Speicherung von IP-Adressen ist unzulässig – auch auf Websites

Der Bundesgerichtshof hat am 26. Oktober eine Beschwerde von T-Online gegen das Urteil des Landgerichts Darmstadt vom 7. Dezember 2005 verworfen. Damit ist dieses Urteil rechtskräftig geworden. In dem Urteil wird T-Online verurteilt, „nach Beendigung der jeweiligen Nutzung des Internetzugangs durch den Kläger alle Daten, die eine Verbindung zwischen der zugeteilten IP-Adresse und dem Kläger bzw. dem technischen Zugang des Klägers herstellen, umgehend zu löschen“.

Sämtliche Provider werden nach diesem Urteil die Speicherung dynamisch vergebener IP-Adressen einstellen müssen. Auch eine Speicherung „für kurze Zeit“ oder „für wenige Tage“ ist nach dem Urteil unzulässig. Einen Überblick über die Speicherpraxis von Zugangsprovidern gibt es hier. Übrigens gilt das Urteil nicht nur für DSL-Anschlüsse und nicht nur für Flatrates. Bei Internetzugängen ist eine IP-Speicherung generell nicht erforderlich.

Durchsetzung in der Praxis

T-Online bzw. die Deutsche Telekom will dem Urteil nur für den Kläger nachkommen. Die Löschung der Daten anderer Kundinnen und Kunden verweigert das Unternehmen bislang. Im Wiki ist aber ein Mustertext für eine Klage verfügbar, mit dem auch andere Kundinnen bzw. Kunden gegen die Speicherung ihrer Daten klagen können. Mit entsprechenden Änderungen kann der Mustertext auch für andere Tarife und Unternehmen genutzt werden.

Eigentlich müsste der Bundesbeauftragte für Datenschutz dafür sorgen, dass sich alle Provider an das geltende Recht halten. Dessen Mitarbeiter sind aber seit Monaten dabei, die Frage zu „prüfen“.

Die geplante Vorratsdatenspeicherung wird auf absehbare Zeit nichts an dem Verbot der IP-Speicherung ändern. Im Internetbereich wird die Vorratsspeicherung voraussichtlich erst ab 2009 gelten (Quelle).

IP-Protokollierung auf Websites

Als nächstes werden Betreiber von Websites mit Klagen gegen die verdachtsunabhängige Protokollierung der IP-Adressen ihrer Besucher zu rechnen haben. Auch diese Protokollierung verstößt klar gegen das Teledienst-Datenschutzgesetz, weil sie nicht erforderlich ist. Die Beseitigung von Störungen, die Datensicherheit oder die Missbrauchsbekämpfung (z.B. DDos-Angriffe, Spam) rechtfertigt nach dem klaren Urteil des Landgerichts Darmstadt keine generalpräventive Pauschalspeicherung der IP-Adressen sämtlicher Nutzer, wie sie etwa bei Heise, Ebay und Amazon praktiziert wird. Auch ein IP-Logging zu statistischen Zwecken (Counter) ist unzulässig.

Als Betreiber einer (auch privaten) Website muss man sich selbst darum kümmern, dass auf der eigenen Webseite keine IP-Adressen geloggt werden. Gegebenenfalls muss man vom Webspace-Provider verlangen, dass er das IP-Logging abstellt. Wer internationale Standard-Software verwendet, muss diese oft umprogrammieren, um eine IP-Protokollierung zu verhindert. Tipps dazu finden sich hier.

Das Telemediengesetz wird an der Unzulässigkeit einer IP-Protokollierung übrigens nichts ändern. Es besagt nur, dass Website-Betreiber auch an Polizei und Rechteinhaber Auskunft erteilen dürfen. Diese Auskunftsrechte machen die Einhaltung des IP-Speicherungsverbots noch wichtiger. Denn nur über noch gespeicherte Daten kann Auskunft erteilt werden.

1 Stern2 Sterne3 Sterne4 Sterne5 Sterne (2 Bewertungen, durchschnittlich: 3,00 von 5)
Loading...
20.644mal gelesen

Beitrag per E-Mail versenden Beitrag per E-Mail versenden Seite drucken Seite drucken

Verwandte Artikel

Weitere Artikel zum Schlagwort · Weitere Artikel zum Thema Datenschutz im Privatsektor, Internet-Unternehmen, Internet-Zugangsprovider

22 Kommentare »


  1. Sören — 12. November 2006 @ 17.23 Uhr

    In dem Artikel steht im unteren Abschnitt geschrieben … „Als nächstes werden Betreiber von Websites mit Klagen gegen die verdachtsunabhängige Protokollierung der IP-Adressen ihrer Besucher zu rechnen haben. Auch diese Protokollierung verstößt klar gegen das Teledienst-Datenschutzgesetz, weil sie nicht erforderlich ist.“ … was ich mich jetzt frage, woher kommt diese Erkenntniss, es ging in diesem Urteil doch nur um das IP-Adressen speichern des Providers und nicht im Website oder Forenbetreiber die sich durch sowas jetzt wieder tierisch aufgewühlt fühlen für am Ende wahrscheinlich „Nichts?“ …


  2. Webmaster — 12. November 2006 @ 17.33 Uhr

    Sören: Du hast Recht, das Urteil ist nur gegen T-Online ergangen. Bei Internetdiensten gilt aber dasselbe. Diese sind Teledienste. Und § 6 Teledienste-Datenschutzgesetz erlaubt die Speicherung von Nutzungdaten nur, ´soweit dies erforderlich ist, um die Inanspruchnahme von Telediensten zu ermöglichen und abzurechnen´ (siehe bundesrecht.juris.de/tddsg/__6.html). Diese Voraussetzung ist bei IP-Adressen nicht erfüllt, weil Websites auch ohne deren Speicherung angeboten werden können.

    IP-Adressen werden auf diesem Blog NICHT gespeichert (siehe http://www.daten-speicherung.de/index.php/mediawiki-und-wordpress-ohne-protokollierung-von-ip-adressen/). Anstelle der echten IP-Adresse wird 0.0.0.0 gespeichert.


  3. Link — 19. November 2006 @ 1.22 Uhr

    Hilfe, ich habe meine IP Adresse auf meiner Website gespeichert – muss ich mich nun selbst anzeigen?

    Nun ist aber gut, wie soll dann WoltLab und die ganzen Gästebuch betreiber weiter kommen? Die ganzen Spammer und Kiddies (die nur Müll im kopf haben) von einer bestimmten Seite fernhalten?

    Und wie läuft das dann mit Windoof Vista ab?


  4. sx1 — 25. November 2006 @ 19.22 Uhr

    Also zum speichern der IPs auf Webservern zu Statistikzwecken gibt es eine ganz simple Lösung.
    Denkanstoss: md5!
    Man errechne einen md5-hash der IP und hat so den gleichen Effekt für Statistiken: Für jeden User einen eindeutigen Hash.
    Es geht nämlich bei Statistiken weniger um die Verwertung der verdammten IP, sondern nur um das unterscheiden der User.
    Ich betreibe einige Onlineshops, und speichere dort momentan die IP der User – die mir aber prinzipiell am Arsch vorbeigeht.
    So können zumindest mal die Statistikprobleme gelöst werden.


  5. noch ein Webmaster — 28. November 2006 @ 18.53 Uhr

    Hei an alle,
    die meisten IP’s sind ja nicht fest, sondern wechseln. Somit hat der „Normalregistrierer“ ja recht wenig davon. Trotzdem kann man Eventualitäten, wie z.B. mißbräuchliche Nutzung ( z.B. nach dem Rauswurf aus einem Forum ) etwas einschränken.
    Ich habe ein geschütztes Forum, da es bei mir sehr viel um die Bewältigung von bestimmten Lebenssituationen geht. Hab ich nun einen Internet-Penner, der Spaß daran hat, Andere zu beleidigen usw. rausgeworfen, kann ich mittels der geloggten IP bei einer Registrierung zumindest ein klein wenig checken, ob es nicht wieder dieser Rowdy ist.

    Ich frage mich ernsthaft, warum man immer aus allem eine so gequirlte Schei… machen muß.
    Was bringt mir die IP als normaler User ? Nix. Ich erfahre max. den Anbieter des Users und lach mich schlapp, wenn meine Flat-Rate billiger ist.
    Mt Neo-Trace kann ich verfolgen, wo er her kommt, doch auch nur, wenn er nicht eins der Verschleierungsprogramme nutzt.

    Hier scheinen wieder mal ein paar Boys die Wichtigkeit ihrer Existenz nachweisen zu wollen, das ist alles.

    Bis sich alles beruhigt hat bzw. eine Entscheidung getroffen wurde, wie es weiter geht, regge ich darum die IP weiter mit, und harre der Dinge, die da kommen.

    Noch etwas kommt hinzu. Wo bitte gibt es einen Internet-Führerschein ?
    Oder kann der „Gesetzgeber“ wirklich von mir verlangen, daß ich mich über alle Bestimmungen eingehend informiere ?
    Gäbe es nicht solche Foren wie hier oder z.B. kostenlose PC-Hilfe, wo ich den Link herhabe, ich wüsste von dieser ganzen Aufregung nichts.

    Unterschreibe ich, daß ich mich über alle rechtlichen Bestimmungen informiert habe, bevor ich mich das erste Mal einlogge ?
    Anderst herum, kann ich meinen Anbieter verklagen, weil er zugelassen hat, daß sich über sein System der Sober-Wurm auf meinem PC eingenistet hat ?
    Kann ich ihn dafür haftbar machen, daß meine Oma ihre Pin und Tans aufgrund einer Mail, die von seinem Mailserver gekommen ist, herausgegeben hat und der Sparstrumpf nun leer ist ?
    Wie also kann mich jemand verklagen, wenn ich eine kleine Möglichkeit nutze, eine von mir geschaffene Einrichtung, die ich auch noch bezahle, vor solchen Spinnern zu schützen ?

    Ihr seht, es ist eine Kette ohne Ende.
    Und mal ganz ehrlich, wer will denn bei zigmillionen Seiten im Netz prüfen, ob die IP gereggt wird ? Hier beisst sich die Katze in den eigenen Schwanz….
    Sollen sie ein klares Gesetz rausbringen, denn bisher gibts nur die Telekomiker-Bestimmung. Und da hätte ich mal ne Frage.
    Mein orum ist ein Teledienst, oder nicht ? Wenn ja, darf ich also die P reggen.
    Ist mein Forum kein Teledienst, müssten wir mal klären, was überhaupt ein Teledienst ist. Lt Wicki ist ein Teledienst u.a.:

    Angebote zur Information oder Kommunikation, bei denen die redaktionelle Gestaltung zur allgemeinen Meinungsbildung nicht im Vordergrund steht.

    Was also ist ein Forum ?, Ist es nicht ein solches Angebot ? Biete ich mit einem Forum nicht die Möglichkeit zur Information und Kommunikation ?
    Es wird so werden, wie es so oft ist… keiner weiß mehr, um was es eigentlich geht. Und wir User hier im Netz grübeln weiter vor uns hin und warten auf eine Entscheidung…

    Lieben Grüße Jürgen
    IP und Adresse gerne auf Anfrage


  6. Apophis — 29. November 2006 @ 0.35 Uhr

    ´nach Beendigung der jeweiligen Nutzung des Internetzugangs durch den Kläger alle Daten, die eine Verbindung zwischen der zugeteilten IP-Adresse und dem Kläger bzw. dem technischen Zugang des Klägers herstellen, umgehend zu löschen´


  7. Webmaster — 30. November 2006 @ 16.00 Uhr

    @sx1: Den MD5-Hash der IP-Adressen zu loggen, ist zwar besser als eine Klartext-Speicherung. Es ist aber trotzdem unzulässig, weil man mit ein bisschen Mühe anhand des MD5-Hashs wieder die IP-Adresse des Nutzers ermitteln kann.


  8. Webmaster — 30. November 2006 @ 16.08 Uhr

    @noch ein Webmaster: Dann logge doch nur die IP-Adressen der Störer. Anhand des Nicknames stellst du ein: Wenn er sich das nächste Mal einloggt, wird die IP-Adresse gespeichert. Die kannst du dann auf eine Blacklist setzen.

    Ein Vorgehen gegen Störer mithilfe der IP-Adresse ist allerdings erstens Sippenhaft für die anderen Nutzer dieses ISPs und zweitens wird es bei dynamisch vergebenen IP-Adressen wenig bringen. Oder willst du den ganzen Provider sperren?

    >Oder kann der “Gesetzgeber” wirklich von mir verlangen,
    >daß ich mich über alle Bestimmungen eingehend informiere ?

    Ja, kann er. Du kannst auch den Datenschutzbeauftragten fragen, siehe „Auskunftsrecht“ im Menü.

    Wenn du „erstmal abwarten“ willst, riskierst du ein Bußgeld bis zu 50.000 Euro (§ 9 TDDSG).


  9. sx1 — 7. Dezember 2006 @ 23.47 Uhr

    Also soweit ich informiert bin, kann man md5 nicht rückverfolgen, weil tausende verschiedene Strings den gleichen md5-Hash zurückgeben können.
    „hallo“ kann den gleichen md5-Hash haben wie „fdsfdysuofhiher89zw3489hfgaeozfg9ou3qh7548zv28″
    Siehe Wikipedia.
    Die einzige Möglichkeit wäre die „Rainbow-Tables“-Methode, die bei Wikipedia genannt wird.
    Da die Provider die IP-Adresse dann aber auch nicht mehr speichern darf, ist eine Rückverfolgung sowieso unmöglich.
    Und da diese Spezialisten in Brüssel eh zu blöd für alles sind und nur meinen, sie müssen alles reglementieren, werden sie das mit md5 eh nicht spitzkriegen.
    Somit wäre eigentlich allen geholfen.


  10. sx1 — 8. Dezember 2006 @ 0.38 Uhr

    OK, ich glaub, ich hab deinen Text jetzt verstanden, sorry, bin durcheinandergekommen, weil wenn ich richtig informiert bin, darf man die IP ja nur bis Ende Jahr nicht speichern, danach müssen es die Provider doch nach EU-Richtlinie!? Stichwort Vorratsdatenspeicherung!?
    Ist mir jetzt ein bisschen zu hoch, bin ein bisschen müde…
    Dir gehts, soweit ich das momentan jetzt kapiert hab also drum, dass man per diesem Rainbow-Dingens (siehe Wiki), bei z.B. 1000 Prüfungen die Sekunde in maximal ca. 50 Tagen die IP rauskriegen könnte. (über if (gespeicherter_md5 == md5(0.0.0.0)) bis if (gespeicherter_md5 == md5(255.255.255.255))
    Dazu fällt mir folgendes ein: da es sehr unwahrscheinlich ist, dass die Rückverfolgung am gleichen Tag stattfindet: täglich einen Zufallshash generieren und den vor und z.B. nochmal 2mal ge-md5-t nach die IP-Adresse pflanzt.
    Daraus wird dann ein md5-Hash generiert, der für die Statistiken ausreichen sollte, da man eine 24h Reload-Sperre hat.
    Funktioniert dann auch bei festen IPs.
    Das sollte für die Statistik reichen.
    So wird jeder pro „Abrechnungszeitraum“, also 24h, extra gerechnet und Reloads werden doch nicht doppelt gezählt.
    Der Zufallshash wird dementsprechend alle 24h gelöscht und ein neuer berechnet.
    Das Datum im Format date(“dmy“) o.ä. darf man dann natürlich nicht als Hashgrundlage verwenden, es muss ein, sagen wir, mindestens 50 Zeichen langer, absoluter Zufallshash aus Buchstaben (groß/Klein), Zahlen und Sonderzeichen sein.
    Am Ende des Tages wird der Hash sicher gelöscht et basta.
    Und den Host kann man z.B. auch noch mit reinwursten.
    Sowas fällt mir nachts um 12 nach 20 Kaffee ein, also seid doch einfach mal ein bisschen kreativ.
    Softwareentwickler müssen halt damit leben dass Merkel, Brüssel und Co. immer wieder so nen Scheiss machen werden und man dann überall alles ändern muss.
    So sind sie halt, die Sesselfurzer.
    Keine Ahnung davon, was für Auswirkungen ihre schwachsinnigen Anordnungen haben.
    Jeder Depp kann Kanzler werden, so ist es halt…
    Warten wir also mit Frohmut drauf, bis man in der Öffentlichkeit nicht mehr atmen darf, weil man ja eine Milzbrand-Zerstäubungsanlage in der Lunge haben könnte.
    Und bis die GEZ-Gebühren von jedem verlangt werden, der „eine physikalische Vorrichtung für das akustische Empfangen von Signalen aus Lautsprechern, die an ein Radio angeschlossen, und somit GEZ-pflichtige Inhalte konsumiert werden könnten“, zu deutsch: Ohren hat.
    Natürlich auch, wenn er taub ist.
    Ich muss schließlich momentan auch für ein Radio bezahlen, das gar nicht funktioniert. Aber das Empfangsmodul ist ja noch heil…
    Aber das ist ein anderes Thema.
    Darum gehts hier ja nicht.
    Noch ein Käffchen und dann Gute Nacht allerseits.
    Berichtigt mich gerne, wenn ich falsch liege.


  11. Speicherung von IP in Foren etc. mit Einwilligung erlaubt! — 11. Dezember 2006 @ 10.00 Uhr

    Da in Foren usw. die User doch mittels der Nutzungsbedingungen meistens in die IP-Erhebung einwilligen können, sollte wenn man den § 4 TDDSG beachtet, keine Probleme bekommen. Einfach exakt in den Nutzungsbedingungen auf die IP-Speicherung hinweisen.


  12. IP-Speicherung — 15. Dezember 2006 @ 10.56 Uhr

    Hi,
    wenn sich jemand auf meinen Namen und mit meinen persönlichen Daten bei einem Internetdienst für z.B. kostenpflichtigen SMS-Versand einwählt, wie kann ich dann vorgehen? Ist der Anbieter dann berechtigt auf die IP-Adresse zurückzugreifen um die angegeben Daten zu überprüfen? Wird die IP-Adresse von Ihm automatisch gespeichert oder erst im Nachhinein festgestellt (wie lange ist das möglich)? Wie kann ich nachweisen, dass ein anderer mit meinen Daten Dienstleistungen für mich in Anspruch genommen hat, für die ich jetzt zahlen soll? Oder erledigt sich das von allein durch die Überprüfung der IP-Adresse durch den Anbieter?
    Eine Antwort würde mir wirklich weiterhelfen.
    Vielen Dank schonmal!!!


  13. ip — 17. Januar 2007 @ 18.46 Uhr

    Ich habe mich auf der Seite http://www.p2p-heute.de angemeldet und habe eine Rechnung über 84 Euro pro Jahr für 2 Jahre bekommen(nicht bewusst). Darf die Internetseite meine IP speichern? Ich habe nirgendwo zugestimmt, dass sie gespeichert wird.


  14. Webmaster — 26. Januar 2007 @ 9.58 Uhr

    @IP-Speicherung: Wenn du den kostenpflichtigen SMS-Versand wirklich nicht genutzt hast und auch niemandem dein Passwort gegeben hast, dann bist du nicht zur Zahlung verpflichtet. Nicht du musst nachweisen, dass du es nicht warst, sondern der Anbieter muss nachweisen, dass du es warst. Für eBay haben die Gerichte entschieden: Selbst wenn der Benutzer den richtigen Benutzername und das richtige Passwort eingegeben hat, ist nicht nachgewiesen, dass es der rechtmäßige Inhaber war, der den Dienst benutzt hat.

    @ip: Wenn du bei der Anmeldung nicht deinen richtigen Namen und Adresse angegeben hast, dann ist das Betrug bzw. Leistungserschleichung. Um Fälle von Leistungserschleichung aufzudecken, ist dann anlassbezogen auch eine IP-Protokollierung der betreffenden Nutzer zulässig. § 6 Abs. 8 TDDSG lautet:

    „Liegen dem Diensteanbieter zu dokumentierende tatsächliche Anhaltspunkte vor, dass seine Dienste von bestimmten Nutzern in der Absicht in Anspruch genommen werden, das Entgelt nicht oder nicht vollständig zu entrichten, darf er die personenbezogenen Daten dieser Nutzer über das Ende des Nutzungsvorgangs sowie die in Absatz 7 genannte Speicherfrist hinaus nur verarbeiten und nutzen, soweit dies zur Durchsetzung seiner Ansprüche gegenüber dem Nutzer erforderlich ist.“


  15. ip — 16. Februar 2007 @ 15.30 Uhr

    @ip
    ähnliche fälle kommen öfter vor.
    vergleiche http://www.verbraucherrechtliches.de/2006/09/24/wieder-einmal-gratis-sms-abzocke-smsfree24de/

    mfg
    bias


  16. User08-15 — 20. Februar 2007 @ 21.21 Uhr

    Hallo ,liebe Datenspeicherung!
    Habe jetzt,vor kurzem, ein wesentlich grösseres Problem(oder auch nicht) mit dem Thema bekommen.Es geht um eine nicht mehr existierende „Musiktauschbörse“.Angeblich wurden 2005(!) von meinem Anschluss aus 3 UH-rechtlich geschützte Titel zum download für andere User gestellt.Als Beweise stehen 2 IP-Adressen und 3 hash-codes mit der genauen Uhrzeit.Eine nahmhafte Plattenfirma(vertreten durch eine Anwalts-Kanzlei) möchte 5000 € (!) pro Titel von mir…Dem ISP hatte ich ca. von 1Jahr gekündigt.Wie sollte man hier vorgehen?
    freue mich wirklich über eine hilfreiche Antwort
    mfg,
    User08-15


  17. IP-Speicherung durch Webserver — 18. April 2007 @ 20.04 Uhr

    Mal in eine andere Richtung: die meisten Webserver laufen mit Apache. Der speichert die IP Adresse grundsätzlich mit. Also ist davon auszugehen, dass über 90% (schätze ich) der Webserver die IP mitloggen.
    Vermutlich tun das sogar die Webserver der staatlichen Websites. Dürfte eigentlich ja nicht rechtens sein, oder?

    In der Tat ist das bei Apache voreingestellte Logging von IP-Adressen in Deutschland rechtswidrig.

    Webmaster


  18. Sicherheit — 31. Dezember 2007 @ 10.29 Uhr

    Nehmen wir ein einfaches Beispiel: Man will User auf seiner Seite wiedererkennen und nur das, nicht identfizieren. Das geht am Besten mit deren jeweiliger IP- die man ja nicht mehr speichern darf.

    Was aber spricht dagegen, die IP für wenige Stunden so verschlüsselt zu speichern, dass man sie nicht wieder zurückbilden kann, wie beispielsweise mit MD5? Man könnte aus dem verschlüsselten Code die IP nicht wiederherstellen, sodass der User in keinem Fall Angst zu haben braucht, dass man ihn identifiziere. Trotzdem könnte man ihn -völlig anonym- wiedererkennen und damit für eine größere Sicherheit beispielsweise bei Anmeldeskripten sorgen. Was also spricht dagegen, dass das kurzzeitige Speichern von einweg-verschlüsselten IPs zulässig ist?


  19. ich — 20. Oktober 2008 @ 21.31 Uhr

    Das AG München hat im September erklärt, dass IPs keine personenbezogenen Daten sind.


  20. Moment mal — 23. November 2008 @ 21.12 Uhr

    Moment mal – wenn die Provider nicht mehr die Personenzuordnung speichern dürfen – dann ist eine IP auch nicht mehr personenbezogen, oder?!

    Webmaster: Internet-Zugangsprovider müssen nach der Richtlinie zur Vorratsdatenspeicherung die Zuordnung von IP-Adressen speichern. Daher ist ein Personenbezug gegeben.


  21. Moment mal — 23. November 2008 @ 21.15 Uhr

    Moment mal – wenn die Provider nicht mehr die Personenzuordnung speichern dürfen – dann ist eine IP auch nicht mehr personenbezogen, oder?

    Webmaster: Dynamische IP-Adressen wären nicht personenbezogen, wenn ihre Zuordnung beim Zugangsanbieter nicht gespeichert würde. In der Praxis geschieht dies aber.


  22. Re: Moment mal — 5. Januar 2009 @ 19.44 Uhr

    Dann ist dieser ganze Artikel aber auch unsinnig.

RSS-feed für Kommentare zu diesem Beitrag · TrackBack-URI

Kommentieren Sie diesen Artikel

*
To prove you're a person (not a spam script), type the security word shown in the picture. Click on the picture to hear an audio file of the word.
Anti-spam image


 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: