Sind Unfollower-Apps sicher? Was passiert, wenn du deinen Login weitergibst

Was du preisgibst, wenn du dich in einer Follower-App einloggst

Dein Passwort oder etwas genauso Wertvolles

Wenn du deinen Benutzernamen und dein Passwort in eine Drittanbieter-App eintippst, hat die App deine Zugangsdaten. Selbst wenn sie verspricht, sie nicht zu speichern, kannst du das nicht überprüfen. Es ist schon schiefgegangen:

• 2015 wurde entdeckt, dass eine App namens InstaAgent, die angeblich zeigte, wer dein Instagram-Profil angesehen hat, Benutzernamen und Passwörter an einen fremden Server schickte und ungefragt Fotos in den Konten mancher Nutzer postete. Apple und Google haben sie aus ihren Stores entfernt (MacRumors, CNN).
• 2017 fand die Sicherheitsfirma ESET 13 Android-Apps, die mehr Instagram-Follower versprachen, die eingegebenen Logins aber an einen fremden Server schickten. Die gestohlenen Konten wurden dann genutzt, um die Follower-Zahlen anderer Leute aufzublähen. Die Apps hatten bis zu 1,5 Millionen Nutzer erreicht, bevor Google sie entfernte (ESET WeLiveSecurity).

Das heißt nicht, dass jede Follower-App heute bösartig ist. Aber sobald dein Passwort auf dem Server eines anderen liegt, hängst du vollständig von der Ehrlichkeit und Sicherheit dieses Betreibers ab.

„Wir sehen dein Passwort nie“ ist nicht die ganze Wahrheit

Manche Apps fragen nicht direkt nach deinem Passwort. Stattdessen zeigen sie Instagrams Anmeldeseite innerhalb der App. Das wirkt sicherer, hängt aber davon ab, wo sich die Seite öffnet:

Eingebaute Browser können eigenes JavaScript in die Seiten einschleusen, die sie anzeigen. Der Sicherheitsforscher Felix Krause hat das 2022 für die In-App-Browser mehrerer großer Apps demonstriert (krausefx.com). Jede App, die eine Anmeldeseite auf diese Weise anzeigt, hat dieselbe technische Möglichkeit. Ein Sitzungs-Cookie reicht, um ein Konto zu nutzen, ohne das Passwort zu kennen.

Warum ein offizieller Berechtigungsbildschirm das nicht löst

Meta hat die Instagram Basic Display API, die viele Verbraucher-Apps für private Konten nutzten, am 4. Dezember 2024 abgeschaltet (TechCrunch). Die aktuelle Instagram-API liefert followers_count und follows_count eines Kontos, hat aber keinen Endpunkt, der auflistet, wer diese Follower sind (Meta for Developers).

Wenn dir eine App nach dem Einloggen also eine vollständige Liste deiner Follower zeigt, bekommt sie diese Liste nicht von einem offiziellen Endpunkt. Meist nutzt sie deine Sitzung so, wie es die Instagram-App tun würde. Instagrams Nutzungsbedingungen sagen sinngemäß: Du darfst nicht versuchen, Konten zu erstellen oder auf unzulässige Weise auf Informationen zuzugreifen oder sie zu sammeln.

Was Instagram über diese Apps sagt

Der Instagram-Hilfebereich befasst sich mit Apps, die Likes und Follower anbieten (Warum du keine Apps nutzen solltest, die Likes und Follower anbieten, Drittanbieter-Apps). Eine eigene Seite zu Unfollower-Trackern gibt es nicht, aber die Warnung davor, deinen Login herauszugeben, gilt für jede App:

• Apps, die Follower oder Likes anbieten, sind nicht mit Instagram verbunden und werden nicht von Instagram unterstützt.
• Wenn du so einer App deinen Login gibst, egal ob als Benutzername und Passwort oder als Zugriffstoken, kann sie vollständigen Zugriff auf dein Konto bekommen, einschließlich deiner Nachrichten, und Spam posten.
• Instagram kann Likes und andere Interaktionen entfernen, die so eine App erzeugt hat. Bei Konten, die weiterhin Apps nutzen, um mehr Follower zu bekommen, können Teile des Kontos eingeschränkt werden, und das Konto kann deaktiviert oder gelöscht werden.

Instagram veröffentlicht keine genauen Schwellenwerte dafür, wann es ein Konto einschränkt, und viele Vermutungen, die du online findest, sind durch nichts belegt. Was Instagram anbietet, ist der Kontostatus: Öffne dein Profil, tippe auf das ☰-Menü und unter Weitere Infos und Support auf Kontostatus. Dort siehst du entfernte Inhalte und Funktionen, die du nicht nutzen kannst, und bei professionellen Konten außerdem, ob deine Inhalte Nicht-Followern empfohlen werden können (Kontostatus, Empfehlungsfähigkeit). Wenn du dir wegen einer Follower-App Sorgen machst, die du früher genutzt hast, schau auf dieser Seite nach. Unsere Anleitung zum Prüfen und Beheben eingeschränkter Reichweite erklärt, was jeder Eintrag bedeutet.

Schon eine Follower-App genutzt? So räumst du auf

Wenn du dich irgendwann in einer Follower-, Unfollower- oder „Profilbesucher“-App eingeloggt hast, geh diese Schritte in der Instagram-App durch. Die Menünamen können sich zwischen App-Versionen leicht unterscheiden; wenn du einen Punkt nicht findest, gib seinen Namen in das Suchfeld oben in „Einstellungen und Aktivität“ ein.

1. Entferne verbundene Apps. Geh zu deinem Profil und tippe auf das ☰-Menü. Tippe unter Deine App und Medien auf Website-Berechtigungen und dann auf Apps und Websites. Tippe im Tab Aktiv neben allem, was du nicht kennst oder nicht mehr nutzt, auf Entfernen. Prüf auch den Tab Abgelaufen: Diese Apps haben keinen Zugriff mehr, verfügen aber eventuell noch über Daten, die sie vorher gesammelt haben (Instagram-Hilfe).
2. Prüf, wo du eingeloggt bist. Öffne Kontenübersicht (Meta benennt sie nach und nach in Meta-Konto um, eventuell siehst du also diesen Namen) → Passwort und Sicherheit → Wo du eingeloggt bist. Melde jedes Gerät und jeden Ort ab, den du nicht kennst (Instagram-Hilfe).
3. Ändere dein Passwort im selben Bereich Passwort und Sicherheit. Nimm ein Passwort, das du nirgendwo sonst verwendest. Das ist vor allem wichtig, wenn du dein Passwort je in die App eingetippt hast, denn eine App, die nur dein Passwort hatte, taucht nicht unbedingt unter „Apps und Websites“ auf.
4. Aktiviere die Zwei-Faktor-Authentifizierung unter Passwort und Sicherheit → Zwei-Faktor-Authentifizierung. Eine Authentifizierungs-App ist robuster als SMS-Codes.
5. Lösch die App von deinem Handy. Sie aus Instagrams Liste zu entfernen, entfernt sie nicht von deinem Gerät.
6. Prüf den Kontostatus (☰-Menü → Weitere Infos und Support → Kontostatus) auf Einschränkungen.

Die Alternative: deinen eigenen Datenexport auswerten

Datenschutzgesetze wie die DSGVO geben dir das Recht, Daten, die du bereitgestellt hast, „in einem strukturierten, gängigen und maschinenlesbaren Format“ zu erhalten (Art. 20 DSGVO). Instagram, TikTok, X und Facebook bieten alle so einen Export an, und er enthält deine Follower- und Gefolgt-Listen (bei Facebook auch deine Freundesliste).

Mit dem Export zu arbeiten hat klare Vorteile und einige echte Einschränkungen:

Die Wartezeit ist der größte Nachteil. Ein Instagram-Export nur mit Followern ist oft innerhalb von Minuten bis wenigen Stunden fertig, laut Meta kann es aber länger dauern. TikTok und X sagen, dass es ein paar Tage dauern kann. Instagram, TikTok und Facebook halten einen fertigen Export 4 Tage lang bereit (Instagram-Hilfe).

Halte den Export klein

Auch der Export besteht aus personenbezogenen Daten, also fordere nur an, was du brauchst:

• Instagram: Starte bei Deine Informationen und Berechtigungen in der Kontenübersicht, wähle Deine Informationen exportieren, nimm nur Follower und gefolgte Konten und das Format JSON. Die Instagram-Export-Anleitung führt durch jeden Bildschirm.
• Facebook: Wähle nur Freunde und Follower und das Format JSON.
• TikTok: Wähle Benutzerdefiniert und mindestens Profil und Einstellungen, wo die Follower-Listen liegen. Siehe So forderst du deine TikTok-Daten an.
• X: Das Archiv enthält immer alles, auch Medien. Am Computer kannst du es entpacken und aus dem Ordner data nur follower.js und following.js auswählen.

Schritt-für-Schritt-Anleitungen für alle vier Plattformen findest du im Tutorial. Wenn du dein Ergebnis hast, lösch die ZIP-Datei aus deinem Downloads-Ordner, falls du sie nicht brauchst, und schick sie niemandem: Sie listet alle auf, mit denen du verbunden bist.

Wie UnfollowTool mit deiner Datei umgeht

UnfollowTool besteht aus Webseiten, die den Export in deinem Browser auswerten: dem Instagram-Tool und Tools für TikTok, X und Facebook. Wenn du sehen willst, was es macht, bevor du einen Export anforderst, hat jedes Tool einen Button Mit Beispieldaten testen, der Ergebnisse für erfundene Konten zeigt. Das passiert, wenn du deine eigene Datei nutzt:

1. 1

   Du wählst die ZIP-Datei aus (oder die einzelnen Dateien daraus). Dein Browser liest das Inhaltsverzeichnis der ZIP-Datei auf deinem Gerät. Fotos, Videos und andere Medien darin werden übersprungen, ohne gelesen zu werden.

2. 2

   Nur die relevanten Dateien werden geöffnet: die Follower- und Gefolgt-Listen sowie zusätzliche Listen, wenn der Export sie enthält, zum Beispiel offene Follow-Anfragen bei Instagram oder entfernte Freunde bei Facebook. Bei Instagram liest das Tool außerdem deinen eigenen Benutzernamen aus dem Export, falls er enthalten ist, damit die Verläufe verschiedener Konten getrennt bleiben.

3. 3

   Die Listen werden verglichen und als Folgen dir nicht zurück, Du folgst nicht zurück und Gegenseitig angezeigt, dazu die zusätzlichen Listen. Du kannst suchen, sortieren und jedes Profil öffnen. Entfolgen machst du selbst, in der App.

4. 4

   Optionaler Verlauf auf deinem Gerät. Wenn Ergebnis auf diesem Gerät speichern aktiviert ist (standardmäßig der Fall), speichert das Tool die Kontonamen aus deinen Listen im browsereigenen Speicher (IndexedDB), bis zu fünf Analysen pro Konto. Wenn du später einen neueren Export analysierst, zeigt es Dir entfolgt und Neue Follower seit dem letzten. Deaktivierst du das Kästchen, wird nichts aus deinem Export gespeichert. Gespeicherten Verlauf löschen entfernt, was gespeichert wurde.

5. 5

   CSV-Download, wenn du willst. Jede Liste lässt sich als CSV-Datei herunterladen. Die Datei wird in deinem Browser erstellt und wie jeder andere Download gespeichert, also behandle sie wie den Export selbst.

Neben dem optionalen Verlauf speichert die Website drei kleine Einstellungen in deinem Browser: dein helles oder dunkles Design, deine Cookie-Auswahl und ob das Kästchen „Speichern“ aktiviert ist.

Was der Export enthält, bestimmt auch, was ein Tool überhaupt zeigen kann. X speichert in seinen Follower-Dateien nur numerische Account-IDs, daher zeigt das X-Tool IDs mit einem Link zu jedem Profil statt Benutzernamen. Facebook-Exporte enthalten nur Anzeigenamen, ohne Profillinks.

Was „lokal“ nicht bedeutet

• Du vertraust unserem Code. Die Analyse läuft in deinem Browser, aber das JavaScript kommt von unserem Server, und wir könnten es ändern, wie jeder Website-Betreiber. Deshalb schlagen wir die Prüfung unten vor, statt dich zu bitten, uns einfach zu glauben.
• Werbung und Analyse richten sich nach deiner Cookie-Auswahl. Die Seite lädt Google Analytics und Google AdSense; Googles Einwilligungsdialog fragt Besucher aus der EU, Großbritannien und der Schweiz um Erlaubnis. Ohne Einwilligung bleiben Werbe- und Analyse-Cookies dank Google Consent Mode aus. Googles Skripte laufen auf derselben Seite wie das Tool, aber unser Code gibt deine Datei oder deine Ergebnisse nie an sie weiter. Deine Auswahl kannst du jederzeit unter Cookie-Einstellungen im Footer ändern. Details stehen in der Datenschutzerklärung.
• Der Verlauf ist an einen Browser gebunden. Ein privates Fenster, gelöschte Websitedaten oder ein anderer Browser bzw. ein anderes Gerät fangen von vorn an. Das Tool kann dir nicht sagen, wer dir vor deiner ersten gespeicherten Analyse entfolgt ist.

In zwei Minuten selbst prüfen

Du musst der Aussage „kein Upload“ nicht vertrauen. Am Computer kannst du sie testen:

1. Öffne eine Tool-Seite, zum Beispiel das Instagram-Tool.
2. Öffne die Entwicklertools deines Browsers (F12 oder Cmd+Option+I auf dem Mac) und wechsle zum Tab Netzwerk (Chrome-Anleitung).
3. Leere die Liste der Anfragen und wähle dann deine ZIP-Datei aus.
4. Beobachte die Liste, während die Analyse läuft. Keine Anfrage enthält deine Datei. Wenn du Cookies akzeptiert hast, siehst du eventuell Anfragen von Googles Skripten; die haben nichts mit der Datei zu tun. In älteren Browsern ohne eingebaute ZIP-Unterstützung lädt das Tool beim ersten Auswählen einer ZIP-Datei ein Hilfsskript (jszip.min.js) von unserem Server. Das ist ein Download von Code, kein Upload deiner Daten.

Ein einfacherer Test: Lade die Tool-Seite, schalte dann das WLAN aus und wähle deine ZIP-Datei aus. In aktuellen Browsern funktioniert die Analyse trotzdem, weil alles Nötige schon geladen ist. In einem älteren Browser, der das oben erwähnte Hilfsskript braucht, wähle einmal online eine ZIP-Datei aus und wiederhole dann den Test.

So beurteilst du jedes Follower-Tool

Ob du unser Tool nutzt oder ein anderes, diese Fragen helfen:

1. Fragt es nach deinem Passwort oder zeigt es eine Anmeldeseite innerhalb der App? Wenn ja, kann die App auf dein Konto zugreifen. Bevorzuge Tools, die keinen Login brauchen.
2. Verspricht es etwas, das die Plattform nicht anbietet? Instagram zeigt niemandem, wer sein Profil angesehen hat. Eine App, die das verspricht, wie InstaAgent, kann diese Daten nicht von Instagram bekommen.
3. Sagt die Datenschutzerklärung, was auf ihren Servern passiert? Achte darauf, was gespeichert wird, wie lange und ob Daten weitergegeben werden.
4. Kannst du die Aussagen überprüfen? Ein browserbasiertes Tool lässt sich im Netzwerk-Tab prüfen. Eine Handy-App, die sich in dein Konto einloggt, lässt sich nicht so einfach prüfen.
5. Was passiert, wenn du es nicht mehr nutzt? Bei einer App mit Login bleibt der Zugriff bestehen, bis du ihn widerrufst. Bei einem Tool auf Basis des Exports gibt es nichts zu widerrufen.

Einen direkten Vergleich der beiden Ansätze findest du unter Tracker-Apps vs. Datenexporte.

Häufige Fragen

Ist es sicher, einer Unfollower-App mein Instagram-Passwort zu geben?

Nein. Laut Instagram-Hilfebereich können Apps, die deinen Login oder ein Zugriffstoken bekommen, vollständigen Zugriff auf dein Konto erlangen, einschließlich deiner Nachrichten, und Konten, die solche Apps nutzen, können eingeschränkt, deaktiviert oder gelöscht werden. Außerdem kannst du nicht sehen, was der Server der App danach mit deinem Login macht.

Ist das Einloggen über ein Fenster in der App sicherer, als mein Passwort in die App einzutippen?

Nicht unbedingt. Wenn die Anmeldeseite im eingebauten Browser der App angezeigt wird, kontrolliert die App diesen Browser und kann technisch eigenen Code auf der Seite ausführen und lesen, was sie nach deinem Login speichert. Eine echte Autorisierung öffnet Instagram selbst und zeigt dir, welche Berechtigungen du erteilst.

Sperrt Instagram mich, wenn ich einen Follower-Tracker nutze?

Instagram veröffentlicht keine genauen Regeln, sagt aber, dass Konten, die solche Apps nutzen, eingeschränkt, deaktiviert oder gelöscht werden können. Deinen eigenen Datenexport auszuwerten hat mit Instagram gar nichts zu tun: Nichts handelt in deinem Konto.

Wie entferne ich eine App, die ich schon mit Instagram verbunden habe?

Öffne dein Profil, tippe auf das ☰-Menü, dann auf „Website-Berechtigungen“ und „Apps und Websites“, und entferne alles, was du nicht kennst. Ändere dann dein Passwort und melde unbekannte Sitzungen unter Kontenübersicht → Passwort und Sicherheit → Wo du eingeloggt bist ab.

Lädt UnfollowTool meinen Datenexport hoch?

Nein. Die ZIP-Datei wird in deinem Browser geöffnet und verglichen, und das Tool schickt keine Netzwerkanfragen mit deinen Daten. Das kannst du in den Entwicklertools deines Browsers prüfen oder indem du offline gehst, nachdem die Seite geladen ist.

Kann UnfollowTool zeigen, wer mir entfolgt ist?

Nicht aus einem einzelnen Export, der nur den aktuellen Stand zeigt. Wenn „Ergebnis auf diesem Gerät speichern“ bei deiner letzten Analyse aktiviert war, zeigt deine nächste Analyse im selben Browser, wer zwischendurch aus deiner Follower-Liste verschwunden ist. Diese Konten sind dir entfolgt oder haben ihr Konto deaktiviert oder eingeschränkt.

Bereit, es auszuprobieren? Fordere deinen Export mit dem Tutorial an und öffne dann das Tool für deine Plattform.

Instagram-Tool öffnen