IP-Adressen: Teufelszeug oder harmlos? Ein datenschutzkritischer Dreiteiler – Teil 2: Vorschlag

Im ersten Teil erklärte ich, das eine der Hauptursachen für fremdschaminduzierenden und datenschutzhomöopathischen Aktionismus der sonst eher arbeits- oder erfolglosen Datenschützer die Betrachtung von IP-Adressen als persönliches/personenbezogenes/personenbeziehbares Datum ist. Heute gehts darum, ob und wie man das ändern kann.

Warum sind IP-Adressen überhaupt personenbezogen? Technisch sind das ja schlicht „Maschinenadressen“, ein halbwegs passender Auto-Vergleich (ohne gehts wohl wirklich nie…) würde leicht schief liegend von „Nummernschildern“ sprechen. Der Trick ist, das die Interpretation, bzw. der vermeintliche Personenbezug eine rein (formal)juristische Betrachtung ist. Und die ist nichtmal unumstritten, man kann zwar Stand heute davon sprechen, das die „herrschende Meinung“ in Deutschland den Personenbezug bejaht, abweichende Meinungen gibt es aber und in USA und der Schweiz(?) gibt es Urteile, die einen so strengen Personenbezug, wie in Deutschland mit der neunschwänzigen Privacy-Knute durchgepeitscht, nicht erkennen wollen.

Im BDSG selber kommen „IP-Adressen“ nicht vor, die Überlegung, was man damit in Bezug aufs BDSG anstellt kommt also von Datenschützern, Anwälten und Richtern. Eine enge/strenge Auslegung des BDSG erlaubt diese Interpretation, kann doch der Provider die verteilten IP-Adressen mit seiner Kundendatenbank abgleichen und so zumindest den „Halter“ der IP-Adresse ermitteln. Und da kommt der erste Haken: Er kann auch *nur* den Halter ermitteln. Der Provider hat *keine* Möglichkeit anhand der IP-Adresse festzustellen, welche natürliche Person sich tatsächlich dahinter verbirgt, ja nicht einmal ob es eine, zwei oder viele sind. Gemeinsam genutzte Zugänge in WGs, das Internetcafe, das Smartphone per UMTS, das Firmennetzwerk usw. Beim „Halter“ des Anschlusses ist Ende mit Personenbezug. Ja, aber warum ist denn dann *mein* Datenschutz in Gefahr? Ich nutze doch das WLAN meiner Vermieterin. Auf mich kommt nicht mal deren Provider.

Der Ritt auf der Personenbeziehbarkeit von IP-Adressen zeigt hier ein paar geschickte Volten. Man läßt für die Frage ob IP-Adressen personenbeziehbar sind nämlich außer acht, ob ein Bezug zum tatsächlichen Nutzer hergestellt werden kann. Nein, dem gemeinen Datenschützer genügt, wenn *irgendeine* Person mit der IP-Adresse in Verbindung gebracht werden kann. Das klingt jetzt ein wenig nach Parallelwelt, ist aber tatsächlich Realität. Die Datenschützer wissen sehr genau, das man maximal an den Halter rankommt. Nebenbei: Der Bereich „Störerhaftung“ ist ähnlich lustig, und wenn man den Halter aus der unmittelbaren straf- bzw. zivilrechtlichen Verantwortung für den Anschluß entlassen würde, würde auch das Abmahnunwesen keinen mehr haben, den sie stellvertretend für den filesharenden „Kinofreund“ an die Kandare packen könnten.

OK, Luftholen. Technisch sind IP-Adressen also „Nummernschilder“ (das mancher jeden Tag ne neue kriegt, kann hier ohne Belang bleiben). Praktisch kann so der Provider den Halter einer IP-Adresse ermitteln, also wer den Zugang bestellt hat und wer ihn bezahlt. Rechtlich wird das BDSG so ausgelegt, das IP-Adressen personenbezogen bzw. personenbeziehbar, weil *irgendeine* Person (eben der Halter) ermittelt werden kann. Das das in der Mehrzahl der Fälle nicht der tatsächliche Nutzer ist, interessiert juristisch zunächst nicht. Achja, und ohne IP-Adressen funktioniert das Internet nicht. Wir können sie also nicht einfach weglassen und das Problem so „lösen“. Gut, wissen wir also „was so geht“. Was geht denn nicht?

Da nur der Provider die Zuordnung IP-Adresse Halter vornehmen kann, kann das also Google, Amazon, Facebook oder die Webseite der Kneipe um die Ecke nicht. Die sehen eine IP und können daraus vielleicht grob die Gegend schätzen wo die herkommt (wenn die Geo-Infos korrekt sind), ob es eine statische oder dynamische ist und den Provider. bei festen kann man es vielleicht noch aufs Unternehmen einschränken (wenn das den IP-Block selbst bestellt und nicht auch nur vom Provider delegiert bekommen hat). Ein Webseitenbetreiber kann alleine anhand der IP-Adresse idR keine natürliche Person identifizieren. Er braucht dazu Logindaten (wenn ich mich registriert habe), abschalt- und filterbare Cookies oder ähnliches.

Die IP-Adresse alleine nützt ihm jedenfalls nix. Nicht mal um den Halter rauszubekommen, das kann wiederum nur der Provider. Was geht noch nicht? Der Provider kennt zwar meine IP-Adresse (gut, die meiner Vermieterin), aber er weiß nicht, wo ich mich denn so rumtreibe. Das wiederum wissen nur die jeweiligen Webseiten. Übrigens eine große Angst, die durch AK Vorrat et al geschürt ist, das der IP-Speicherungsteil der Vorratsdatenspeicherung „Surfprotokolle“ erlauben würde, eine Argumentation (leider) auf dem Niveau einer Uschi von der Leyen, aber darum solls hier nicht gehen.

Nochmal Luftholen. Webseitenbetreiber können mich also allein anhand meiner IP nicht (sicher) identifizieren und benötigen dafür mehr Daten, etwa die, die ich bei der Registrierung (idR freiwillig) angegeben habe. Und wenn sie die haben, dann brauchen sie die IP auch nicht mehr. Provider dagegen haben zwar meine IP, wissen aber nicht wo ich mich rumtreibe. Warum baut nun trotzdem ein Großteil der aktuellen Datenschutzdebatte auf der Personenbeziehbarkeit von IP-Adressen auf? AdSense, GoogleAnalytics, Like-Buttons, eingebundene Youtubevideos oder Flickr-Bilder, alles „böse“, weil der jeweilige Betreiber meine IP „übermittelt“ bekommt, am schlimmsten noch in den unsicheren Drittstaat USA.

Warum läßt man den (strengen/engen) Personenbezug denn an der Stelle nicht einfach weg? Das würde die Lage doch dramatisch vereinfachen. Analytics und Co wären „legal“, Intrusion-Detection-Systeme von Krankenkassen könnten IP-basiert Angreifer blocken und die Daten schützen, Datenschützer müssten sich nicht mit Karnickelzuchtforen rumschlagen, die an einer Ecke AdSense schalten, man müsste nicht über Abmahnungen(!) für Datenschutzverletzungen Dritter(!!!) nachdenken usw., selbst die Polizei würde so „grundrechtsschonende“ Ermittlungsansätze bekommen (wieder ein Autovergleich: Tempo- oder Parkverstöße gehen auch über den Halter und keiner schreit „Datenschutz!“).

Die Speicherung von IP-Adressen ist (auch im Sinne des Datenschutzes in Form von Security) teilweise sogar notwendig. Firewalls, Abwehr von Denial-of-Service-Angriffen, IDS-Systeme etc. Die brauchen (neben anderem) alle IP-Adressen und müssen die auch aufheben, zum Vergleich, für Statistiken und Heuristiken usw. Für die würde es einfacher, wenn sie nicht wegen der Erfassung und Speicherung von „personenbezogenen Daten“ in Form von IP-Adressen ständig in der Gefahr schwebten auf die Nase zu bekommen. Und technisch funktioniert das Internet ohne Übermittlung und Austausch von IP-Adressen eh nicht. Es „nützt“ ja auch nichts, IP-Adressen zu verteufeln, denn etwa Tracking, auch personalisiert oder persönliche Werbung funktionieren heutzutage ganz prima ohne IP-Adressen (siehe den „Digitalen Fußabdruck“ aus Teil 1) aus, läßt man IPs ausm Tracking raus hat man kaum was gewonnen:

Ja, man könnte sich glatt auf echte Datenschutzprobleme stürzen. Die tolle Personenkennziffer etwa, die wir alle in Form der SteuerID bekommen haben, obwohl das BVerfG (ja, genau das, was auch die hochgelobte informationelle Selbstbestimmung postulierte) eine solche ID nach den Erfahrungen von DDR und 3. Reich ablehnte. ELENA, dem „Hosen runter“-Programm für Arbeitnehmer. HartzIV, dem Datenstrip für Langzeitarbeitslose. SWIFT, Fluggastdatenübermittlung, Rasterfahndung und Kommunikationsüberwachung. Und so weiter. Wir latschen fröhlich den Weg in den Überwachungsstaat (und Dresden zeigt, das der echt nicht weit weg von uns ist) und verlieren uns unterwegs in der Zerstreuung der Streits, ob GoogleMail denn in Deutschland verboten werden müsste, weil die ja meine IP kennen.

Kann man denn das mit dem Personenbezug so einfach ändern? Ginge das denn? Ja klar ginge das. Der strenge/enge Personenbezug ist ja eine rein juristische Auslegung des BDSG, die mit der Technik (oder boshaft: mit dem echten Leben) kaum Überschneidungen hat. Die kann man ändern und nicht pauschal jede IP-Adresse, die meinen Router kreuzt, als streng geheimzuhaltendes Personendatum überqualifizieren. It’s that easy. Wir haben echt größere Probleme als uns um „Übermittlung von IPs nach USA“ zu streiten.

Die sollten wir angehen.

Nachtrag: Um Missverständnisse zu vermeiden: Die Idee, den Personenbezug bei IP-Adressen abzuschwächen bezieht sich *ausschließlich* auf die nackten Nummern, wie sie etwa in Mail- und Webserverlogs gespeichert werden. Die dann tatsächliche *Zusammenführung* eines solchen „nackten“ Datensatzes mit einem aus den Logfiles des Providers ergeben dann natürlich „echte“ personenbezogene Daten und *diese* Zusammenführung muss selbstverständlich geschützt, verhindert, verboten oder zumindest mit hohen gesetzlichen Hürden versehen werden. Denn *dann* hat man die Surfprotokolle, die Bewegungsprofile, den gläsernen Menschen, die Möglichkeiten zur staatlichen Überwachung und Generalverdächtigung der Bürger, gegen die AK Vorrat et al, Piratenpartei, die handvoll vernünftiger Netzpolitiker der „großen“ Parteien und nicht zuletzt die vielbeschworene „Netzgemeinde“ protestieren.

Und *dieser* Part von „1984“ (um neben einem Auto- auch noch den unvermeidlichen Orwellvergleich hinzubekommen) darf tatsächlich nicht Wirklichkeit werden, und das ist, da lehn ich mich mal ausm Fenster, auch innerhalb der Spackeria Konsens.

Advertisements

Über Klaus Peukert

Klaus Peukert, 37 Jahre, verheiratet, Vater eines Sohnes, arbeitet und lebt in Leipzig. Neben Familie und Beruf ist er auf den Fußballplätzen Leipzigs als Schiedsrichter und -beobachter unterwegs. Er interessiert sich für die Weiterentwicklung der Demokratie mit den Werkzeugen des 21. Jahrhunderts und die Herausforderungen des Datenschutzes in einer vernetzten Welt.
Dieser Beitrag wurde unter Uncategorized veröffentlicht. Setze ein Lesezeichen auf den Permalink.

14 Antworten zu IP-Adressen: Teufelszeug oder harmlos? Ein datenschutzkritischer Dreiteiler – Teil 2: Vorschlag

  1. lfalkenburg schreibt:

    Zur Abwechslung gibts mal was vernünftiges von der Spackeria hier im Blog – ich will jetzt nicht die Diskussion anfangen, dass man mit IPv6 endlich ein Mittel hätte auch die IP-Adresse bzw. Teile davon lebenslang zu individualisieren, was wiederrum ein Segen für den Datenschutz sein könnte – allerdings selbstverständlich auch für den Überwachungsstaat. Ansonsten meinen herzlichen Glückwunsch, dass Ihr die allgegenwärtige Burrying-Strategie der Lenker und Versenker dieses Landes verstanden habt. (hat ja lang genug gedauert)

    Ansonsten ist alles, was Dich hier stört durch die Gesellschaft d.z. legitimiert. Gegen Atomkraft geht man auf die Strasse weil es nicht nur ordentlich vorgetragene Argumente gibt sondern auch viele der Gegner hartnäckig sind und versuchen auf allen ebenen die Menschen dort abzuholen, wo diese sich jeweils befinden. Das hat die Spackeria leider so schön versemmelt, dass, wenn ich die Themen anzusprechen versuche entweder ich oder ein anderer am Tisch „Spackeria“ sagt, derjenige „durch“ ist und zwar nicht nur für den Moment der Diskussion. Wir ihr das wieder gerade rücken wollt ist mir schleierhaft – ansonsten nochmals vielen Dank für Deine Ausführungen.

  2. Stefan schreibt:

    „und *diese* Zusammenführung muss selbstverständlich geschützt, verhindert, verboten oder zumindest mit hohen gesetzlichen Hürden versehen werden“ – zeigt mal wieder, wie inkonsistent die Spackeria-Argumentationrn sind. In anderen Postings heisst es sinngemäß „was man nicht kontrollieren kann, sollte man erlauben“.

    • tarzun schreibt:

      Unglaublich, schreiben hier doch tatsächlich verschiedene Menschen mit unterschiedlichen Meinungen und nicht der Pressesprecher des Zentralorgans des Spackeria-Dachverbandes. Ist das zu fassen? Und dann gibts da welche, die sich mit konkreten handfesten Dingen befassen, andere die in die ferne Utopie philosophieren und was weiss ich nicht noch alles dazwischen. Pluralismus und Meinungsvielfalt, welch seltsames Konzept das doch ist.

      • lfalkenburg schreibt:

        Daran muss man sich erst gewöhnen – früher stand eine Partei, Gruppierung, Band mit Ihrem Namen meist für spezifisches verhalten. Die Hells Angels haben glaube ich auch nie einen Blumenladen betrieben 😉

        • tarzun schreibt:

          Schau dir doch mal ganz aktuell die Grünen und deren Parteitag an. Die haben alle gemeinsam „Atomausstieg“als Ziel und streiten sich dennoch wie die Kesselflicker um 2017, 2022, Ja zu Merkel, Nein zu Merkel, irgendwas eigenes, Ja-Nein-Vielleicht usw. Da geht das doch komischerweise auch mit den verschiedenen Meinungen unter einem weiten Dach. Warum soll das nun bei der Spackeria nicht funktionieren (nein, nicht „Ausstieg aus dem Datenschutz“ aber „Datenschutzkritik“)?

          Und ich wette, es gibt einen Hells Angel, der tatsächlich einen Blumenladen betreibt…

          • lfalkenburg schreibt:

            Ok, also die Spackeria ist so ein heuchlerisch verlogener Verein wie unsere Parteien dessen geringstes Übel im Moment (noch) die Grünen sind? DAS willst Du mir wirklich bestätigen? Ansonsten ist das mit der „Datenschutzkritik“ so eine Sache – denn Kritik macht meines Erachtens nach nur Sinn, wenn man für die Mehrheit offensichtlich erkennbare Fehler anspricht und zwar so, dass es jeder erkennen kann, oder, wenn es nicht derart offensichtlich ist, man konstruktive Vorschläge macht – also anstelle von „ja aber“ auch ein „warum nicht“ anbietet. Dies sehe ich bisher nur sehr vereinzelt bei der Spackeria …

            Eine Diskussion in einer durch plumpe, agressive Provokationen aufgeheitzten Athmosphäre zu führen ist zumindest sachlich nicht möglich. „Wer sein Publikum bespuckt muss sich nicht wundern, wenn er mit Tomaten beworfen wird“ – genau dies hat eure Vortänzerin aber getan und unterlässt es nicht.

            Wer sich auf Ihr Niveau begibt, wird wegen seines Niveaus kritisiert – also der Popler, der einem anderen das Popeln verbieten will, das ist immer so eine Sache, der ich persönlich nun garnichts abgewinnen kann.

            Mag sein, es war Kalkül, eine gewisse Eskalation zu betreiben um sich dann in eine gewisse Opferrolle zu begeben zu können um sich dadurch mehr Gehör zu verschaffen – meines Erachtens nach ging das Ganze aber nach hinten los und lässt sich nur sehr schwer bereinigen. Wenn Du mir nun allerdings noch sagst, das Ihr als Aktionsgruppe nicht besser seid als die etablierten Grünen…

            Ich hoffe, dass sich das nicht bestätigt.

            Ansonsten ist mir zu Deinem Artikel noch eingefallen – wie soll Deines Erachtens eigentlich eine Strafverfolgung im Internet erfolgen? Schliesslich kann man „Datendieben (jaja -kopierern)“ ja nicht wie im echten Leben hinter herlaufen und diese „dingfest“ …machen

    • Ferenjito schreibt:

      Meine Güte, inkonsistente Argumentation… Stand hier nicht zu Anfang mal irgendwo, dass der gemeinsame Nenner hier schlicht Kritik am Datenschutz ist? Das kann naturgemäß Meinungen verschiedener Couleur beinhalten, von „Ich bin ja eigentlich auch Datenschützer aber wie das momentan läuft schadet es mehr als es nutzt“ bis „ich finde Überwachungskameras auf jeder Toilette eine prima Sache“. Möglicherweise erweitert sich ja ein gemeinsamer Nenner im Laufe möglicherweise langwieriger Diskussionen.

  3. Pingback: Vorratsdatenspeicherung oder warum die FDP den Liberalismus begraben hat « kielspratineurope

  4. gongus schreibt:

    „Die dann tatsächliche *Zusammenführung* eines solchen „nackten“ Datensatzes mit einem aus den Logfiles des Providers ergeben dann natürlich „echte“ personenbezogene Daten und *diese* Zusammenführung muss selbstverständlich geschützt, verhindert, verboten oder zumindest mit hohen gesetzlichen Hürden versehen werden.“

    Huh? Das ist doch genau was Facebook macht. Wo ist jetzt plötzlich das Problem bei ein bischen schmutziger Datalove? Obwohl naja, eher Datenbordell, wenn ihr mich fragt.

  5. Pingback: Die Staatstrojaner: Wo bleibt die Empörung der Datenschutz-Beamten? « Ich sag mal

  6. mysha schreibt:

    Ich finde es gut, dass über das Thema IP-Adresse = „wichtiges“ personenbezogenes Datum gesprochen wird. Ich habe gerade gestern zwei Kollegen zugehört, die sich gegenseitig erklärt haben, warum sie dynamische IP’s toll finden. Wie wir alle wissen, haben die „bösen“ Webseitenbetreiber mittlerweile ganz andere und deutlich effektivere Möglichkeiten, eine Person eindeutig zu identifizieren.
    Jedoch habe ich eine Anmerkung zu einer Aussage im Artikel:
    Dort steht, dass der Provider nicht weiß, was ich im Netz so treibe. Das ist leider nicht richtig. Egal ob Firewall, IPS, der DNS-Server oder halt der Sniffer zur Überwachung der Leitung… Alle diese Systeme legen umfangreiche Logfiles ab und obwohl nur die fehlerhaften/böswilligen Anfragen zur Fehleranalyse benötigt werden, wird oft wissentlich einfach alles was vorbeikommt mitgeloggt. Wie lange diese Daten gespeichert werden und inwieweit sie weiterverarbeitet werden, kann ich nicht sagen, aber sie sind definitiv beim Betreiber vorhanden.

    • tarzun schreibt:

      Ja, der Provider (und jeder unterwegs, an dem meine Pakete vorbeischnüren) kann/könnte mit Techniken wie DPI mehr rausfinden. Aber: *Allein* und *ausschließlich* mit der IP-Adresse bzw. der Zuordnung IP Kunde kann er es nicht. Und nur darum ging es hier 🙂

  7. forenwanderer schreibt:

    Lieber tarzun,

    deine Auslegungen zur Personalisierung von IP- Adressen bestätigen durchaus eine gewisse Differenzierung, die man unbedingt vornehmen sollte.

    …kann doch der Provider die verteilten IP-Adressen mit seiner Kundendatenbank abgleichen und so zumindest den „Halter“ der IP-Adresse ermitteln. Und da kommt der erste Haken: Er kann auch *nur* den Halter ermitteln. Der Provider hat *keine* Möglichkeit anhand der IP-Adresse festzustellen, welche natürliche Person sich tatsächlich dahinter verbirgt, ja nicht einmal ob es eine, zwei oder viele sind…

    Wie du selbst schon verdeutlicht hast (Störerhaftung), ist eine Identifizierung der tatsächlichen Nutzers einer IP- Adresse juristisch gar nicht relevant. Infolge einer Ermittlung durch Strafverfolgungsbehörden ist und bleibt der Halter des Anschlusses verantwortlich für alles, was darüber verzapft wurde. Ich hoffe, deine Vermieterin ist sich dessen bewusst. Dabei ist übrigens der Provider der letzte, den das Treiben seiner Kunden im Internet interessiert. Da gibt es beispielweise genügend Abmahnanwälte der Content- Industrie, die darauf ein funktionierendes Geschäftsmodell errichtet haben. Es spielt schlicht keine Rolle, wer sich hinter der IP- Adresse tatsächlich verbirgt.

    Da nur der Provider die Zuordnung IP-Adresse Halter vornehmen kann, kann das also Google, Amazon, Facebook oder die Webseite der Kneipe um die Ecke nicht.

    Das ist falsch. Facebook erhält über den lästigen „Like“ bzw. „Gefällt mir“- Button mindestens die IP- Adresse des Surfers, der gerade eine Website mit dem lästigen Ding besucht. Dass man nicht einmal den Button betätigen muss, damit Facebook die statistischen Daten des Webservers erhält, funktioniert dank „IFrame“. Facebook ist es egal, welche Person sich hinter der IP- Adresse verbirgt, die gerade ein treffliches Bewegungsprofil abliefert, weil so viele Website- Betreiber dieses dümmliche Spiel unterstützen. Anonyme Bewegungsprofile lassen sich damit zumindest mit Interessen abgleichen, was für die Marketing- Branche bereits sehr aufschlussreich ist. Glücklicherweise sind sehr viele Surfer auch gleichzeitig Facebook- Mitglieder, die auch der Bequemlichkeit halber quasi dauerhaft in ihrer „Social Virtual Reality“ angemeldet bleiben und dadurch eine umfassende Personalisierung gewährleisten. Infos vom Provider sind obsolet. Fehlende Medienkompetenz vernicht Datenschutz. Damit kann ich persönlich leben, da ich diese Gefahren kenne und mich entsprechend darauf einrichte. Wer das nicht beachtet, hat ein persönliches Datenschutzproblem, worüber er/sie sich anschließend nicht aufregen sollte.

    Warum läßt man den (strengen/engen) Personenbezug denn an der Stelle nicht einfach weg? Das würde die Lage doch dramatisch vereinfachen. Analytics und Co wären „legal“, Intrusion-Detection-Systeme von Krankenkassen könnten IP-basiert Angreifer blocken und die Daten schützen…

    Angeblich gibt es doch gar keinen Personenbezug, den man weg lassen könnte? Es gibt doch nur einen Bezug zum Anschlussinhaber, wie soll dies denn nun Google Analytics & Co. in Deutschland legalisieren?

    *Allein* und *ausschließlich* mit der IP-Adresse bzw. der Zuordnung IP Kunde kann er es nicht. Und nur darum ging es hier.

    Das sehe ich anders, wenn ich die Überschrift des Artikels zitiere: „IP-Adressen: Teufelszeug oder harmlos?“ Diese Diskussion kann man doch nicht auf den Bezug von Provider zur IP- Adresse herunterbrechen…?

  8. Pingback: IP-Adressen: Teufelszeug oder harmlos? Ein datenschutzkritischer Dreiteiler – Teil 3: IPv6 | Die datenschutzkritische Spackeria

Kommentar verfassen

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden / Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden / Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden / Ändern )

Google+ Foto

Du kommentierst mit Deinem Google+-Konto. Abmelden / Ändern )

Verbinde mit %s