Incogni im Test: Echte Hilfe oder Schlangenöl?

Wenn das Postfach vor Spam überquillt, seltsame Briefe im Briefkasten landen und das Handy ständig mit Spam-Anrufen belästigt wird, ist klar: Jemand hat Zugriff auf persönliche Daten wie E-Mail-Adresse, Name oder Telefonnummer. Kein Wunder, denn echte Daten lebender Menschen sind im Internet viel Geld wert. Deshalb gibt es nicht nur zahlreiche Websites, die versuchen, diese Daten einzusammeln – sondern auch Datenhändler, die diese dann auf- und verkaufen. Seriöse Datenhändler bieten zwar Lösch-Optionen, doch die sind oft versteckt oder umständlich umgesetzt.

Der Dienst Incogni*, Teil von Surfshark VPN und separat oder im Surfshark One-Paket erhältlich, verspricht, Nutzern beim Aufräumen ihrer breiten Datenspur im Netz zu helfen. Incogni nimmt die Löschung eigener Daten bei Data-Brokern automatisiert vor und erlaubt zudem, manuell Einträge von verschiedenen Websites zu löschen. Das soll nicht nur alltägliche Probleme wie (Tele-)Marketing per Telefon, Brief und Mail lösen. Laut Incogni wird damit auch das Risiko, Cyberkriminellen auf den Leim zu gehen, verringert. Incogni soll außerdem vor Doxing, Stalking, Diskriminierung oder sogar finanziellen Problemen sowie Identitätsdiebstahl schützen.

Incogni will Datenspuren beseitigen

Typische Quellen für personenbezogene Daten sind Gewinnspiele und Gratis-Angebote. Wer per E-Mail Geschenke und Gutscheincodes abgreift oder mit Name und Adresse an Verlosungen teilnimmt, landet unter Umständen in der Datenbank großer Datenhändler. Diese verkaufen die Daten dann weiter.

Wer jetzt mit dem Finger zeigt, sollte übrigens vorsichtig sein: Es ist längst nicht nur Bauernfängerei, die Datensätze generiert: Wohl jeder hat schon einmal bei einer Umfrage mitgemacht, Probierprodukte angefordert oder einen Newsletter bestellt. Kurzum: Es kann jedem passieren.

Daten sind ein Sicherheitsrisiko

Natürlich ist Datenhygiene wichtig: Wo immer Datensätze hinterlegt sind, können sie abfließen. Spammer, Scammer, Datendiebe, aber auch offizielle Stellen wie Finanzbehörden und Geheimdienste sind scharf auf Datensätze aller Art. Das Problem dabei: Sind die Daten einmal im Netz, ist deren weitere Verbreitung schwer zu kontrollieren – man kann aber versuchen, den Schaden zu begrenzen.

Incogni setzt hier an, indem es bekannte Datenhändler veranlasst, die eigenen Daten zu löschen. Dazu unterschreibt man bei der Einrichtung des Dienstes ein offizielles Formular, das Incogni ein entsprechendes Mandat überträgt, die Löschungen im eigenen Auftrag vorzunehmen.

Nutzer müssen Incogni vertrauen

Damit Incogni die zielgenaue Löschung eigener Daten anstoßen kann, muss der Dienst die zu löschenden Daten zunächst selbst kennen. Typische Angaben sind Name, Adresse, Geburtsdatum und E-Mail-Adressen. Incogni benötigt die Daten zum Abgleich mit den Datenhändlern; dennoch besteht natürlich immer das Risiko, dass auch bei Incogni selbst die Daten abfließen könnten. Etwa, weil ein Sicherheitsleck auftritt. Nutzer müssen Incogni also vertrauen, dass die hier hinterlegten Daten sicher sind.

Sind die Daten einmal übermittelt – bis zu drei E-Mail-Adressen und drei Postadressen sind möglich – stellt der Dienst automatisch ein Löschanfragen an knapp 50 vorausgewählte Daten-Broker, hauptsächlich im US-amerikanischen Markt. Insgesamt kennt Incogni zum Testzeitpunkt über 420 Datenbroker.

Der Dienst versucht außerdem, die Adressdaten auf die Suppression-List zu setzen, um eine künftige Aufnahme der Daten zu vermeiden. Es handelt sich also um eine Art Robinson-Liste des jeweiligen Datenhändlers. Im Test wurden binnen weniger Minuten 15 der Broker als „Completed“ angezeigt, weitere zwei nach 24 Stunden. Der Rest dauerte deutlich länger.

Erfolgskontrolle im Aktivitätsprotokoll

Während der Löschung hält Incogni im Activity-Log die Prozesse nach und gibt an, welche Datenhändler den Lösch-Prozess bereits abgeschlossen haben. Zudem informiert Incogni darüber, wie viel Zeit der Nutzer gegenüber händischer Löschung gespart hat. In der Übersicht können sich Nutzer zudem darüber informieren, welche Risiken hinter einem Broker stecken, sortiert nach einem Ampelsystem, das die Ernsthaftigkeit („Severity“) der Bedrohung in Rot, Gelb und Grün abbildet. Die Bewertung ist laut Incogni abhängig von der Sensibilität der Daten, die der jeweilige Anbieter hält und vom daraus hervorgehenden Risiko. Verlinkt werden die Anbieter jedoch nicht.

Auch die Informationen über die gelöschten Daten bei den Brokern sind leider sehr kurz und knapp: Was da genau an Daten gelöscht wurde und ob der Datenhändler überhaupt Einträge hatte, bevor Incogni sie zum Abgleich übermittelte, behält Incogni für sich. Auch die Meldung über die Suppression-List-Einträge könnte ausführlicher sein, denn sie gibt nicht einmal an, bei welchen Anbietern ein entsprechender Eintrag gesetzt wurde. Hier ist also erneut Vertrauen in den Anbieter gefragt. Deutlich mehr Infos wären definitiv wünschenswert, nicht nur für Techies. Vielleicht hält Incogni es mit dem ehemaligen deutschen Innenminister Thomas de Maizière: „Ein Teil dieser Antworten würde die Bevölkerung verunsichern.“

Manuelle Datenlöschung per Google und Link-Übermittlung

Nur im Unlimited-Tarif ist die manuelle Datenübermittlung enthalten. Die Funktion erscheint zunächst komfortabel: Google-Suche prüfen, Link übermitteln, Incogni kümmert sich um den Rest. Die Umsetzung ist jedoch noch nicht ideal gelungen. Denn Incogni prüft die Suchergebnisse nur zu einer vollständigen Adresse. Das reduziert erstens die Zahl der potenziellen Treffer deutlich und fragt zweitens nicht die wichtigen Leaks wie E-Mail-Adresse und Telefonnummer ab. Ganz abgesehen von der Frage, wieso Incogni die Daten derart an Google verschleudert.

Findet man trotzdem einen Treffer, kann man den Link manuell an Incogni übermitteln. Alternativ können natürlich auch ohne Google bereits bekannte, unerwünschte Inhalte entfernt werden. Der Dienst verspricht, sich „binnen sieben bis 30 Tagen“ darum zu kümmern – auf „über 2000 Websites“. Also in einem klitzekleinen Fitzelchen des offiziellen Internets. Nutzer sind dadurch laut Incogni in der Lage, Altlasten loszuwerden. Zumindest theoretisch, denn praktisch liegt es natürlich im Ermessen des Seitenbetreibers, ob er einen Artikel oder einen Beitrag entfernt.

Darknet: Der Elefant im Raum

Womit wir beim Elefanten im Raum wären: Das Darknet als unerschöpflicher Quell unendlicher illegaler Datensätze wird von Incogni komplett ignoriert. Dabei liegen gerade hier die illegalen Datenschätze, auf die Spammer, Scammer und Identitätsdiebe gerne zurückgreifen, um potenzielle „Kunden“ zu belästigen. Im Darknet sammeln sich auch die richtig fiesen Daten an, vollständige Social-Media-Profile etwa oder Kreditkarten-Daten aus Leaks bei Online-Händlern. Das Problem: Incogni könnte hier ohnehin nichts ausrichten – und weist sogar in einem Support-Dokument darauf hin.

Immerhin: Das Risiko, dass solche Daten im Darknet landen, wird tatsächlich durch Incogni gesenkt. Einfach, weil Incogni zumindest die offizielle Datenspur deutlich reduzieren kann. Schließlich birgt jeder Datensatz im Netz das Risiko, abgefischt und inoffizieller Verwendung zugeführt zu werden.

Datenlöschung im Abomodell

Incogni ist nur im Abo erhältlich, das in unseren Augen recht hoch bepreist ist. Im Unlimited-Tarif fallen für einen Monat knapp 29 Euro an, der Standard-Tarif kostet über 14 Euro pro Monat. In beiden Tarifen gibt es 50% Rabatt auf den Monatspreis, wenn man sich für ein volles Jahr bindet. Auf der Website wirbt Incogni mit Nettopreisen, weshalb die Preisangaben dort niedriger sind als der tatsächliche Warenkorb bei der Bestellung.

Fazit: Incogni kann nützlich sein, hält aber nicht, was es verspricht

Incogni* bietet eine Dienstleistung an, die daraus besteht, Einträge bei offiziellen, legalen Datenbrokern zu löschen. Dazu gibt es gegen Aufpreis eine Funktion, um Daten vor fremden Websites löschen zu lassen. Beide Services werden leider nur im Abomodell angeboten, sind aus unserer Sicht jedoch eher eine punktuelle, alle paar Jahre zu wiederholende Maßnahme.

Zudem gibt es in Europa auch noch die Sache mit der Datenschutz-Grundverordnung: Wer vermutet, dass ein Unternehmen Daten hat und vermarktet, kann diese per DSGVO-Anfrage abfragen und gegebenenfalls löschen lassen. Und die vorgenannte Robinson-Liste schützt vor „legaler“ Werbung und Marketingversuchen. Incogni ist hier aber nicht deckungsgleich.

Was also tun mit diesem Dienst? Nun: Wer regelmäßig Daten von bekannten Datenbrokern löschen möchte, um das allgemeine Risiko von Datenlecks und Marketingversuchen zu mindern, kann ohne Bedenken das kleine Incogni-Paket (Standard) abonnieren. Unlimited können wir zum Testzeitpunkt nicht empfehlen. Und wer wirklich auf Nummer sicher gehen will, sollte jede Form von Gutscheinen, Gewinnspielen und Umfragen gegen Daten im Netz meiden, Alias-E-Mail-Adressen einsetzen und persönliche Daten nur an seriöse Dienste – etwa Online-Händler – herausgeben. Das ist mittelfristig eine deutlich bessere Strategie, als zu hoffen, dass Incogni einen bereits vorhandenen Datenschaden im Nachgang beheben kann.

* Mit einem Stern markierte Links sind Affiliate-Links, für die wir unter Umständen eine Provision erhalten. Der Kaufpreis erhöht sich dadurch nicht!

Redaktion & Aktualisierung: heise download

Weiterlesen: VPN-Test: Die besten VPN-Anbieter im Vergleich