IP-Adresse und Cookie nur noch mit Erlaubnis speichern?

9. Dezember 2009 by mgutt

Aktuell gibt es wieder Diskussionen zur Speicherung der IP-Adresse. Der Düsseldorfer Kreis verbietet beispielsweise die Speicherung von IP-Adressen.

Gehen wir nun mal davon aus, dass niemand mehr IP-Adressen speichern darf. Was ändert sich?
Nichts, denn nicht die IPs sind das Problem, sondern die Cookies. Sonst würden Seitenbetreiber direkt ihre Logfiles auswerten und keine Dienste wie Google Analytics nutzen. Soviel sollte jedem klar sein.

Ob eine IP nun personenbezogen ist oder nicht, ist einem Seitenbetreiber völlig egal. Man kann auch jedem Besucher ein eindeutiges Cookie zuordnen und dieses stattdessen auswerten.

Klar die IP kann man dazu nutzen, um sie in GEO-Datenbanken mit Standorten wie z.B. dem Einwahlknotenpunkt zu vergleichen. Nur jeder der mal solche GEO-Datenbanken genutzt hat weiß, dass die Daten ungenau sind und in vielen Fällen nicht mal ansatzweise mit dem Standort des Besuchers übereinstimmen. T-Online wurde in dem Bericht genannt. Vermutlich deswegen, weil T-Online sehr viele Einwahlknoten besitzt und deswegen die Eingrenzung zum Wohnstandort des Anschlussinhabers genauer ist.

Allerdings nutzt nicht jeder T-Online. Und wenn Provider als Marktführer problematisch sind, ist es doch nur logisch, dass man hier was unternehmen muss.

Geo-Datenbank aushebeln!

Warum zwingt man also z.B. die Provider nicht simpel dazu, dass der Einwahlknoten nicht über die IP ermittelt werden kann. Technisch kein großer Akt, da einen Zufallsmechanismus einzubauen bzw. die IPs alle x Monate neu zuzuordnen.

Gerade die Beständigkeit von IPs und Einwahlknoten macht die GEO-Datenbanken ja so “genau”. Sobald aber die Vergabe von IPs per Zufall erfolgt und die Zuordnung der Einwahlknoten ständig wechselt, kann auch keine GEO-Datenbank mehr schnell genug aktuelle Datensätze liefern. Hier sollte man also zuerst eingreifen.

Das sowas hervorragend funktioniert, muss man nur mal AOL-Kunden fragen. Da ist eine Ortung per GEO-Datenbank heute schon unmöglich:

Wikipedia

Datengenauigkeit besagt wie genau die Technologie eine einzelne IP-Adresse der Region (Land, Bundesland, Stadt) zurechnen kann. Mögliche Zielwerte liegen über 95 % auf Stadtebene. Wesentlichen Einfluss hat der Anteil der AOL-Nutzer innerhalb der Zielgruppe des Angebots, denn das AOL-Netz lässt sich nur auf Länderebene zuverlässig identifizieren. Ebenso wichtig sind weitere Parameter wie die Identifikation von Proxys, Firmenservern und Bandbreiten, Längen- und Breitengraden, Domains.

AOL arbeitet mit Proxies. Das ist nicht zwingend notwendig. Es würde wie gesagt eine zufällige Rotation ausreichen.

Doch was kann man gegen Cookies machen?
Nichts, denn selbst wenn man eine explizite Erlaubnis einholt (z.B. über den Browser), so dauert es nicht lange und die Besucher wählen “alle Cookies annehmen” oder “alle Cookies ablehnen” aus, denn niemand hat Lust ständig Cookies manuell zu bestätigen. Lehnen sie grundsätzlich alle Cookies ab, werden sie viele Seiten nicht mehr nutzen können. Jeder Blog und jede Community arbeitet mit Cookies, um Anmeldedaten komfortabel zu speichern. Entsprechend groß wird der Anteil derer sein, die Cookies genauso wie heute grundsätzlich akzeptieren.

Cookies nur vom Seitenbetreiber erlauben?
Der Besucher könnte ja pauschal die Cookies von Drittanbietern wie Google Analytics unterbinden. Allerdings gibt es da ein kleines Problem. 85% aller Internetnutzer benutzen Google. Faktisch haben die Nutzer also schon Cookies erlaubt, bevor sie auf eine Seite eines anderen Seitenbetreibers kommen.

Nun gut, jetzt könnte man Browser ja so entwickeln, dass sie nur dann Cookies annehmen, wenn die geöffnete Seite selbst mit der Cookiedomain übereinstimmt. Das würde tatsächlich funktionieren. Allerdings nur solange bis die Seitenbetreiber selbst die Cookies der Drittanbieter setzen. Bei Google Analytics ein normaler Zustand. Viele Cookies von Analytics stammen jetzt schon vom Seitenbetreiber selbst.

Was sonst außer IP- und Cookie-Verbot?
Im Grunde kann man nur Gesetze schaffen, die die Verbindung von Bewegungsdaten mit Personendaten untersagen oder das Anlegen von Bewegungsdaten grundsätzlich verbietet.

Allerdings ist die Kontrolle kaum möglich. Daher sollte man wenn man sowas einführt entsprechend hohe Strafgelder einführen, genau wie das beim Fernmeldegeheimnis jetzt schon der Fall ist, damit die Abschreckung entsprechend hoch ist.

Nur bleibt da immer noch das Problem, dass die Vorratsdatenspeicherung genau das macht, was den Seitenbetreibern untersagt werden soll. Sie macht es möglich, dass zahlreiche Unternehmen in Deutschland Bewegungsdaten mit Personendaten verbinden können.

In meinen Augen kann also kein Gesetz geschaffen werden, wenn parallel ein Gesetz existiert, dass genau das explizit erlaubt.