Anzeige
Anzeige
Analyse

BGH-Urteil zu IP-Adressen: Was darf ich als Website-Betreiber überhaupt noch?

IP-Adressen sind personenbezogene Daten und datenschutzrechtlich zu schützen – eine Speicherung ist Website-Betreibern unter Umständen trotzdem erlaubt. Das hat der Bundesgerichtshof entschieden. Das klingt dramatischer als es ist.

Von Adrian Schneider
3 Min.
Artikel merken
Anzeige
Anzeige
Bundesgerichtshof (BGH) in Karlsruhe. (Foto: dpa)

Um IP-Adressen kommt man im Netz nicht herum. Sie sind die Telefonnummern des Internets. Jeder hat eine, kennt welche und benutzt sie täglich. Und auch viele Anwendungen setzen auf IP-Adressen: Webserver legen sie in Logs ab, Sicherheitssoftware protokolliert sie zur Gefahrenabwehr, Tracking-Software helfen sie bei der Statistik über Reichweiten und Zielgruppen.

Anzeige
Anzeige

Umso mehr hat diese Nachricht in den sozialen Netzwerken für einige Erregung gesorgt: IP-Adressen sind personenbezogene Daten und unterliegen damit den strengen Regeln des Datenschutzrechts. So hat es der Bundesgerichtshof (BGH) am Dienstag entschieden. Trotzdem dürfen Betreiber von Internetseiten die IP-Adressen sämtlicher Besucher unter Umständen speichern.

Ein Pirat gegen den Bund

Die Entscheidung ist eine weitere Etappe in einem Verfahren, das bereits 2007 seinen Anfang nahm. Patrick Breyer, Jurist und Politiker der Piratenpartei, wollte dem Bund verbieten lassen, die IP-Adressen von Besuchern staatlicher Internetseiten über die reine Besuchszeit hinaus zu speichern.

Anzeige
Anzeige

Im Mittelpunkt des Verfahrens stand die Frage, ob IP-Adressen „personenbezogene Daten“ sind. Nur dann sind sie vom Datenschutzrecht überhaupt erfasst – das schützt nämlich nur solche Informationen, die sich mit Personen in Verbindung bringen lassen. Und genau hier liegt die Krux: Wann ist eine Person „bestimmbar“?

Anzeige
Anzeige

Zeig mir deine IP und ich sage dir, wer du bist?

Geht es um IP-Adressen, zeigt sich dieses Problem ganz anschaulich beim Filesharing. Abmahn-Anwälte scheitern regelmäßig daran, eine IP-Adresse mit einer konkreten Person in Verbindung zu bringen. Hinter einer einzigen Adresse kann sich schließlich ein Unternehmensnetzwerk, ein offenes WLAN, ein ganzer Haushalt oder auch nur eine einzige Person verbergen. Ohne Mithilfe des Providers ist es sowieso kaum möglich, von der Ziffernfolge auf eine konkrete Personen zu schließen.

Der BGH hat nun gleichwohl entschieden, dass dynamische IP-Adressen personenbezogene Daten darstellen, wenn Anbieter Seitenzugriffe protokollieren.

Anzeige
Anzeige

Sonderlich viel Spielraum hatte er bei seiner Entscheidung nicht. Denn bereits vor drei Jahren hatte er die Frage des Personenbezugs von IP-Adressen vorab dem Europäischen Gerichtshof vorgelegt. Und dieser hatte letztes Jahr bereits festgestellt: IP-Adressen können personenbezogen sein, wenn für den Webseitenbetreiber rechtliche Möglichkeiten bestehen, eine Person hinter der IP zu identifizieren. Eine Speicherung ist dann nur mit besonderer Begründung erlaubt.

Ob solche rechtlichen Möglichkeiten bestehen, musste nun der BGH erneut klären. Ergebnis: Eine rechtliche Möglichkeit besteht, IP-Adressen sind personenbezogen. Darin erschöpft sich auch der aktuelle Kenntnisstand. Der BGH hat – wie üblich – bisher nur eine knappe Pressemitteilung zu seinem Urteil veröffentlicht, die genaue Begründung steht noch aus.

IP-Adressen sollten jetzt anonymisiert werden

Ob IP-Adressen als personenbezogene Daten gespeichert werden dürfen, hängt laut BGH vom Einzelfall ab: Wie nötig ist das Speichern der IP-Adresse und wie groß ist dagegen der Eingriff in die Grundrechte und -freiheiten der Besucher? Im Klartext: Ein Server, der sich regelmäßig Angriffen ausgesetzt sieht, darf IP-Adressen eher speichern als ein Server ohne „Angriffsdruck“. Wo genau hier die Grenzen zu ziehen sind und wie lange Anbieter die vollständigen IP-Adressen dann speichern dürfen, hat der BGH nicht entschieden. Vielmehr wird dazu das Landgericht Berlin entscheiden müssen, an das der BGH das Verfahren zurück verwiesen hat. Die Diskussion um IP-Adressen geht also in eine weitere Runde.

Anzeige
Anzeige

Vollständig geklärt ist die Rechtslage damit noch immer nicht. Wer als Seitenbetreiber auf die Erfassung vollständiger IP-Adressen verzichten kann, ist aber spätestens jetzt gut beraten, die IPs möglichst zu anonymisieren. Unproblematisch ist das beim Betrieb eines eigenen Servers. Webhosting-Anbieter bieten die Möglichkeit bisweilen als Option in ihren Kundenmenüs an, teils nehmen sie die Anonymisierung auch selbstständig vor.

IP-Adressen immer unwichtiger

Der praktische Informationsverlust ist dabei geringer als man meint. Aus den reinen IP-Adressen können Seitenbetreiber ohnehin nur bedingt Informationen über ihre Nutzer gewinnen. Für Geolokalisierung können IP-Adressen noch hilfreich und notwendig sein. Aber schon beim Werbetracking spielen IP-Adressen eine immer geringere Rolle. Tracking-Cookies, Browser-Fingerprints und ähnliche Verfahren sind da deutlich aufschlussreicher. Auch bei der Abwehr von DDoS-Angriffen oder bei Intrusion Detection sind IP-Adressen nur ein Faktor von vielen – zu einfach lassen sie sich verschleiern.

Begrenzt ist die Bedeutung des Verfahrens aber auch aus einem ganz anderen Grund: Im Mai 2018 tritt die EU-Datenschutz-Grundverordnung (DSGVO) in Kraft. Gleichzeitig soll auch die neue E-Privacy-Verordnung wirksam werden, die sich auch mit Tracking-Technologien befasst. Und spätestens dann werden die Karten ohnehin neu gemischt.

Mehr zu diesem Thema
Fast fertig!

Bitte klicke auf den Link in der Bestätigungsmail, um deine Anmeldung abzuschließen.

Du willst noch weitere Infos zum Newsletter? Jetzt mehr erfahren

Anzeige
Anzeige
Kommentare (2)

Community-Richtlinien

Lars

„Der praktische Informationsverlust ist dabei geringer als man meint. Aus den reinen IP-Adressen können Seitenbetreiber ohnehin nur bedingt Informationen über ihre Nutzer gewinnen.“

Schon mal IPV6 gehört? Das verkehrt sich gerade ins Gegenteil.

Adrian

Danke für die Anmerkung und den berechtigten Einwand. In der Tat ist IPv6 nochmal ein ganz anderes Thema. Allerdings hat der BGH ja gerade nicht über IPv6 sondern über IPv4 entschieden. Insofern sind alle Ausführungen dazu in der Tat nur auf IPv4 bezogen.

Allerdings wird es sich mE noch zeigen müssen, wie viel mehr Informationen sich in der Praxis aus IPv6-Adressen ableiten lässt. Mit Privacy Extensions und NAT können auch IPv6-Adressen keineswegs zwingend nur einem Gerät oder gar einer Person zugeordnet werden. Und ob sich hinter einer IPv6-Adresse nun ein smarter Kühlschrank oder ein Firmennetz mit 2.000 Mitarbeitern verbirgt, kann ich der Adresse auch nicht unbedingt ansehen. Insofern eignet sich auch IPv6 zur Identifikation oder Aussonderung einer bestimmten Person auch nur bedingt.

Aber du hast schon recht: Konzeptionell ist IPv6 anders angelegt und die Entscheidung des BGH sicher nicht ohne weiteres darauf übertragbar.

Bitte schalte deinen Adblocker für t3n.de aus!
Hallo und herzlich willkommen bei t3n!

Bitte schalte deinen Adblocker für t3n.de aus, um diesen Artikel zu lesen.

Wir sind ein unabhängiger Publisher mit einem Team von mehr als 75 fantastischen Menschen, aber ohne riesigen Konzern im Rücken. Banner und ähnliche Werbemittel sind für unsere Finanzierung sehr wichtig.

Schon jetzt und im Namen der gesamten t3n-Crew: vielen Dank für deine Unterstützung! 🙌

Deine t3n-Crew

Anleitung zur Deaktivierung
Artikel merken

Bitte melde dich an, um diesen Artikel in deiner persönlichen Merkliste auf t3n zu speichern.

Jetzt registrieren und merken

Du hast schon einen t3n-Account? Hier anmelden

oder
Auf Mastodon teilen

Gib die URL deiner Mastodon-Instanz ein, um den Artikel zu teilen.

Community-Richtlinien

Wir freuen uns über kontroverse Diskussionen, die gerne auch mal hitzig geführt werden dürfen. Beleidigende, grob anstößige, rassistische und strafrechtlich relevante Äußerungen und Beiträge tolerieren wir nicht. Bitte achte darauf, dass du keine Texte veröffentlichst, für die du keine ausdrückliche Erlaubnis des Urhebers hast. Ebenfalls nicht erlaubt ist der Missbrauch der Webangebote unter t3n.de als Werbeplattform. Die Nennung von Produktnamen, Herstellern, Dienstleistern und Websites ist nur dann zulässig, wenn damit nicht vorrangig der Zweck der Werbung verfolgt wird. Wir behalten uns vor, Beiträge, die diese Regeln verletzen, zu löschen und Accounts zeitweilig oder auf Dauer zu sperren.

Trotz all dieser notwendigen Regeln: Diskutiere kontrovers, sage anderen deine Meinung, trage mit weiterführenden Informationen zum Wissensaustausch bei, aber bleibe dabei fair und respektiere die Meinung anderer. Wir wünschen Dir viel Spaß mit den Webangeboten von t3n und freuen uns auf spannende Beiträge.

Dein t3n-Team

Kommentar abgeben

Melde dich an, um Kommentare schreiben und mit anderen Leser:innen und unseren Autor:innen diskutieren zu können.

Anmelden und kommentieren

Du hast noch keinen t3n-Account? Hier registrieren

Anzeige
Anzeige