Server-Logs und DatenschutzIhr Hoster hat das Loggen eingestellt. Ihr Server nicht.

Jetzt sind Sie die Partei, an die jemand schreibt

Ein Leser, der wissen will, wer Ihre Website besucht hat, beginnt nicht bei Ihrem Hoster. Er beginnt bei Ihnen, denn Sie sind die einzige Partei in der Kette mit einem unmittelbaren Interesse daran, die Aufzeichnung vorzuhalten, mit einer ladungsfähigen Anschrift, und ohne Transparenzbericht, den Sie hinterher veröffentlichen könnten.

Das ist ein unbequemer Satz für einen Hoster, ihn zu schreiben, also hier die Rechnung dahinter. Das hier veröffentlichte Verzeichnis besagt, dass HTTP-Access-Logs nach einem Timer von vierundzwanzig Stunden gelöscht werden und dass danach nirgends eine Adresshistorie fortbesteht. Ein gewöhnlicher Webserver auf einer bei uns gemieteten Maschine hält sein eigenes Access-Log rund vierzehn Tage lang vor, in einem nächtlichen Backup ein Jahr lang, und keine dieser beiden Zahlen hat jemand absichtlich festgelegt. Die sorgfältige Wahl des Hosters wird durch eine Voreinstellung zunichtegemacht, die niemand gelesen hat.

Was eine einzelne Zeile eines Access-Logs tatsächlich enthält

Das Standardformat der beiden gängigen Webserver ist seit fünfundzwanzig Jahren unverändert, und fast niemand liest es als Aufzeichnung über eine Person. Es lohnt sich, es einmal so zu lesen, denn jedes Feld unten ist eine eigene Preisgabe, und sie summieren sich.

Sieben Felder, eine Zeile, geschrieben für jede Anfrage, die ein Browser stellt — was für einen einzigen Seitenaufruf gewöhnlich irgendwo zwischen zwanzig und achtzig Zeilen ergibt. Nichts davon war eine Entscheidung. Alles davon ist eine Aufzeichnung.

Neun Stellen, an denen Ihr eigener Stack einen Besucher festhält

Fast jede Diskussion über Logging dreht sich um die erste Zeile. Sie ist diejenige, von der die Leute wissen, dass es sie gibt, und sie ist bei weitem nicht das Aufschlussreichste auf der Maschine.

Die letzte Zeile ist diejenige, die die meisten guten Vorsätze zunichtemacht. Eine Log-Rotation von vierzehn Tagen auf einen zu verkürzen, ändert, was auf der Festplatte liegt, und ändert überhaupt nichts an der Kopie, die um drei Uhr morgens angefertigt wurde und ein Jahr lang vorgehalten wird. Eine Aufzeichnung zu löschen, die Sie bereits repliziert haben, ist ein Ortswechsel, keine Löschung.

Die zwei Felder, die mehr preisgeben als die Adresse

Eine Adresse ist das Feld, über das alle streiten, und sie hat die kürzeste Nutzungsdauer: Sie ändert sich, sie wird geteilt, und in einem Mobilfunknetz gehört sie einem Provider und nicht einer Person. Die beiden Felder daneben sind, still und leise, schlimmer.

Die Referrer-Adresse beschreibt den Leser, nicht die Anfrage

Sie beantwortet eine Frage, die Sie nie gestellt haben: Wo befand sich diese Person vor einer Sekunde. Das kann ein privater Dokumentenlink sein, der ihr weitergeleitet wurde, ein internes Ticketsystem, die Vorschau eines Mailprogramms, oder eine Seite, die sie nicht mit Ihrer in Verbindung gebracht wissen möchte. Browser kürzen den Pfad inzwischen, wenn das Ziel ein anderer Origin ist, was hilft — und rein gar nichts für die Links innerhalb Ihrer eigenen Website bewirkt, wo der vollständige Pfad weiterhin gesendet und weiterhin aufgezeichnet wird.

Der User-Agent ist der Keim eines Fingerabdrucks

Für sich allein ist er eine Menschenmenge. Kombiniert mit einer Adresse, einem Sprach-Header, einer Anfragereihenfolge und einer Reihe akzeptierter Formate ist er über Wochen hinweg häufig ein einzelner Besucher — ohne Cookie, ohne Einwilligung, und ohne dass irgendjemand beschlossen hätte, irgendetwas zu verfolgen. Das ist der Mechanismus, der aus „Wir halten nur Server-Logs vor“ einen schwächeren Satz macht, als die Person, die ihn sagt, glaubt.

Geheimnisse landen im Log, weil sie in der URL standen

Das ist der Fehler, für den es sich lohnt, diese Seite zu lesen, denn er ist verbreitet, er ist lautlos, und er liegt vollständig in Ihrer Kontrolle. Alles nach dem Fragezeichen ist Teil der Anfragezeile, und die Anfragezeile ist das, was geschrieben wird.

• Links zum Zurücksetzen des Passworts. Ein Einmal-Token in einem Query-String wird im Klartext im Access-Log aufgezeichnet, im Backup des Access-Logs, und bei jedem Proxy zwischen dem Leser und Ihnen.
• Einladungs- und Abmelde-Links. Dieselbe Form, langlebiger, und in der Regel überhaupt nicht ablaufend.
• In der URL übergebene Sitzungskennungen. Selten in neuem Code, noch vorhanden in altem Code, und eine vollständige Kontoübernahme für jeden, der die Datei in Händen hält.
• An einen Browser übergebene API-Schlüssel. Ein Schlüssel in einem Query-String ist ein Schlüssel im Log, ein Schlüssel in einem an Dritte gesendeten Referrer, und ein Schlüssel im Verlauf des Lesers.
• Das Suchfeld. Eine Website-Suche, die per GET übermittelt, schreibt jede Suchanfrage, die jemals in Ihre Website eingegeben wurde, neben die Adresse, die sie eingegeben hat.

Die Lösung ist keine Logging-Einstellung. Verschieben Sie den Wert in einen Header oder einen Request-Body, wo kein Standardformat ihn aufzeichnet, und rotieren Sie alles, was bereits geschrieben wurde. Ein Log-Filter, der Tokens entfernt, ist ein zweites Ding, das gepflegt werden muss, und er wird beim ersten Mal falsch liegen, sobald jemand einen Parameter hinzufügt.

Was von Ihnen verlangt werden kann, und von wem

Die anderen Leitfäden hier handeln von Instrumenten, die bei einem Hoster in einer eigens dafür gewählten Jurisdiktion eintreffen. Das Instrument, das Ihre eigenen Logs erreicht, ist einfacher: Es wird Ihnen zugestellt, dort, wo Sie sind, und der Standort der Maschine ist nicht Teil der Frage.

• Eine zivilrechtliche Forderung im eigenen Land. Wer wegen eines Kommentars, eines Lecks oder eines Kaufs klagt, verlangt vom Betreiber der Website, was der Betreiber vorhält. Das sind Sie, und vierzehn Tage Access-Logs sind leicht etwas, zu deren Herausgabe man verpflichtet werden kann.
• Eine Anfrage eines Lesers. Nach europäischem Datenschutzrecht darf eine Person verlangen zu erfahren, was Sie über sie vorhalten, und eine Adresse kann personenbezogenes Datum sein: Der Europäische Gerichtshof entschied 2016 genau das in Case C-582/14, wonach eine von einem Website-Betreiber vorgehaltene dynamische Adresse personenbezogenes Datum war, weil ein rechtlich zulässiger Weg zum Anschlussinhaber bestand. Auch die Vorhaltefrist muss gerechtfertigt sein — Article 5(1)(e) verlangt nicht länger als erforderlich, und „so wurde das Paket eben verschickt“ ist kein Zweck.
• Wer auch immer die Maschine kompromittiert. Der wahrscheinlichste Leser Ihres Access-Logs ist überhaupt kein Gericht. Logs sind selten verschlüsselt, selten überwacht und fast nie Teil eines Bedrohungsmodells, und sie liegen auf jedem auf die gewöhnliche Weise aufgesetzten Server unter einem vorhersehbaren Pfad.
• Jeder, den Ihre Backups erreichen. Eine externe Kopie ist eine Kopie bei einem anderen Unternehmen, unter einer anderen Jurisdiktion, rechenschaftspflichtig gegenüber Instrumenten, die Sie nicht gelesen haben.

Nichts davon ist Rechtsberatung, und dieses Haus ist nicht Ihr Anwalt. Es ist dieselbe Verzeichnis-Logik, angewendet auf Ihre Seite der Leitung: Was Sie nicht herausgeben können, kann nicht von Ihnen verlangt werden, und alles andere ist eine Frage, wessen Gericht gerade fragt. Wie sich das auf der Hosting-Seite abspielt, steht in was tatsächlich passiert, wenn die Polizei einen Hoster fragt.

Weniger vorhalten, ohne blind zu werden

Der Instinkt, nachdem man so weit gelesen hat, ist, das Logging ganz abzuschalten, und das ist der falsche Schritt: Ein Server ohne Logs lässt sich nicht debuggen, lässt sich nicht sinnvoll ratenbegrenzen und kann Ihnen nicht sagen, dass gerade in ihn eingebrochen wird. Das Ziel ist nicht null. Es ist, den Teil vorzuhalten, der eine betriebliche Frage beantwortet, und den Teil zu verwerfen, der nur eine Frage über eine Person beantwortet.

Zwei dieser sechs kosten überhaupt nichts und beseitigen den größten Teil der auf dieser Seite beschriebenen Offenlegung. Die letzte ist diejenige, an die niemand denkt, und sie ist der Grund, warum die anderen fünf zu kurz greifen.

Die Dritten, die Ihre Leser für Sie protokollieren

Alles oben Genannte betrifft Dateien auf einer Maschine, die Sie kontrollieren. Ein Browser, der Ihre Seite lädt, öffnet außerdem eine Verbindung zu jedem weiteren Origin, den die Seite nennt, und jeder davon erhält die Adresse, den User-Agent und einen Referrer, der verrät, welche Ihrer Seiten gerade gelesen wurde — bevor irgendein Einwilligungsbanner beantwortet wurde, weil die Anfrage bereits abgeschickt ist.

• Eine von jemand anderem ausgelieferte Schriftart. Eine Zeile in einem Stylesheet, und jeder Leser jeder Seite wird einem Dritten offengelegt, für eine Datei, die Sie im selben Verzeichnis wie den Rest der Website hosten könnten.
• Ein eingebettetes Video oder eine eingebettete Karte. Wird sofort geladen, auf jeder Seite, auf der es erscheint, ganz gleich, ob jemand auf Play drückt oder nicht.
• Ein Chat-Widget oder ein Tag-Manager. Per Konstruktion auf jeder Seite vorhanden, und in der Lage, weiteren Code nachzuladen, den Sie nicht geprüft haben.
• Ein Error-Tracker. Der nützlichste von ihnen und der aufschlussreichste: Er existiert, um Ihnen den Zustand der Sitzung einer fremden Person zu übermitteln.
• Ein CDN vor der gesamten Website. Kein Argument dagegen — es ist ein vernünftiger Kompromiss — aber es ist ein Unternehmen, das jede Anfrage sieht, bevor Sie es tun, eigene Logs vorhält und seiner eigenen Jurisdiktion Rechenschaft schuldet.

Die ersten drei selbst zu hosten ist meist ein Nachmittag Arbeit, und es entfernt mehr Beobachtung durch Dritte als jede Einstellung auf Ihrem eigenen Server. Es ist außerdem der Teil dieser Seite, der verbessert, was Ihre Leser bekommen, statt nur, was Sie herausgeben müssen, wenn man Sie dazu anweist, und das ist der Grund, es zuerst zu tun. Die entsprechende Liste, die auf Ihre eigene Offenlegung zielt statt auf die Ihrer Leser, steht in die neun Dinge, die eine Website identifizieren.

Was dieses Haus dagegen tun kann, und was nicht

Die Grenze ehrlich zu ziehen ist mehr wert als eine Beruhigung, also hier ist sie, von dieser Seite aus.

• Unsere eigenen HTTP-Access-Logs werden nach einem Timer von vierundzwanzig Stunden gelöscht, und es gibt weder eine Adresshistorie noch eine Aufzeichnung von Anmeldestandorten noch einen Fingerabdruck, der das überdauert. Die vollständige Liste dessen, was tatsächlich fortbesteht, ist als Verzeichnis veröffentlicht und umfasst sieben Einträge.
• Was auf dem Rechtsweg eintrifft, wird im Transparenzbericht gezählt, und was eine gültige Anordnung tatsächlich zutage fördert, steht im Voraus fest, statt im Moment entschieden zu werden.
• Auf einem VPS oder einem dedizierten Server liegen die auf dieser Seite beschriebenen Logs innerhalb Ihres Betriebssystems. Wir lesen sie nicht, wir verschicken sie nirgendwohin, und wir können sie auch nicht für Sie konfigurieren — Single Tenancy wirkt in beide Richtungen, und genau das ist der Sinn davon.
• Was wir tragen können, ist die Schicht darunter: keine Identitätsaufzeichnung bei der Anmeldung, Abwicklung ausschließlich On-Chain, und eine Maschine in einer von Ihnen gewählten Jurisdiktion statt in der, in der Ihr Kartenaussteller sitzt.

Und der Satz, für den diese Seite existiert: einen Hoster danach auszuwählen, was er sich weigert vorzuhalten, um dann vierzehn Tage desselben selbst vorzuhalten, ist eine Datenschutzentscheidung, die von einer Konfigurationsdatei zunichtegemacht wird. Die beiden Hälften sind vom Aufwand her nicht vergleichbar. Die eine hat eine Woche Lesen gekostet, die andere kostet einen Nachmittag, und nur eine von beiden ist erledigt.

Eine einstündige Prüfung Ihrer eigenen Logs

Nichts im Folgenden braucht ein Werkzeug, das Sie kaufen müssten, und jeder Schritt sagt Ihnen etwas, das der vorherige nicht gesagt hat.

1. Drucken Sie eine einzelne Zeile Ihres eigenen Access-Logs aus und lesen Sie sie laut, Feld für Feld, so, wie es ein Fremder täte.
2. Listen Sie jede Datei in Ihrem Log-Verzeichnis auf und markieren Sie dann diejenigen, die Sie im letzten Jahr geöffnet haben. Die unmarkierten sind reines Risiko.
3. Lesen Sie die Rotationskonfiguration und schreiben Sie die Anzahl der Tage auf, die sie tatsächlich vorhält, statt der Zahl, der Sie sich erinnern zugestimmt zu haben.
4. Stellen Sie das Backup des letzten Monats in einem Testverzeichnis wieder her und suchen Sie nach dem Log, von dem Sie glauben, es sei vor vierzehn Tagen gelöscht worden.
5. Durchsuchen Sie Ihr Access-Log nach den Wörtern token, reset, key, session und password. Alles, was Sie finden, ist ein Geheimnis, das bereits auf die Festplatte geschrieben wurde und rotiert werden muss, nicht nur behoben.
6. Laden Sie Ihre eigene Startseite bei geöffnetem Netzwerk-Panel des Browsers und schreiben Sie jede kontaktierte Domain auf, die nicht Ihre eigene ist. Jede davon ist ein Unternehmen, das Ihre Leser unter seiner eigenen Vorhaltefrist hält.
7. Prüfen Sie, welcher Header die echte Adresse hinter Ihrem Proxy oder CDN trägt, und stellen Sie fest, ob der Origin sie aufzeichnet. Ein CDN hält den Origin nicht vom Loggen ab; es verschiebt nur das Feld.
8. Öffnen Sie das jüngste Ereignis in Ihrem Error-Tracker und zählen Sie, wie viele Details eines echten Lesers in der Payload stecken.
9. Legen Sie bewusst drei Vorhaltefristen fest — Sicherheit, Analytics, Backups — und schreiben Sie sie dort hin, wo die nächste Person, die den Server anfasst, sie findet.
10. Schreiben Sie das Verzeichnis: was existiert, wo, für wie lange, und was Sie herausgeben würden, wenn morgen früh eine gültige Anordnung einträfe. Wenn Ihnen das Schreiben dieses Dokuments unangenehm ist, ist das die nützlichste Stunde auf dieser Liste.

Fragen, die tatsächlich gestellt werden

Jeder Preis auf diesem Anwesen ist vollständig veröffentlicht, an einem Ort. Den gesamten Katalog ansehen