DSGVO und IP-Adressdaten: IPs in der EU verantwortungsvoll nutzen

IP-Adressen sind ein Grundbaustein des Netzbetriebs: Sie ermöglichen Routing, helfen bei der Zuordnung von Endpunkten und liefern wichtige Signale für den technischen Betrieb. Für Security-Teams sind sie außerdem ein zentraler Bestandteil der Telemetrie, um verdächtige Aktivitäten, Missbrauch und Angriffe zu erkennen. In der Europäischen Union fallen IP-Adressen nach der Datenschutz-Grundverordnung (DSGVO) jedoch als personenbezogene Daten ein, sobald sie einer Person direkt oder indirekt zugeordnet werden können. Genau deshalb braucht es klare Regeln dafür, wie IP-Adressen erhoben, verarbeitet und gespeichert werden.

Die Haltung der DSGVO zu IP-Adressen

Nach der DSGVO kann eine IP-Adresse, insbesondere eine dynamische IP-Adresse, personenbezogen sein, wenn realistisch die Möglichkeit besteht, darüber eine konkrete Person zu identifizieren – direkt oder über zusätzliche Informationen. Diese Auslegung geht unter anderem auf richtungsweisende Entscheidungen des Europäischen Gerichtshofs zurück. Für Security-Verantwortliche bedeutet das: IP-Adressen sind nicht einfach nur technische Messpunkte. Für sie gelten dieselben Datenschutzprinzipien wie für andere personenbezogene Daten.

Rechtsgrundlagen für die Verarbeitung von IP-Daten

Bevor personenbezogene Daten erhoben oder verarbeitet werden – und dazu können IP-Adressen gehören –, verlangt die DSGVO eine Rechtsgrundlage. Für sicherheitsorientierte Anwendungen kommen in der Praxis vor allem diese Grundlagen infrage:

• Berechtigtes Interesse: Für Netzwerksicherheit ist dies häufig die naheliegendste Rechtsgrundlage. IP-Daten dürfen verarbeitet werden, wenn dies zur Wahrung berechtigter Interessen erforderlich ist, etwa zur Betrugsprävention, zur Absicherung der Infrastruktur oder zur Erkennung von Cyberangriffen. Diese Interessen dürfen jedoch nicht durch die Grundrechte und Grundfreiheiten der betroffenen Personen überwogen werden. Dafür braucht es eine sorgfältige Interessenabwägung und eine nachvollziehbare Dokumentation.
• Rechtliche Verpflichtung: Wenn ein konkretes Gesetz die Erhebung oder Aufbewahrung von IP-Adressen verlangt, etwa im Zusammenhang mit behördlichen Anfragen oder regulatorischen Pflichten, kann diese Rechtsgrundlage greifen.
• Einwilligung: Grundsätzlich ist auch eine Einwilligung möglich. Für die Erhebung von IP-Adressen zu reinen Sicherheitszwecken ist sie jedoch meist unpraktisch und selten die beste Wahl, weil sie widerrufen werden kann und damit operative Sicherheitsprozesse erschweren würde.

Beispiel: Eine IP Intelligence API erkennt, dass eine eingehende Verbindung von einem bekannten TOR Exit Node stammt (TOR_EXIT-Flag). Die Verarbeitung dieser IP-Adresse, um die Verbindung auf Basis eines berechtigten Interesses zu blockieren – etwa zum Schutz der Infrastruktur vor Missbrauch –, ist in der Regel gut begründbar. Eine unbegrenzte Speicherung von allen eingehenden IP-Adressen ohne klaren, spezifischen Sicherheitszweck wäre dagegen problematisch.

Datenminimierung: Das „Warum“ und das „Wie viel“

Das Prinzip der Datenminimierung verlangt nach der DSGVO, dass personenbezogene Daten dem Zweck angemessen und erheblich sind sowie auf das notwendige Maß beschränkt bleiben. Für IP-Adressen heißt das konkret:

• Zweckgebundene Erhebung: Legen Sie klar fest, warum IP-Adressen erfasst werden. Geht es um Betrugserkennung, Bot-Abwehr, Rate Limiting oder Incident Response? Diese Zwecke sollten dokumentiert sein.
• Nur erfassen, was wirklich gebraucht wird: Wenn für Geo-Blocking die ersten zwei Oktette ausreichen, sollte nicht die vollständige IP-Adresse gespeichert werden – es sei denn, ein anderer dokumentierter Zweck macht das erforderlich. Wo möglich, sollten Anonymisierung oder Pseudonymisierung geprüft werden.
• Begrenzte Aufbewahrung: IP-Adressen sollten nicht unbegrenzt gespeichert werden. Definieren Sie klare Löschfristen, die zum dokumentierten Zweck passen. Für aktives Security Monitoring kann eine kürzere Aufbewahrung, etwa 30-90 Tage, angemessen sein. Für forensische Untersuchungen können längere Fristen gerechtfertigt sein – aber nur in konkreten Fällen und mit strengen Zugriffskontrollen.

Technische und organisatorische Maßnahmen für IP-Daten

Neben Rechtsgrundlage und Datenminimierung sind belastbare technische und organisatorische Maßnahmen (TOMs) entscheidend. Dazu gehören insbesondere:

• Zugriffskontrolle: Setzen Sie strikte rollenbasierte Zugriffskontrollen (RBAC) für IP-Daten um. Vollständige IP-Adressen sollten nur Personen sehen oder verarbeiten können, die dafür einen legitimen Bedarf haben.
• Verschlüsselung: Verschlüsseln Sie IP-Adressen sowohl bei der Speicherung als auch bei der Übertragung. Das ist eine grundlegende Sicherheitsmaßnahme.
• Pseudonymisierung/Anonymisierung: Prüfen Sie Verfahren wie IP-Masking, etwa das Kürzen des letzten Oktetts bei IPv4 oder die Nutzung eines /64-Präfixes bei IPv6, wenn die volle Genauigkeit nicht benötigt wird. Auch Einweg-Hashing kann sinnvoll sein, sofern die vollständige IP für die Analyse nicht zwingend erforderlich ist. Wichtig: Einfaches Hashing allein führt nicht automatisch zu echter Anonymisierung, weil IP-Adressräume klein genug sein können, um sie mit Rainbow Tables anzugreifen.
• Logging-Praktiken: Protokollieren Sie Zugriffe auf Systeme, die IP-Daten enthalten. Diese Logs sollten manipulationssicher sein und denselben Aufbewahrungsregeln unterliegen.
• DSFA (Datenschutz-Folgenabschätzung): Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt – etwa bei umfangreicher Verarbeitung von IP-Adressen in Kombination mit weiteren Identifikatoren –, ist eine Datenschutz-Folgenabschätzung verpflichtend.

Die Rolle von IP Intelligence bei der DSGVO-Compliance

IP-Intelligence-Dienste, die Informationen wie ASN, rDNS hostname, hosting range-Flags, TOR exit-Status oder einen allgemeinen risk score liefern, haben in diesem Kontext eine doppelte Rolle.

Einerseits bedeutet die Nutzung solcher Dienste, dass IP-Adressen verarbeitet werden – schließlich werden sie zur Abfrage an den Dienst übermittelt. Unternehmen müssen sicherstellen, dass diese Nutzung zur eigenen Rechtsgrundlage passt und mit den Grundsätzen der Datenminimierung vereinbar ist.

Andererseits kann IP Intelligence dabei helfen, DSGVO-Pflichten besser zu erfüllen, insbesondere im Bereich Sicherheit:

• Proaktive Bedrohungserkennung: Die Erkennung von IP-Adressen, die bekannten bösartigen Akteuren zugeordnet werden – etwa über TOR exit lists oder bekannte hosting ranges, die häufig von Bots genutzt werden –, hilft, Sicherheitsvorfälle zu verhindern. Das ist ein wichtiger Bestandteil der Sicherheitsanforderungen nach DSGVO Artikel 32.
• Betrugsprävention: Die Korrelation von IP-Adressen mit betrügerischen Aktivitäten schützt sowohl das Unternehmen als auch die Nutzerinnen und Nutzer und lässt sich häufig mit berechtigten Interessen begründen.
• Risikobewertung: Ein risk score aus einer IP Intelligence API kann schnell Hinweise darauf liefern, ob eine Verbindung zugelassen, zusätzlich geprüft oder blockiert werden sollte. Dadurch sinkt das Risiko von Datenpannen und Missbrauch.

Bei der Auswahl eines IP-Intelligence-Anbieters sollten Unternehmen dessen eigene DSGVO-Compliance genau prüfen. Speichert der Anbieter die übermittelten IP-Adressen? Wenn ja: wie lange, zu welchem Zweck und mit welchen Schutzmaßnahmen? Transparenz ist hier entscheidend.

Praxisbeispiel: Bots erkennen und Aufbewahrung steuern

Nehmen wir eine E-Commerce-Plattform, die mit Credential-Stuffing-Angriffen konfrontiert ist. Eine IP Intelligence API erkennt IP-Adressen mit hohem risk score, markiert sie als aus hosting ranges stammend, die häufig von Bots missbraucht werden, oder stuft sie als TOR exits ein.

• Erhebungszweck: Erkennung und Abwehr automatisierter Angriffe und Betrugsversuche.
• Rechtsgrundlage: Berechtigtes Interesse an der Absicherung der Plattform und am Schutz von Nutzerkonten.
• Datenminimierung: Vollständige IP-Adressen werden nur dann in einem dedizierten Security-Log für 60 Tage gespeichert, wenn sie mit verdächtigen Aktivitäten verbunden sind, etwa mit mehreren fehlgeschlagenen Logins von derselben IP-Adresse oder einem hohen risk score. IP-Adressen erfolgreicher, unauffälliger Logins können anonymisiert, kürzer gespeichert oder – je nach Analysebedarf – gar nicht gespeichert werden.
• Zugriff: Nur Incident-Response-Teams im Security-Bereich haben Zugriff auf die vollständigen IP-Daten in diesen Security-Logs.
• Technische Kontrollen: Logs werden verschlüsselt, Zugriffe werden auditiert und Löschfristen werden programmatisch durchgesetzt.

Dieser Ansatz ermöglicht wirksame Security-Prozesse, ohne die Grundprinzipien der DSGVO aus den Augen zu verlieren. Die IP Intelligence liefert das schnelle Signal – etwa einen hohen risk score oder ein TOR_EXIT-Flag –, während klare Zwecke, begrenzte Aufbewahrung und starke Zugriffskontrollen dafür sorgen, dass die Verarbeitung verhältnismäßig bleibt.