IP-Adressen: Teufelszeug oder harmlos? Ein datenschutzkritischer Dreiteiler - Teil 1: Motivation
Ich habe bei der Spackeria wieder über Datenschutz und Ähnliches gebloggt. Aus Gründen das Ganze auch hier zum Nachlesen, Kommentare aber bitte nur beim "Original".
Die meisten aktuellen Probleme, Diskussionen oder gar rechtlichen Maßnahmen im Bereich des Datenschutzes kondensieren fast immer alleinig an der IP-Adresse, ihrer Speicherung, Verarbeitung und, ganz böse, "Übermittlung in die USA". Diese, in meinen Augen übertriebene und schädliche Fixierung auf dieses Einzeldatum war neben anderem Grund für mein Engagement in der Spackeria. Neben der rein juristischen Betrachtung der Personenbeziehbarkeit i.S.v. BDSG, TMG und anderen einschlägigen Gesetzen wird immer wieder angeführt, das man über die Speicherung von IP-Adressen durch Webseitenbetreiber "ausspioniert" werden kann. Das ist nicht mal komplett falsch, allerdings ist dies allein mit der IP-Adresse einem Betreiber regelmäßig unmöglich.
Die Zuordnung IP-Adresse <-> Anschlußinhaber (und auch nur zu diesem und nicht zu der Person die gerade die Fahrplanauskunft, "Downloadportale" oder Bombenbastelanleitungen besucht) ist zunächst erstmal nur beim Provider möglich. Ein Webseitenbetreiber kann also (allein) anhand einer IP-Adresse nicht sagen: "Da surft grad Lieschen Müller bei mir rum". Warum auch immer liegt nun trotzdem die IP-Adresse als personenbezogene Wurzel des Übels im Pfeffer? Ich weiß es auch nicht. Denn das kritisierte Tracking in der "real world" ist sowohl mit, als auch ohne IP-Adressen möglich, üblich und überraschenderweise sogar unter bestimmten Vorraussetzungen (meist eben "Keine IPs" und es muss irgendwo in ner AGB/DSE aufgeschrieben sein) datenschutztechnisch legal.
So wird etwa das OSS-Tool "Piwik" als freier GoogleAnalytics-Klon regelmäßig als "datenschutzfreundliche Alternative" genannt, aber auch für Blogsysteme wie Wordpress gibt es Plugins die mit (und nur mit) "No IP tracking" für Datenschutzverträglichkeit werben. Statistiken/Tracking über andere Daten dagegen, wie etwa
- Referer (wo, über welchen Link, kommt der Besucher her)
- Keywords (über welche Suchbegriffe wurde die Seite gefunden)
- Browserversion
- Betriebssystem
- Länderzuordnung (über Spracheinstellung Browser/OS)
- Cookies (schon kritischer, siehe die im Entwurf befindliche EU-Richtlinie)
- Nutzernamen bei anmeldepflichtigen Seiten
- Klickpfade (wo klickt der User wie häufig hin)
- Verweildauern (welche Seiten betrachtet der Nutzer wie lange)
- usw. usf.
generell also einem "digitalen Fingerabdruck" werden oft unkritisch, gar nicht oder zu lax betrachtet. Schließlich wird ja keine IP-Adresse gespeichert. Ein schönes Beispiel ist Panopticlick der EFF, was (m)eine persönliche Browserkonfiguration identifiziert und mich so losgelöst von der IP-Adresse trackbar macht. Jetzt noch ein Userlogin und fertig sind die digitalen Fußabdrücke im virtuellen Rasen.
Angesichts der obigen, datenschutzrechtlich oft völlig legal erfassbaren, vielen verschiedenen Daten, die unabhängig von IP oder nicht, mich ziemlich gut und eindeutig identifizieren können, stellt sich doch die Frage, ob eine mitgespeicherte (und ohne Zugriff auf den Provider oder die anderen, legal gesammelten, Daten keiner Person zuordenbare) IP-Adresse dann das "Kraut noch fett macht". Statistiken, Auswertungen, Tracking, gutgemeint oder böswillig, das ist heute alles auch ohne IP möglich, wird gemacht und ist größtenteils auch rechtlich OK . Warum also schießt man sich so sehr auf ausgerechnet dieses eine Datum ein und baut ganze Debatten herum auf? Es wäre doch viel einfacher über Tracking an sich (und entsprechende Gegenmaßnahmen zum Selbstschutz) zu sprechen.
Man kann nun argumentieren: "Ja, wenn man die IP zum Tracking nicht braucht, dann ist es doch OK, das sie nicht erfasst, gespeichert, übermittelt werden darf". Kann man. Nur fängt man sich damit halt die bizzaren und realitätsfremden Konsequenzen ein, das basierend darauf dann eben Forenbetreiber Probleme bekommen, weil sie Werbung von einem externen Server einbinden. Und, viel wichtiger: Man löst überhaupt nicht das Problem, das (böswillige) Webseitenbetreiber mich immer und überall wiedererkennen können. Das ist also mehr ne juristische Blendgranate, die den Blick aufs Wesentliche vernebelt, neue Probleme schafft und die eigentlichen überhaupt nicht tangiert.
Weiterhin ist Tracking per se erstmal nur auf der/den Webseiten des Betreibers möglich, d.h. der Online-Schuhversand weiß nichts von meinen Suchen nach Briefmarken aus der DDR-Zeit auf ebay und ebay wieder nichts von meiner Vorliebe für Blogs zu Militaria aus dem 19. Jahrhundert. Das klassische Gegenargument wäre jetzt Facebook mit seinem "Like-Button" (oder Google mit dem Accountcookie), wo das dann doch geht. Das ist zwar korrekt, allerdings genau eines der Problemfelder wo die IP-Adresse herzlich egal ist, denn Facebook/Google trackt darüber eben genau nicht (bzw. kann es ohne IP-Adresse). Hier wäre und ist ein Browseraddon wie "Ghostery" (http://www.ghostery.com/ ) die passende Lösung und nicht das Verbot des Ansehens von IP-Adressen für jedermann.
Die Schlussfolgerung aus der breiten Landschaft von unterschiedlichen Trackingmechanismen muss daher, unanhängig von der juristischen Auslegung der aktuellen Gesetze) lauten:
Wenn die IP nur ein kleines Mosaiksteinchen in den verschiedenen "Personenmeßpunkten", nur optionaler Bestandteil des "digitalen Fingerabdrucks" und obendrein technisch notwendig ist: Warum dann nicht die Fixierung darauf lösen und über die eigentlichen Trackingprobleme und Lösungen (etwa Browser-Addons wie Ghostery) reden? Dieser alleinige Fokus auf IP-Adressen vergiftet die Diskussion und verschleiert den Blick auf eigentliche und wichtigere Probleme und darauf, das man auch bei einer "Keine IPs"-Policy oder mit dem "Wir speichern nicht"-Siegel vor einem böswilliges Tracking ohne weitere, eigene Maßnahmen, nicht geschützt ist. Der Rückzug auf "Ohne IP-Speicherung ist datenschutzmäßig alles in Butter" ist nicht mehr als "snake oil" und wiegt einen in falscher und trügerischer Datenschutzsicherheit.
