Auslands-eSIM leitet Daten nach China: Datenschutzrisiko 2026?

Kann eine Auslands-eSIM Daten nach China leiten?

Ja, das ist technisch möglich. Bei einer Reise-eSIM gelangt der Datenverkehr nicht immer direkt vom Mobilfunknetz am Urlaubsort zum nächstgelegenen Internetknoten. Stattdessen kann er zunächst über den Roamingpartner oder das sogenannte Heimatnetz des eSIM-Anbieters laufen.

Das zugehörige Gateway kann sich in einem anderen Land befinden als der Reisende, der Verkäufer und das eigentliche Reiseziel. Wer in Europa oder Südostasien unterwegs ist, kann deshalb mit einer IP-Adresse online erscheinen, die Hongkong, Festlandchina, Singapur, Polen oder einem anderen Netzknoten zugeordnet wird.

Dabei werden häufig drei unterschiedliche Vorgänge miteinander verwechselt:

• Datenrouting: Datenpakete passieren ein Netz-Gateway in einem anderen Land.
• Datenverarbeitung: Ein Unternehmen oder Netzpartner verarbeitet dort Kennungen, Protokolldaten oder Kontoinformationen.
• Datenspeicherung: Datensätze werden auf Servern in diesem Rechtsraum aufbewahrt.

Diese Vorgänge sind nicht gleichbedeutend. Eine ausländische IP-Adresse beweist allein nicht, dass persönliche Daten dort dauerhaft gespeichert werden. Unerwartetes Routing ist dennoch eine berechtigte Datenschutzfrage, weil dadurch weitere Unternehmen und Rechtssysteme mit der Verbindung in Berührung kommen können.

Warum das Thema 2026 zum Datenschutzfall wurde

Am 21. September 2026 berichteten südkoreanische Medien über staatliche Ermittlungen zu dem Vorwurf, dass Daten von in Korea verkauften Auslands-eSIMs an Server in China weitergeleitet worden sein könnten. Zum Zeitpunkt der Veröffentlichung war der Fall noch nicht abgeschlossen. Die Ermittlungen belegen weder, dass sämtliche Reise-eSIMs Daten nach China senden, noch dass bei allen betroffenen Nutzern tatsächlich Daten abgeflossen sind.

Die Sorge ist allerdings nicht rein theoretisch. Eine begutachtete USENIX-Sicherheitsstudie zur Infrastruktur von Reise-eSIMs stellte undurchsichtige Eigentümerstrukturen, schwache oder widersprüchliche Datenschutzhinweise, überraschende Datenrouten und Fälle fest, in denen Wiederverkäufer Zugriff auf sensible Kunden- oder Nutzungsdaten hatten. Der koreanische Untersuchungsbericht vom September 2026 zeigt zugleich, dass Aufsichtsbehörden solche Fragen inzwischen genauer prüfen.

Wie der Datenverkehr einer Reise-eSIM geroutet wird

Hinter einer Reise-eSIM stehen meist mehrere Unternehmen. Die Marke, bei der Sie den Tarif kaufen, kann lediglich den Vertrieb übernehmen. Im Hintergrund wirken häufig eine eSIM-Plattform, ein Mobilfunknetzbetreiber, Roamingpartner, Cloud-Dienste, Analyseanbieter und Zahlungsdienstleister zusammen.

Verbindet sich das Smartphone mit einem lokalen Mobilfunkmast, authentifiziert das besuchte Netz die eSIM über die jeweilige Roamingvereinbarung. Die mobilen Daten können danach durch einen privaten Tunnel zu einem weit entfernten Paket-Gateway transportiert werden. Websites sehen dann die öffentliche IP-Adresse dieses Gateways – nicht zwangsläufig den tatsächlichen Standort des Nutzers.

Diese Architektur erklärt, warum bestimmte Dienste über eine Reise-eSIM anders funktionieren können als mit einer lokalen SIM-Karte. Sie kann auch ein Grund sein, weshalb Reisende per eSIM während einer China-Reise auf vertraute Apps zugreifen. Gleichzeitig entsteht eine zentrale Transparenzfrage: Wer betreibt das Gateway und welchem Recht unterliegt es?

Welche Daten Anbieter und Netzpartner sehen können

Ein eSIM-Profil ist keine vollständige Kopie aller Inhalte auf dem Smartphone. In der Verbindungskette fallen dennoch wertvolle Metadaten an. Verschlüsselung begrenzt den Einblick, macht das Mobilfunknetz aber nicht blind.

HTTPS schützt normalerweise die mit einer Website ausgetauschten Inhalte, etwa Passwörter und Seitentexte. Der Mobilfunkanbieter kann jedoch weiterhin erkennen, dass und wann sich ein Gerät verbunden hat, wie viel Datenvolumen übertragen wurde und welche Routinginformationen angefallen sind. Ein VPN kann die Sichtbarkeit der Ziele verringern. Das eSIM-Netz erkennt aber weiterhin, dass eine Verbindung zu einem VPN-Server besteht.

Bedeutet Routing über China automatisch ein Datenleck?

Nein. Ein Routing über China ist ein möglicher Risikofaktor, der geprüft werden sollte – aber kein automatischer Beleg für Überwachung oder eine Datenschutzverletzung. Das gilt ebenso für jedes andere unerwartete Land.

Das praktische Risiko steigt, wenn mehrere Warnzeichen zusammenkommen:

• Der Anbieter nennt weder seine vollständige juristische Person noch den tatsächlichen Netzbetreiber.
• Die Datenschutzerklärung verschweigt internationale Datenübermittlungen oder Speicherfristen.
• Der Verkäufer tritt als White-Label-Wiederverkäufer auf, erklärt aber nicht, wer die Daten verarbeitet.
• Der Support kann nicht beantworten, in welchem Land der Datenverkehr ins öffentliche Internet gelangt.
• Die App verlangt Berechtigungen, die für Kauf und Verwaltung einer eSIM nicht erforderlich sind.
• Der Anbieter verspricht ohne Nachweise „vollständige Anonymität“ oder „null Risiko“.

Ein dokumentiertes Gateway im Ausland kann dagegen weniger problematisch sein, wenn der Anbieter die Datenroute erklärt, Auftragsverarbeiter nennt, nur notwendige Daten erhebt, Informationen verschlüsselt, Speicherfristen veröffentlicht und eine praktikable Löschung ermöglicht.

So wählen Sie eine datenschutzfreundlichere Reise-eSIM

Preis und Datenvolumen sind wichtig, doch der Datenschutz braucht eine eigene Prüfung. Achten Sie vor dem Kauf auf den vollständigen Firmennamen, die Anschrift, einen Datenschutzkontakt, Netzpartner, mögliche Empfängerländer, Speicherfristen und das Verfahren zur Kontolöschung.

Unterscheiden Sie außerdem zwischen der sichtbaren eSIM-Marke und dem zugrunde liegenden Betreiber. Hinter einem professionellen Onlineshop kann die Infrastruktur eines anderen Unternehmens stehen. Die Datenschutzerklärung sollte beide Rollen verständlich erläutern. Unser ausführlicher Ratgeber zu den Datenschutzrisiken von Reise-eSIM-Apps behandelt App-Berechtigungen, Kontodaten, Tracking-Bibliotheken und Löschprozesse genauer.

Unsere aktuelle eSIM-Auswahl hilft Ihnen dabei, geeignete Anbieter in die engere Wahl zu nehmen. Prüfen Sie anschließend vor dem Kauf die hier genannten Datenschutzkriterien.

So senken Sie das Datenschutzrisiko auf Reisen

• Aktualisieren Sie Smartphone und Apps vor der Abreise, damit bekannte Sicherheitslücken geschlossen sind.
• Nutzen Sie verschlüsselte Dienste. Meiden Sie Websites, bei denen der Browser vor Zertifikatsfehlern warnt.
• Verwenden Sie ein seriöses VPN für sensible Zugriffe oder wenn der Rechtsraum des Gateways unklar ist.
• Deaktivieren Sie den Wechsel mobiler Daten, wenn Ihre Haupt-SIM nicht unbemerkt die Datenverbindung übernehmen soll.
• Begrenzen Sie App-Berechtigungen. Eine Verkaufs-App für eSIMs benötigt in der Regel weder Kontakte und Mikrofon noch dauerhaft den exakten Standort.
• Trennen Sie besonders sensible Tätigkeiten. Greifen Sie über eine Reiseverbindung nicht auf hochkritische Systeme zu, wenn Ihr Arbeitgeber eine verwaltete Alternative bereitstellt.
• Bewahren Sie Kaufbelege und Bildschirmfotos der beim Kauf geltenden Datenschutzbedingungen auf.
• Fordern Sie gegebenenfalls die Kontolöschung an. Das Entfernen des eSIM-Profils vom Smartphone löscht nicht zwangsläufig die beim Anbieter gespeicherten Daten.

Wenn Sie nachvollziehen möchten, wie sich mobiles Routing von Ihrem gewöhnlichen Heimattarif unterscheidet, lesen Sie unsere Erklärung zu Datenroaming und Reise-eSIM-Verbindungen.

So prüfen Sie den Internet-Ausgangspunkt Ihrer eSIM

Eine grundlegende Routing-Prüfung gelingt auch ohne Spezialwerkzeuge:

1. Schalten Sie WLAN aus und vergewissern Sie sich, dass die Reise-eSIM als aktive Datenleitung ausgewählt ist.
2. Öffnen Sie im Browser einen seriösen Dienst zur IP-Standortbestimmung.
3. Notieren Sie das angezeigte Land, den Netzwerknamen und den Betreiber des autonomen Systems.
4. Wiederholen Sie den Test zu verschiedenen Zeiten und nach Möglichkeit im Reiseland.
5. Vergleichen Sie das Ergebnis mit den veröffentlichten Routingangaben des Anbieters.

Eine IP-Geolokalisierung liefert nur einen Anhaltspunkt. Datenbanken können falsch liegen, zudem kann sich das angezeigte Ausgangsland ändern. Eine Traceroute liefert mitunter zusätzliche Hinweise, doch Mobilfunknetze verbergen häufig interne Stationen. Ein überraschendes Ergebnis sollte deshalb zunächst zu Nachfragen führen – nicht sofort zu einer Anschuldigung.

Wer bei sehr günstigen Anbietern und schwer durchschaubaren Lieferketten skeptisch ist, findet in unserem Ratgeber zum Datenleck-Risiko bei günstigen eSIMs eine ergänzende Checkliste.

Fazit

Eine Auslands-eSIM kann Daten über China oder ein anderes unerwartetes Land leiten. Die Folgen für den Datenschutz hängen davon ab, welche Daten geroutet und protokolliert werden, wer das Gateway kontrolliert, wie lange Informationen gespeichert bleiben und ob der Datenverkehr verschlüsselt ist.

Eine ausländische Route ist nicht automatisch Datendiebstahl. Umgekehrt sollten Reisende keine vagen Sicherheitsversprechen eines Verkäufers akzeptieren, der seine Infrastrukturpartner nicht nennt. Wählen Sie transparente Anbieter, nutzen Sie HTTPS und bei sensiblen Aktivitäten ein vertrauenswürdiges VPN, beschränken Sie App-Berechtigungen und prüfen Sie bei erhöhtem Schutzbedarf den Verbindungsweg.

FAQ

Kann ein Reise-eSIM-Anbieter meine Nachrichten lesen?

Normalerweise nicht, wenn der Nachrichtendienst eine korrekt umgesetzte Ende-zu-Ende-Verschlüsselung nutzt. Der Anbieter kann jedoch weiterhin Verbindungsmetadaten wie Zeitpunkt und Datenvolumen sehen. Für SMS, unverschlüsselten Datenverkehr, Backups und schlecht geschützte Apps gelten andere Risiken.

Beweist eine chinesische IP-Adresse, dass meine Daten in China gespeichert werden?

Nein. Sie kann darauf hinweisen, dass der Datenverkehr über ein China zugeordnetes Gateway ins Internet gelangt. Eine dauerhafte Speicherung beweist sie nicht. Dafür bräuchten Sie Informationen zum Gateway-Betreiber, zur Protokollierung, zu den Datenverarbeitern und zu den Speicherfristen.

Löst ein VPN das Problem vollständig?

Nein. Ein vertrauenswürdiges VPN kann Internetziele und die übertragenen Inhalte jenseits des VPN-Endpunkts vor dem Mobilfunkanbieter verbergen. Es verschleiert jedoch weder die eSIM-Authentifizierung noch Verbindungszeiten, den gesamten Datenverbrauch oder die Geschäftsbeziehung zum eSIM-Anbieter.

Ist eine eSIM weniger privat als eine physische SIM-Karte?

Nicht grundsätzlich. Beide Technologien verbinden sich über Mobilfunkbetreiber und können ähnliche Netzmetadaten erzeugen. Entscheidender sind der Anbieter, die Kette der Wiederverkäufer, App-Berechtigungen, Routingarchitektur, Protokollierung und Datenschutzorganisation.

Sollte ich die eSIM nach der Reise löschen?

Ein abgelaufenes Profil zu entfernen, ist sinnvoll, wenn Sie es nicht mehr benötigen. Dadurch werden jedoch Abrechnungs-, Konto- oder Netzdaten beim Anbieter nicht automatisch gelöscht. Nutzen Sie bei Bedarf dessen Verfahren zur Kontolöschung oder stellen Sie eine Datenschutzanfrage.