Server Logs von Web Servern: Protokollierung von IP-Adressen ist keine gute Idee (Vorratsdatenspeicherung)

Kategorien: Datenschutz, Recht und Urteile

Der EuGH hat bestätigt, was ich zuvor behauptet habe: Volle IP-Adressen dürfen in Web Servern nicht anlasslos protokolliert werden. Selbst das BSI hatte in dieser Frage zum Datenschutz geirrt.

Update: Am 13.03.2023 urteilte das VG Hannover (10 A 1443/19), dass ein Tankstellenbetreiber Videoaufnahmen grundsätzlich nicht länger als 72 Stunden aufbewahren darf, es sei denn, es gibt einen Anlass. Dies entspricht nicht ganz dem, was ich zu IP-Adressen geschrieben habe, aber fast. Immerhin sorgt ein Datenzugriff nicht zu Vandalismus. Im Gegensatz dazu steht der böse Besucher einer Tankstelle, der etwas beschädigen kann.

Update: Am 20.09.2022 bestätigte der EuGH seine Rechtsprechung (verbundene Rechtssachen C‑793/19 und C‑794/19). Insbesondere stellte de EuGH fest, dass IP-Adressen nur zum Schutz der nationalen Sicherheit, zur Bekämpfung schwerer Kriminalität und zur Verhütung schwerer Bedrohungen der öffentlichen Sicherheit für einen auf das absolut Notwendige begrenzten Zeitraum gespeichert werden dürfen (Rn. 131).

Urteil zur Vorratsdatenspeicherung

Am 05.04.2022 fällte der EuGH sein Urteil (Az.: C-140/20) zur Vorratsdatenspeicherung. Konkret ging es um ein Gewaltverbrechen. Selbst zur Prävention solcher schwerwiegender Verbrechen ist es rechtswidrig, eine „allgemeine und unterschiedslose Vorratsspeicherung der Verkehrs- und der Standortdaten“ vorzunehmen (Rn. 101 des Urteils). Das Urteil bezieht sich auf Betreiber öffentlicher Kommunikationsdienste, die ungleich gewöhnlichen Netzwerkteilnehmern sind. Ich deute das Urteil hier also nicht dogmatisch.

Der EuGH führte weiter aus, dass IP-Adressen in Ausnahmefällen gespeichert werden dürften, dann aber nur für einen auf das „absolut Notwendige begrenzten Zeitraum“ (Rn. 101). Dies gilt außerdem nur für die „Bekämpfung schwerer Kriminalität und zur Verhütung schwerer Bedrohungen der öffentlichen Sicherheit“.

Mittlerweile hat auch Portugal die anlasslose Vorratsdatenspeicherung gekippt.

Betreiber von Web Servern

Betreiber von Web Servern sind nach meiner Definition „gewöhnliche Unternehmen“ und nicht öffentliche Stellen oder Betreiber von Netzen. Die gewöhnlichen Betreiber von Web Servern bekämpfen jedenfalls nach meiner Kenntnis nicht die schwere Kriminalität. Demnach dürfen solche Betreiber von Web Servern keine anlasslose Protokollierung voller IP-Adressen vornehmen. Ich gehe davon aus, dass das EuGH-Urteil, welches sich auf Betreiber von Telekommunikationsdiensten bezieht, in diesem Punkt auch auf gewöhnliche Netzteilnehmer übertragen lässt. Warum sollte es anders sein? Immerhin haben gewöhnliche Netzteilnehmer noch weniger mit Strafverfolgung zu tun als Netzwerkanbieter, nämlich üblicherweise rein gar nichts. Außerdem war die Vorratsdatenspeicherung quasi ein (rechtswidriges) Privileg durch eine Vorgabe des deutschen Gesetzgebers. Diese Vorgabe galt meines Wissens nach nicht für Hinz und Kunz.

Meine frühere These passt zum Urteil

Mein Beitrag vom 08.02.2022 ist zwei Monate vor dem EuGH-Urteil erschienen. Ich vertrat darin die These, dass die anlasslose Protokollierung voller IP-Adressen im Kontext von Web Servern von Unternehmen rechtswidrig ist. Meine These wurde durch das EuGH-Urteil bestätigt, wenn ich die Randnummer 101 des Urteils richtig verstanden habe. Der EuGH hat gesagt, dass selbst bei behördlicher Anordnung ein Telekommunikationsdienstleister nicht anlasslos protokollieren darf (und falls doch, dann nur in sehr engen Grenzen für sehr schwerwiegende Zwecke, die Strafverfolgung bedeuten und eine Begründung bedingen).

Im Vorfeld meines eben verlinkten, früheren Beitrags habe ich zahlreiche Sicherheitsexperten gefragt, ob sie mir ein einziges Beispiel nennen können, in dem die anlasslose Speicherung von IP-Adressen in Server Logs notwendig ist. Viele verstanden die Frage nicht. Manche kamen mit dem Argument der Strafverfolgung, die aber nicht Sache eines Betreibers eines Servers und schon gar nicht eines Servers ist. Ich beziehe mich hier wie gesagt auf gewöhnliche Unternehmen, nicht auf Telekommunikationsdienstleister, Geheimdienste, Behörden oder sonstige Sonderfälle.

Das BSI antwortete mir auch auf meine Fragen hin, aber in einer Weise, die europarechtswidrig ist, wie sich jetzt herausstellte. Ich forderte das BSI direkt nach dem Urteil auf, die öffentlichen BSI-Unterlagen und Empfehlungen anzupassen und bin gespannt, ob und wann dies passieren wird.

netcup, ein Hosting Provider, hat für seine Web Hosting Kunden standardmäßig die Protokollierung von IP-Adressen in deren Server Logs aktiviert. Ich forderte netcup bereits im Februar für einen meiner Kunden auf, dies abzustellen. Der Kunde selbst hat nichts davon und will diese Protokollierung selbst gar nicht. netcup deaktivierte daraufhin nur für diesen einen Kunden die Protokollierung, nicht aber allgemein. Mir ist ein weiterer Fall dieser Art bei netcup bekannt. Direkt nach dem Urteil schrieb ich netcup wieder an und konfrontierte mit dem EuGH-Urteil und der Aufforderung, diese Protokollierung zukünftig zu deaktivieren.

Nachverfolgung von Nutzern durch Verkehrsdaten

Der EuGH stellte übrigens in seinem Urteil fest, wie weitreichend die Nachverfolgung von Personen durch Ausnutzen von deren Verkehrsdaten ist (Rn. 45):

Dieser Schluss erscheint umso gerechtfertigter, als die Verkehrs- und Standortdaten Informationen über eine Vielzahl von Aspekten des Privatlebens der Betroffenen enthalten können, einschließlich sensibler Informationen wie sexuelle Orientierung, politische Meinungen, religiöse, philosophische, gesellschaftliche oder andere Überzeugungen sowie den Gesundheitszustand, wobei solche Daten im Übrigen im Unionsrecht besonderen Schutz genießen. Aus der Gesamtheit dieser Daten können sehr genaue Schlüsse auf das Privatleben der Personen, deren Daten gespeichert wurden, gezogen werden, etwa auf Gewohnheiten des täglichen Lebens, ständige oder vorübergehende Aufenthaltsorte, tägliche oder in anderem Rhythmus erfolgende Ortsveränderungen, ausgeübte Tätigkeiten, soziale Beziehungen dieser Personen und das soziale Umfeld, in dem sie verkehren. Diese Daten ermöglichen insbesondere die Erstellung eines Profils der Betroffenen, das im Hinblick auf das Recht auf Achtung des Privatlebens eine ebenso sensible Information darstellt wie der Inhalt der Kommunikationen selbst (…).

EuGH-Urteil vom 05.04.2022 (C‑140/20)

Hoffentlich kommt diese Erkenntnis demnächst bei deutschen Gerichten an.

Technische Betrachtung notwendig bei rechtlichen Fragen

Als Informatiker bin ich der Meinung, dass technische Fragen zuerst technisch und dann erst rechtlich beurteilt werden sollten. Genau in dieser Reihenfolge. Wer die erste Ebene nicht leisten kann, braucht die zweite Ebene gar nicht erst anfangen, außer, es handelt sich um recht einfache technische Betrachtungen. Bei der technischen Betrachtung schadet es sicher nicht, Grundkenntnisse von rechtlichen Gegebenheiten zu haben.

Am Beispiel der Frage, ob die Reichweitenmessung mit Cookies einwilligungsfrei ist, einem zunächst einfach anmutenden, aber insgesamt doch komplexen Fall, wird deutlich, dass juristische Ausführungen zu Cookies, ohne die Technik zu betrachten, substanzlos erscheinen.

Das mir etwas merkwürdig vorkommende Prinzip des "legitimate interest assessment" (LIA) konterkariert die Tatsache, dass man konkrete Sachverhalte auch konkret prüfen sollte. Denn LIA ist nach meinem Verständnis ein überwiegend juristisch motivierter Ansatz einer rechtlichen Fachanalyse. Eine Fachanalyse sollte allerdings das Fundament eines Hauses zuerst betrachten, bevor sie sich dem Dach widmet. Im Lichte des § 25 TTDSG erscheint mir LIA noch abstruser. Gelegentlich wird LIA nämlich dafür herangezogen, um angeblich einwilligungsfreie Cookies zur Reichweitenmessung zu rechtfertigen. Wo steht im § 25 TTDSG etwas von berechtigtem Interesse? Wer diesen Begriff sucht, muss erst einmal das lex specialis namens TTDSG (bzw. ePrivacy) passieren, bevor er zum Art. 6 DSGVO weiterblättern darf. Vielleicht wurde LIA auch einfach nur mit DPIA (Data Protection Impact Assessment) verwechselt …

Genauso verhält es sich mit der Frage der anlasslosen Protokollierung voller IP-Adressen, einer Art Vorratsdatenspeicherung. Rein technische Betrachtungen führen bereits zur Ausarbeitung konkreter Fragestellungen und zur Antwort der milderen Mittel auf diese Fragen (vgl. u.a. Art. 5 DSGVO oder Erwägungsgrund 39 zur DSGVO). Außerdem wurde durch technische Analyse bereits klar, dass selbst die Kenntnis voller IP-Adressen in vielen Fällen keine effektive Rechtsverfolgungsmöglichkeit bietet. Man denke nur an DDoS-Attacken, die wohl kein Hacker von seinen eigenen Computern aus durchführt. Damit erübrigen sich weitere rechtliche Betrachtungen, jedenfalls in der Tiefe.

Übrigens hatte ich auch ein Jahr vor dem Urteil des LG München vom 20.01.2022 zu Google Fonts eine Untersuchung angestellt, aus der eben hervorgeht, dass es keine Ausreden gibt. Wer Schriftarten auf seiner Webseite nutzen will, bindet sie lokal ein. Wer hiermit ein Problem hat, ist entweder im falschen Beruf (Webseitenbetreuer) oder muss jemanden verteidigen (Anwalt).

Wenn ein Gericht entscheiden soll, ob Google Nutzer mithilfe von Metadaten nachverfolgen kann, sollte es entweder das EuGH-Urteil zur Vorratsdatenspeicherung (insb. Rn. 45) zur Kenntnis nehmen oder einen Sachverständigen fragen. Mittlerweile dürfen Gerichte Sachverständige sogar als Berater hinzuziehen. Warum nicht diese Möglichkeit nutzen?

Speichert Ihr Provider für Ihre Webseite eigentlich die volle IP-Adresse in Ihren Server Logs. Was sagt Ihre Datenschutzerklärung? Schreiben Sie mir doch den Namen Ihres Providers, wenn dieser entweder immer voll protokolliert oder dies per Default tut und Sie die Einstellung durch eigenen Eingriff datenschutzkonform gestalten müssen.

Lesen Sie hier meinen Artikel zu Server Logs und akzeptieren Sie entweder, was ich geschrieben habe oder seien Sie der erste, der ein KONKRETES Beispiel als Gegenbeweis liefert. Manche wissen nicht, was konkret bedeutet. Konkret bedeutet etwa "Denial of Service" plus spezifische Angabe von technischen Gegebenheiten. Konkret bedeutet nicht "Abwehr von Gefahren". Noch einmal: Es geht um die ANLASSLOSE Protokollierung voller IP-Adressen, die ich in Server Logs von Web Servern von Unternehmen für rechtswidrig halte. Unternehmen sind keine Strafverfolger, jedenfalls nicht ohne Anlass!

Speicherdauer

Werden keine vollen IP-Adressen in Webseiten-Logfiles gespeichert werden, bleiben wahrscheinlich nur folgende Daten mit möglichem Personenbezug:

• User-Agent
• aufgerufene URL

Der User-Agent alleine ist recht eindeutig, aber isoliert betrachtet nicht wirklich auf eine Person beziehbar.

Die aufgerufene URL ist meistens nicht personenbezogen, selten aber schon, insbesondere wenn URL-Parameter aus Formulareingaben mitgeführt werden. Sofern diese kritische Datenmitnahme nicht passiert, sehe ich keinen wesentlichen Grund für Probleme mit der Speicherdauer.

Die Bayerische Datenschutzaufsicht meint, dass Webseiten-Logfiles inklusive IP-Adressen für 30 tage aufbewahrt werden dürfen. Ich halte das für grundfalsch, weil IP-Adressen in Webseiten-Logfiles ohne Anlass nichts zu suchen haben. Sind IP-Adressen dort ohne Anlass vorhanden, beträgt die zulässige Speicherdauer somit 0 Tage (was auch immer das dann heißen mag, im schlechesten Fall heißt es gar keine Speicherung).

Inklusive IP-Adressen, die anlassbezogen protokolliert werden, dürfen Webseiten-Logfiles so lange aufbewahrt werden, wie dies durch den Anlass (etwa Hackerangriff mitsamt Folgeuntersuchungen) gerechtfertigt erscheint. Es könnten also auch einige Monate oder Jahre sein.

Sollten Server-Logfiles keine oder keine offensichtlich personenbeziehbaren Daten enthalten, ist die Frage der Speicherdauer fast uninteressant. Um das Entstehen eines Personenbezugs durch Halten von sehr vielen Daten zu vermeiden, sollten Log Files ohne direkt personenbeziehbare Daten wohl nicht länger als einige Monate lang aufbewahrt werden. Anders sieht es aus, wenn ein Anlass vorliegt. Das kann anlassbezogen gehandelt werden.