Stiehlt diese App mein Passwort? Warum wir nie nach deinen Instagram-Zugangsdaten fragen

Kurze Antwort

Wir fragen nie nach deinem Instagram-Passwort, weil die Abfrage öffentlicher Inhalte keines braucht: Unsere Server rufen öffentliche Daten anhand eines Benutzernamens ab, ein Passwort hätte also nichts aufzuschließen. Deshalb gibt es auf dieser Seite auch keine Instagram-Anmeldung. Was wir sehr wohl sehen, sind deine IP-Adresse und der Benutzername, den du eintippst – ohne die kann ein Server dir nicht antworten. Was wir speichern, sind Zahlen: Seitenaufrufe pro Tag, Abfragen pro Tag und wie oft jeder öffentliche Benutzername nachgeschlagen wurde, ohne dass neben diesen Zahlen steht, wer es war. Beide Hälften sind wichtig, und der Rest dieser Seite zeigt, wie du sie überprüfst, ohne uns glauben zu müssen. Außerdem führen wir sieben Tage lang ein anonymes Besuchsprotokoll: Zeitpunkt, Land, Gerät, Seiten, Suchen und welche öffentlichen Konten bei jedem Besuch nachgeschlagen wurden – ohne IP-Adresse, Cookie oder Konto-Kennung und nur für den Betreiber einsehbar.

Warum muss ich mich auf dieser Seite nicht anmelden?

Weil es darauf ankommt, von wo aus die Anfrage gestellt wird. Du schickst einen öffentlichen Benutzernamen an unsere Server. Die fragen bei kommerziellen Datenanbietern – und für manche öffentlichen Daten über Instagrams eigene öffentliche Schnittstellen – das öffentliche Profil, die Storys, Highlights und Beiträge dieses Kontos ab und schicken dir das Ergebnis zurück. Dein Browser kommuniziert nur mit uns, Instagram sieht also eine Anfrage aus unserer Infrastruktur statt von deinem Gerät – und deshalb landet auch niemand in der Zuschauerliste der Story. Nachzulesen ist das auf unserer Methodik-Seite.

Betrachte das einmal unter dem Aspekt der Zugangsdaten: Der einzige Schlüssel, den der Abruf braucht, ist ein öffentlicher Benutzername. Ein Passwort identifiziert dich, und in dieser ganzen Kette kommst du als Instagram-Nutzer gar nicht vor – ein Passwortfeld hätte also keine Funktion. Aus demselben Grund würden auch Zugangsdaten kein privates Konto sichtbar machen: Privat heißt, dass Instagram die Inhalte nur an bestätigte Follower ausliefert.

Stiehlt die App mein Passwort? Was ein Anmeldeformular einer Seite tatsächlich einbringt

Wir können die Server anderer Anbieter nicht prüfen und werden keine bestimmte Seite als Dieb bezeichnen, aber das Muster sollte man kennen. Eine Seite, die dich dazu bringt, deinen Instagram-Benutzernamen und dein Passwort auf ihrer eigenen Seite einzutippen, bekommt auf einen Schlag:

• Die Möglichkeit, in deinem Namen zu handeln. Mit dieser Sitzung lässt sich posten, löschen, folgen, Direktnachrichten lesen und senden sowie die E-Mail-Adresse und Telefonnummer ändern, über die das Konto wiederhergestellt wird. Verlangt die Seite zusätzlich den sechsstelligen Code aus deiner Authenticator-App oder per SMS, ist auch die Zwei-Faktor-Authentifizierung keine Hürde mehr.
• Zugangsdaten, die sich anderswo ausprobieren lassen. Viele Menschen verwenden Passwörter mehrfach. Deshalb lohnt es sich, die Kombination, die Instagram öffnet, auch bei E-Mail, Cloud-Speicher und Onlinebanking zu testen – der typische Ertrag von Phishing nach Zugangsdaten, wie ihn die US-Verbraucherschutzbehörde FTC beschreibt: ein Formular, viele Folgeversuche.
• Ein geliehenes Konto für die eigenen Abrufe. Dienste für öffentliche Inhalte werden an der Quelle gedrosselt, und ein Vorrat echter, angemeldeter Konten ist für den Betrieb nützlich. Das Risiko einer Einschränkung trägt dabei dein Konto: Instagrams Nutzungsbedingungen (Öffnet in einem neuen Fenster) rechnen das, was mit deinen Zugangsdaten geschieht, deinem Konto zu.

Was erhebt ihr dann?

Das ist der Teil, den Seiten mit „Wir respektieren deine Privatsphäre“ gern weglassen. Instagram sieht dich hier nicht. Wir schon.

Jede Zeile der folgenden Tabelle stammt aus unserer Datenschutzerklärung und unserer Methodik-Seite, und dieselbe Liste ist unter /llms.txt veröffentlicht, sodass sich alle drei vergleichen lassen. Sollten dieser Artikel und die Datenschutzerklärung voneinander abweichen, gilt die Datenschutzerklärung.

Daten	Wo sie liegen	Wie lange	Wer sie sehen kann
Dein Instagram-Passwort	Nirgends. Auf der Seite gibt es keine Instagram-Anmeldung und kein Feld, das ein Passwort annehmen würde	Entfällt	Niemand, auch wir nicht
Deine IP-Adresse	Unser Server sieht sie bei jeder Anfrage, wie jeder Webserver, und verwendet sie im Arbeitsspeicher für Ratenbegrenzung, Missbrauchsschutz und einen täglich wechselnden Hash, mit dem eindeutige Besucher gezählt werden und der den Arbeitsspeicher nie verlässt. Bei einer Kontoabfrage wird sie in keine Tabelle, kein Log und keine Datei geschrieben. Es gibt drei eng begrenzte Ausnahmen: Bei einem Entfernungsantrag wird ein Einweg-Hash deiner Adresse gespeichert, damit nicht eine Person Hunderte Anträge stellt; blätterst du durch die Kommentare eines Beitrags, zählt das einen Tageszähler für faire Nutzung hoch, der unter einem Einweg-Hash deiner Adresse geführt wird; und ein Anmeldeversuch auf der privaten Administratorseite wird samt IP-Adresse im Audit-Log festgehalten. Auch unsere Hosting- und Netzwerkanbieter sehen jede IP-Adresse, um die Seite auszuliefern, und führen eigene Logs nach ihren eigenen Richtlinien	Bei Abfragen nicht gespeichert; die genannten Hashes und Audit-Einträge werden aufbewahrt	Nach Ende einer Abfrage niemand; bei den Ausnahmen nur der Betreiber
Der Benutzername, nach dem du gesucht hast	Unser Server sieht ihn, denn genau den rufen wir ab. Er bleibt in einer Tageszählung erhalten (dieser Tag, dieser öffentliche Benutzername, so viele Abfragen – ohne Spalte für Besucher, Sitzung oder IP-Adresse) und sieben Tage lang im anonymen Besuchsprotokoll, das die bei jedem Besuch nachgeschlagenen öffentlichen Konten auflistet, ohne IP-Adresse, Cookie oder Konto-Kennung	Die Zählung bleibt; das Besuchsprotokoll wird nach sieben Tagen gelöscht; dass du eine Abfrage gemacht hast, wird nicht gespeichert, weil nichts davon auf dich verweist	Der Betreiber sieht die Zählungen und das Besuchsprotokoll; keins von beidem verrät, wer der Besucher war
Aufgerufene Seiten, Klicks, Verweildauer, Scrolltiefe	Unser Server, als Tagessummen pro Seite: kein Analyse-Cookie, kein Datensatz pro Besucher, keine Sitzung. Deshalb musst du weder in eine Analyse einwilligen noch ihr widersprechen	Die Zahlen bleiben; pro Person gibt es nichts zu löschen	Der Betreiber
Deine Merkliste	Nur in deinem Browser (IndexedDB peekghost-watchlist, ersatzweise localStorage)	Bis du die Websitedaten löschst	Nur du; sie wird nicht hochgeladen
Deine letzten Suchen	Nur in deinem Browser (localStorage: der Benutzername und ein kleines Vorschaubild)	Bis du die Websitedaten löschst	Nur du
Zwischengespeicherte öffentliche Inhalte	Unser Server: verkleinerte öffentliche Bilder in einem größenbegrenzten Festplatten-Cache, der die am längsten nicht genutzten Dateien zuerst verdrängt (128 MB auf dieser Seite zum oben genannten Datum); Text-Metadaten für Minuten bis Stunden; Videos und Dateien in Originalgröße werden gestreamt, nicht gespeichert	Metadaten werden eine Woche nach Ablauf ihres Cache-Zeitraums gelöscht; bei Bildern hängt es vom Datenverkehr ab	Jeder, der dasselbe öffentliche Konto abfragt

Zwei Anmerkungen, die nicht im Kleingedruckten verschwinden sollen. Die Zählung pro Benutzername ist nicht optional, und wir sagen lieber, warum, als es zu verstecken: Für genau diese Abfragen bezahlen wir, und die Zählung zeigt uns, wie sich unsere Kosten zusammensetzen. Sie ist eine Zahl über ein öffentliches Konto, nicht über dich, und Kontoinhaber können ihr auf der Entfernungsseite widersprechen. Ein Einwilligungsbanner kann dort, wo das Gesetz es verlangt, trotzdem erscheinen – aber nur für Werbe- und Analyse-Tags von Drittanbietern, falls der Betreiber welche aktiviert hat, nie für unsere eigene Zählung, die kein Cookie setzt. Und sollte es irgendwann bezahlte Tarife geben und du die Synchronisierung der Merkliste einschalten, würden wir eine verschlüsselte Kopie deiner Liste speichern, die wir nicht lesen können – der einzige Fall, in dem etwas aus der Spalte „nur in deinem Browser“ dein Gerät verlässt.

Wir verkaufen diese Daten nicht, und wir verraten Kontoinhabern nicht, wer sie nachgeschlagen hat. Wo das Gesetz es verlangt, geben wir sie heraus – das ist eine Einschränkung für uns, kein Versprechen.

Wie kann ich das selbst überprüfen?

Bei allem, was in deinem Browser passiert, musst du dich nicht auf unser Wort verlassen.

Was wir nicht versprechen können

• Wir sehen dich sehr wohl. Deine IP-Adresse und der Benutzername, den du eintippst, erreichen bei jeder Abfrage unseren Server, und daran ändert keine Formulierung etwas. Versprechen können wir den nächsten Schritt: Deine IP-Adresse wird nicht aufgezeichnet, und der Benutzername bleibt nur in Tageszählungen und in einem anonymen Besuchsprotokoll für sieben Tage erhalten, das weder IP-Adresse noch Cookie noch Konto-Kennung enthält. Es gibt bei uns also keinen Datensatz, der dich nennt und der durchsickern, per Gerichtsbeschluss angefordert oder verkauft werden könnte. Die eng begrenzten Ausnahmen (ein Einweg-Hash bei einem Entfernungsantrag oder beim Blättern durch Kommentare sowie Anmeldeversuche auf der Administratorseite) stehen in der IP-Zeile der Tabelle oben. Anonym heißt hier: gegenüber Instagram und dem Kontoinhaber sowie gegenüber unserem eigenen Speicher – nicht gegenüber unserem Server in dem Moment, in dem er dir antwortet.
• Vor deinem eigenen Netzwerk können wir dich nicht verbergen. Dein Internetanbieter, dein Arbeitgeber oder deine Schule können weiterhin sehen, dass du die Seite besucht hast, und dein Browserverlauf zeichnet auf, was du geöffnet hast.
• Wir können nicht versprechen, dass nie etwas nach außen dringt. Wo das Gesetz eine Offenlegung erzwingt, kommen wir dem nach – allerdings haben wir dann nur Zählungen herauszugeben und, bei einem Entfernungsantrag, den Hash einer Adresse.
• Wir können keine privaten Konten zeigen und dir nicht sagen, wer etwas angesehen hat. Beides liegt außerhalb öffentlicher Daten.
• In unsere Server kannst du nicht hineinschauen. Jenseits der Browserseite hast du eine veröffentlichte Datenschutzerklärung, drei Beschreibungen, die übereinstimmen müssen, einen Entfernungsweg mit 72-Stunden-Frist und einen erreichbaren Betreiber. Das ist eine Grundlage für Vertrauen, kein Beweis – und das sagen wir lieber offen.

Häufige Fragen

Stiehlt die App mein Passwort?

Sie bekommt gar keins. Nirgends auf der Seite gibt es eine Instagram-Anmeldung, und eine öffentliche Abfrage funktioniert über einen Benutzernamen. Überprüfen kannst du das, indem du im Seitenquelltext nach type="password" suchst.

Muss ich mich anmelden, um eine öffentliche Story anzusehen?

Nein. Eine öffentliche Story, ein Highlight, ein Reel, ein Beitrag oder ein Profilbild lässt sich allein mit einem Benutzernamen abrufen. Verlangt eine Seite eine Instagram-Anmeldung, bevor sie öffentliche Inhalte zeigt, hat diese Forderung keinen technischen Grund.

Ist es sicher, diesen Apps Zugriff auf mein Instagram-Konto zu geben?

Gewährst du Zugriff, ob per Passwort oder indem du eine App autorisierst, gibst du die Möglichkeit aus der Hand, in deinem Namen zu handeln: posten, Nachrichten schreiben, Direktnachrichten lesen, Wiederherstellungsdaten ändern. Zum Ansehen öffentlicher Inhalte ist nichts davon nötig, und wir bieten auch keinen Button zum Autorisieren über Instagram an. Wie du jede Seite daraufhin prüfst, zeigt unsere Sicherheits-Checkliste mit 12 Punkten.

Sammeln diese Apps Daten für Hacks?

Wir können nur für diese eine antworten. Was wir haben, steht in der Tabelle oben: Zählungen von Seitenaufrufen und Abfragen und dazu, wie oft jeder öffentliche Benutzername nachgeschlagen wurde, außerdem sieben Tage lang ein anonymes Besuchsprotokoll darüber, welche öffentlichen Konten bei jedem Besuch nachgeschlagen wurden, ohne IP-Adresse, Cookie oder Konto-Kennung – nicht verkauft, nicht an Werbetreibende weitergegeben. Mit einem Benutzernamen und einer IP-Adresse kann sich niemand irgendwo anmelden; mit einem Passwort schon – und genau danach fragen wir nie. Und nein: Wir können weder sehen, wer deine Story angesehen hat, noch ein privates Konto öffnen.

Ist das Betrug?

Beurteile es an überprüfbaren Dingen statt an unseren Formulierungen: ein einziges Eingabefeld, keine Instagram-Anmeldung, keine Pflichtumfrage und kein Download vor dem Inhalt, eine Datenschutzerklärung, die konkret sagt, was der Server sieht, was er speichert und wie lange, und ein Weg zur Entfernung. Eine Seite, die daran scheitert, verlässt du besser – diese eingeschlossen.

Wie bekomme ich mein eigenes Konto aus diesem Tool heraus?

Über die Entfernungsseite: Wir bemühen uns, innerhalb von 72 Stunden Abfragen dieses Benutzernamens zu sperren, die Zählungen zu löschen, die wir dazu haben, und zwischengespeicherte Kopien zu verwerfen; die Sperre bleibt bestehen, bis du sie aufhebst. An Instagram selbst ändert das nichts – dafür musst du das Konto auf privat stellen.

Fazit

Ein Passwort würde uns nichts bringen, was wir brauchen – deshalb fragt auch kein Feld danach, und das kannst du in Sekunden überprüfen, statt es uns zu glauben. Was wir tatsächlich erfassen, ist langweiliger als Zugangsdaten, und wir schreiben es lieber offen hin: Unser Server sieht deine IP-Adresse und den Benutzernamen, den du eintippst, zeichnet bei einer Abfrage keins von beidem auf und speichert stattdessen Zahlen – Seitenaufrufe, Abfragen und wie oft jeder öffentliche Benutzername nachgeschlagen wurde. Die Ausnahmen stehen in der Tabelle oben; wir haben sie dort aufgeführt, statt sie wegzulassen. Die erste Hälfte sagen wir, weil erst sie der zweiten Gewicht verleiht. Außerdem führen wir sieben Tage lang ein anonymes Besuchsprotokoll: Zeitpunkt, Land, Gerät, Seiten, Suchen und welche öffentlichen Konten bei jedem Besuch nachgeschlagen wurden – ohne IP-Adresse, Cookie oder Konto-Kennung und nur für den Betreiber einsehbar. Wir stehen in keiner Verbindung zu Instagram oder Meta.

Quellen

1. Peekghost-Datenschutzerklärung - Was wir erheben (Öffnet in einem neuen Fenster) (abgerufen am 27. Sept. 2026)
2. Peekghost-Datenschutzerklärung - Wie lange wir es aufbewahren (Öffnet in einem neuen Fenster) (abgerufen am 27. Sept. 2026)
3. Peekghost-Methodik - Was unsere Server protokollieren (Öffnet in einem neuen Fenster) (abgerufen am 27. Sept. 2026)
4. Peekghost - Mein Profil entfernen (Weg zur Entfernung für Kontoinhaber) (Öffnet in einem neuen Fenster) (abgerufen am 27. Sept. 2026)
5. Dein Meta-Konto mit Zwei-Faktor-Authentifizierung schützen (Instagram-Hilfebereich) (Öffnet in einem neuen Fenster) (abgerufen am 27. Sept. 2026)
6. Instagram-Nutzungsbedingungen (Instagram-Hilfebereich) (Öffnet in einem neuen Fenster) (abgerufen am 27. Sept. 2026)
7. US Federal Trade Commission - Phishing-Betrug erkennen und vermeiden (Öffnet in einem neuen Fenster) (abgerufen am 27. Sept. 2026)