IP-Adressen in Logfiles
Derzeit macht ein Urteil eines Landgerichts von sich sprechen, in dem die Protokollierung von IP-Adressen untersagt wird.
Das Urteil wurde angestrengt von einem Anwalt, der in der Protokollierung eine Verletzung seines informationellen Selbstbestimmung sieht.
Die Webserver des RRZE protokollieren die IP-Adresse jedes Zugriffes.
Was jedoch nicht geschieht ist ein Abgleich mit den Daten eines Einwahlproviders oder mit den Daten vom WLAN-/VPN-Login.
Die Daten werden dazu benötigt, monatliche Statistiken über die Zahl der Besucher der Webauftritte zu machen.
Würde man die IP-Adressen abschalten oder anonymisieren, hätte dies folgende Konsequenzen:
- Bei den Statistiken können Visits (=1 Besuch einer IP-Adresse die eine belöiebige Zahl von Seiten innerhalb eines Intervals besucht) nicht mehr erfasst werden. Man würde also nur noch die Zahl der Hits (alle Zugriffe; Website + Bilder) und die der Pageviews (Nur Seiten, ohne inkludierte Bilder) haben
- Die Erfassung und Filter von Zugriffen von bekannten, automatischen Diensten (z.B. Suchmaschinen) ist nicht mehr möglich)
- Beliebige Protokollierungen und auf IP-Adressen basierende Sessions wären nicht merh erlaubt und müssten abgeschaltet oder umprogrammiert werden. So zum Beispiel auch simple Benutzerzähler oder auch Skripten, die ein doppeltes Submit verhindern.
Sessions könnten nur noch per uniq per Zufall erstellte Ids gemacht werden. die nur via GET oder POST übergeben werden können. Bei GET, welches wegen der funktionierenden BACK-Taste zu bezugen wäre, müsste man daher eine sehr lange und benutzerfeindliche URL haben, da dort nun die Sessioninfo mit aufgeführt werden würde. - Referer-SPAM und DoS-Attacken könnten nicht mehr ohne weiteres verhindert werden.
Der Kläger sieht in den Urteil zwar ein Grundsatzurteil, jedoch ist dies nicht zutreffend. Das Gericht selbst schrieb nämlich:
„Die Revision war nicht zuzulassen, da die Sache weder grundsätzliche Bedeutung hat noch die Fortbildung des Rechts oder die Sicherstellung einer einheitlichen Rechtsprechung eine Entscheidung des Revisionsgerichts erfordern, § 543 Abs. 2 ZPO. Es handelt sich um eine Einzelfallentscheidung in einer Sonderkonstellation.“
Eine Einzelfallentscheidung ist somit sicherlich nicht bindend für uns.
Dennoch stellt sich die Frage: Wie soll weiter Verfahren werden.
Soll die Speicherung der IP-Adressen unterlassen werden oder nicht?
Frage an unsere Kunden: Wie sehen Sie dies?