- Daten-Speicherung.de – minimum data, maximum privacy - https://www.daten-speicherung.de -

Echtzeit-Anonymisierung von Server-Logfiles

Ein Beschluss des Bundesgerichtshofs hat dieser Tage in Erinnerung gerufen [1], dass die personenbezogene Protokollierung von Nutzerdaten nur in konkreten Verdachtsfällen erlaubt ist, nicht aber rein vorsorglich und generell, auch nicht für „kurze Zeit“ oder ähnliches. Im Fall T-Online haben die Gerichte dem Argument eine Absage erteilt, eine generelle Protokollierung sei zur Gewährleistung der Netzsicherheit und zur Abwehr von Angriffen erforderlich. Auch das Erstellen von Statistiken rechtfertigt eine personenbezogene Protokollierung nicht.

Dass IP-Adressen personenbeziehbar sind, ist heute unter den Datenschutzbehörden nicht mehr umstritten. Dem Datenschutz unterfallen alle Daten, die irgend jemand der betroffenen Person zuordnen kann, sei es auch nur unter Zuhilfenahme fremder Daten (z.B. Einwahlprotokolle der Zugangsprovider).

Anonymisierungs-Tool

Webmaster stehen damit vor dem Problem, Logfiles anonymisieren zu müssen, ohne die statistische Auswertbarkeit unnötig zu beeinträchtigen. Eine Lösung stellt nun die „Zentrale Datenschutzstelle der baden-württembergischen Universitäten“ bereit. Das kompakte Tool [2] anonymisiert Apache-Logfiles in Echtzeit. Dazu werden die IP-Adressen der Nutzer um die letzten zwei Bytes gekürzt (z.B. 149.225.0.0 statt 149.225.149.55). Zusätzlich wird der Referer-URL beim ersten “?“ abgeschnitten, um personenbezogene Nutzerkennungen und Suchwörter auszuschließen. Zur Installation des Tools muss ein kleines Skript auf den Server kopiert und eine Modifikation in der Apache-Konfigurationsdatei (httpd.conf) vorgenommen werden. Näheres auf der Homepage des Tools [2].

Anonymes Logformat

Wer auch auf die ersten beiden Bytes der IP-Adressen verzichten kann, kann ganz ohne Tool einfach das Logformat in der httpd.conf wie folgt ändern:

LogFormat "0.0.0.0 - - %t \"GET %U HTTP/1.0\" %s %b \"http://\" \"%i\""

Im Vergleich zur Standardzeile zeichnet dieses Kommando

auf. All diese Felder können personenbezogene Daten enthalten (siehe AOL-Skandal) und dürfen daher nicht gespeichert werden. Das Format der Logfiles bleibt erhalten, so dass statistische Auswertungstools weiterhin funktionieren.

Update:

Allerdings hat die Änderung des Logformats keinen Einfluss auf das Fehlerprotokoll (Errorlog). Um auch in dieser Datei die IP-Speicherung zu verhindern, kann man entweder das oben vorgestellte Anonymisierungs-Tool verwenden oder auf eine der sechs anderen Möglichkeiten zurückgreifen, die hier [3] auf englisch dargestellt werden.