Auch niederländische Informationssicherheitsexperten lassen sich offenbar auf Strava verfolgen

Bis Anfang August 2026 hatte Vizeadmiral Peter Reesink, seit Februar 2024 Direktor des niederländischen militärischen Nachrichtendienstes MIVD, ein öffentliches Strava-Konto. Jahrelang waren seine Rad- und Laufstrecken für jeden sichtbar, der einen Blick darauf werfen wollte. Aus diesen Daten konnten Journalisten von de Volkskrant, wie von NOS berichtet, seine Wohnadresse ermitteln, wo er sein Wohnmobil parkte, seine Urlaubsmuster und seinen regelmäßigen Arbeitsweg zur Frederikkazerne in Den Haag, dem Sitz der MIVD-Zentrale. Das verstößt gegen die eigenen Richtlinien des Verteidigungsministeriums, die genau deshalb existieren, um zu verhindern, dass solche Informationen an die Öffentlichkeit gelangen. Das Konto wurde inzwischen auf privat gestellt, und Reesink hat darum gebeten, es vollständig zu löschen.

Darin liegt eine besondere Ironie. Bei der Vorstellung des MIVD-Jahresberichts 2025 warnte Reesink selbst, dass Russland bei seinen nachrichtendienstlichen Aktivitäten immer dreister vorgeht. Zu diesem Zeitpunkt protokollierte er noch immer seinen eigenen Arbeitsweg zu einer gesicherten Einrichtung in einer App, die jeder öffnen konnte.

Falls Ihnen das bekannt vorkommt, dann zu Recht. Anfang dieses Jahres soll ein französischer Marineoffizier durch einen aufgezeichneten Strava-Lauf den Standort des Flugzeugträgers Charles de Gaulle preisgegeben haben, während dieser auf dem Weg in den Nahen Osten war, so derselbe NOS-Bericht. Im vergangenen Jahr spürte Omroep Gelderland über dieselbe App mehr als tausend niederländische Militärangehörige auf. Und das reicht noch weiter zurück. Im Jahr 2018 legte Stravas eigene globale Heatmap der Nutzeraktivität ungewollt die Umrisse von Militärbasen im Irak, in Syrien und Afghanistan offen, samt der Patrouillenrouten, die durch sie hindurchführten. Danielle Cave, leitende Analystin am Australian Strategic Policy Institute, nannte den daraus entstandenen Datensatz damals eine “open source intelligence gold mine”. Sie übertrieb nicht.

Und jetzt stellt sich heraus, dass auch mehr als fünfzig niederländische Informationssicherheitsexperten ihre Ausfahrten auf Strava veröffentlichen, offen für jeden sichtbar.

Ist Strava tatsächlich ein Sicherheitsrisiko?

Ja, wirklich. Eine Trainings-App muss Sie nicht namentlich nennen, um Sie zu enttarnen. Sie muss nur protokollieren, wo Sie starten, wo Sie ankommen und wie oft Sie dieselbe Strecke nehmen. Tun Sie das lange genug, erledigen die Metadaten den Rest: Wohnadresse, Arbeitsplatz, der Schulweg, das Ferienhaus, genau die Woche, in der Sie weg sind. Genau das ist die Überlegung hinter den Richtlinien des Verteidigungsministeriums, und genau das machte Reesinks Konto zunichte.

Warum betreibt Guardian360 dann einen Radsportclub, der genau dasselbe tut?

Weil diese über fünfzig Informationssicherheitsexperten die Cyber Cyclists sind, eine Gruppe, für die Guardian360 regelmäßige Ausfahrten organisiert. Sie zeichnen jede Ausfahrt auf Strava auf, in einem öffentlichen Club, den jeder finden kann, und neue Mitglieder sind willkommen. Um klarzustellen, was das ist und was nicht: Es ist kein Produkt und keine kostenpflichtige Dienstleistung von Guardian360, es ist eine Gruppe von Menschen aus der Branche, die gerne gemeinsam Rad fahren und die zufällig in dem Bereich arbeiten, der seine Arbeitstage damit verbringt, anderen Menschen zu sagen, sie sollten zweimal überlegen, was sie online veröffentlichen.

Weil das Risiko nie die App war, sondern die Diskrepanz

Das Veröffentlichen einer Radausfahrt ist nicht automatisch ein Sicherheitsversagen. Es hängt völlig davon ab, was Sie schützen und vor wem. Der Direktor eines militärischen Nachrichtendienstes, dessen tägliche Bewegungen direkt mit einer als geheim eingestuften Einrichtung und einem Bedrohungsbild verbunden sind, das einen staatlichen Akteur einschließt, den Reesink selbst als immer dreister bezeichnete, schützt etwas Spezifisches von hohem Wert. Eine Gruppe von Informationssicherheitsexperten, die sich an einem Freitagnachmittag zu einer vertrauten Runde trifft, schützt allenfalls ihre Sprintzeit bis zum Ortsschild und ihren Platz in der Club-Rangliste. Beide Fälle als dasselbe Problem zu behandeln, “eine App hat einen Standort verraten”, verfehlt den Kern völlig. Die App hat in keinem der beiden Fälle versagt. Sie tat genau das, wofür sie gebaut wurde. Der Unterschied lag darin, ob sich jemand Gedanken darüber gemacht hatte, was das bedeutet, bevor er auf Speichern drückte.

Das ist die eigentliche Lehre aus der Reesink-Geschichte, und sie ist weniger befriedigend als “lösch die App”. Die nützliche Frage war nie, ob man seine Ausfahrt teilen sollte. Sie lautete, ob man darüber nachgedacht hatte, wer zusieht und warum es von Bedeutung wäre, wenn es so ist.

Die Cyber Cyclists haben darüber nachgedacht, und genau deshalb ist es nicht die Geschichte, dass ihre Strava-Daten öffentlich bleiben. Wenn überhaupt, ist das geradezu der Sinn des Clubs.

Wenn Sie in den Niederlanden in der Informationssicherheit arbeiten und herausfinden möchten, wie sich eine Ausfahrt am Freitagnachmittag mit fünfzig Gleichgesinnten tatsächlich anfühlt, steht der Cyber-Cyclists-Club auf Strava zum Beitritt offen, und neue Fahrer können sich über die Guardian360-Website anmelden.

Quellen

• NOS, “MIVD-directeur had openbaar account op sportapp Strava, huisadres te achterhalen”, August 2026.
• Nederlands Dagblad, “MIVD-directeur had openbaar account bij Strava: activiteiten jarenlang te volgen”, August 2026.
• ABC News, “Strava has published details about secret military bases, and an Australian was the first to know”, January 2018.