IP/Sicherheit

Speicherung von IP-Adressen

Das deutsche Bundesverfassungsgericht urteilte am 2. März 2010, dass die Speicherung von IPs in Deutschland in ihrer bisherigen Umsetzung verfassungswidrig sei, da das Gesetz zur anlasslosen Speicherung umfangreicher Daten aller Nutzer elektronischer Kommunikationsdienste keine konkreten Maßnahmen zur Datensicherheit vorsehe.

• Das Gericht hat zudem die Hürden für den Abruf dieser Daten als zu niedrig bewertet.
• Das Urteil verpflichtete deutsche Telekommunikationsanbieter zur sofortigen Löschung gesammelter Daten.
• Die Vorratsdatenspeicherung sei nur unter schärferen Sicherheits- und Transparenzvorkehrungen sowie begrenzten Abrufmöglichkeiten für Sicherheitsbehörden grundsätzlich zulässig.

Einem Auskunftsgesuch der Staatsanwaltschaft ist nachzukommen bei Ermittlungsverfahren über schwere Straftaten. Die Speicherung von IP-Adressen zu anderen Zwecken (beispielsweise beim Besuch einer Internetseite, etwa in einer Logdatei) ist rechtlich ungeklärt.

Das Amtsgericht Mitte (Berlin) erklärte im März 2007 IP-Adressen zu personenbezogenen Daten im Sinne von Vorlage:§ BDSG. Somit sei ihre Speicherung unzulässig.

• Das Amtsgericht München entschied Ende September 2008, dass IP-Adressen nicht als personenbezogene Daten zu werten sind.
• Somit sei deren Speicherung grundsätzlich zulässig. Das Gericht knüpfte dies jedoch an Vorgaben: Die Zulässigkeit der Speicherung hänge von den Möglichkeiten dessen ab, der die Daten speichert.
• Kann er eine Person anhand der IP-Adresse identifizieren (etwa mit einem personalisierten Benutzerkonto), dann ist die automatische Speicherung unzulässig bzw. nur erlaubt, wenn der Benutzer zuvor seine ausdrückliche Erlaubnis gab.

Beide Urteile ergingen für IPv4-Adressen.

• Aufgrund des größeren Adressbereiches sind IPv6-Adressen unter Umständen rechtlich anders einzuordnen.

Hinzu kommt die Frage nach der Beweiskraft einer IP-Adresse aufgrund möglicher Fehlbedienungen oder Routen-Entführungen.

• Als im Jahre 2010 durch Einstellungsfehler beim Border Gateway Protocol (BGP) IP-Adressen von 37000 Netzen (nicht Nutzern) nach China geleitet wurden, entstand die Frage, welche Beweiskraft IP-Adressen zur Verfolgung von Straftaten zukommen könne.
• Zudem nahmen auch Geheimdienste BGP-Entführungen in ihr Werkzeug-Arsenal auf.

An sich müssten alle Provider die Routingtabellen ihrer Kunden bei ihrem regionalen Internet-Registrar (in Europa RIPE) hinterlegen und jede falsche Route ablehnen.

• Falsche Routen wären dann auf ohnehin unsichere Teilnetze begrenzt.
• Nach einer EuGH-Entscheidung ist die Anschlussinhaberhaftung nicht allein an IP-Adressen festzumachen.
• Es bedarf weiterer Angaben vom Internetzugangsanbieter. Über die Beweiskraft dieser Informationen urteilen deutsche Gerichte verschieden, da nur der Anschlussinhaber ermittelt werden kann, nicht aber, welche Person zum fraglichen Zeitpunkt aktiv war.

Um Routen-Entführungen zu unterbinden, gibt es Vorschläge zur Speicherung der Routingtabellen sowie zur Einführung des 2017 entwickelten BGPsec, der Border Gateway Protocol Security Extension.

• Auch wurde die Zertifizierung per Resource Public Key Infrastructure (RPKI) für das BGP eingeführt.
• Nicht alle Internetprovider nutzen dies, wie Tests mit IsBGPsafeyet.com zeigen.
• In Deutschland unterstützen weder die Telekom noch Vodafone diese Sicherheitsmaßnahme.

Rückgewinnung von Zusatzinformationen

Mit Hilfe einer IP-Adresse können weitere Angaben über deren Benutzer mit einer bestimmten Wahrscheinlichkeit angenommen werden:

• Geotargeting versucht, auf den Aufenthaltsort (zumindest Staat, Region) rückzuschließen (Ortsbestimmung).
• Inhalte von einer nicht dynamischen IP-Adresse eines Unternehmens oder einer Behörde können mit hoher Wahrscheinlichkeit als von dort stammend angenommen werden; Seitenaufrufe von dort stammen vmtl.
• von einem Mitarbeiter.
• Wer mit einer IP-Adresse eines Mobilfunkanbieter-Netzes Webseiten eines Servers abruft, ist mit hoher Wahrscheinlichkeit eine Person, die mit dem Handy/Smartphone surft.