkar veröffentlichte vor Jahren den ursprünglichen Proof of Concept für Evercookie, der in der Forschung zum Datenschutz von Browsern häufig zitiert wird. Die Erwachsenenunterhaltungsbranche, die sich aufgrund der hohen Werbeeinnahmen stets vehement für Werbetechnologien einsetzt, übernahm frühzeitig Varianten davon.

Drittanbieter-Tracker-Netzwerke

Hier kommt die Geschichte von Mixpanel ins Spiel. Große Porno-Websites laden standardmäßig JavaScript von Drittanbietern, beispielsweise von Analyse- und Werbeunternehmen. Dieses JavaScript wird in Ihrem Browser ausgeführt und überträgt Daten an Server, mit denen Sie nie direkt verbunden waren. TrackingExposed, eine europäische Datenschutzorganisation, dokumentierte den Tracker-Stack von Pornhub anhand von DSGVO-Beschwerden und stellte fest, dass Nutzerverhaltensdaten ohne angemessene Einwilligungsinfrastruktur an zahlreiche Dritte weitergegeben wurden. AI Forensics, ein Partner von TrackingExposed in dieser Studie, veröffentlichte Ergebnisse, die zeigen, wie die über Tracker-Pixel von Erwachsenen-Websites generierten Daten identifizierbare Verhaltensprofile abbilden.Die Veröffentlichung der Mixpanel-Daten im Dezember 2025 machte dies auf eine Weise deutlich, die jahrelange akademische Forschung nicht vermocht hatte. Zweihundertundeine Millionen Datensätze sind kein theoretisches Datenschutzrisiko. Dahinter stecken unzählige Menschen, die glaubten, anonym zu sein – und es nicht waren.

Die staatliche Blockade und was ein VPN tatsächlich behebt

Pornhub ist in rund 23 US-Bundesstaaten aufgrund gesetzlicher Bestimmungen zur Altersverifizierung nicht mehr erreichbar. Anstatt Verifizierungssysteme einzuführen, blockierte die Seite den Datenverkehr aus diesen Staaten komplett. Daraufhin schnellten die Suchanfragen nach VPNs in die Höhe, und auf Reddit gab es unzählige Diskussionen darüber, welchen Dienst man nutzen könne, um die Sperre zu umgehen. Die Ratschläge waren im Großen und Ganzen hilfreich, soweit sie reichten – allerdings nicht sehr weit.Ein VPN löst in diesem Zusammenhang zwei wichtige Probleme. Es verbirgt Ihre IP-Adresse vor der besuchten Website, sodass Pornhub einen Server in Amsterdam sieht und nicht die Adresse Ihres Internetanbieters. Außerdem verbirgt es vor Ihrem Internetanbieter, welche Websites Sie besuchen, sodass dieser nicht protokollieren kann, dass Sie Pornhub besucht haben. Um eine geografische Sperre aufgrund Ihres vermeintlichen Standorts zu umgehen, sind diese beiden Funktionen genau das, was Sie benötigen – und ein VPN bietet sie.Ein VPN verhindert nicht das sogenannte Canvas-Fingerprinting. Es ändert weder die GPU-Signatur Ihres Browsers noch verhindert es, dass Websites Ihre Browser-Metadaten erfassen. Auch das Laden und Übertragen Ihrer Verhaltensdaten durch Tracker-Skripte von Drittanbietern wird nicht blockiert. Wenn der Mixpanel-Tracker von Pornhub aktiv war, als Sie sich über Ihr VPN verbunden haben, wurden Ihre Sitzungsdaten trotzdem an Mixpanel gesendet. Das VPN bewirkte lediglich, dass Mixpanel für diese Sitzung eine andere IP-Adresse protokollierte.Wir raten Ihnen nicht von der Nutzung eines VPNs ab. Wir möchten Sie lediglich darauf hinweisen, dass Sie verstehen sollten, was Sie erwerben. Ein VPN ist eine von mehreren Ebenen des Datenschutzes, nicht die gesamte Lösung.

Die zehnminütige Einrichtung Ihrer Privatsphäre, die wirklich funktioniert

Hier ist alles kostenlos oder günstig, und Sie müssen dafür keine tiefergehenden Netzwerkkenntnisse haben. Die Konfiguration erfolgt einmalig.

Zu Brave wechseln

Brave basiert wie Google Chrome auf Chromium, sodass Ihre gewohnte Webnutzung unverändert bleibt. Der einzige Unterschied besteht darin, dass Brave standardmäßig mit zufälliger Fingerabdruckgenerierung ausgeliefert wird. Jedes Mal, wenn Sie ein neues privates Fenster öffnen, liefert Brave einen leicht veränderten Canvas-Fingerabdruck an alle Skripte, die einen anfordern. Dadurch werden Sie nicht unsichtbar, aber es wird deutlich schwieriger, Sie sitzungsübergreifend zu verfolgen, da sich die Kennung jedes Mal ändert. Ein System, das versucht, Sie nach dem Löschen Ihrer Cookies erneut zu identifizieren, liefert einen Fingerabdruck, der nicht mehr mit dem gespeicherten übereinstimmt.Brave verfügt über einen eigenen Werbe- und Tracker-Blocker, der den Großteil der unerwünschten Inhalte von Werbenetzwerken für Erwachsenenwebseiten ohne weitere Konfiguration Ihrerseits blockiert. Sie können ihn unter brave.com herunterladen. Importieren Sie Ihre Lesezeichen aus Chrome während der Einrichtung. Im täglichen Surfverhalten werden Sie keinen Unterschied bemerken, außer dass Seiten schneller laden.

Fügen Sie uBlock Origin hinzu, wenn Sie Firefox verwenden

Firefox ist eine legitime Alternative und bietet bereits starke Datenschutzeinstellungen. Wenn Sie bei Firefox bleiben, installieren Sie uBlock Origin. Es ist der effektivste verfügbare Inhaltsblocker und kostenlos. Die Standardfilterlisten blockieren die meisten Tracking-Pixel und Analyse-Skripte. Durch Hinzufügen der „Störungslisten“ in den uBlock-Einstellungen wird der Schutz noch erweitert. Wichtig zu wissen: uBlock Origin verliert auf Chrome zunehmend an Funktionalität, da Google die Manifest V3-Erweiterungsregeln einführt, die einschränken, was Inhaltsblocker tatsächlich abfangen können. Firefox und Brave sind zukünftig die besseren Plattformen dafür, und diese Kluft wird sich weiter vergrößern.

DNS-over-HTTPS aktivieren

Bei jedem Websitebesuch führt Ihr Browser vor dem Laden von Inhalten eine DNS-Abfrage durch. Dabei wird ein Verzeichnisdienst gefragt, welche IP-Adresse zum eingegebenen Domainnamen gehört. Standardmäßig wird diese Anfrage unverschlüsselt über die Server Ihres Internetanbieters gesendet. Das bedeutet, dass Ihr Anbieter jede von Ihnen angeforderte Domain einsehen kann, selbst wenn er den Inhalt Ihrer Sitzungen nicht sehen kann. Dieses separate Protokoll Ihres Surfverhaltens existiert unabhängig von Ihrem Browserverlauf und hat keinerlei Auswirkungen auf das Löschen von Cookies.DNS-over-HTTPS verschlüsselt diese Anfragen und leitet sie über einen Resolver, der nicht von Ihrem Internetanbieter stammt. Cloudflares 1.1.1.1 ist die schnellste und am weitesten verbreitete Option. NextDNS ist die bessere Wahl, wenn Sie zusätzlich zur Verschlüsselung benutzerdefinierte Sperrregeln festlegen möchten. In Firefox finden Sie die Einstellung unter „Einstellungen“ > „Datenschutz & Sicherheit“. Scrollen Sie dort zum Abschnitt „DNS over HTTPS“ im unteren Bereich der Seite. In Brave finden Sie die Einstellung unter „Einstellungen“ > „Datenschutz & Sicherheit“ > „Sicherheit“. Die gesamte Konfiguration dauert etwa zwei Minuten.

Wählen Sie ein VPN, das nicht Schrott ist

Wenn Sie IP-Schutz wünschen, sind folgende Kriterien entscheidend: Der Anbieter sollte eine nachweislich von einem unabhängigen Dritten geprüfte No-Logs-Richtlinie haben – nicht nur eine Marketingaussage. Er sollte in einem Land ansässig sein, das nicht unter die Zuständigkeit von US-amerikanischen oder EU-Datenschutzabkommen fällt. Er sollte Zahlungsmethoden akzeptieren, die keine Rückschlüsse auf Ihre Identität zulassen. Und er sollte nicht einem Unternehmen gehören, das nachweislich Nutzerdaten monetarisiert.Mullvad erfüllt all diese Kriterien und akzeptiert Barzahlung. ProtonVPN ist ein weiterer Anbieter, der sich bei genauer Prüfung bewährt hat. Beide wurden geprüft und bieten ein gutes Preis-Leistungs-Verhältnis. Das kostenlose VPN aus dem App Store ist mit ziemlicher Sicherheit schlechter als gar kein VPN, da kostenlose VPN-Dienste in der Regel auf dem Verkauf der gesammelten Sitzungsdaten basieren. Die Ironie, ein Datenschutztool zu nutzen, das sich durch den Verkauf Ihrer Daten finanziert, ist genau das, was Sicherheitsforscher beschäftigt.

Das TAKE IT DOWN-Gesetz und warum sich die Landschaft erneut verändert

Der „Take It Down Act“ wurde Anfang 2026 vom US-Senat verabschiedet. Er zielt auf nicht einvernehmliche, intime Bilder ab, darunter auch KI-generierte Deepfakes, und verpflichtet Plattformen, gemeldete Inhalte innerhalb von 48 Stunden zu entfernen, andernfalls drohen ihnen strafrechtliche Konsequenzen. Die Frist für die Umsetzung der Regelung ist der 19. Mai 2026, was zum Zeitpunkt der Veröffentlichung dieses Artikels noch etwa drei Wochen entfernt ist.Wenn Sie ausschließlich legale Inhalte konsumieren, sind die direkten Auswirkungen auf Sie begrenzt. Das Gesetz zielt auf die Verbreitung von nicht einvernehmlichem Material ab, nicht auf die Zuschauer einvernehmlicher Inhalte für Erwachsene. Diese Gesetzgebung ist jedoch Teil eines umfassenderen Regulierungsdrucks, der Webseiten für Erwachsene bereits zu schwierigen Entscheidungen über ihre Geschäftspraktiken in den Vereinigten Staaten zwingt. Diese Entscheidungen beinhalten fast ausnahmslos die Erhebung von mehr, nicht weniger Nutzerdaten.Die einzelstaatlichen Gesetze zur Altersverifizierung, die Pornhub in 23 Bundesstaaten blockierten, verdeutlichen dieses Muster am besten. Um in Staaten, die diese Gesetze regeln, weiterhin zugänglich zu sein, muss eine Website das Alter ihrer Nutzer überprüfen. Zur Verifizierung ist die Erfassung von Daten erforderlich: amtliche Ausweisdaten, biometrische Daten oder Daten, die über einen externen Altersverifizierungsdienst übermittelt werden. Jedes System, das Ihr Alter überprüft, kann auch Ihre Identität protokollieren. Das ist keine Spekulation über die Absicht. Genau das ist die Funktionsweise der entsprechenden Infrastruktur.Die regulatorische Richtung ist eindeutig und zielt nicht auf eine geringere Datenerfassung ab. Eine Browserkonfiguration, die es technisch erschwert, Sie zu verfolgen, ist die angemessene Reaktion auf ein Umfeld, in dem die Überwachung der von Ihnen genutzten Websites zunehmend strenger wird.

Das Fazit

Der Begriff „Geek“ in unserem Namen hatte schon immer eine Bedeutung. Er bedeutet, dass wir uns mit Dingen auseinandersetzen, die die meisten anderen überspringen. Wir finden heraus, wie die Dinge wirklich funktionieren, und teilen dieses Wissen, damit Sie fundiertere Entscheidungen treffen können. Die Betreiber großer Porno-Websites beschäftigen ganze Entwicklerteams, deren Aufgabe es ist, ihre Zielgruppe bis ins kleinste Detail zu verstehen. Zu dieser Zielgruppe gehören auch Ihre Browsersignatur und Ihr bisheriges Surfverhalten. Das ist seit Jahren so. Der Datenverstoß im Dezember 2025 hat dies nur auf eine Weise deutlich gemacht, die nicht mehr zu ignorieren war.Die Lösung ist unkompliziert. Der Brave-Browser behebt das Problem mit dem Fingerprinting. uBlock Origin oder der in Brave integrierte Blocker schützt vor Tracker-Netzwerken. DNS-over-HTTPS verhindert die Protokollierung durch den Internetanbieter. Ein geprüftes VPN ohne Protokollierung löst das IP-Problem. Diese Sicherheitslösung behebt die relevanten Schwachstellen, ohne dass Sie ein Experte für Netzwerksicherheit werden müssen. Die Einrichtung ist einmalig.Falls Ihnen dieser Beitrag geholfen hat, speichern Sie ihn und leiten Sie ihn an alle weiter, die in Ihrem Umfeld immer noch auf den Inkognito-Modus vertrauen. Wir behandeln solche Themen regelmäßig auf PornGeek.com, denn das Kleingedruckte der zwielichtigen Strukturen des Internets zu lesen, ist so unser Spezialgebiet.