Stellungnahme (pdf) - Daten-Speicherung.de – minimum data ...

SCHRIFTSATZ DER KLÄGER VOM 11. OKTOBER 2009 51
179. Angesichts dieses faktischen Belegs der fehlenden Erforderlichkeit wird an dieser
Stelle darauf verzichtet, technisch im Einzelnen darzulegen, weshalb die Protokollierung
von IP-Adressen über die Dauer des Nutzungsvorgangs hinaus nicht erforderlich
ist, um IT-Angriffe und Störungen abzuwehren. Es sei lediglich gesagt, dass zur Abwehr
von Angriffen und zur Behebung von Störungen Technologien (z.B. „Firewalls“)
und Methoden zur Verfügung stehen, die eine Protokollierung der IP-Adressen der Internetnutzer
über die Dauer des Übertragungsvorgangs hinaus nicht erfordern. DoS-
Angriffe, unbefugte Manipulationen, Viren oder andere Infiltrierungen können nicht
verhindert werden, indem man Daten sammelt. Vielmehr muss die vom Anbieter genutzte
Hardware und Software so eingerichtet werden, dass sie solchen Angriffen
stand hält. Sicherheitsmechanismen wie Firewalls und Software-Aktualisierungen
funktionieren ohne personenbezogene Protokolle. Die Verarbeitung von IP-Adressen
ist schon deswegen nicht zur Abwehr von Angriffen geeignet, weil Angreifer heutzutage
eine Vielzahl wechselnder IP-Adressen („Botnetze“) und gefälschte IP-Adressen
(„IP-Spoofing“) nutzen, so dass Maßnahmen unter Anknüpfung an eine IP-Adresse
zwecklos sind.
Verhinderung von Klickbetrug
180. Einige Anbieter von Werbung im Internet wollen mit der Protokollierung von IP-Adressen
verhindern, dass Personen ungewöhnlich häufig auf Werbebanner klicken, um
davon finanziell zu profitieren oder anderen zu schaden. Ein Vorgehen gegen Klickbetrug
erfordert von vornherein allenfalls die Protokollierung der Klicks auf Werbebanner
und nicht die Protokollierung des gesamten Nutzungsverhaltens auf einem Internetportal,
wie es hier in Rede steht. Auch die personenbezogene Protokollierung
der Klicks auf Werbebanner rechtfertigt die Protokollierung von IP-Adressen jedoch
nicht, weil mildere Mittel zur Verhinderung betrügerischer Verhaltensweisen zur Verfügung
stehen, etwa die Beschränkung der gezahlten Vergütung auf eine „normale“
Anzahl von Klicks pro Stunde. In Zeiten von Botnetzen ist die Anknüpfung an eine IP-
Adresse ohnehin nicht mehr wirksam, um Klickbetrug zu verhinden.
181. Für das Portal www.agrar-fischerei-zahlungen.de sind diese Fragen von vornherein
ohne Bedeutung, weil es sich um ein nicht-kommerzielles Angebot handelt und keine
Werbebanner eingeblendet werden.
Verfolgung von Angreifern
182. Internet-Nutzungsprotokolle können im Einzelfall zur Verfolgung eines Angreifers genutzt
werden, etwa zum Zweck der Strafverfolgung. Die Identifizierung von Angreifern
ist allerdings in der Praxis weitgehend unmöglich. Angreifer verstecken sich verbreitet
hinter fremden IP-Adressen (z.B. Anonymisierungsdienste, Proxies) oder fälschen IP-
Adressen („IP spoofing“). Genutzte IP-Adressen sind meist auf obskure Personen
oder Firmen in China oder im sonstigen Ausland registriert.