Websites dürfen Surfprotokolle von ihren Besuchern anlegen – allerdings nur, um damit konkrete Gefahren abwehren und insbesondere Hackerangriffe auch strafrechtlich verfolgen zu können. Das entschied der Bundesgerichtshof (BGH). Die Grundrechte der Nutzer dürfen aber nicht aus dem Blick geraten.

Konkret geht es um die Unterlassungsklage des Piraten-Politikers Patrick Breyer, der diese bereits vor zehn Jahren gegen die Bundesrepublik eingereicht hatte. Er sah sein Grundrecht auf informationelle Selbstbestimmung verletzt, weil verschiedene Bundesministerien und -behörden ungefragt seine IP-Adresse gespeichert hatten, als er ihre Websites aufgerufen hatte. Seine Befürchtung: Wenn mit der IP-Adresse - wie in aller Regel der Fall - auch die aufgerufene Seite gespeichert wird, verrät das, wer wann was gelesen oder angeklickt hat. Allerdings kann nur der Internetprovider, also etwa Vodafone oder die Deutsche Telekom, die gespeicherte IP-Adresse einem privaten Anschluss zuordnen. 

"Die von Bundesinnenminister Thomas de Maizière (CDU) praktizierte totale Surfprotokollierung macht uns alle nackt im Netz", sagte Breyer vor der Urteilsverkündung der Karlsruher Richter und hoffte auf "ein abschließendes Grundsatzurteil, das Surfer vor einer permanenten Ausspähung, Aufzeichnung und Nachverfolgung ihrer Internetnutzung schützt". Dieses Grundsatzurteil gibt es auch nach der jetzigen Entscheidung des BGH nicht.

Abwägung mit dem Datenschutz

Vor seinem Urteil hatte das BGH bereits den Europäischen Gerichtshof (EuGH) eingeschaltet. Der definierte in einem Urteil aus dem vergangenen Jahr die sogenannte IP-Adresse als "personenbezogenes Datum", das dem Datenschutz unterliegt. Die IP-Adresse sei eine Zahlenfolge, die bei privaten Nutzern für jede Internetanmeldung neu an den jeweiligen Computer vergeben wird. Sie ermöglicht dem Computer die Kommunikation mit dem Internet, erlaubt aber auch die rückwirkende Prüfung, wem der Computer gehört. Laut dem europäischen Richter ist die Speicherung nur zulässig, wenn hierfür "ein berechtigtes Interesse" besteht, etwa "um sich gegen Cyberattacken zu verteidigen".

Nach deutschem Recht ist die Datenspeicherung zulässig, wenn sie "erforderlich" ist. Dies sei nun entsprechend den EU-Vorgaben auszulegen, betonte der BGH. Die Speicherung auch der IP-Adresse durch den Bund sei daher zulässig, wenn ein entsprechendes "Gefahrenpotenzial" und ein "Angriffsdruck" auf die Seite bestünden. Allerdings muss es im Einzelfall stets eine Abwägung mit dem Schutz personenbezogener Daten des Nutzers geben.

Breyer hofft weiterhin auf ein Verbot von Surfprotokollen

Bisher wurde aber gar nicht geklärt, wie groß die Gefahr von Angriffen auf diese Internetseiten tatsächlich ist. Für die Karlsruher Richter ist das aber die zentrale Frage. Der Fall muss deshalb am Berliner Landgericht noch einmal neu verhandelt werden. Der Bund muss dann begründen, warum die Speicherung der Nutzerdaten auch in diesem Fall notwendig und verhältnismäßig ist.

"Die Abwägung mit dem Interesse und den Grundrechten und -freiheiten der Nutzer  konnte im Streitfall auf der Grundlage der vom Berufungsgericht getroffenen Feststellungen nicht abschließend vorgenommen werden", heißt es in der Pressemitteilung des BGH. Es "fehlen insbesondere Feststellungen dazu, wie hoch das Gefahrenpotential bei den übrigen Online-Mediendiensten des Bundes ist".

Patrick Breyer sieht es als Erfolg, "dass der Bundesgerichtshof die Erforderlichkeit der verdachtslosen und flächendeckenden Protokollierung unseres Surfverhaltens hinterfragt". Der Bundesgerichtshof betone seiner Meinung nach zurecht, "dass diverse Internetportale (z.B. Bundesdatenschutzbeauftragter, Bundesjustizministerium) auch ohne flächendeckende Aufzeichnung des Nutzerverhaltens sicher betrieben werden." Aus der Sicht von Breyer bietet das Speichern von IP-Adressen generell keinen wirksamen Schutz gegen Hacker. Breyer hofft deshalb, im weiteren Verfahren doch noch ein Verbot der Surfprotokolle erstreiten zu können.