Menschen im Internet finden: Methode, Grenzen, Recht

Leitfaden, Kapitel 6 · Stand: 1. August 2026

Die Frage «wie finde ich jemanden im Netz» hat zwei Antworten, die selten zusammen stehen. Die technische ist kurz: man verknüpft Kennungen, bis sie plausibel auf dieselbe Person zeigen. Die rechtliche ist länger, fällt in Deutschland, Österreich und der Schweiz unterschiedlich aus und entscheidet, ob die erste überhaupt zur Anwendung kommt.

1. Zuerst die Frage nach dem Zweck

Eine Personensuche beginnt nicht mit einer Suchmaske, sondern mit einem Satz, der den Zweck benennt. Das ist keine Stilfrage: der Zweck entscheidet, welche Quelle offensteht. Wer in Deutschland wissen will, wo eine Privatperson wohnt, muss für die einfache Melderegisterauskunft nach § 44 Abs. 3 BMG erklären, dass die Daten nicht der Werbung oder dem Adresshandel dienen. Die Register stellen die Zweckfrage also von sich aus — das offene Netz stellt sie nicht. Darin liegt die Verwechslung, die dieses Kapitel vermeiden soll: die Abwesenheit einer Schranke als Erlaubnis zu lesen. Ein Fund ist keine Erlaubnis und kein Beweis.

Brauchbar ist ein Zweck, den man in einem Satz aufschreiben und einem Dritten zeigen kann — einer Redaktionsleitung, einer Vorgesetzten, einem Gericht. «Ist dieser Zeichnungsberechtigte derselbe wie der Verurteilte aus Urteil X?» ist ein solcher Satz. «Ich will wissen, wie es ihr geht» ist keiner, und er beschreibt zugleich das Motiv, aus dem die typische Verlaufsform der Nachstellung entsteht: nicht ein Vorfall, sondern eine Wiederholung ohne Ende.

Der Ablauf — Frage, Quelle, Befund, Prüfung — ist derselbe wie in Was ist OSINT?; neu ist nur, dass am Ende ein Mensch steht, der davon nichts weiss.

2. Vom Namen zur Kennung: was sich überhaupt verknüpfen lässt

Ein Name ist keine Kennung: er ist mehrdeutig, veränderlich und nirgends eindeutig vergeben. Verknüpfen lassen sich nur E-Mail-Adressen, Benutzernamen, Domains, Telefonnummern. Eine Personensuche besteht deshalb aus zwei Schritten — vom Namen zu einer Vermutung über eine Kennung, und von der Kennung zu einer Bestätigung.

Der erste Schritt ist Kombinatorik. Firmen vergeben E-Mail-Adressen nach wenigen Mustern, die sich aus Vor- und Nachname plus Domain vollständig aufzählen lassen; im Werkzeugkasten tun das der Namens- und E-Mail-Permutator und, für viele Ziele zugleich, die Pivot-Matrix, die Kennungen mit Diensten kreuzt und Abfragelinks erzeugt, ohne sie aufzurufen — erst ein Klick schickt die Abfrage an den fremden Dienst und damit aus dem Gerät hinaus. Wichtig ist, was dabei nicht entsteht: eine erzeugte Adresse ist eine Hypothese, kein Befund — und die naheliegende Bestätigung, eine Nachricht hinzuschicken, ist keine Recherche mehr, sondern Kontaktaufnahme.

Beim Umschreiben von Namen entstehen dabei systematische Fehler: ein «Müller» wird je nach System zu mueller, zu muller oder zu mller, und umgekehrt fallen verschieden geschriebene Namen nach der Umschrift zusammen. Wer über normalisierte Formen sammelt, sammelt auch Fremdes.

Kennungen treten überdies dort zutage, wo niemand sie veröffentlicht hat. Jeder Git-Commit trägt Name und E-Mail-Adresse, die die Autorin lokal eingestellt hat; auf GitHub sind sie in der Historie öffentlich, sofern das Konto nicht die Verschleierung über eine noreply-Adresse aktiviert hat. Dasselbe gilt für Paketmanifeste und Dokumentmetadaten. Welche Quellen je Kennungsart taugen, führt das Nachschlagewerk.

Die Grenze bleibt: zwei Konten mit demselben Benutzernamen sind zunächst zwei Konten mit demselben Benutzernamen — eine Aussage über Kennungen, nicht über Menschen.

3. Wo Namen amtlich stehen

Amtliche Register sind die einzigen Quellen, in denen ein Name mit einer geprüften Identität verbunden ist — und die Stelle, an der die Zugangsfrage je Land verschieden ausfällt.

Funktionen in Gesellschaften. Wer eine Rechtseinheit vertritt, steht namentlich im Handelsregister. In der Schweiz enthält der Eintrag nach Art. 119 Abs. 1 HRegV Familienname, mindestens einen ausgeschriebenen Vornamen, die politische Gemeinde des Heimatorts oder bei Ausländern die Staatsangehörigkeit, die Wohnsitzgemeinde, die Funktion und die Art der Zeichnungsberechtigung. Das Geburtsdatum wird nach Art. 24b Abs. 1 lit. d HRegV erhoben, gehört aber nicht zum öffentlichen Eintrag — Art. 24b Abs. 3 verweist für die Publizität auf Art. 119 Abs. 1. Wie sich Organe und Mutationen verfolgen lassen, steht in SHAB und Handelsregister.

Vereine. In Deutschland ist nach § 79 Abs. 1 BGB die Einsicht in das Vereinsregister und die eingereichten Dokumente jedem gestattet, ohne Nachweis eines Interesses — damit auch in die Namen des Vorstands. In Österreich zeigt die gebührenfreie Online-Abfrage des Zentralen Vereinsregisters nach § 19 Abs. 3 VerG Funktion und Namen der organschaftlichen Vertreter. Geburtsdatum, Geburtsort und Zustellanschrift erteilt die Vereinsbehörde nach § 17 Abs. 2 VerG nur auf ausdrückliches Verlangen und gegen glaubhaft gemachtes berechtigtes Interesse, bei Privatpersonen zusätzlich gegen Identitätsnachweis — ein blosses Rechercheinteresse genügt dafür nicht.

Wohnanschriften. Hier ist der Unterschied am grössten. Die einfache Melderegisterauskunft nach § 44 BMG gibt in Deutschland Familienname, Vornamen, Doktorgrad und die derzeitigen Anschriften heraus, aber nur, wenn die gesuchte Person anhand der mitgeteilten Angaben eindeutig festgestellt werden kann. In Österreich erhält nach § 18 Abs. 1 MeldeG jedermann gegen Nachweis der eigenen Identität die Auskunft, ob und wo ein eindeutig bestimmbarer Mensch gemeldet ist oder war. Die Schweiz kennt kein bundesweit abfragbares Melderegister für Private; zuständig sind die kommunalen Einwohnerkontrollen, und die weitergehende Adressauskunft setzt ein glaubhaft gemachtes Interesse voraus. Welche Zweckbindung an welchem Register hängt, entfaltet Öffentliche Register in Deutschland, Österreich, Schweiz.

Zwei Grenzen sind mitzudenken. Ein Registereintrag belegt einen Stand, nicht die Gegenwart. Und ein Nichttreffer beweist keine Abwesenheit: besteht in Deutschland eine Auskunftssperre nach § 51 BMG, darf die Antwort gerade keinen Rückschluss darauf zulassen, ob keine Daten vorliegen oder gesperrt sind; in Österreich lautet sie dann wörtlich, es lägen keine Daten für eine Meldeauskunft vor. Ein leeres Ergebnis kann also die Sperre selbst sein.

4. Der häufigste Fehler: die falsche Person

Der teuerste Fehler ist nicht die erfolglose Suche, sondern der Treffer, der zur falschen Person gehört — er fällt nicht auf, weil alles zu passen scheint: derselbe Name, dieselbe Stadt, dasselbe Fachgebiet. Wird eine solche Verwechslung weitergegeben, ist das eine Persönlichkeitsverletzung; nach Art. 28 Abs. 2 ZGB ist sie widerrechtlich, soweit sie nicht durch Einwilligung, ein überwiegendes Interesse oder das Gesetz gerechtfertigt ist. Eine Verwechslung ist durch nichts davon gerechtfertigt.

Der methodische Fehler dahinter ist immer derselbe: gesucht wird nach Bestätigung statt nach Widerlegung. Brauchbar ist die umgekehrte Frage — was müsste zutreffen, damit es nicht dieselbe Person ist? Namensgleichheit trennt nicht, ein gemeinsamer Wohnort kaum, ein identisches Profilbild gar nicht, weil es kopiert sein kann. Es trennen: der Heimatort, der in der Schweiz öffentlicher Teil des Handelsregistereintrags ist; eine Funktion mit Datum; eine Zeitspanne, in der jemand nachweislich anderswo eingetragen war. Ein hartes Ausschlusskriterium wiegt mehr als zehn weiche Übereinstimmungen.

Dazu kommt die Regel der zweiten, unabhängigen Quelle — unabhängig heisst nicht «eine zweite Webseite». Zwei Portale, die denselben Registerauszug abgeschrieben haben, sind eine Quelle; ein Handelsregisterauszug und die Selbstdarstellung derselben Person auf ihrer Firmenseite ebenfalls, weil beide auf dieselbe Anmeldung zurückgehen. Was Unabhängigkeit im redaktionellen Sinn verlangt, behandelt Journalistische Recherche im Netz.

Was nach dieser Prüfung übrig bleibt, ist eine begründete Annahme über eine Identität — kein Nachweis. Den führen Ausweispapiere, Registerbelege und Zeugen, nicht eine Kette von Kennungen.

5. Was nicht geht und warum

Offene Quellen enden, wo eine Zugangssicherung beginnt — das ist keine Konvention, sondern eine Strafnorm. In Deutschland macht sich nach § 202a Abs. 1 StGB strafbar, wer sich unter Überwindung der Zugangssicherung Zugang zu besonders gesicherten Daten verschafft, die nicht für ihn bestimmt sind; die Schweiz stellt mit Art. 143bis Abs. 1 StGB das unbefugte Eindringen in ein fremdes, besonders gesichertes Datenverarbeitungssystem auf Antrag unter Strafe. Ein geratenes Passwort, ein fremdes Konto, eine umgangene Anmeldeschranke sind demnach keine offene Quelle. Darum steht in diesem Leitfaden auch nicht, wie man Bezahlschranken oder Abfragegrenzen umgeht.

Gesichtssuche bleibt aussen vor. Die Verarbeitung biometrischer Daten zur eindeutigen Identifizierung einer natürlichen Person ist nach Art. 9 Abs. 1 DSGVO untersagt; die Ausnahmen in Abs. 2 verlangen eine Einwilligung oder eine gesetzliche Grundlage, und ein öffentlich im Netz stehendes Bild ist nach der Praxis der Aufsichtsbehörden keine davon. Nach Art. 5 lit. c Ziff. 4 DSG sind solche Daten besonders schützenswert. Für Redaktionen, Kanzleien und Privatpersonen bleibt damit in aller Regel keine tragfähige Rechtsgrundlage. Dasselbe gilt für Personensuchdienste, die Profile aus zugekauften Datenbeständen zusammenführen, und für Leak-Sammlungen mit Klartextdaten: deren Herkunft lässt sich nicht belegen, und der blosse Abruf ist eine Datenbearbeitung, die man verantworten muss. stratdata führt keines dieser Werkzeuge.

Schliesslich fehlt hier etwas technisch Triviales: eine Reihenfolge, die vom Namen über die Anschrift zum Arbeitsplatz und zum Tagesablauf führt. Sie fehlt mit Absicht: als Ablauf, der sich wiederholen lässt, beschreibt sie genau das beharrliche Verfolgen, das Art. 181b StGB, § 238 StGB und § 107a öStGB unter Strafe stellen. Dieses Kapitel nennt Normen und Schwellen, beurteilt aber keinen Einzelfall und ersetzt keine anwaltliche Prüfung — dieselbe Linie zieht das Impressum.

6. Wenn Sie gefunden werden wollen — oder nicht

Dieses Kapitel lässt sich umdrehen. Wer wissen will, was über ihn auffindbar ist, sucht nicht nach seinem Namen, sondern nach seinen Kennungen: alte E-Mail-Adressen, abgelegte Benutzernamen, eigene Domains, die Absenderadresse in alten Commits. Über sie kommen Dritte, nicht über den Namen.

Für die Selbstauskunft eignen sich zwei Werkzeuge im Werkzeugkasten. Beide fragen nach aussen ab; die Anfrage verlässt also das Gerät. Der Passwort-Leak-Check bildet den SHA-1-Hashwert eines Passworts im Browser und sendet nur dessen erste fünf Zeichen an die Abfrageschnittstelle von Have I Been Pwned; das Passwort selbst verlässt den Browser nie, und geprüft wird ein Passwort, keine Adresse. Das Datenleck-Verzeichnis lädt den Vorfallskatalog derselben Stelle und listet bekannte Vorfälle nach Dienst, Datum und Art der abgeflossenen Daten; es beantwortet, welcher Anbieter was verloren hat, und ausdrücklich nicht, ob eine bestimmte Adresse betroffen ist.

Wer etwas entfernen lassen will, hat drei oft verwechselte Hebel. Gegenüber der bearbeitenden Stelle steht das Auskunftsrecht: nach Art. 25 Abs. 1 DSG kann jede Person erfahren, ob Personendaten über sie bearbeitet werden — in der Regel innert dreissig Tagen (Abs. 7) und kostenlos (Abs. 6); Art. 15 DSGVO entspricht dem. Beim Entfernen gehen die Rechtsordnungen auseinander: Art. 16 und 17 DSGVO geben unmittelbare Ansprüche auf Berichtigung und Löschung gegen die verantwortliche Stelle, das Schweizer Recht nur den ersten. Art. 32 Abs. 1 DSG kennt die Berichtigung unrichtiger Daten; Löschung und Vernichtung sind nach Art. 32 Abs. 2 lit. c DSG Begehren einer Klage zum Schutz der Persönlichkeit nach Art. 28 ff. ZGB — ein Gerichtsverfahren, kein Formular. Gegenüber einer Suchmaschine geht es nicht um Löschung, sondern um Auslistung: begründet im EuGH-Urteil vom 13. Mai 2014 (C-131/12), erweitert durch das Urteil vom 8. Dezember 2022 (C-460/20), wonach auszulisten ist, wenn die betroffene Person den ihr zumutbaren Nachweis führt, dass die verlinkten Angaben offensichtlich unrichtig sind. Ausgelistet wird der Treffer, nicht die Seite. Und gegenüber dem Melderegister gibt es die Sperre: in Deutschland nach § 51 BMG bei Anhaltspunkten für eine Gefahr für Leben, Gesundheit oder persönliche Freiheit, auf zwei Jahre befristet und verlängerbar, in Österreich nach § 18 Abs. 2 MeldeG bei glaubhaft gemachtem schutzwürdigem Interesse; in der Schweiz nach kantonalem Melderecht. Absolut ist keine Sperre: macht in Österreich eine antragstellende Person eine rechtliche Verpflichtung der gesperrten Person geltend, erteilt die Meldebehörde nach § 18 Abs. 5 MeldeG dennoch Auskunft — sie verständigt aber die betroffene Person und gibt ihr Gelegenheit zur Äusserung.

Was stratdata selbst über Sie speichert und wie Sie Auskunft und Löschung verlangen, steht in der Datenschutzerklärung. Und der Satz, der über allen sechs Kapiteln steht, gilt auch in dieser Richtung: dass etwas auffindbar ist, macht es weder erlaubt noch wahr.