nicht angemeldet
Mitloggen von IP und Zeit
Hi Forum-Spezialisten,
wenn man die Aktionen eines Users auf einer Seite mitloggen (natuerlich nur mit Einverstaendnis des Users) will, genuegt dann zur eindeutigen Identifikation der Mitschnitt von IP und Zeit? Oder benoetigt man noch mehr?
Danke fuer eire Antwort!
Henrike
-
Hallo Henrike,
wenn man die Aktionen eines Users auf einer Seite mitloggen (natuerlich nur mit Einverstaendnis des Users) will, genuegt dann zur eindeutigen Identifikation der Mitschnitt von IP und Zeit? Oder benoetigt man noch mehr?
Um einen User zu identifizieren, sind IP und Zeit die einzigen Merkmale, die eine Unterscheidung möglich machen _können_, jedoch ist dies nicht immer der Fall. Wenn Du Sessions mit Login (oder auch HTTP-Authentifizierung) verwendest, dann wäre es besser, den Loginnamen zu protokollieren, wenn nicht, dann könntest Du evtl. auch noch den Referer einbeziehen, der lässt sich aber fälschen. Außer Sessions oder HTTP-Authentifizierung gibt es nichts wirklich zuverlässiges, aber IP und Zeit sind die einzigen Merkmal, bei denen man zumindest Rückschlüsse ziehen kann.
Grüße,
Christian
--
Sollen sich alle schämen, die gedankenlos sich der Wunder der Wissenschaft und Technik bedienen und nicht mehr davon erfasst haben als eine Kuh von der Botanik der Pflanzen, die sie mit Wohlbehagen frisst.
-- Albert Einstein-
Hallo Christian,
danke fuer Deine ausfuehrliche Antwort!
LG Henrike -
Hi Christian,
wenn man die Aktionen eines Users auf einer Seite mitloggen (natuerlich nur mit Einverstaendnis des Users) will, genuegt dann zur eindeutigen Identifikation der Mitschnitt von IP und Zeit? Oder benoetigt man noch mehr?
Um einen User zu identifizieren, sind IP und Zeit die einzigen Merkmale, die eine Unterscheidung möglich machen _können_, jedoch ist dies nicht immer der Fall. Wenn Du Sessions mit Login (oder auch HTTP-Authentifizierung) verwendest, dann wäre es besser, den Loginnamen zu protokollieren, wenn nicht, dann könntest Du evtl. auch noch den Referer einbeziehen, der lässt sich aber fälschen. Außer Sessions oder HTTP-Authentifizierung gibt es nichts wirklich zuverlässiges, aber IP und Zeit sind die einzigen Merkmal, bei denen man zumindest Rückschlüsse ziehen kann.
Wenn ich aber das _User-Verhalten_ prüfen will, so macht es auch Sinn, den User-Agent mit einzubeziehen. Klar, den kann man fälschen, aber er wird allermeistens zwischen zwei Klicks nicht geändert. ;-)
Fabian
-
Hallo Fabian,
Wenn ich aber das _User-Verhalten_ prüfen will, so macht es auch Sinn, den User-Agent mit einzubeziehen. Klar, den kann man fälschen, aber er wird allermeistens zwischen zwei Klicks nicht geändert. ;-)
Hehe, Du hast mich gerade auf eine sehr witzige Idee gebracht: User-Agent-Spoofer mit integriertem Zufallstext... Naja, ich mach es eh' nicht, ich will ja die Statistiken mit Mozilla 1.2.1 und Linux füllen. ;-)
Grüße,
Christian
--
Sollen sich alle schämen, die gedankenlos sich der Wunder der Wissenschaft und Technik bedienen und nicht mehr davon erfasst haben als eine Kuh von der Botanik der Pflanzen, die sie mit Wohlbehagen frisst.
-- Albert Einstein
-
-
-
wenn man die Aktionen eines Users auf einer Seite mitloggen (natuerlich nur mit Einverstaendnis des Users) will, genuegt dann zur eindeutigen Identifikation der Mitschnitt von IP und Zeit? Oder benoetigt man noch mehr?
Wenn Du schon von "eindeutiger Indentifikation" redest: Vor allen Dingen benötigst Du die eindeutige Zustimmung desjenigen, den Du da auszuspionieren versuchst. Es gibt Datenschutzgesetze in diesem Land, die gelten auch für Dich (Stichworte Teledienstegesetz, Teledienstedatenschutzgesetz, Datenschutzgesetz, Mediendienstestaatsvertrag).
Gruß,
soenk.ePS: Über die IP ist diese Identifikation nur in einigen Fällen möglich.
-
soenk.e schrieb [
Wenn Du schon von "eindeutiger Indentifikation" redest: Vor allen Dingen benötigst Du die eindeutige Zustimmung desjenigen, den Du da auszuspionieren versuchst. Es gibt Datenschutzgesetze in diesem Land, die gelten auch für Dich (Stichworte Teledienstegesetz, Teledienstedatenschutzgesetz, Datenschutzgesetz, Mediendienstestaatsvertrag).]
Danke. Ist mir durchaus bekannt - und deshalb habe ich ja von "wenn der User zugestimmt hat" geschrieben.
Und ich glaube, dass man von ausspionieren dann wirklich nicht reden kann.
HH -
Hallo!
Vor allen Dingen benötigst Du die eindeutige Zustimmung desjenigen, den Du da auszuspionieren versuchst. Es gibt Datenschutzgesetze in diesem Land, die gelten auch für Dich
Das soll doch wohl nicht heissen, das schon z.B. das Standard Apache access-log gesetzeswidrig ist... ?!
Gruß Henk
-
Hallo,
Das soll doch wohl nicht heissen, das schon z.B. das Standard Apache access-log gesetzeswidrig ist... ?!
Nö, das würde ich auch nicht so sehen. Schließlich hast Du als Betreiber eines Angebotes im Internet ein "berechtigtes Interesse" daran, Daten zu erheben. Sei es zur Prävention gegen Straftaten, für anonyme statistische Zwecke, oder zu technischen Zwecken (um Deine Software verbessern zu können). Dabei dürfen allerdings nur soclhe Daen gespeichert werden, die dem "berechtigten Interesse" dienen. Also die Messenger-Daten (Meldungsinhalte) eines Users an einen anderen User Deines Systems z.B. darfst Du noch nicht einmal lesen, es sei denn, dass Du eine schwere Straftat (Entführung, Mord, Raub, ...) vermuten musst. Dann wärst Du aber auch zur sofortigen Meldung an die Strafverfolgungsbehörden verpflichtet.
Loggen iost also nix Schlimmes, erst die Form der Auswertung und konservativen Speicherung macht dich verdächtig als "Schnüffler". Mindestaufbewahrungszeit für Logs sind derzeit drei Monate, demnächst wahrscheinlich ein Jahr. Du machst Dich also eher strafbar, wenn Du nicht loggst.
Grüße
Tom
-
Loggen iost also nix Schlimmes, erst die Form der Auswertung und konservativen Speicherung macht dich verdächtig als "Schnüffler". Mindestaufbewahrungszeit für Logs sind derzeit drei Monate, demnächst wahrscheinlich ein Jahr. Du machst Dich also eher strafbar, wenn Du nicht loggst.
Grüße
Tom
Danke Tom fuer die Unterstuetzung!
-
Das soll doch wohl nicht heissen, das schon z.B. das Standard Apache access-log gesetzeswidrig ist... ?!
Gesetzeswidrig ist ein unschönes Wort; Gesetze sind häufig Auslegungssache, und somit ist mir so ein Wort viel zu absolut. Aber zum Thema:
Grundsätzlich besagt beispielsweise der Mediendienste-Staatsvertrag (http://www.beckmannundnorda.de/mdstv.html) unter §18, Pflichte des Diensteanbieters, Absatz 6, folgendes:
"Der Diensteanbieter hat dem Nutzer die Inanspruchnahme von
Mediendiensten und ihre Bezahlung anonym oder unter Pseudonym zu
ermöglichen, soweit dies technisch möglich und zumutbar ist."Das Teledienstedatenschutzgesetz sagt:
"(4) Der Diensteanbieter darf Nutzungsdaten über das Ende des
Nutzungsvorgangs hinaus verarbeiten und nutzen, soweit sie für
Zwecke der Abrechnung mit dem Nutzer erforderlich sind
(Abrechnungsdaten)."
(http://jurcom5.juris.de/bundesrecht/tddsg/__6.html)Wohlgemerkt: Abrechnung. Im Absatz 1 des Paragraphen ist die Speicherung von personenbezogenen Daten neben der Abrechnung nur auf das beschränkt, was "erforderlich ist, um die Inanspruchnahme von Telediensten zu ermöglichen". Zur technischen Notwendigkeit der Speicherung der IP-Adresse siehe etwas weiter unten.
Kurz: Wenn irgend machbar, sollte die Nutzung anonym ermöglicht werden. Das ist aber mit dem Standardlogformat des Apache, bei dem die IP gespeichert wird, nicht unbedingt gegeben. Die IP ist zwar nicht direkt personenbezogen, aber auch nicht anonym, sie ist indirekt personenbezogen, weil es durchaus möglich ist, über IP und Uhrzeit einen Rückschluss auf die Identität des Nutzers zu ziehen.
Insofern ist das routinemäßige Mitschreiben der IP-Adresse meiner Meinung nach als zumindest zweifelhaft anzusehen.
Nö, das würde ich auch nicht so sehen. Schließlich hast Du als Betreiber eines Angebotes im Internet ein "berechtigtes Interesse" daran, Daten zu erheben. Sei es zur Prävention gegen Straftaten, für anonyme statistische Zwecke, oder zu technischen Zwecken (um Deine Software verbessern zu können).
Mit Verlaub, die "Prävention von Staftaten" ist doch wohl kaum ein Interesse eines normalen Webseitenbetreibers, das das Aufzeichnen der IP-Adresse rechtfertigt. Was für Straftaten sollen das bitte sein? Und: Eine vorsorgliche Überwachung wird immer wieder von Datenschützern angeklagt. Mal ganz zu schweigen davon, daß Du damit in gewisser Weise alle Besucher einer Webseite als potentielle Straftäter bezichtigst.
"Anonyme statistische Zwecke": Wer "anonym" sagt, sollte sich auch konsequent daran halten und -wie oben gesagt- die IP nicht aufzeichnen.
Und zu "technischen Zwecken" ist die IP im gesamten Protokoll das mit Abstand überflüssigste Element. Nenne mir bitte eine Anwendung, die die dauerhafte (!) Speicherung zwingend notwendig macht.
Dabei dürfen allerdings nur soclhe Daen gespeichert werden, die dem "berechtigten Interesse" dienen. Also die Messenger-Daten (Meldungsinhalte) eines Users an einen anderen User Deines Systems z.B. darfst Du noch nicht einmal lesen, es sei denn, dass Du eine schwere Straftat (Entführung, Mord, Raub, ...) vermuten musst.
Das ist Quatsch. Das Abhören ist strafbar und nur in Ausnahmefällen der Polizei erlaubt, nämlich wenn eine richterliche Genehmigung vorliegt.
Ansonsten könnte ja auch jeder auf bloßen Verdacht hin ("Bei meinem Nachbarn sind die Vorhänge immer zu, ich vermute mal eine schwere Straftat.") fremde Telefone anzapfen..Mindestaufbewahrungszeit für Logs sind derzeit drei Monate, demnächst wahrscheinlich ein Jahr.
Wo steht denn das? Bitte einen Beleg dafür. Ich möchte mal behaupten, daß das -wenn überhaupt- nur für die Protokolle gilt, die in irgend einer Weise einen Vertrag als Grundlage haben (siehe Abrechnung oben).
Und der Bundesrats-Gesetzentwurf gegen Kindesmißbrauch (unter diesem Deckmäntelchen läuft die ganze Geschichte der vorsorglichen Speicherung von Verbindungsdaten, http://www.dud.de/dud/documents/brdrs-0275-02-020531(beschluss).pdf) ist noch lange nicht durch, sondern liegt ganz im Gegenteil wegen der Bundestagswahl erstmal wieder auf Eis und muß durch den Bundesrat neu eingebracht werden. Mal abgesehen davon, daß es einige Leute gibt, die der Meinung sind, daß dieser Gesetzentwurf verfassungswidrig ist.
Sehr interessantes zum Thema gibt's beim Unabhängigen Landeszentrum für Datenschutz in Kiel, Titel "Rote Karte für Internet-Schnüffler": http://www.datenschutzzentrum.de/material/themen/rotekarte/.
Du machst Dich also eher strafbar, wenn Du nicht loggst.
Vorsicht mit solchen Aussagen.
Gruß,
soenk.e-
Hallo Sönke,
Das ist Quatsch. Das Abhören ist strafbar und nur in Ausnahmefällen der Polizei erlaubt, nämlich wenn eine richterliche Genehmigung vorliegt.
Ansonsten könnte ja auch jeder auf bloßen Verdacht hin ("Bei meinem Nachbarn sind die Vorhänge immer zu, ich vermute mal eine schwere Straftat.") fremde Telefone anzapfen..Ich bin ja kein Diensteanbieter für Telefon, sondern stelle als Betreiber einer Website eben diese zur Verfügung. Wenn die Seite zur Verbreitung von strafbaren Inhalten genutzt wird, mache ich mich ggf. der Beihilfe zur Straftat schuldig oder bei den netten Mail-Spielchen eben als Mitstörer. Dementsprechend darf ich auch etwas dagegen unternehmen. In einem Ladengeschäft darf ich ja meine Kunden auch beobachten um festzustellen, ob sie klauen. Und wenn sie es tun, darf ich sie vorläufig festnehmen. Wieso soll das denn im Internet anders sein?
Und der Bundesrats-Gesetzentwurf gegen Kindesmißbrauch (unter diesem Deckmäntelchen läuft die ganze Geschichte der vorsorglichen Speicherung von Verbindungsdaten, http://www.dud.de/dud/documents/brdrs-0275-02-020531(beschluss).pdf) ist noch lange nicht durch, sondern liegt ganz im Gegenteil wegen der Bundestagswahl erstmal wieder auf Eis und muß durch den Bundesrat neu eingebracht werden. Mal abgesehen davon, daß es einige Leute gibt, die der Meinung sind, daß dieser Gesetzentwurf verfassungswidrig ist.
Vielleicht sind das die besten Kunden auf den besagten Seiten? Man sollte die Blockierer mal einen Tag so behandeln, wie die Kinder monatelang behandelt werden!
Außerdem habe ich auf meiner Webseite das Hausrecht und jeder muss damit rechnen, dass ich mir merke, wer mich besucht hat.
Du scheinst hier den Access-Provider mit dem Diensteanbieter durcheinandergebracht zu haben. Die Zitate der Paragraphen deuten jedenfalls darauf hin.
Liebe Grüße aus http://www.braunschweig.de
Tom
--
Intelligenz ist die Fähigkeit, aus Fehlern Anderer zu lernen und Mut die, eigene zu machen.-
Das ist Quatsch. Das Abhören ist strafbar und nur in Ausnahmefällen der Polizei erlaubt, nämlich wenn eine richterliche Genehmigung vorliegt.
Ansonsten könnte ja auch jeder auf bloßen Verdacht hin ("Bei meinem Nachbarn sind die Vorhänge immer zu, ich vermute mal eine schwere Straftat.") fremde Telefone anzapfen..Ich bin ja kein Diensteanbieter für Telefon, sondern stelle als Betreiber einer Website eben diese zur Verfügung.
Nein, bietest Du Mail- oder Messaging-Funktionen an, bist Du Kommunikationsanbieter und hast Dich an Artikel 10 des Grundgesetzes zu halten. Da ist es vollkommen unerheblich, ob diese Funktionen per Telefon oder über ein HTML-Formular vonstatten geht.
Es wundert mich wirklich, wie Du Dir einfach so das Recht herausnimmst, die Kommunikation zwischen zwei Personen abzuhören. Selbst ohne Postgeheimnis würde ich im Traum nicht darauf kommen, anderer Leute Briefe zu lesen, sowas gehört sich einfach nicht.
In einem Ladengeschäft darf ich ja meine Kunden auch beobachten um festzustellen, ob sie klauen. Und wenn sie es tun, darf ich sie vorläufig festnehmen. Wieso soll das denn im Internet anders sein?
Du vergleichst Äpfel mit Birnen. Es gibt kein verfassungsmäßig festgeschriebenes Recht darauf, sich unbeobachtet durch öffentliche Räume bewegen zu können.
Wenn Du hier einen Vergleich zu einem Ladendieb anstellen willst, dann müsstest Du schon annehmen, daß Du jeden Kunden in Deinem Laden mit einem Mikro belauschen darfst, um herauszufinden, ob er etwas über Ladendiebstahl erzählt.Davon abgesehen gibt es eine Regel der Verhältnismäßigkeit: Wenn jemand in einen Laden geht, muß er zwangsläufig davon ausgehen, daß andere Personen (auch der Ladenbesitzer) ihn sehen. Insofern ist es kein Problem zur Vermeidung von Diebstählen eine Kameraanlage im Laden zu installieren.
Wenn jemand hingegen eine Nachricht an einen bestimmten Adressaten schickt, dann ist dieser Brief auch nur für diesen Adressaten bestimmt, der Inhalt ist privat, nicht öffentlich. Und da kannst Du nicht einfach daherkommen und behaupten, Du dürftest beinahe wahllos fremde Nachrichten lesen, nur weil Du die Möglichkeit einer Straftat befürchtest.
Und der Bundesrats-Gesetzentwurf gegen Kindesmißbrauch [..] ist noch lange nicht durch, sondern liegt ganz im Gegenteil wegen der Bundestagswahl erstmal wieder auf Eis und muß durch den Bundesrat neu eingebracht werden.
Vielleicht sind das die besten Kunden auf den besagten Seiten? Man sollte die Blockierer mal einen Tag so behandeln, wie die Kinder monatelang behandelt werden!
Anstatt hier auf Stammtischniveau herunterzufallen, hättest Du den Gesetzentwurf vielleicht mal kurz überfliegen sollen. Dann wäre Dir vielleicht auch die eine oder andere Merkwürdigkeit aufgefallen. Was hat denn beispielsweise Kindesmißbrauch mit dem Militärischen Abschirmdienst oder dem Bundesnachrichtendienst zu tun, die beide als Nutznießer explizit erwähnt werden?
Der ganze Entwurf hat nicht abzuschätzende Folgen, weil er pauschal Rechte -auch Deine- beschneidet. Auf die Überschrift Kindesmißbrauch bist Du ja wunderbar hereingefallen, indem Du diejenigen, die sich um die Grundrechte aller sorgen, plump als KiFi-Sympatisanten beleidigst und damit jegliche vernünftige Diskussion über Strafverfolgungsmöglichkeiten und die Frage, wieviel Freiheit ein Staat sich erlauben kann und muß, an der Wurzel abwürgst.
Klasse gemacht :( Was kommt als nächstes? Alle Kinder einsperren, weil Kinder Äpfel gerne mögen und eines deshalb möglicherweise Obst aus Deinem Garten klaut?Außerdem habe ich auf meiner Webseite das Hausrecht und jeder muss damit rechnen, dass ich mir merke, wer mich besucht hat.
Was hat das Recht an Deinem Grund und Boden mit einer Webseite zu tun?
Du scheinst hier den Access-Provider mit dem Diensteanbieter durcheinandergebracht zu haben. Die Zitate der Paragraphen deuten jedenfalls darauf hin.
Informiere Dich über die Bedeutung der Begriffe Medien- und Teledienste. Für Access-Provider gibt es Telekommunikationsgesetze - und aus denen habe ich nicht zitiert.
Gruß,
soenk.e
-
-
-
-
-