[3.2] DSGVO: Welche personenbezogenen werden wann und wo in phpBB erhoben?

[ZNC]

Unter der Prämisse, dass der Nickname, die eMail-Adresse und die IP-Adresse als personenbezogene Daten gelten könnten, weiß jemand, wann und wo diese in phpBB nachgehalten werden?

In dem Forum meines Mannes, werden, sobald man auf die erste phpBB-Seite geht, insgesamt vier Cookies für die Domain .meineseite.de generiert:
..._u (vermutlich Standard-phpBB-cookie)
..._k (vermutlich Standard-phpBB-cookie)
..._u (vermutlich Standard-phpBB-cookie)
..._lang (vermutlich über die easy_language_change Extension)

Ich setze darüber hinaus aber auch cookieconsent ein? Sobald man das Cookiehinweis-Fenster bestätigt, wird hierfür ein separeter Cookie
cookieconsent_status
für die Domain www .meineseite.de generiert.

Weiß jemand, welche Informationen in den jeweiligen Cookies nachgehalten werden?

Dann habe ich mir mal die Datenbanktabellen nach dem Schlagwort "name" + "mail" + "ip" angeschaut, mit folgendem Ergebnis:

Schlagwort "name"
disallow.disallow_username
forums.forum_last_poster_name
login_attempts.username
login_attempts.username_clean
posts.post_username
topics.topic_first_poster_name
topics.topic_last_poster_name
users.username
users.username_clean

Schlagwort "mail"
banlist.ban_email
users.user_email
users.user_email_hash

Schlagwort "ip"
banlist.ban_ip
bots.bot_ip
log.log_ip
login_attempts.attempt_ip
poll_votes.vote_user_ip
posts.poster_ip
privmsgs.author_ip
sessions.session_ip
sessions_keys.last_ip
users.user_ip

Welcher der hier genannten sind keine personenbezogenen Daten? Irgendeine Tabelle noch übersehen?

[tas2580]

Bei jedem Besuch unabhängig ob angemeldet oder nicht (Außhahme Bots) wird eine Session gestartet. Dabei werden 3 Cookies angelegt:
_u Die User ID, bei Gästen normalerweise 1
_sid Die Session ID
_k Session Key
Weitere Cookies können durch Extensions oder im Template/per BB-Code eingebundene JavaScripts angelegt werden.

Zu jeder Session wird ein DB Eintrag in phpbb_sessions und in phpbb_sessions_keys angelegt. Hier wird die Zeit, die IP Adresse und die Session ID gespeichert. Interessant für die DSGVO ist dabei, dass IP und Session verknüpft werden.

Die IP Adresse wird beim registrieren in der phpbb_users gespeichert.

Beim schreiben von Beiträgen wird die IP zu jedem Beitrag in phpbb_posts gespeichert. Wenn ein Thema eine Umfrage enthält wird beim abstimmen die IP in phpbb_pool_votes gespeichert.

Beim schreiben von privaten Nachrichten wird die IP in phpbb_privmsgs gespeichert.

Zu jedem Log Eintrag wird die IP in phpbb_log gespeichert.

Wenn man sich zu oft mit falschen Daten anmeldet wird die IP in phpbb_login_attempts gepeichert.

Extensions speichern die IP evtl. zusätzlich.

Die IPs in phpbb_bots und phpbb_banlist sind egal da es sich hier nicht um IPs der User handelt.

In phpbb_users und phpbb_profile_fields_data werden unter Umständen persönliche Daten gespeichert.

Im Access und Error Log des Webservers können evtl. persönliche Daten gespeichert werden.

* Kein Anspruch auf Richtigkeit oder Vollständigkeit

Gruß Tobi

[uwe.ha]

Danke Tobi,

könntest du mal - für Laien - erklären warum bzw. ob überhaupt die IP-Adresse für phpBB wichtig ist, bzw. wie man - mit deiner Ext - auch ohne auskommt.

[hackepeter13]

...warum bzw. ob überhaupt die IP-Adresse für phpBB wichtig ist,...

In vielen Fällen zur Sicherheit.
Bspw. bei Privaten Nachrichten: stell dir vor es kommt per PN zu einer strafrechtlichen Bedrohung die zu Ermittlungen führt, dann kann eine IP von der PN sehr hilfreich sein, um Provider, Standort usw. zu ermitteln. Ein bloßer Benutzername würde den Ermittlern nicht groß weiterhelfen.

[tas2580]

könntest du mal - für Laien - erklären warum bzw. ob überhaupt die IP-Adresse für phpBB wichtig ist, bzw. wie man - mit deiner Ext - auch ohne auskommt.

Ich denke um das zu verstehen muss man ein bisschen weiter vorne anfangen. Ich versuche das mal:

HTTP(S) ist ein zustandsloses Protokoll, d.h. jeder Seitenaufruf steht für sich selbst und weiß nichts von vorherigen Seitenaufrufen oder Daten die bei vorherigen Seitenaufrufen gesendet wurden. Das ist der große Unterschied zu Programmen die lokal auf deinem Rechner laufen, diese Programme laufen dauerhaft und kennen theoretisch alle eingegebenen Daten über die gesamte Laufzeit. Eine Webseite ist wie ein Programm das bei jedem Seitenaufruf neu gestartet wird. Du kommst also auf das Forum und rufst mit deinem ersten Seitenaufruf die Forenübersicht auf, das Forum kennt dich nicht und zeigt dir die Seite in "Gastansicht" an. Jetzt klickst du auf "anmelden" und bekommst die Anmelde Seite angezeigt, das Forum kennt dich immer noch nicht und weiß auch nicht das du davor schon die Forenübersicht aufgerufen hattest. Du gibst deine Anmeldedaten ein und sendest sie ab. Jetzt werden die Anmeldedaten in einem POST Request an das Forum übermittelt und das Forum kann dich anmelden, die nächste Seite kann also speziell für deinen Benutzer ausgegeben werden da du durch deine Anmeldedaten identifiziert werden kannst. Nachdem du dich angemeldet hast klickst du auf einen Link und jetzt kommt das Problem. Durch den klick auf einen Link werden deine Anmeldedaten nicht nochmal übermittelt und da wir immer noch mit einem zustandslosen Protokoll arbeiten weiß das Forum nicht ob du dich vorher schon mal angemeldet hast oder nicht. Um das zu lösen gibt es mehrere Möglichkeiten, ich sortiere die mal von schlecht nach gut:

1. Man übergibt die Anmeldedaten einfach in der URL (example.com?user=tobi&pw=geheim), das hat allerdings den Nachteil das in jedem Link die Zugangsdaten stehen, wenn man einen Link kopiert und weitergibt gibt man auch seine Zugangsdaten weiter. Wenn man auf einen Externen Link klickt werden die Zugangsdaten im Referrer Header des Browsers an die andere Webseite übergeben.

2. Man erstellt bei erfolgreicher Anmeldung eine Session und hängt die Session-ID an die URL an (example.com?sid=edb0e8665db4e9042fe0176a89aade16). Jetzt stehen die Zugangsdaten nicht mehr in der URL, wenn man den Link aber weitergibt ist jeder der ihn aufruft trotzdem angemeldet da er eine gültige Session ID übergibt und der Benutzer nur an der Session identifiziert werden kann.

3. Man speichert zusätzliche Daten zur Session. Wie in 2. wird eine Session erstellt und die Session ID an die URL angehängt, zu jeder Session wird aber noch die IP-Adresse gespeichert. Wenn jetzt ein Link mit angehängter Session-ID weitergegeben wird fängt man damit nichts an da man nicht die passende IP Adresse hat, das Forum kann also erkennen das zwar eine gültige Session übergeben wurde, sie aber vom falschen Benutzer kommt. Zusätzlich zur IP kann man auch andere Daten wie Useragent oder Browsersprache verwenden so, dass es auch keine Probleme gibt wenn zwei Rechner die gleiche IP haben.

4. Man macht alles wie in 3. aber hängt die Session ID nicht an die URL an sondern speichert sie in einem Cookie. So bleibt die URL "sauber" und es gibt keine Probleme wenn man die URL weitergibt. Dein Browser sendet bei jedem Seitenaufruf das Cookie das beim anmelden gesetzt wurde mit und das Forum kann dich identifizieren.

5. Machen leider die wenigsten Webseiten und phpBB kann das auch nicht, aber man könnte Zertifikate zum anmelden verwenden. So müsste man kein Passwort eingeben und braucht auch keine Cookies.

Die IP Adresse ist also nicht zwingend nötig um die Anmeldung zu realisieren. Man kann auch nicht davon ausgehen das jeder User eine eigene IP Adresse hat. Hinter einem DSL Router haben alle Rechner nach außen die selbe IP, bei mobilien Internet (UMTS/LTE) haben oft mehrere User die selbe IP da auch dort teilweise auch NAT verwendet wird.
Ich habe mit meiner Extension die Möglichkeit eingebaut alle IP Adressen auf "127.0.0.1" zu setzen, jeder User ist also mit der gleichen IP im Forum unterwegs. Das führt allerdings zu dem Problem das sich Gäste nicht mehr unterscheiden lassen und laut Anzeige immer nur ein Gast online ist, manche Extensions machen wohl auch Probleme wenn plötzlich jeder sie selbe IP hat. Das sind zwar Probleme die sich lösen lassen würden aber dazu müsste man eben einiges umschreiben.
Ich habe die Extension also so erweitert dass statt der IP ein Hash gespeichert wird, so ist wieder jeder Benutzer eindeutig identifizierbar aber man speichert seine IP nicht. Allerdings gibt es "nur" ca 4 Milliarden IPv4 Adressen, man könnte also eine (Rainbow) Tabelle mit den Hashwerten aller IP Adressen erstellen und so den Hash in die IP Adresse zurückverwandeln, damit wäre der Hash wieder personenbezogen. Wenn man aber zur Erstellung des Hashes weitere Werte wie Useragent und Browsersprache verwendet müsste man eine Hashtabelle mit allen möglichen Kombinationen erstellen was praktisch nicht mehr möglich ist. Außerdem haben zwei User mit der selben IP verschiedene Hashes sofern sie nicht genau den selben Useragent und die selbe Browsersprache verwenden. Der Hash ist also sogar noch besser wie nur die IP da er mehrere Daten berücksichtigt.

Ohne das speichern von IP Adressen hat man keine Möglichkeit den waren Nutzer zu ermitteln, außer er verrät sich irgendwo über seine E-Mail Adresse oder so. Aber auch mit IP Adresse ist das nicht unbedingt möglich denn mittlerweile bekommt man an jeder Ecke freies W-LAN und wer böses vor hat wird dazu eh kaum seinen eigenen DSL Anschluss verwenden.

Ich habe vor einiger Zeit mal zum Spaß die IPs von allem was auf meiner Seite Spam hinterlassen hat gespeichert und bin damit zur Polizei gegangen.
Schritt 1: CDs nehmen wir nicht bitte in Papierform.
Schritt 2: Papier und Druckerpatronen kaufen.
Schritt 3: Die ganze Nacht den Drucker laufen lassen.
Schritt 4: Das ganze nochmal zur Polizei geschleppt und denen mehrere Kisten Papier hingestellt.
Schritt 5: Warten bis was passiert, ich warte immer noch.

Das speichern von IP-Adressen ist also für mich eher sinnlos und macht Datenschutztechnisch nur Probleme. Man kann seine Scripte ohne Probleme so anpassen dass sie ohne IP auskommen, wenn das wie bei phpBB nicht ohne Diskussionen mit dem Entwicklerteam möglich ist kann man einfach einen Hash statt der IP verwenden und hat dadurch technisch keine Nachteile.

Gruß Tobi

[uwe.ha]

In vielen Fällen zur Sicherheit.
Bspw. bei Privaten Nachrichten: stell dir vor es kommt per PN zu einer strafrechtlichen Bedrohung die zu Ermittlungen führt, dann kann eine IP von der PN sehr hilfreich sein, um Provider, Standort usw. zu ermitteln. Ein bloßer Benutzername würde den Ermittlern nicht groß weiterhelfen.

Dieser Argumentation folgend müsste ich ja auch die IPs aus den WebLogs (für eine gewisse Zeit) speichern.
Ich habe mal bei all-inkl nachgefragt. Die speichern die IPs - neben MEINEN WebLogs - auch nochmal in IHREN WebLogs ... für 7 Tage. Danach wird gelöscht. Siehe auch Vorratsdatenspeicherungbei Wikipedia, da steht:

In Deutschland ist die Speicherung von Verkehrsdaten für sieben Tage erlaubt. Die Anbieter von Internetdiensten dürfen die IP-Adressen ihrer Kunden für interne Zwecke bis zu sieben Tage lang speichern, da die Speicherung nicht zur Strafverfolgung diene. Das hat der Bundesgerichtshof (BGH) mit Urteil vom 3. Juli 2014 (III ZR 391/13) entschieden

Weiter steht dort, dass aber auch dieses Urteil/Verfahren gekippt ist; man darf also wieder speichern, muss aber nicht ... Quelle: http://www.tagesschau.de/inland/vorrats ... g-169.html
Die meisten Provider bleiben aber wohl bei den 7 Tagen. ICH würde es dann genauso machen. All-inkl wird wohl bald diese Option (Speicherdauer) anbieten.

@ Tobi:
Du kannst echt komplexe Sachverhalte einem "Dummen" erklären ... und das kann man nur, wenn man es selbst drauf hat .. VIELEN DANK!

4. Man macht alles wie in 3. aber hängt die Session ID nicht an die URL an sondern speichert sie in einem Cookie. So bleibt die URL "sauber" und es gibt keine Probleme wenn man die URL weitergibt. Dein Browser sendet bei jedem Seitenaufruf das Cookie das beim anmelden gesetzt wurde mit und das Forum kann dich identifizieren.

Ich habe die Extension also so erweitert dass statt der IP ein Hash gespeichert wird, so ist wieder jeder Benutzer eindeutig identifizierbar aber man speichert seine IP nicht

Es geht doch NUR darum, den User (bei Seitenwechsel) zu erkennen. Reicht da nicht NUR ein Cookie ... also ohne Hash oder Bezug zur IP?

[Mahony]

Hallo

Es geht doch NUR darum, den User (bei Seitenwechsel) zu erkennen. Reicht da nicht NUR ein Cookie ... also ohne Hash oder Bezug zur IP?

Das wäre schon möglich, nur sollte der Wert der da gespeichert werden soll eben ein eindeutiger Wert sein. Die Frage wäre dann, welchen eindeutigen Wert sollte man da hernehmen (der Wert sollte zudem ja auch nicht zu erraten sein).

Grüße: Mahony

[uwe.ha]

Ist die User-ID nicht eindeutig? ... die gibt es doch nur 1 Mal ... fragt ein Ahnungsloser

[tas2580]

Die User ID lässt sich sehr leicht erraten und wäre nicht wirklich anders wie Punk 1. Ich könnte mir also ein Cookie bauen das die User ID 331 an phpbb.de sendet und wäre dann du.

Gruß Tobi

[uwe.ha]

Ah, jetzt verstehe ich ... logisch