IP-Adressen protokollieren unter DSGVO: Pseudonym, personenbezogene Daten – was ist erlaubt?

Eine IP-Adresse gilt unter der DSGVO als personenbezogenes Datum. Security-Logs benötigen sie oft wochenlang oder monatelang. Wie lässt sich das mit den Grundsätzen zur Datenspeicherung vereinbaren?

Eine IP-Adresse wird unter der DSGVO als personenbezogenes Datum eingestuft. Security-Logs, die IP-Adressen erfassen, fallen unter die Verarbeitung personenbezogener Daten.

Zulässige Rechtsgrundlagen

\n
• Berechtigtes Interesse: IT-Sicherheit, Betrugsprävention, Fehleranalyse. Am häufigsten genutzt.
\n
• Rechtliche Verpflichtung: bei spezifischen gesetzlichen Anforderungen (z. B. Finanzaufsicht).
\n
• Einwilligung: für Security-Logs in der Regel nicht erforderlich.
\n

Speicherfristen

\n
• Web-Access-Logs: standardmäßig 30 Tage, bis zu 90 Tage für forensische Zwecke.
\n
• Auth-Logs (Anmeldeversuche): 90 Tage – 1 Jahr.
\n
• Firewall-Logs: 30–90 Tage.
\n
• Audit-Logs für Compliance: 3 Jahre (ISO-Anforderung).
\n

Längere Aufbewahrung = ausführlichere Begründung im Verarbeitungsverzeichnis sowie eine Risikoanalyse, warum dies erforderlich ist.

Pseudonymisierung

Lässt sich das letzte Oktett anonymisieren (192.168.1.x → 192.168.1.0/24)? Für Analysezwecke ausreichend. Für die IT-Sicherheit meist nicht — dort muss eine konkrete IP-Adresse gezielt zugeordnet werden können.

Betroffenenrechte

Jemand fragt: „Welche Logs haben Sie von mir?" — Sie müssen sowohl nach der IP-Adresse als auch nach der Konto-ID suchen können. Halten Sie in Ihrem System fest, wie Sie das umsetzen.

Siehe auch: DSGVO-Übersicht, Speicherfristen.