Was KI-Geolokalisierung aus einem einzigen Foto herausliest (2026)

Ein Wort zur Finanzierung: CypherpunkGuide schaltet keine Überwachungswerbung — keine Werbenetzwerke, keine Tracking-Pixel, keine gesponserten Inhalte. Die Finanzierung ist transparent: heute Leserspenden, später ein Abo und redaktionell passende Affiliate-Partnerschaften. Wir fühlen uns unseren Leserinnen und Lesern verpflichtet, nicht den Werbetreibenden.

Ich veröffentliche unter einem Pseudonym und einem KI-generierten Porträt. „Halt einfach dein Gesicht aus dem Bild” konnte deshalb nie meine ganze Antwort auf die Frage nach dem Standort sein. Das Unangenehme ist, was hinter dem Gesicht steht. Im April 2025 ließ ein Entwickler OpenAIs Modell o3 gegen einen GeoGuessr-Master antreten — GeoGuessr ist das Spiel, in dem man aus einer einzigen Street-View-Ansicht den Ort errät. Der Gegner gehörte zur Weltspitze. Das Modell gewann, 23.179 zu 22.054 Punkten, benannte in allen fünf Runden das richtige Land und landete zweimal auf wenige hundert Meter genau. In denselben Tests ignorierte o3 gefälschte GPS-Koordinaten, die in den Metadaten der Datei steckten, und schloss allein aus den Pixeln auf den echten Ort.

Dieses letzte Detail ist die ganze Geschichte. Zwanzig Jahre lang lautete der Standardrat zum Fotoschutz: „Entferne das EXIF” — also den versteckten GPS-Eintrag, den dein Handy in die Datei schreibt. EXIF sind die Aufnahmedaten, die die Kamera ins Foto einbettet, notfalls samt Standort. Der Rat war gut — gegen das, was heute die leichte Hälfte des Problems ist. Die schwere Hälfte: Eine Maschine liest die Dachformen, die Pflanzen, die Fahrbahnmarkierung, den Sonnenstand und die Schrift auf einem Ladenschild — und verortet dich ganz ohne Metadaten. Ein Modell aus Stanford namens PIGEON, das aus Fotos den Aufnahmeort ableitet, erkennt bei einem gewöhnlichen Foto in 91,96 % der Fälle das Land und schlug einen GeoGuessr-Weltmeister in sechs Spielen nacheinander. In einem Benchmark von 2025 traf ein universelles Gemini-Modell in 64,3 % der Fälle die richtige Stadt; die Menschen, gegen die es gemessen wurde, kamen auf 1,7 %.

Die Frage ist hier also nicht, ob KI deinen Standort findet — das kann sie —, sondern was deine Bloßstellung tatsächlich verändert, sobald sie es kann. Ich habe mich durch die öffentlichen Benchmarks und die Feldanleitungen von Bellingcat gearbeitet — Bellingcat ist das Rechercheportal, das mit offenen Quellen arbeitet — und nachvollzogen, wie ein Ermittler ein Foto Schritt für Schritt eingrenzt; dann habe ich diese Kette rückwärts zu einer Verteidigung gedreht. Kurz gefasst: Der Standort sickert heute über zwei Schichten, und jede hat ihre eigene Lösung. Die Metadaten-Schicht kannst du säubern. Die sichtbare Schicht kannst du nur steuern — indem du bestimmst, was im Bild ist und wann es hinausgeht, genau so, wie ein Ermittler für offene Quellen das Problem von hinten aufrollen würde.

Was ein einziges Foto verrät, seit KI mitliest

#

KI-Geolokalisierung heißt, aus dem sichtbaren Inhalt eines Fotos abzuleiten, wo es aufgenommen wurde — aus Gebäuden, Bewuchs, Fahrbahnmarkierungen, Sonnenstand, Schildern — statt aus einem GPS-Eintrag. Das ist der Bruch, auf den es ankommt: Was früher ein Hobby für geübte Menschen war, ist heute eine billige, schnelle, automatische Schätzung — und sie schlägt Expertinnen und Experten, nicht bloß Anfänger. Die Zahlen weiter unten stammen aus fachlich begutachteten Benchmarks und einem viel zitierten direkten Duell, nicht aus dem Marketing der Anbieter.

Wie groß der Abstand zwischen Maschine und Mensch ist, unterschätzen die meisten. In einem akademischen Benchmark von 2025 kam ein Gemini-Modell auf 83,7 % beim Land und 64,3 % bei der Stadt, während menschliche Tester auf denselben Bildern 9,5 % und 1,7 % erreichten. Wer darin wirklich gut ist — ein platzierter GeoGuessr-Spieler —, hält noch mit; und genau deshalb sind der Sieg von o3 über einen Master und PIGEONs Serie gegen einen Champion so alarmierend. Ein Angreifer mietet nicht den Durchschnitt, sondern die Spitze.

Zwei Einschränkungen gehören zur ganzen Wahrheit. Erstens ist die Treffsicherheit ungleich verteilt: Modelle schneiden bei Nordamerika und Westeuropa deutlich besser ab als bei unterrepräsentierten Regionen. „KI kann meinen Ort nicht bestimmen” stimmt also manchmal — verlassen solltest du dich nie darauf. Zweitens reichen spezialisierte Werkzeuge weiter als allgemeine Chatbots. GeoSpy, ein kommerzielles System der Firma Graylark Technologies, wurde mit zig Millionen Aufnahmen aus Straßenperspektive trainiert; die Firma verspricht bei guten Eingaben straßengenaue Präzision. Seine eigene Geschichte ist die Warnung: Nach dem Start posteten Nutzer Videos, in denen sie das Tool baten, bestimmte Frauen zu lokalisieren — woraufhin die Firma den öffentlichen Zugang schloss und das Werkzeug auf Kunden aus Strafverfolgung, Unternehmen und Behörden beschränkte. Die Fähigkeit ist real genug, dass ihre eigenen Macher entschieden, sie der Öffentlichkeit lieber nicht anzuvertrauen.

Wie ein Ermittler ein Foto verortet — und warum dir das hilft

#

Ein Ermittler für offene Quellen braucht keine KI, um ein Foto zu verorten; die Disziplin der Geolokalisierung — nämlich aus sichtbaren Spuren zu bestätigen, wo ein Bild aufgenommen wurde — ist ein Jahrzehnt älter als die Modelle. Ihre Methode zu verstehen lohnt sich, weil eine gute Verteidigung nichts anderes ist als ihre Methode, nur rückwärts: Die Hinweise, nach denen sie jagen, sind genau die, die du aus deinem Bild heraushalten willst. Bellingcat, das Rechercheportal, das diese Praxis maßgeblich geprägt hat, lehrt sie als Checkliste aus Schichten.

Die Schichten stapeln sich vom Groben ins Feine. Chronolokalisierung nutzt Schatten: Länge und Richtung eines Schattens, abgeglichen mit einem Sonnenstandsrechner für ein mögliches Datum, grenzen zugleich die Uhrzeit und den Breitengrad ein. Architektur und Infrastruktur grenzen das Land ein — die Bauform von Strommasten, die Form von Ampeln, Bordstein- und Pollertypen unterscheiden sich je nach Rechtsraum, und Referenzdatenbanken katalogisieren diese Unterschiede. Bewuchs trennt Klimazonen und Regionen. Schilder und Schrift liefern oft eine Stadt oder gleich eine einzelne Straße frei Haus. Und Spiegelungen — eine Schaufensterscheibe, ein Autospiegel, eine Sonnenbrille — können zeigen, was hinter der Kamera lag. Bellingcats Rekonstruktion der MH17-Konvoiroute verfolgte den Transporter, der die Rakete beförderte, mit der 2014 über der Ukraine ein Passagierflugzeug abgeschossen wurde — und beruhte genau auf diesem Stapeln: Schattenanalyse plus Abgleich von Landmarken, festgemacht an einem exakten Straßenabschnitt.

Was die KI verändert hat, ist nicht die Methode, sondern der Preis. Ein menschlicher Ermittler braucht Stunden pro Bild; ein Modell zieht denselben Schluss in Sekunden für ein paar Cent und lässt sich auf einen Schlag auf Tausende Bilder ansetzen. Die Lehre für die Verteidigung ist präzise und ein wenig befreiend: Du musst kein Genie besiegen, du musst nur die Hinweise entfernen, die sich stapeln. Jede Schicht, die du verweigerst — kein Schild, keine markante Skyline, keine spiegelnde Fläche, kein freiliegender Schatten —, ist eine Schicht, die weder Mensch noch Maschine mehr zur Verfügung steht.

Die zwei Schichten, auf denen dein Standort durchsickert

#

Hier ist der Rahmen, der alles andere ordnet — und den die meisten Anleitungen verwischen: Ein Foto verrät den Standort über zwei unabhängige Schichten, und nur eine davon ist ein gelöstes Problem. Weil beide durcheinandergehen, verleiht „Ich habe die Metadaten entfernt” den Leuten eine Sicherheit, die sie sich nicht verdient haben.

Schicht 1 sind die Metadaten — der EXIF-Block, den deine Kamera in die Datei schreibt, samt exakter GPS-Koordinaten, falls die Ortungsdienste an waren. Diese Schicht ist lösbar. Die Daten sind klar abgegrenzt, sie sitzen an einer bekannten Stelle in der Datei, und du kannst sie vollständig entfernen, bevor das Foto dein Gerät je verlässt. Entfern sie, und die Koordinate ist schlicht weg.

Schicht 2 ist der Inhalt — die sichtbare Szene selbst. Vision-Language-Modelle (VLM) — KI also, die Bilder „liest” — lesen genau diese Schicht, und sie ist nicht zu entfernen, denn sie hängt nicht am Foto; sie ist das Foto. Du kannst die Architektur nicht löschen, ohne das Bild zu löschen. Als o3 den gefälschten GPS-Eintrag ignorierte und das Bild aus seinen Pixeln verortete, führte es vor, dass Schicht 2 inzwischen für sich allein steht — ein Angreifer, der aus Schicht 1 nichts bekommt, hat immer noch das ganze sichtbare Bild vor sich.

Das rückt die ganze Verteidigung zurecht. Schicht 1 ist ein Reinigungs-Problem: mechanisch, jedes Mal aufs Neue. Schicht 2 ist ein Kompositions-Problem: Es entscheidet sich, wenn du auf den Auslöser drückst und wenn du auf „Posten” drückst — und kein nachträgliches Werkzeug repariert eine Skyline, die du schon veröffentlicht hast. Der Rest dieses Artikels behandelt beide getrennt, denn sie zusammen zu behandeln, ist der Fehler.

„Aber ich habe die Metadaten entfernt” — was das wirklich löst

#

Metadaten zu entfernen ist notwendig und reicht nicht mehr aus. Es schließt Schicht 1 sauber und tut nichts für Schicht 2 — und selbst innerhalb von Schicht 1 ist das Plattformverhalten, auf das sich die meisten verlassen, enger, als sie denken. Zwei Überzeugungen gehören auseinandergenommen: dass die sozialen Plattformen das schon für dich erledigen, und dass ein schneller Screenshot ein Foto reinwäscht.

Die meisten großen Plattformen kodieren öffentliche Uploads tatsächlich neu und werfen den EXIF-Block aus der Fassung heraus, die andere Nutzer herunterladen können — doch die Garantien haben Bedingungen. Unabhängige Dienste zum Testen von Metadaten berichten mit Stand 2026, dass die Ausnahme über alle Apps hinweg dieselbe ist: Die Modi „als Dokument senden” oder „als Datei senden” umgehen die Neukodierung und bewahren alles — einen Fingertipp vom sicheren Weg entfernt und ohne jede Warnung. Und die öffentliche Kopie zu bereinigen, ist nicht dasselbe wie Löschen — Metas eigene Datenschutzrichtlinie beschreibt, dass Original-Bilddaten für die eigenen Zwecke serverseitig aufbewahrt werden. Die Tabelle unten fasst getestetes Verhalten und offizielle Richtlinien zusammen; lies sie als „wo die Fallen sind”, nicht als Versprechen über einen einzelnen Upload.

Der Screenshot-Mythos verdient eine eigene Zeile, weil Suchmaschinen ihn immer wieder empfehlen. Ein Screenshot erzeugt tatsächlich eine neue Datei ohne den ursprünglichen GPS-Eintrag — eine echte Reparatur auf Schicht 1. Für Schicht 2 bringt er rein gar nichts: Der Screenshot zeigt weiter dieselbe Straße, dieselbe Skyline, dasselbe Ladenschild, und ein Modell liest das aus einem Screenshot genauso gut wie aus dem Original. Ein Screenshot ändert die Datei, nicht das, was im Bild zu sehen ist.

Ein Verteidigungsprotokoll, das zu deinem Bedrohungsmodell passt

#

Ein einzig richtiges Maß an Vorsicht gibt es hier nicht — das passende Protokoll hängt davon ab, wer hinsieht und was er mit einem Treffer anfangen könnte. Pauschalregeln wie „poste nie im Freien” lassen sich im Alltag nicht durchhalten und sind für die meisten überflüssig; sinnvoll ist, den Aufwand an die Bedrohung anzupassen — dieselbe Logik der Bedrohungsmodellierung, um die herum das Surveillance Self-Defense der EFF gebaut ist. Die EFF ist die Electronic Frontier Foundation. Die Stufen unten steigern sich: Die Grundstufe gilt für alle, und jede höhere Stufe ergänzt die vorige, statt sie zu ersetzen.

Was die Stufen voneinander trennt, ist die Tragweite. Für jemanden, der beiläufig teilt, ist ein verortetes Foto ein Kratzer an der Privatsphäre. Für einen öffentlichen Creator oder eine Frau, die ohnehin schon belästigt wird, ist es ein Schritt hin zu einer Begegnung in der realen Welt — und das ist nicht hypothetisch, denn KI-Geolokalisierung nährt genau die Bedrohungen durch Stalking und Partnergewalt (IPV), die Privacy International in ihrer Risikotaxonomie auflistet — Privacy International ist eine britische Datenschutz-NGO —, und erinnere dich, warum GeoSpys Macher die Tür zur Öffentlichkeit zuschlugen. Für einen Aktivisten, eine Journalistin oder eine Überlebende von Missbrauch kann ein einziges geolokalisiertes Bild eine Sache der körperlichen Sicherheit sein. Verorte zuerst dich selbst auf dieser Leiter, dann wende die passende Zeile an.

Drei Techniken brauchen ehrliche Etiketten, damit du ihnen nicht zu viel zutraust. EXIF entfernen gelingt am besten lokal und mechanisch — das Kommandozeilenwerkzeug ExifTool löscht in einem Durchgang alles (exiftool -all= photo.jpg), und weil es auf deinem Rechner läuft, verlässt das Foto ihn nie. Verzögertes Posten schließt das Leck in Echtzeit — einen Angreifer, der erfährt, wo du gerade jetzt bist —, richtet aber nichts gegen eine spätere Analyse aus, denn der Hintergrund löst sich zu einem Ort auf, wann immer man ihn untersucht. Und den Hintergrund verschwimmen zu lassen ist schwächer, als es aussieht: Eine leichte Unschärfe lässt sich per Deblurring teils rückgängig machen — Deblurring ist die Technik, die Unschärfe wieder aufhebt —, ehrlich sind also nur starke Verpixelung oder das vollständige Weglassen. Benenn jede Technik nach der Schicht, um die sie sich kümmert, und du verwechselst „Ich habe etwas getan” nicht länger mit „Ich bin abgesichert”.

Fazit — wie viel solltest du wirklich tun?

#

Für die meisten schrumpft das ganze Protokoll auf zwei Gewohnheiten: Metadaten reflexhaft lokal entfernen und aufhören, die immer gleichen Orte — Zuhause, Arbeit, der Schulweg — in Echtzeit zu posten. Das schließt Schicht 1 vollständig und nimmt Schicht 2 ihren wertvollsten Hinweis: einen Routineort, an dem ein Angreifer ansetzen kann. Alles darüber hängt vom Bedrohungsmodell ab, und wer die hohe Stufe braucht, weiß das meist schon selbst.

Der bleibende Teil ist das Umdenken. Die alte Frage — „Habe ich das Geotagging ausgeschaltet?” — ist eine Frage von Schicht 1, und Schicht 1 läuft fast von allein, sobald ExifTool zur Gewohnheit geworden ist. Die Frage, die dich heute schützt, gehört zu Schicht 2: Was sagt dieses Bild darüber aus, wo ich bin — und würde ich das einem Fremden in die Hand geben, der mich finden will? Wenn ich ein Foto prüfe, bevor es hinausgeht, ist das die einzige Frage, die ich stelle, denn ihre Antwort ist die einzige, die sich vor Maschinen nicht mehr verstecken lässt.

Häufig gestellte Fragen

#

Verbirgt das Entfernen der EXIF-Daten meinen Standort?

#

Es löst die Hälfte des Problems. EXIF zu entfernen löscht die exakte GPS-Koordinate, die deine Kamera eingebettet hat — eine echte und lohnende Reparatur. Aber moderne Vision-Modelle leiten den Standort aus der sichtbaren Szene ab — Architektur, Bewuchs, Sonnenstand, Schilder — ganz ohne Metadaten. In dokumentierten Tests verortete OpenAIs o3 Fotos sogar dann, wenn ihre GPS-Einträge durch Fälschungen ersetzt worden waren. Entferne die Metadaten als Grundschutz und behandle danach den eigentlichen Inhalt des Bildes als die schwerere, ungelöste Schicht.

Ist es sicher, statt des Originalfotos einen Screenshot zu posten?

#

Ein Screenshot entfernt das ursprüngliche EXIF und schließt damit die Metadaten-Schicht — am Bild selbst ändert er aber nichts. Die Straße, die Skyline und alle lesbaren Schilder sind weiter im Bild, und eine KI liest sie aus einem Screenshot genauso gut wie aus der Originaldatei. Ein Screenshot ändert die Datei, nicht das, was im Bild zu sehen ist; er ist keine Abwehr gegen Geolokalisierung.

Kann KI ein Foto wirklich besser verorten als ein Mensch?

#

Ja, und das gegen geübte Menschen, nicht nur gegen Anfänger. Ein Stanford-Modell namens PIGEON erkennt bei einem Foto in 91,96 % der Fälle das Land und schlug einen GeoGuessr-Weltmeister über sechs Spiele hinweg. In einem Benchmark von 2025 kam ein Gemini-Modell auf 64,3 % Treffsicherheit bei der Stadt, während menschliche Tester 1,7 % erreichten. Die Treffsicherheit ist je nach Region ungleich, doch die Spitze — das, was ein entschlossener Angreifer mieten kann — ist sehr hoch.

Schützt es mich, den Hintergrund verschwimmen zu lassen?

#

Nur, wenn es stark genug ist. Eine leichte Unschärfe oder schwache Verpixelung lässt sich mit Deblurring-Techniken teils rückgängig machen, sodass Text und Details wieder auftauchen. Wenn ein Element im Hintergrund deinen Standort verraten würde — ein Straßenschild, ein markantes Gebäude, eine Spiegelung —, sind die verlässlichen Optionen starke Verpixelung oder das vollständige Weglassen, nicht eine sanfte Unschärfe.

Was ist die eine Gewohnheit mit dem größten Nutzen?

#

Hör auf, deine wiederkehrenden Orte in der realen Welt — Zuhause, Arbeitsplatz, die Schule deines Kindes, das Fitnessstudio, in das du nach festem Plan gehst — vor allem in Echtzeit zu posten. Ein einmaliges Urlaubsfoto ist ein kleineres Risiko als eine Routine, an der ein Angreifer ansetzen kann. Verbinde das mit dem lokalen Entfernen des EXIF vor dem Upload, und du hast die Metadaten-Schicht geschlossen und der Inhalts-Schicht ihren verwertbarsten Hinweis genommen.

Dieser Artikel ist das fotospezifische Gegenstück zu einem größeren Strang auf dieser Seite. Dieselbe maschinelle Inferenz, angewandt auf deinen Text statt auf deine Bilder, wird in KI-De-Anonymisierung: Wie Inferenz deine Anonymität aushebelt nachgezeichnet, und welche Annahmen die KI über dein ganzes Bedrohungsmodell hinweg zerbricht, steht in OPSEC im KI-Zeitalter: Dein Bedrohungsmodell neu denken. Weil ein verortetes Foto, einmal gepostet, sich nicht mehr zurücknehmen lässt, findet sich in Digitaler Fußabdruck: Social Media löschen reicht nicht die Bestandsaufnahme dessen, was das Löschen tatsächlich übersteht. Für dieselbe Bedrohung, gerichtet auf deinen Körper statt auf deinen Hintergrund, siehe Stimme und Gesicht sind jetzt Zugangsdaten; und dafür, wie diese Techniken auf ein echtes Ziel zusammenlaufen, Wie Streamer gedoxxt werden — und das Pseudonym-Playbook.