IP-Speicherung für drei Monate: Was Betreiber jetzt wissen müssen
Worum es in der Anhörung ging
Über die Vorratsdatenspeicherung wird in Deutschland seit vielen Jahren gestritten. Neu ist die Konstellation, die jetzt wieder im Raum steht: Internetprovider sollen IP-Adressen ihrer Kunden drei Monate lang speichern. Das ist die Kernaussage der Berichterstattung, über die Golem.de im Zusammenhang mit einer Anhörung berichtet hat.
Daneben steht ein zweites Modell im Raum, das unter dem Namen Quick-Freeze bekannt ist. Die Idee dahinter: Daten werden nicht auf Vorrat für alle gespeichert, sondern erst dann „eingefroren“, wenn ein konkreter Anlass besteht. Das ist deutlich zurückhaltender als eine pauschale Speicherung. In der Anhörung forderten Ermittler laut Bericht, dass bei Quick-Freeze auch auf Inhaltsdaten zugegriffen werden darf. Wer die Unterscheidung nicht im Kopf hat: Verbindungsdaten sagen, wer wann mit wem Kontakt hatte oder welche IP-Adresse zu welchem Zeitpunkt vergeben war. Inhaltsdaten sind das, was tatsächlich übertragen wurde, also etwa der Text einer Nachricht.
Kritiker wiederum sehen für die vorgesehene Speicherdauer von drei Monaten keine Evidenz. Sie fragen also, ob es Belege dafür gibt, dass genau diese Frist nötig ist und ob sie tatsächlich dazu beiträgt, mehr Straftaten aufzuklären. Eine Zahl oder Studie dazu nenne ich hier bewusst nicht, weil sie in der uns vorliegenden Meldung nicht genannt wird. Wichtig ist die Stoßrichtung der Debatte: Es geht um Verhältnismäßigkeit, nicht um die Frage, ob Ermittler Werkzeuge brauchen.
Noch ein Hinweis zur Einordnung: Es handelt sich um eine Anhörung, also um einen Schritt im politischen Verfahren, nicht um ein fertiges Gesetz. Wie das Ergebnis am Ende aussieht, ist offen. Wer jetzt hektisch Systeme umbaut, handelt voreilig. Wer die Debatte ignoriert, verpasst eine gute Gelegenheit, die eigenen Datenflüsse einmal aufzuräumen.
Was eine IP-Adresse überhaupt verrät
Für viele Entscheider ist eine IP-Adresse etwas Abstraktes, das irgendwo im Hintergrund mitläuft. Tatsächlich ist sie in vielen Fällen der Schlüssel, mit dem sich ein Vorgang im Netz einer Person zuordnen lässt. Der Zusammenhang funktioniert in zwei Schritten.
Erstens: Ihr Webserver sieht, dass ein Besucher mit einer bestimmten IP-Adresse zu einem bestimmten Zeitpunkt eine Seite aufgerufen hat. Zweitens: Der Internetprovider dieses Besuchers weiß, welchem Anschluss er diese Adresse zu diesem Zeitpunkt zugewiesen hatte. Erst die Verbindung beider Informationen führt zu einer Person oder zumindest zu einem Haushalt. Der Provider ist dabei das Glied, das die Zuordnung herstellen kann.
Genau hier setzt die geplante Speicherpflicht an. Heute behalten Provider solche Zuordnungen nach eigenem betrieblichem Bedarf, manche sehr kurz, manche länger. Eine feste Frist von drei Monaten würde dafür sorgen, dass eine Zuordnung im Ermittlungsfall verlässlich noch abrufbar wäre. Für Ihr Unternehmen heißt das zunächst: Die Pflicht trifft Provider, nicht Sie als Betreiber einer Website. Trotzdem sind Sie nicht außen vor, und dazu kommen wir gleich.
Für die Einordnung ist ein zweiter Punkt wichtig. Eine IP-Adresse gilt datenschutzrechtlich in aller Regel als personenbezogenes Datum, sobald sich mit vertretbarem Aufwand ein Personenbezug herstellen lässt. Das ist seit Jahren die Praxis der Datenschutzbehörden und der Rechtsprechung, und die Vorratsdatenspeicherungs-Debatte ändert daran nichts. Sie sorgt aber dafür, dass das Thema wieder in den Köpfen ist.
Wer ist betroffen: Provider, Hoster, Betreiber
Die Meldung nennt als Blickwinkel Provider, Hoster und Shop-Betreiber. Diese Gruppen sind unterschiedlich nah dran, und es lohnt sich, sie auseinanderzuhalten.
Internetprovider sind die direkten Adressaten einer Speicherpflicht. Sie müssten Technik und Prozesse anpassen, Speicherplatz bereitstellen, Auskunftsverfahren absichern. Das sind Aufgaben und Kosten, die am Ende über die Preise bei den Kunden landen können. Für ein Unternehmen mit mehreren Standorten und Business-Anschlüssen kann das spürbar werden, auch wenn sich heute nicht seriös beziffern lässt, in welcher Größenordnung.
Hoster stehen in einer Grauzone. Je nachdem, wie der Gesetzgeber den Kreis der Verpflichteten zieht, können auch Anbieter von Hosting-Leistungen betroffen sein oder zumindest Auskunftsersuchen bekommen. Die uns vorliegende Zusammenfassung sagt dazu nichts Konkretes, deshalb bleibt es bei einer allgemeinen Einordnung: Wer Server betreibt, wird von Behörden angefragt, und die Frage, was dort an Protokolldaten vorliegt, entscheidet darüber, was überhaupt herausgegeben werden kann. Bei einem sauber geführten Managed Hosting sollten Sie wissen, wie lange Zugriffsprotokolle aufbewahrt werden und wer darauf Zugriff hat.
Website- und Shop-Betreiber sind keine Adressaten der Speicherpflicht, aber sie sind Datenquelle. In den Logfiles Ihres Webservers, in Ihrem Shopsystem, in Ihrer Warenwirtschaft, im Newsletter-Tool und in den Statistikwerkzeugen stehen IP-Adressen, Zeitstempel und Aktionen. Kommt ein Ermittlungsersuchen, kann es sich auch an Sie richten. Und unabhängig davon gilt für Sie die Datenschutz-Grundverordnung mit dem Prinzip der Datensparsamkeit.
Anders gesagt: Die Politik diskutiert über die Speicherung beim Provider. Ihre eigene Verantwortung beginnt bei der Frage, was bei Ihnen gespeichert wird und warum.
Der Streit um Inhaltsdaten
Der Teil der Meldung, der aus meiner Sicht am meisten Aufmerksamkeit verdient, ist die Forderung nach Zugriff auf Inhaltsdaten bei Quick-Freeze. Der Unterschied zwischen Verbindungsdaten und Inhalten ist keine Spitzfindigkeit, sondern der Kern der Grundrechtsdebatte.
Verbindungsdaten gelten als weniger eingriffsintensiv, weil sie nicht verraten, was jemand geschrieben oder gelesen hat. Sie zeigen Muster: wer, wann, wie lange, wie oft. Inhalte betreffen dagegen unmittelbar das, was Menschen einander mitteilen. Entsprechend streng sind die Hürden, wenn der Staat darauf zugreifen will. Wenn Ermittler fordern, ein Verfahren, das ursprünglich als milde Alternative gedacht war, auch auf Inhalte auszudehnen, verschiebt sich dessen Charakter.
Für Unternehmen ist das aus zwei Gründen interessant.
Erstens betrifft es Ihre Kommunikation. Geschäftliche E-Mails, Chatnachrichten mit Kunden, Angebote, Bestellkommentare: All das sind Inhalte. Je weiter die Zugriffsmöglichkeiten reichen, desto wichtiger wird die Frage, wie Sie vertrauliche Kommunikation schützen. Verschlüsselung auf dem Transportweg ist heute Standard, Ende-zu-Ende-Verschlüsselung dagegen nicht in jedem Geschäftsprozess üblich. Ob Quick-Freeze mit Inhaltszugriff technisch überhaupt dort ansetzen könnte, wo Inhalte verschlüsselt sind, ist eine offene Frage, zu der die Meldung nichts sagt.
Zweitens betrifft es Ihre Pflichten gegenüber Dritten. Wer Kundendaten, Gesundheitsdaten, Mandantendaten oder Geschäftsgeheimnisse verarbeitet, hat Vertraulichkeitspflichten. Der Staat kann in bestimmten Fällen Zugriff verlangen, aber Sie sollten wissen, was Sie wo gespeichert haben, damit Sie im Ernstfall korrekt und kontrolliert reagieren können, statt hektisch zu suchen.
Warum die Evidenzfrage auch Sie angeht
Kritiker bemängeln, dass es für die Speicherdauer von drei Monaten keine Evidenz gebe. Das klingt nach einem rein politischen Detail, hat aber eine Parallele im Unternehmensalltag.
Auch bei Ihnen gibt es Aufbewahrungsfristen, die niemand mehr hinterfragt. Webserver-Logs, die ein Jahr lang liegen, weil das irgendwann einmal so eingestellt wurde. Backups, die Altdaten über Jahre mitschleppen. Kundenkonten, die seit Langem inaktiv sind. Die DSGVO verlangt, dass Daten nicht länger gespeichert werden, als es für den Zweck erforderlich ist. Das ist im Kern dieselbe Frage, die in der Anhörung gestellt wird: Wie lange ist lange genug, und woran machen wir das fest?
Der Unterschied: Beim Gesetzgeber ist sie umstritten. Bei Ihnen müssen Sie sie beantworten, schriftlich und nachvollziehbar. Eine saubere Begründung für jede Speicherfrist ist nicht nur Pflicht, sie schützt Sie auch. Wer wenig speichert, kann wenig verlieren, wenig herausgeben und bei einem Datenleck weniger erklären.
Typische Datenquellen auf Ihrer Website
Damit das Thema greifbar wird, hier die Stellen, an denen in einem typischen Mittelstandsbetrieb IP-Adressen und Zugriffsdaten anfallen. Die Liste ist eine allgemeine Orientierung, keine Aussage über Ihr konkretes System.
- Webserver-Logs: Standardmäßig protokollieren viele Server jeden Aufruf mit IP-Adresse, Zeitpunkt, aufgerufener Adresse und Browserkennung. Die Voreinstellung ist oft großzügig.
- Shopsystem und Warenwirtschaft: Bestellungen werden häufig mit der IP-Adresse des Käufers abgelegt, etwa zur Betrugserkennung. Das kann sinnvoll sein, muss aber begründet und befristet werden. Wer eine Warenwirtschaft betreibt, etwa im Rahmen eines JTL-Hosting, sollte auch dort prüfen, welche Protokolle mitlaufen.
- Kontaktformulare und Newsletter-Anmeldungen: Oft werden Zeitstempel und IP-Adresse als Nachweis der Einwilligung gespeichert. Das kann zulässig sein, ist aber kein Freibrief für unbegrenzte Aufbewahrung.
- Statistik und Tracking: Analysewerkzeuge erfassen IP-Adressen mindestens kurzzeitig. Ob und wie sie anonymisiert werden, hängt von der Einstellung ab.
- Sicherheitswerkzeuge: Firewalls, Web Application Firewalls und Anti-Spam-Dienste protokollieren Zugriffe, teilweise in externen Systemen.
- Backups: Sie enthalten alles, was zum Sicherungszeitpunkt da war, auch Logs und Datenbankinhalte. Wer Daten löscht, aber Backups Jahre aufhebt, hat sie faktisch nicht gelöscht.
Jede dieser Quellen ist für sich genommen harmlos. Zusammengenommen entsteht ein Bild, das im Ermittlungsfall, bei einer Datenpanne oder bei einer Auskunftsanfrage nach Artikel 15 DSGVO relevant wird.
Zielkonflikt: Sicherheit braucht Logs, Datenschutz will Sparsamkeit
Hier lauert ein Zielkonflikt, den ich in Gesprächen mit Geschäftsführern immer wieder erlebe. Einerseits sollen Angriffe erkannt werden, und dafür braucht es Protokolle. Wer nach einem Einbruch nicht nachvollziehen kann, was passiert ist, steht blind da. Andererseits verlangt der Datenschutz Zurückhaltung.
Beides lässt sich vereinbaren, wenn man es bewusst plant. Ein pragmatischer Ansatz sieht so aus: Sicherheitsrelevante Protokolle werden in einer festen, kurzen Frist vorgehalten, die zum Zweck passt, und danach automatisch gelöscht oder gekürzt. IP-Adressen lassen sich in vielen Systemen nach kurzer Zeit teilweise unkenntlich machen, indem die letzten Stellen entfernt werden. Zugriff auf Logs erhalten nur wenige, namentlich bekannte Personen. Und es ist dokumentiert, warum die Frist so gewählt wurde.
Wer im Bereich IT-Sicherheit gut aufgestellt ist, hat dieses Thema meist schon im Griff, denn dort gehört Protokollierung zum Handwerk. Entscheidend ist, dass Sicherheits- und Datenschutzverantwortliche miteinander reden und nicht jeder für sich Einstellungen vornimmt.
Dass die Debatte um Vorratsspeicherung beim Provider dieses Spannungsfeld nicht auflöst, sondern verstärkt, ist eine nüchterne Erkenntnis. Wenn der Staat Provider zur Speicherung verpflichtet, ändert das nichts an Ihrer eigenen Pflicht zur Datenminimierung. Beide Ebenen existieren nebeneinander.
Was das für den Mittelstand bedeutet
Aus all dem lassen sich konkrete Schritte ableiten. Sie müssen nicht alle gleichzeitig angehen, aber die Reihenfolge ist sinnvoll.
1. Bestandsaufnahme der Datenflüsse. Notieren Sie, wo auf Ihrer Website, im Shop, in der Warenwirtschaft und in der E-Mail-Infrastruktur IP-Adressen und Zugriffsdaten anfallen. Ein einfaches Verzeichnis genügt zunächst. Wer ein Verzeichnis von Verarbeitungstätigkeiten führt, hat hier bereits einen Teil der Arbeit erledigt und muss ihn nur ergänzen.
2. Aufbewahrungsfristen festlegen und umsetzen. Legen Sie für jede Datenart eine Frist fest und begründen Sie sie in einem Satz. Stellen Sie dann die Systeme so ein, dass die Löschung automatisch geschieht. Eine Regel, die niemand ausführt, ist keine Regel.
3. Webserver- und Anwendungs-Logs prüfen. Schauen Sie nach, was Ihr Server tatsächlich protokolliert und wie lange. Oft reichen weniger Felder und eine kürzere Aufbewahrung, ohne dass Sicherheit verloren geht. Fragen Sie Ihren Hosting-Partner nach den Standardeinstellungen und nach der Möglichkeit, IP-Adressen zu kürzen.
4. Auftragsverarbeitung und Drittanbieter prüfen. Jeder externe Dienst, der Zugriffsdaten erhält, gehört in Ihre Betrachtung: Statistik, Schriftarten, Karten, Chat-Widgets, Zahlungsdienste. Prüfen Sie Verträge zur Auftragsverarbeitung und fragen Sie, wo die Daten liegen und wie lange. Ein Website-Audit zeigt, welche Dienste beim Seitenaufruf tatsächlich Daten abgreifen, und das sind manchmal mehr, als die Datenschutzerklärung nennt.
5. Ein Verfahren für Behördenanfragen festlegen. Bestimmen Sie vorab, wer ein Auskunftsersuchen entgegennimmt, wer es rechtlich prüft und wer die Daten zusammenstellt. Im Ernstfall zählt Ruhe. Leiten Sie nichts heraus, ohne die Rechtsgrundlage und den Umfang geprüft zu haben, und binden Sie bei Unsicherheit Ihre Rechtsberatung ein.
6. Vertrauliche Kommunikation absichern. Prüfen Sie, ob E-Mails zwischen Ihnen und Ihren Partnern transportverschlüsselt laufen und ob sensible Anhänge zusätzlich geschützt werden. Für besonders schutzbedürftige Inhalte kommen Verfahren in Frage, bei denen nur Absender und Empfänger lesen können. Das ist aufwendiger, aber bei Mandanten-, Gesundheits- oder Entwicklungsdaten oft angemessen.
7. Backups mit Löschkonzept versehen. Klären Sie, wie lange Sicherungen aufgehoben werden und wie bei einer Wiederherstellung sichergestellt ist, dass bereits gelöschte Daten nicht zurückkehren. Eine gute Sicherung ist wichtig, wenn etwas schiefgeht, etwa bei einem Ausfall, und im Zweifel hilft dann auch professionelle Datenrettung. Sie darf aber nicht zum Archiv für alles werden.
8. Mitarbeiter einbinden. Die meisten Fehler entstehen im Alltag: Exportdateien auf dem Desktop, Logs in Chats, Screenshots mit Kundendaten. Eine kurze, verständliche Anweisung wirkt besser als ein langes Regelwerk.
9. Beobachten, nicht überreagieren. Verfolgen Sie, wie sich das Gesetzgebungsverfahren entwickelt. Solange keine verbindliche Regelung vorliegt, besteht kein Grund, Systeme panisch umzubauen. Die Schritte oben sind ohnehin sinnvoll, egal wie die Entscheidung ausfällt.
Wenn Sie in der Region Friesland und Umgebung sitzen und jemanden suchen, der Ihre Systeme vor Ort mit Ihnen durchgeht, ist unser IT-Service Friesland dafür der passende Ansprechpartner.
Häufige Fragen
Muss ich als Website-Betreiber selbst IP-Adressen auf Vorrat speichern?
Nach dem, was die Berichterstattung über die Anhörung schildert, richtet sich die geplante Speicherpflicht an Internetprovider. Als Betreiber einer Website sind Sie davon nicht unmittelbar betroffen. Ihre eigene Pflicht bleibt aber, nur so viel zu speichern, wie für den jeweiligen Zweck erforderlich ist.
Ist eine IP-Adresse wirklich ein personenbezogenes Datum?
In der Praxis ja, jedenfalls dann, wenn sich mit vertretbarem Aufwand ein Bezug zu einer Person herstellen lässt. Datenschutzbehörden und Gerichte behandeln IP-Adressen deshalb regelmäßig als personenbezogen. Das heißt, für Logs und Statistik gelten Informationspflichten, Zweckbindung und Löschfristen.
Was ist der Unterschied zwischen Vorratsdatenspeicherung und Quick-Freeze?
Bei der Vorratsdatenspeicherung werden bestimmte Daten pauschal und anlasslos für eine festgelegte Zeit aufbewahrt. Bei Quick-Freeze werden Daten erst bei einem konkreten Anlass gesichert und dann für die Ermittlung vorgehalten. Der Streit in der Anhörung dreht sich laut Bericht unter anderem darum, ob bei Quick-Freeze auch Inhaltsdaten abgerufen werden sollen.
Muss ich jetzt meine Logfiles abschalten?
Nein. Sicherheitsprotokolle haben ihren berechtigten Zweck, und ohne sie sind Angriffe schwer nachzuvollziehen. Sinnvoll ist, Umfang und Aufbewahrungsdauer bewusst festzulegen, IP-Adressen nach kurzer Zeit zu kürzen oder zu löschen und den Zugriff zu beschränken.
Was tue ich, wenn eine Behörde Daten von mir verlangt?
Bleiben Sie ruhig, prüfen Sie Absender, Rechtsgrundlage und Umfang des Ersuchens und geben Sie nichts ungeprüft heraus. Legen Sie intern fest, wer solche Anfragen bearbeitet, und ziehen Sie bei Zweifeln Rechtsberatung hinzu. Dokumentieren Sie, was Sie wann an wen übermittelt haben.
Ist das schon beschlossen?
Nach der Meldung handelt es sich um eine Anhörung, also um einen Schritt im politischen Prozess. Ob und in welcher Form die Regelung kommt, ist nach meinem Kenntnisstand offen. Prüfen Sie den aktuellen Stand, bevor Sie größere Änderungen planen.