[lang_de]Am 02.03.2010 hat das Bundesverfassungsgericht die so genannte Vorratsdatenspeicherung für verfassungswidrig erklärt. Aus diesem aktuellen Anlass möchte ich hier kurz erläutern, wie man auf dem eigenen Webserver vermeiden kann, dass IP-Adressen anfallen.

Seit längerem haben wir auf diesem Webserver das Apache-Modul mod_removeip im Einsatz. Das Modul bewirkt, dass alle IP-Adressen als 127.0.0.1 erkannt werden. So kann auch keine PHP Anwendung, inklusive WordPress und Piwik, IP-Adressen speichern.

Piwik selbst versucht wiederkehrende Besucher über Cookies zu erkennen. Ist das nicht möglich, so wird ein Hash über verschiedene Informationen, wie z.B. Auflösung, Browser, aktivierte Plug-ins und auch die IP, gebildet. Da alle Besucher (scheinbar) die gleiche IP haben, werden Benutzer ohne Cookies und mit den selben Einstellungen als ein und der selbe Besucher erkannt. Wie allerdings Panopticlick zeigt, ist es sehr wahrscheinlich, dass man trotzdem eindeutig erkennbar bleibt.

Für alle, die gerne Statistiken haben, aber nicht gleich mit der mod_removeip-Keule drauf hauen wollen, kann ich das Piwik-Plug-in NoIpPlugin empfehlen. Es greift ein, nachdem der Hash erzeugt wurde, aber bevor die IP-Adresse in der Datenbank gespeichert wird. Es werden die letzten beiden Blöcke der Adresse abgeschnitten. So sind wenigstens in der Piwik-Datenbank keine eindeutigen IP-Adressen enthalten.

Am Besten wäre es natürlich, wenn man einfach keine Statistik erstellen würde. Dazu kann ich mich aber nicht durchringen, da ich sehr gerne wissen will, wie viel auf dieser Seite los ist. Das stärkt das Ego.

Für weitere Informationen über das Thema “Personenbezogene Daten auf Webservern” empfehle ich noch http://www.wirspeichernnicht.de/.

Die Statistik von skweez.net kann man hier anschauen.[/lang_de]

[lang_en]On 2 March, 2010 the german federal constitutional court has ruled that the data retention law enforcing every communications service provider to save connections data for six month is against the german constitution. For this reason I would like to give you a short introduction about avoiding personal data on your own web server.

We use the Apache module mod_removeip since a while. This module disables IP logging on the web server. Even applications like WordPress or Piwik cannot get the real IP address. Every visitor seems to come from 127.0.0.1.

Piwik tries to use cookies to determine whether you are a recurring visitor or not. If the visitor does not allow cookies an algorithm is used to get a hopefully unique hash based on certain settings of the visitor’s browser like resolution, active plug-ins and of course the IP address. Since the address is always 127.0.0.1 some visitors might be treated like one. But as Panopticlick tells us most likely all your visitors have an unique hash.

If mod_removeip is to heavy for your purpose I recommend using NoIpPlugin for Piwik at least having no IP addresses in your database. This plug-in shortens the IP address right before it’s saved in the database but after the hash is generated. Only the first two blocks of the address are saved.

Most certainly the best way to prevent data is not generating any statistics. But I cannot bring myself to do this because I like to know what’s going on at this site. That’s an ego-boost.

For additional information about saving personal data I recommend http://www.wirspeichernnicht.de/ (german).

The statistics of skweez.net can be found here.[/lang_en]