Archiv des Monats November 2006

Stellungnahme zur Reform der Telekommunikationsüberwachung

Aus Sicht der Grundrechtsträger habe ich einige Verbesserungsvorschläge zur Regulierung der Telekommunikationsüberwachung ausgearbeitet. Die Stellungnahme orientiert sich am Entwurf eines Gesetzes zur Reform der Telekommunikationsüberwachung der Fraktion Bündnis 90/Die Grünen. Die meisten Punkte lassen sich auf den aktuellen Regierungsentwurf übertragen.

Diskutiert werden die folgenden Aspekte, wobei konkrete Formulierungsvorschläge unterbreitet werden:

  • Anwendungsbereich § 100a StPO: Der staatliche Zugriff auf Informationen über die Kommunikation und die Kommunizierenden („Verkehrsdaten“, „Bestandsdaten“) sollte den gleichen Voraussetzungen unterliegen wie der Zugriff auf die Inhalte der Kommunikation. Dazu sind Verkehrs- und Bestandsdaten in den Anwendungsbereich der §§ 100a, 100b StPO einzubeziehen.
  • Eingriffsvoraussetzungen: Der heimliche Zugriff auf die Telekommunikation zwecks Strafverfolgung sollte beschränkt sein auf Fälle organisierter Kriminalität, in denen eine höhere Strafe als vier Jahre Freiheitsstrafe zu erwarten ist.
  • Zeugnisverweigerungsrechte
  • Zweckbindungsgebot, Protokollierung
  • Verwertungsverbot, Vernichtung
  • Benachrichtigungspflicht § 101 StPO
    • Ausnahmen
    • Kreis der zu Benachrichtigenden
    • Praktikable Massenbenachrichtigungen per SMS, Email, Telefonautomat oder in der Telefonrechnung
  • Berichtspflicht: Auch der Zugriff auf Verkehrs- und Bestandsdaten muss durch wissenschaftliche Untersuchungen oder durch Berichtspflichten evaluiert werden. Das Gleiche gilt für Eingriffe in das Fernmeldegeheimnis durch andere Behörden (z.B. Nachrichtendienste).

Stellungnahme betrachten…

Kommentieren

Keine Umsetzungspflicht für Vorratsdatenspeicherung [Update]

Mail an den Bundesdatenschutzbeauftragten Peter Schaar:

Sehr geehrter Herr Schaar,

eine Reihe von Bürgerrechtsorganisationen versucht derzeit, die geplante Vorratsdatenspeicherung noch aufzuhalten, siehe auch die unten aufgeführte Pressemitteilung. Dabei ist es wichtig, dass die Datenschutzbeauftragten und wir am gleichen Strang ziehen und die gleiche Argumentation verwenden. In Ihrer Pressemitteilung vom 28.11.2006 schreiben Sie, dass Sie die Vorratsdatenspeicherung zwar kritisch sehen, sie aber durch eine EG-Richtlinie vorgegeben sei. Entsprechend argumentieren auch viele Politiker.

Tatsächlich ergibt sich aus der Rechtsprechung des Bundesverfassungsgerichts (BVerfGE 89, 155, 188), und so schreibt es auch der Wissenschaftliche Dienst des Bundestags in seinem Gutachten zur Vorratsdatenspeicherung: Eine Umsetzungspflicht besteht nicht, wenn die europäischen Organe bei Erlass der Richtlinie ihre von den Mitgliedstaaten eingeräumten Kompetenzen überschritten haben.

Wörtlich urteilte das Bundesverfassungsgericht: „Würden etwa europäische Einrichtungen oder Organe den Unions-Vertrag in einer Weise handhaben oder fortbilden, die von dem Vertrag, wie er dem deutschen Zustimmungsgesetz zugrunde liegt, nicht mehr gedeckt wäre, so wären die daraus hervorgehenden Rechtsakte im deutschen Hoheitsbereich nicht verbindlich. Die deutschen Staatsorgane wären aus verfassungsrechtlichen Gründen gehindert, diese Rechtsakte in Deutschland anzuwenden.“ Dabei kommt es nicht darauf an, ob der EuGH über die Rechtmäßigkeit der Rechtsakte bereits zu entscheiden hatte.

Nach dem Urteil des EuGH zur Fluggastdatenübermittlung kann zumindest nicht mehr zweifelhaft sein, dass die EG-Richtlinie zur Vorratsdatenspeicherung wegen fehlender Rechtsgrundlage nichtig ist (so auch Simitis, NJW 2006, 2011, 2013; Westphal, EuZW 2006, 555, 557). Für Rechtsakte zur Erleichterung der Strafverfolgung ist die EG nach der Rechtsprechung des EuGH schlichtweg nicht zuständig. Darüber hinaus ist die Richtlinie auch wegen Verstoßes gegen die Gemeinschaftsgrundrechte nichtig. Eine anlasslose Vorratsspeicherung von Telekommunikationsdaten der gesamten Bevölkerung ist evident unverhältnismäßig.

Die Grenzen des EG-Vertrags sind also in mehrfacher Hinsicht überschritten. Vor diesem Hintergrund fehlt es nicht nur an einer Umsetzungspflicht. Deutschland ist es sogar verfassungsrechtlich untersagt, die Richtlinie umzusetzen (BVerfG a.a.O.).

Es würde mich freuen, wenn Sie sich dieser Argumentation anschließen und gegebenenfalls auch einen entsprechenden Beschluss der Konferenz der Datenschutzbeauftragten herbeiführen könnten. Ein entschiedenes Eintreten gegen dieses Vorhaben ist unabdingbar, um die Politik zumindest zu einem Umsetzungsmoratorium bis zur Entscheidung des EuGH zu veranlassen. Es wäre sehr zu begrüßen, wenn alle interessierten Institutionen und Gruppen auf dieses gemeinsame Ziel hinarbeiten könnten.

Beste Grüße,

Antwort vom 05.12.2006:

Sehr geehrte…,

im Namen von Herrn Schaar danke ich Ihnen für Ihre Anregungen im Hinblick auf die Argumentation gegen die Umsetzung der Richtlinie zur Vorratsdatenspeicherung.

Nach einer internen Prüfung bestehen auch hier angesichts der Rechtsprechung des EuGH zur Fluggastdatenübermittlung Zweifel am Bestand der Richtlinie. In der Vergangenheit habe ich allerdings – in Übereinstimmung mit der Artikel-29-Gruppe der Datenschutzbeauftragten der EU-Mitgliedstaaten und den Rechtsdiensten von Rat und Kommission – keine Einwände gegen eine Regelung in der 1. Säule erhoben. Ihrer Argumentation diesbezüglich kann ich mich daher nicht anschließen.

Sollte der EuGH die Richtlinie wegen fehlender Rechtsgrundlage für nichtig erklären, wird aller Voraussicht nach eine Regelung in der 3. Säule angestrebt werden. Ob das Resultat aus Datenschutzsicht akzeptabler ausfiele als die jetzt angefochtene Richtlinie, erscheint mir – auch im Hinblick auf die Konsequenzen, die der Rat aus der PNR-Entscheidung gezogen hat – zumindest fraglich. Zuerst einmal bleibt jedoch abzuwarten, wie der EuGH
entscheiden wird.

Ich wünsche Ihnen viel Erfolg und die nötige Ausdauer bei Ihrer Arbeit und verbleibe

mit freundlichen Grüßen
Im Auftrag

A C Jennen

Meine Antwort vom 05.12.2006:

Sehr geehrte Frau Jennen,

danke für Ihre Antwort und für Ihr ermutigendes Schlusswort. Gleichwohl möchte ich noch einmal nachhaken, weil Ihre Antwort – wie Sie sicherlich verstehen werden – letztendlich unbefriedigend bleibt.

Dass Sie letztes Jahr – wie ich auch – für die Vorratsdatenspeicherung die erste Säule für einschlägig gehalten haben, mag sein, hindert bessere Erkenntnis aber nicht. Nachdem sich durch das EuGH-Urteil zur Fluggastdatenübermittlung inzwischen herausgestellt hat, dass die EG nicht zuständig ist, ist es nicht inkonsequent sondern folgerichtig, wenn wir nunmehr von einer fehlenden Rechtsgrundlage ausgehen.

Im Übrigen hat die Deutsche Konferenz der Datenschutzbeauftragten am 27./28.10.2005 sowie die Europäische Konferenz der Datenschutzbeauftragten schon am 11.10.2002 klar gesagt, dass eine verdachtslose, allgemeine Vorratsdatenspeicherung gegen Art. 8 EMRK verstößt. Die Richtlinie ist also auch wegen Verstoßes gegen die Gemeinschaftsgrundrechte nichtig. Wenn Sie dies weiterhin betonen, dann ist das kein Positionswechsel, sondern umgekehrt wäre es eine Kehrtwende, wenn Sie dies nun anders beurteilen und die Richtlinie als wirksam akzeptieren würden.

Dass bei Feststellung der Nichtigkeit der Richtlinie ein Rahmenbeschluss droht, sehe ich nicht. Bekanntlich ist der von den meisten Mitgliedstaaten favorisierte Rahmenbeschluss ja nur deshalb nicht gefasst worden, weil die erforderliche Einstimmigkeit nicht zustande gekommen ist. Dies wird auch in Zukunft so bleiben. Außerdem gilt im Bereich der dritten Säule kein Vorrang des Gemeinschaftsrechts. Das heißt, dass das Bundesverfassungsgericht Art. 10 GG uneingeschränkt anwenden und eine Vorratsdatenspeicherung trotz Rahmenbeschlusses verwerfen kann. Schließlich: Selbst, wenn es in Zukunft einmal zu einem Rahmenbeschluss kommen kann, ändert dies nichts daran, dass zumindest zum gegenwärtigen Zeitpunkt Deutschland zur Umsetzung der nichtigen Richtlinie nicht verpflichtet ist.

Folglich möchte ich Sie nochmals bitten, in Ihrer Stellungnahme zum Entwurf des „Gesetzes zur Neuregelung der Telekommunikationsüberwachung und anderer verdeckter Ermittlungsmaßnahmen sowie zur Umsetzung der Richtlinie 2006/24/EG“ die Richtlinie nicht als vorgegeben hinzunehmen, sondern deutlich zu machen, dass der BfDI die Ansicht teilt, wonach

  • die Richtlinie mangels Rechtsgrundlage und wegen Verstoßes gegen die Gemeinschaftsgrundrechte nichtig ist,
  • eine nichtige Richtlinie von Anfang an keine Umsetzungspflicht entfaltet, ein vertragswidriger Rechtsakt dem Bundesverfassungsgericht zufolge vielmehr nicht umgesetzt werden darf,
  • Deutschland die geplanten Speicherfristen auch nicht auf eigene Verantwortung einführen darf, weil eine anlasslose, allgemeine Vorratsdatenspeicherung nach der Rechtsprechung des Bundesverfassungsgerichts mit dem Grundgesetz evident unvereinbar ist (siehe insbesondere Urteil vom 12.03.2003),
  • dass der BfDI seine Forderung bekräftigt, von der Einführung einer Vorratsdatenspeicherung zumindest bis zur Entscheidung des EuGH abzusehen. Dies hat Herr Schaar schon im Sommer gefordert.

Wenn wir hier gemeinsam argumentieren und die Sachverständigen das Vorhaben einhellig als verfassungswidrig beurteilen, lässt sich das Umsetzungsgesetz noch verhindern. Im Interesse des Datenschutzes und der freien Kommunikation in Deutschland bitte ich Sie daher dringend, das Vorhaben mit aller Entschiedenheit – auch offiziell – abzulehnen. Die 80 Mio. betroffenen Bürgerinnen und Bürger sind hier auf die Unterstützung ihres Datenschutzbeauftragten angewiesen.

Mit freundlichem Gruß,

Kommentieren

Petition: Erst- und Zweitstimme ersetzen durch frei verteilbare Stimmen

Am 23.10.2006 habe ich die folgende öffentliche Petition beim Deutschen Bundestag eingereicht:

Der Deutsche Bundestag möge beschließen, bei Bundestagswahlen die Erst- und Zweitstimme zu ersetzen durch mehrere Stimmen (z.B. 10), die jeder Wähler auf alle Kandidaten seines Bundeslandes verteilen kann.

Begründung:

Das derzeitige Wahlrecht belässt dem Wähler de facto nur sehr geringe Wahlmöglichkeiten, weil die meisten Kandidaten und Listen von vornherein keine realistische Chance haben, ins Parlament zu kommen. Bei der Erststimme gibt es meist nur zwei Kandidaten, die ernsthaft eine Mehrheit erhalten können. Bei der Zweitstimme gibt es nur wenige Listen, die ersthaft die 5%-Hürde überwinden können. Außerdem können Parteien die Plätze auf den Landeslisten verteilen, wodurch „sichere Listenplätze“ zugeteilt werden können. Dies widerspricht demokratischen Grundprinzipien und erhöht die Abhängigkeit der Abgeordneten von ihrer Partei weiter.

Stattdessen sollte jeder Bürger mehrere Stimmen (z.B. 10) erhalten, die er frei auf alle Kandidaten sämtlicher Landeslisten verteilen kann („kumulieren und panaschieren“). Alternativ sollte es möglich bleiben, alle Stimmen einer Liste (Partei) zu geben. Die Sitzverteilung nach der Wahl bestimmt sich nach der Anzahl der insgesamt auf eine Liste abgegebenen Stimmen.

Durch ein solches Wahlsystem wird einerseits die Entscheidungsfreiheit des Bürgers enorm gestärkt und andererseits die Abhängigkeit der Kandidaten von ihrer Partei erheblich verringert.

Der Petitionsausschluss teilte mir mit, dass meine Petition nicht als öffentliche Petition behandelt würde, weil ich bereits eine öffentliche Petition eingereicht hätte. Tatsächlich gibt es eine entsprechende Verfahrensregelung. Wer vor demselben Problem steht, sollte seine zweite öffentliche Petition von einer anderen Person einreichen lassen.

Kommentieren

Verbraucher fordern besseren Schutz ihrer Daten im Internet [ergänzt]

Neues Internetrecht – Forderungen aus Sicht der Nutzerinnen und Nutzer:

Pressemitteilung vom Donnerstag, den 16.11.2006:

Verbraucher fordern besseren Schutz ihrer Daten im Internet

Werbemüll („Spam“), Datenklau („Phishing“) und Dauerüberwachung („Spyware“, „Tracking“) – Deutschlands Internetnutzer müssen zunehmend den Missbrauch ihrer Daten befürchten. Elf Organisationen fordern vom Gesetzgeber jetzt ein mutiges Gegensteuern: Die Sammlung und Aufzeichnung von Daten im Internet soll auf ein Mindestmaß beschränkt werden, verlangen unter anderem die Deutsche Vereinigung für Datenschutz und die Verbraucherzentrale Bundesverband in einem gemeinsamen Forderungspapier.

„Den besten Schutz vor Datendiebstahl und Datenmissbrauch stellt es dar, wenn von vornherein möglichst wenige persönliche Daten erhoben und gespeichert werden“, heißt es in dem Dokument. „Verbraucherinnen und Verbraucher erwarten daher, dass sie im virtuellen Leben ebenso anonym und überwachungsfrei handeln können wie im wirklichen Leben.“ Die Organisationen fordern den Gesetzgeber zudem auf, für mehr Transparenz bei der Aufzeichnung und Speicherung persönlicher Daten im Internet zu sorgen.

Der Bundestag berät zurzeit über den Regierungsentwurf eines Telemediengesetzes. „Dieser Entwurf sieht sogar noch erhebliche Absenkungen des bestehenden Datenschutzniveaus vor“, warnt der Jurist Patrick Breyer, Initiator der gemeinsamen Stellungnahme der Verbraucher- und Datenschutzorganisationen. „Die Parlamentarier müssen hier mutig gegensteuern und die Anhäufung privater Informationen durch Betreiber von Websites unterbinden. In einer Informationsgesellschaft sind die persönlichen Daten, die wir dem Internet anvertrauen, Schlüssel zu unserem Privatleben. Internetunternehmen sollten diese Daten nicht endlos horten und dem Zugriff von Datendieben und Betrügern, aber auch der Schnüffelei von Behörden aussetzen dürfen.“

Hintergrund

Die neuen Medien werden für das tägliche Leben immer wichtiger. Immer mehr Aktivitäten finden in den Informations- und Kommunikationsnetzen statt. Dadurch wachsen die neuen Medien zu einer immer wichtigeren Säule für die Wirtschaft heran. „Wer sich langfristig Marktchancen und Innovationspotenziale sichern will, muss die Ängste und Befürchtungen der Verbraucher ernst nehmen“, mahnt Verbraucherschutzminister Seehofer. Die erfolgreiche Entwicklung der Telemediendienste hängt davon ab, dass die Nutzer darauf vertrauen können, dass ihre Privatsphäre gewahrt bleibt. Dieser Zusammenhang ist durch verschiedene Umfragen ebenso erwiesen wie die Tatsache, dass viele Verbraucherinnen und Verbraucher derzeit aus Sorge um ihre Privatsphäre noch auf die Nutzung von Telemediendiensten verzichten. So hat eine repräsentative Umfrage im Oktober 2005 ergeben, dass 61% der deutschen Internet-Nutzer beim Online-Shopping um ihre Internetsicherheit besorgt sind. 78% der Internet-Nutzer gaben an, dass ihre Hauptsorge dem Diebstahl ihrer persönlichen Daten und dem Weiterverkauf ihrer Daten an Dritte gilt. 85% der Nutzer vertraten die Ansicht, dass die Anbieter nicht genug tun, um ihre Kunden im Internet zu schützen.

Die Veröffentlichung der Sucheingaben von 600.000 Menschen durch das Internetunternehmen AOL hat die besondere Dringlichkeit eines verbesserten Datenschutzes im Internet in das öffentliche Bewusstsein gerückt. Den 20 Mio. Datensätzen ließen sich Namen, finanzielle Informationen, Krankheiten, Informationen über das Sexualleben, teilweise sogar ganze Lebensschicksale entnehmen. Ein Missbrauch solcher Informationen durch Kriminelle liegt nahe (z.B. für Einbrüche, Erpressung, Identitätsdiebstahl, Kontakte Pädophiler zu Minderjährigen, Stalking).

Den besten Schutz vor Datendiebstahl und Datenmissbrauch stellt es dar, wenn von vornherein möglichst wenige persönliche Daten erhoben und gespeichert werden. Verbraucherinnen und Verbraucher erwarten daher, dass sie im virtuellen Leben ebenso anonym und überwachungsfrei handeln können wie es im wirklichen Leben weitgehend noch der Fall ist. Dies ist derzeit nicht gewährleistet: Während jedermann öffentliche Bibliotheken, Buchläden und Kaufhäuser anonym betreten und nutzen kann, wird das Verhalten von Nutzern im Internet auf Schritt und Tritt aufgezeichnet. Während Verbraucherinnen und Verbraucher jederzeit Briefe ohne Absenderangabe verschicken können, müssen sie sich vor dem Versand von Emails selbst gegenüber kostenlosen Diensten identifizieren.

Angesichts dessen ist es zur Stärkung der Privatsphäre und des Nutzervertrauens dringend erforderlich, durchzusetzen, dass Telemediendienste so wenige persönliche Daten wie möglich verarbeiten und dass Nutzer über den Umgang mit ihren Daten wirklich frei entscheiden können. Weitere Forderungen aus Verbrauchersicht betreffen eine höhere Transparenz der Datenverarbeitung und die Sicherung der Meinungsfreiheit im Internet. In jedem Fall müssen die in den aktuellen Gesetzesentwürfen vorgesehenen Absenkungen des bestehenden Datenschutzniveaus verhindert werden.

Um diese Forderungen klar zu artikulieren, haben elf Gruppen der Zivilgesellschaft konkrete Änderungsvorschläge für das aktuelle Gesetzesvorhaben vorgelegt:

Die Vorschläge wurden von dem Juristen Patrick Breyer ausgearbeitet.

Überblick über die Forderungen

  1. Datenschutz bei Mehrwertdiensten
  2. Erreichbarkeit der Datenschutzbeauftragten
  3. Schutz der Meinungsfreiheit im Internet
  4. Datenschutz bei Internetzugängen und Emaildiensten
  5. Vorformulierte Einwilligungserklärungen
  6. Recht auf Anonymität
  7. Schutz vor zwangsweiser Datenerhebung (Koppelungsverbot)
  8. Benachteiligungsverbot
  9. Telemediennutzungsgeheimnis
  10. Transparenz der Datenverarbeitung
  11. Folgeänderung
  12. Auskunftsrecht des Nutzers
  13. Ausspionieren des Nutzers durch „Spyware“, „Web-Bugs“ usw.
  14. Datenübermittlung zur Strafverfolgung, an Geheimdienste, an Inhaber geistigen Eigentums und zur Gefahrenabwehr
  15. IP-Adressen
  16. Erstellung von Nutzerprofilen
  17. Datenspeicherung zur Missbrauchsbekämpfung
  18. Folgeänderungen
  19. Elektronische Einwilligung
  20. Folgeänderung
  21. Datennutzung zu Werbezwecken
  22. Bußgeldkatalog
  23. Regulierung von Internet-Übertragungskapazitäten
  24. Impressumspflicht für Privatpersonen
  25. Freie Berichterstattung im Internet
  26. Sperrungsverfügungen

Nähere Informationen zum Thema

Anhörung des Wirtschaftsausschusses vom 11.12.2006:

Am 18.01.2007 hat der Bundestag mit den Stimmen von Union, SPD und FDP das Telemediengesetz verabschiedet, ohne die Forderungen aus der Zivilgesellschaft zu berücksichtigen. Gegen das Gesetz stimmten die Grünen und die Linke. Das Gesetz ist am 1. März 2007 in Kraft getreten.

Kommentieren

FDP-Position zur Vorratsdatenspeicherung

Meine Email von heute an drei FDP-Abgeordnete:

Sehr geehrte…,

ich möchte Ihnen für Ihre kritischen Worte zur Vorratsdatenspeicherung diese Woche danken. Allerdings stelle ich insoweit auch eine besorgniserregende Tendenz zur Aufweichung der FDP-Position fest.

So heißt es in einer Pressemitteilung [1, 2], „der Zeitraum für die in der Richtlinie vorgesehene Vorratsdatenspeicherung“ sei „zu lang bemessen“, die FDP werde darauf achten, dass „bei der geplanten Umsetzung der EU-Richtlinie zur Vorratsdatenspeicherung die höchstrichterlich bestätigten rechtsstaatlichen Maßstäbe berücksichtigt werden“ und Frau Zypries solle auf EU-Ebene „die EU-Richtlinie mit den europäischen Partnern neu […] verhandeln“. Bereits letztes Jahr im EU-Parlament war zu beobachten, dass sich die liberalen Abgeordneten mit einer 3-monatigen Vorratsdatenspeicherung einverstanden erklärt hatten.

Solche faulen „Kompromisse“ sind nicht nur taktisch der falsche Weg, weil sie im Laufe der Jahre immer weiter aufgeweicht und ausgeweitet werden (siehe z.B. Mautdaten und Kontenabfrage). Auch juristisch kann es in Sachen Vorratsspeicherung keine Kompromisse geben. Das Bundesverfassungsgericht hat zuletzt am 04.04.2006 das „außerhalb statistischer Zwecke bestehende strikte Verbot der Sammlung personenbezogener Daten auf Vorrat“ betont und schon am 12.03.2003 entschieden: „Voraussetzung der Erhebung von Verbindungsdaten ist ein konkreter Tatverdacht.“

Diese Verfassungsgrenzen sind auch in der Sache ein Gebot der Vernunft. Es ist grob unverhältnismäßig, das komplette Telekommunikationsverhalten vom 82 Mio. Menschen zwangsweise zu protokollieren (und sei es für drei Monate), nur weil es irgendwann vielleicht einmal gebraucht werden könnte. Tatsächlich werden Untersuchungen zufolge weniger als 0,001% der anfallenden Verkehrsdaten von den Behörden angefordert; mehr als 99% der Kommunizierenden sind also nicht einmal einer Straftat verdächtig. Eine Richtlinienumsetzung „unter Berücksichtigung rechtsstaatlicher Maßstäbe“ ist folglich nicht möglich und ein Widerspruch in sich.

Es würde mich deswegen freuen, wenn die FDP-Bundestagsfraktion hier zu ihrer ursprünglichen konsequent rechtsstaatlichen Haltung zurückfinden könnte.

Beste Grüße,

Kommentare (1)

Echtzeit-Anonymisierung von Server-Logfiles

Ein Beschluss des Bundesgerichtshofs hat dieser Tage in Erinnerung gerufen, dass die personenbezogene Protokollierung von Nutzerdaten nur in konkreten Verdachtsfällen erlaubt ist, nicht aber rein vorsorglich und generell, auch nicht für „kurze Zeit“ oder ähnliches. Im Fall T-Online haben die Gerichte dem Argument eine Absage erteilt, eine generelle Protokollierung sei zur Gewährleistung der Netzsicherheit und zur Abwehr von Angriffen erforderlich. Auch das Erstellen von Statistiken rechtfertigt eine personenbezogene Protokollierung nicht.

Dass IP-Adressen personenbeziehbar sind, ist heute unter den Datenschutzbehörden nicht mehr umstritten. Dem Datenschutz unterfallen alle Daten, die irgend jemand der betroffenen Person zuordnen kann, sei es auch nur unter Zuhilfenahme fremder Daten (z.B. Einwahlprotokolle der Zugangsprovider).

Anonymisierungs-Tool

Webmaster stehen damit vor dem Problem, Logfiles anonymisieren zu müssen, ohne die statistische Auswertbarkeit unnötig zu beeinträchtigen. Eine Lösung stellt nun die „Zentrale Datenschutzstelle der baden-württembergischen Universitäten“ bereit. Das kompakte Tool anonymisiert Apache-Logfiles in Echtzeit. Dazu werden die IP-Adressen der Nutzer um die letzten zwei Bytes gekürzt (z.B. 149.225.0.0 statt 149.225.149.55). Zusätzlich wird der Referer-URL beim ersten “?“ abgeschnitten, um personenbezogene Nutzerkennungen und Suchwörter auszuschließen. Zur Installation des Tools muss ein kleines Skript auf den Server kopiert und eine Modifikation in der Apache-Konfigurationsdatei (httpd.conf) vorgenommen werden. Näheres auf der Homepage des Tools.

Anonymes Logformat

Wer auch auf die ersten beiden Bytes der IP-Adressen verzichten kann, kann ganz ohne Tool einfach das Logformat in der httpd.conf wie folgt ändern:

LogFormat "0.0.0.0 - - %t \"GET %U HTTP/1.0\" %s %b \"http://\" \"%i\""

Im Vergleich zur Standardzeile zeichnet dieses Kommando

  • IP-Adressen, Referer, Logname und Username nicht mehr,
  • von den aufgerufenen URLs den Suchstring nicht mehr

auf. All diese Felder können personenbezogene Daten enthalten (siehe AOL-Skandal) und dürfen daher nicht gespeichert werden. Das Format der Logfiles bleibt erhalten, so dass statistische Auswertungstools weiterhin funktionieren.

Update:

Allerdings hat die Änderung des Logformats keinen Einfluss auf das Fehlerprotokoll (Errorlog). Um auch in dieser Datei die IP-Speicherung zu verhindern, kann man entweder das oben vorgestellte Anonymisierungs-Tool verwenden oder auf eine der sechs anderen Möglichkeiten zurückgreifen, die hier auf englisch dargestellt werden.

Kommentare (7)

Speicherung von IP-Adressen ist unzulässig – auch auf Websites

Der Bundesgerichtshof hat am 26. Oktober eine Beschwerde von T-Online gegen das Urteil des Landgerichts Darmstadt vom 7. Dezember 2005 verworfen. Damit ist dieses Urteil rechtskräftig geworden. In dem Urteil wird T-Online verurteilt, „nach Beendigung der jeweiligen Nutzung des Internetzugangs durch den Kläger alle Daten, die eine Verbindung zwischen der zugeteilten IP-Adresse und dem Kläger bzw. dem technischen Zugang des Klägers herstellen, umgehend zu löschen“.

Sämtliche Provider werden nach diesem Urteil die Speicherung dynamisch vergebener IP-Adressen einstellen müssen. Auch eine Speicherung „für kurze Zeit“ oder „für wenige Tage“ ist nach dem Urteil unzulässig. Einen Überblick über die Speicherpraxis von Zugangsprovidern gibt es hier. Übrigens gilt das Urteil nicht nur für DSL-Anschlüsse und nicht nur für Flatrates. Bei Internetzugängen ist eine IP-Speicherung generell nicht erforderlich.

Durchsetzung in der Praxis

T-Online bzw. die Deutsche Telekom will dem Urteil nur für den Kläger nachkommen. Die Löschung der Daten anderer Kundinnen und Kunden verweigert das Unternehmen bislang. Im Wiki ist aber ein Mustertext für eine Klage verfügbar, mit dem auch andere Kundinnen bzw. Kunden gegen die Speicherung ihrer Daten klagen können. Mit entsprechenden Änderungen kann der Mustertext auch für andere Tarife und Unternehmen genutzt werden.

Eigentlich müsste der Bundesbeauftragte für Datenschutz dafür sorgen, dass sich alle Provider an das geltende Recht halten. Dessen Mitarbeiter sind aber seit Monaten dabei, die Frage zu „prüfen“.

Die geplante Vorratsdatenspeicherung wird auf absehbare Zeit nichts an dem Verbot der IP-Speicherung ändern. Im Internetbereich wird die Vorratsspeicherung voraussichtlich erst ab 2009 gelten (Quelle).

IP-Protokollierung auf Websites

Als nächstes werden Betreiber von Websites mit Klagen gegen die verdachtsunabhängige Protokollierung der IP-Adressen ihrer Besucher zu rechnen haben. Auch diese Protokollierung verstößt klar gegen das Teledienst-Datenschutzgesetz, weil sie nicht erforderlich ist. Die Beseitigung von Störungen, die Datensicherheit oder die Missbrauchsbekämpfung (z.B. DDos-Angriffe, Spam) rechtfertigt nach dem klaren Urteil des Landgerichts Darmstadt keine generalpräventive Pauschalspeicherung der IP-Adressen sämtlicher Nutzer, wie sie etwa bei Heise, Ebay und Amazon praktiziert wird. Auch ein IP-Logging zu statistischen Zwecken (Counter) ist unzulässig.

Als Betreiber einer (auch privaten) Website muss man sich selbst darum kümmern, dass auf der eigenen Webseite keine IP-Adressen geloggt werden. Gegebenenfalls muss man vom Webspace-Provider verlangen, dass er das IP-Logging abstellt. Wer internationale Standard-Software verwendet, muss diese oft umprogrammieren, um eine IP-Protokollierung zu verhindert. Tipps dazu finden sich hier.

Das Telemediengesetz wird an der Unzulässigkeit einer IP-Protokollierung übrigens nichts ändern. Es besagt nur, dass Website-Betreiber auch an Polizei und Rechteinhaber Auskunft erteilen dürfen. Diese Auskunftsrechte machen die Einhaltung des IP-Speicherungsverbots noch wichtiger. Denn nur über noch gespeicherte Daten kann Auskunft erteilt werden.

Kommentare (22)

Mediawiki, Wordpress, phpBB und punBB ohne Protokollierung von IP-Adressen [Update]

Die verdachtsunabhängige Protokollierung von IP-Adressen nur für den Fall, dass die Daten zur Missbrauchsbekämpfung einmal erforderlich sein könnten, ist in Deutschland unzulässig. Trotzdem ist sie bei der meisten Software nicht nur voreingestellt, sondern lässt sich auch nicht in den Einstellungen deaktivieren.

Mediawiki

Der beliebten Wiki-Software Mediawiki die Protokollierung von IP-Adressen abzugewöhnen, ist zum Glück nicht schwierig. Im Verzeichnis „includes“ befindet sich eine Datei namens „ProxyTools.php“. Vor der Zeile „$ip = $ipchain[0];“ (Zeile 41 bei mir) muss man einfach die folgende Zeile einfügen:

$ipchain = array( '0.0.0.0' );

Update: Die aktuelle Mediawiki-Version ist etwas anders aufgebaut. Im Verzeichnis „includes“ befindet sich auch hier eine Datei namens „ProxyTools.php“. Die Zeile „$ipchain = array( IP::canonicalize( $_SERVER[’REMOTE_ADDR’] ) );“ muss durch die folgende Zeile ersetzt werden:

$ipchain = array( IP::canonicalize( "0.0.0.0" ) );

Wordpress

Für die beliebte Blog-Software Wordpress gibt es ein Plugin namens „Delete Comment IP“, welches das Problem halbwegs zufriedenstellend löst. Jedes Mal, wenn ein neuer Kommentar zum Blog abgegeben wird, werden für alle bestehenden Kommentare, die älter als fünf Tage sind, die folgenden gespeicherten Daten aus der Datenbank gelöscht: Die IP-Adresse des kommentierenden Lesers, seine angegebene Mailadresse und die Identifikation seines Browsers. Die Daten werden nur bei freigegebenen Kommentaren gelöscht, die nicht als Spam gekennzeichnet sind.

Forderungen

Rechtspolitisch ist eine gesetzliche Regelung zu fordern, derzufolge in Deutschland verkaufte (!) Software

  1. die Deaktivierung von IP-Logging ermöglichen muss und
  2. so voreingestellt ist, dass ihre Benutzer nicht gegen das Datenschutzrecht verstoßen.

Bei der nächsten Novelle des Bundesdatenschutzgesetzes muss diese Forderung auf den Tisch.

1. Ergänzung: punBB

Die beliebte Foren-Software punBB ohne IP-Protokollierung: Im Verzeichnis “include” befindet sich eine Datei namens “functions.php”. Darin muss man die Zeile “return $_SERVER[’REMOTE_ADDR’];” (Zeile 736 bei mir) durch die folgende Zeile ersetzen:

return "0.0.0.0";

2. Ergänzung: Wordpress

Die Standardversion des Wordpress-Plugins „Delete Comment IP“ löscht IP-Adressen freigeschalteter Kommentare erst nach fünf Tagen. Mit einer kleinen Modifikation erfolgt die Löschung sofort:

Plugin „Delete Comment IP immediately“

Zur Installation die Datei in den plugins-Order entpacken und in Wordpress das Plugin aktivieren.

Die aktuelle Version 0.2 speichert als IP-Adresse „0.0.0.0″.

3. Ergänzung: phpBB

Anleitung zum Deaktivieren der IP-Speicherung bei der Foren-Software phpBB

4. Ergänzung: Weitere Software

Eine umfangreiche Sammlung von Anleitungen zur Deaktivierung der IP-Speicherung findet sich jetzt auf www.wir-speichern-nicht.de. Anleitungen gibt es dort z.B. für Apache, Joomla und Serendipity.

Kommentare (19)


 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: