Massiv logning af danskernes internetbrug - men politiet bruger kun IP-adressen

De danske logningsregler betyder, at alle danskeres brug af internettet registreres. Politiet bruger stort set ikke disse oplysninger, udover IP-adressen på mistænkte.

Sætter du dig til computeren derhjemme, vil din færden på internettet blive registreret i store databaser hos din internetudbyder. Men disse data bliver kun brugt meget lidt, fortalte politiet selv på en høring onsdag på Christiansborg om logningsreglerne.

Siden 2007 har teleselskaberne skullet indsamle og gemme detaljerede oplysninger om danskernes brug af telefon og internet. Blandt andet skal hver session på internettet logges, med IP-adresse, portnummer og tidspunkt for hver 500. pakke i datatrafikken, og disse data udgør samlet set cirka 90 procent af de omkring 550 milliarder registreringer, teleselskaberne gemmer hvert år.

Men spørgsmålet er, om der overhovedet er brug for disse data til at forhindre terror og alvorlig kriminalitet som begrundelsen for logningsbekendtgørelsen lød i sin tid.

Det fik politikerne fra Folketingets Retsudvalg mulighed for at bore i ved høringen, hvor Politiets leder af Taskforce Øst, Magnus Andresen, var inviteret for at fortælle om Politiets daglige, praktiske brug af de mange tele- og internetdata.

Udover teledata, som tit er en stor hjælp i opklaringen af alvorlige forbrydelser, bruger politiet oplysninger om hvilken IP-adresse, for eksempel en børneporno-side er blevet besøgt fra. Teleselskaberne kan så finde frem til den kunde, det drejer sig om.

Læs også: Politiet bruger 80 millioner om året på telelogning og aflytninger

»Derefter vil vi typisk ransage og beslaglægge computere og smartphone, som kan give os betydelige oplysninger i en efterforskning. Vi har normalt ikke brug for data fra sessionlogning, fordi vi har data fra computeren, vi beslaglægger,« forklarede politichefen.

Han pegede dog på, at situationen måske er anderledes i fremtiden, når det bliver mere udbredt at gemme sine filer i skyen.

»Generelt udnytter vi sessionslogning i begrænset omfang i dag. Men udviklingen i brugen af online-tjenester kan gøre, at man i fremtiden får et større behov for brugen af sessiondata,« sagde Magnus Andresen.

Ingen eksempler på brugen af sessionsdata

Enhedslistens Pernille Skipper spurgte så, om der overhovedet fandtes eksempler på, at Politiet havde brugt data fra internetlogningen, udover IP-adresser.

»Jeg kan ikke give et eksempel på brugen af sessionlogning i en efterforskning. Jeg er ret sikker på, de findes, men jeg har ikke noget med nu,« sagde politichefen.

Justitsminister Morten Bødskov bakkede op om at fortsætte med at logge den grad af sessionsdata, som man gør i dag.

»Internetdelen er bestemt meget vigtig. Disse data bliver brugt i sager med alvorlig kriminalitet som børneporno. Og de målpersoner, som PET har øjnene rettet mod, kommunikerer også i høj grad via internettet,« sagde han, mens Politiets udsendte understregede, at han ikke kunne udtale sig om PET’s brug af logningsdata.

De danske regler for logning bygger på et EU-direktiv, men den omfattende logning af sessionsdata er en dansk opfindelse. Det mente Enhedslistens it-ordfører Stine Brix var problematisk, når Politiet stort set ikke bruger disse udvidede oplysninger.

»Det er uforståeligt for mig, at Danmark logger så mange oplysninger om hvilke websider, danskerne besøger, når EU ikke kræver det,« sagde hun, og kollegaen Pernille Skipper supplerede:

»Jeg mener, Danmark har et problem, når vi har denne sessionslogning, uden at det er påkrævet. Det er en massiv del af den samlede overvågning,« sagde hun.

I 2010 bad Politiet teleselskaberne om adgang til internetdata i 174 tilfælde - herunder også IP-adresse-opslag - mens der blev anmodet om informationer fra telelogningen 3.801 gange.

Læs også: Teleselskaber brugte 50 mio. på at levere 3489 logfiler

Læs også: Minister aner ikke, hvad massiv internetlogning af danskerne bliver brugt til

Kommentarer (16)

Jesper Lund

Det var en ret interessant oplysning som "kom frem" på dagens høring om at EU direktivet ikke kræver sessionslogning svarende til § 5 stk 1 i den danske logningsbekendtgørelse (afsender/modtager IP adresse, portnummer, protokol og timestamp for denne kommunikation mellem de to IP adresser).

Det er selvfølgelig ikke en revolutionerende nyhed at de danske regler er meget mere vidtgående end EU direktivet. Det er for eksempel nævnt i dette EDRI-gram fra 2007
http://www.edri.org/edrigram/number6.2/privacy-denmark-2007

Men det er en ting som desværre ikke har fået særligt meget opmærksomhed i Danmark. Når man læser Justitsministerens bemærkninger til lovforslag L 53 (om at udskyde revisionen af logningsbekendtgørelsen endnu en gang) får man heller ikke det indtryk at vi i Danmark uden videre kan fjerne en stor del af logningen.

Se afsnit 5
http://www.ft.dk/samling/20111/lovforslag/L53/som_fremsat.htm#dok

Danmarks EU-retlige forpligtelser sætter således grænser for, hvilke ændringer der kan foretages af retsplejelovens § 786, stk. 4, og logningsbekendtgørelsen, der er fastsat i medfør heraf.

Det er begrænset hvad der kan gøres ved telelogningen i forhold til EU direktivet, men langt hovedparten af de daglige registreringer om danskerne er sessionslogningen på internettet som ikke er et direktiv-krav (kun sammenhængen mellem tildelt IP adresse og abonnenten skal registreres efter EU direktivet).

Sessionslogning er meget dyr for ISP'erne, den krænker privatlivets fred fordi den skaber et samlet overblik over vores kommunikation på internettet, den er ikke et EU krav, og politiet er ikke selv i stand til at nævne et eneste eksempel hvor de har brugt disse data (og hvis vi overhovedet med rimelig skal overveje at have den slags i Danmark, skal det være et eksempel hvor sessionslogning har været af afgørende betydning).

Så hvad venter vi egentlig på? Afskaf sessionslogningen!

Michael Nielsen

Eller dele af krypteret pakke transaktion som er nærmest umuligt at dekode..

Det eneste de reelt kan brug fra pakken og det de rent faktisk er forpligtet til at logge er.

Klient IP, og Server IP, jeg tror server porten er med i det, og klient porten er også med..

De gemmer ikke pakkerne (påstår de), og er pakker dele af en krypteret kommunikation er det ubrugeligt alligevel.

Teorie er at de kan skabe en kontakt graf de kan brug til noget.. Men jeg tvivler værdien af det.

Jesper Lund

Teorie er at de kan skabe en kontakt graf de kan brug til noget.. Men jeg tvivler værdien af det.

Det vil formentlig kræve en "data mining" mulighed som ikke p.t. er til stede i retsplejeloven (og forhåbentlig aldrig kommer det).

Der er hjemmel til at indhente oplysninger om alle mobiltelefoner der har været i kontakt med en mobilmast, kaldet "udvidet teleoplysning" i RPL § 780, stk. 1, nr. 4. Det har været brugt i et par konkrete sager (mindst to ud fra offentligt tilgængelige oplysninger).

Men jeg mener ikke at der er en tilsvarende hjemmel til at indhente oplysninger om alle der har haft trafik til 178.209.166.158 (*) på port 80, eller andre farlige websites.

(*) nslookup itpol.dk ;-)

Knud Larsen

Retssikkerhed kendes ikke i Danmark. Som påvist går man langt ud over EU direktivet. Og det indrømmes, at man slet ikke bruger data.
Altså igen bliver borgerne i Danmark diskrimineret set i forhold til menneskerettigehderne!
Afskaf det pjat nu! Hvad nøler juristerne for?

Kim Andersen

Det er godt nok en gammel tråd, men jeg vil blot gøre opmærksom på, at Danmark også logger længere end EU-direktivet forpligter os til.

Norge, Sverige, Luxembourg og Østrig logger kun i 6 måneder, hvilket er fuldt i overensstemmelse med direktivet.

Danmark kunne derfor godt rulle logningsperioden tilbage til 6 måneder, hvilket ville skære halvdelen af overvågningsperioden udenat det ville overtræde vores forpligtelser.

Logningen skal selvfølgelig helt væk, men politikerne lyver, hvis de vil argumentere for, at vi er nødt til at logge i 12 måneder.

Mogens Ritsholm

Det er rigtigt, at direktivet giver et spillerum for den nationalt valgte opbevaringstid.

Men 6 eller 12 måneder er ikke det vigtigste. Det er sådan set ligegyldigt også i lyset af, at bogføringsregler kræver mange af de vigtige data opbevaret i mindst 500 dage.

Nej det alvorlige er forskellen på "data retention" og "logning". Direktivet kræver kun fangst og opbevaring af data, som et teleselskab kommer i besiddelse af - og som de ellers skulle smide væk. Det kræver ikke, at man skal indføre nye funktioner for at skaffe sig data, som man ellers ikke havde.

Det er her sessionslogning overskrider kodeks. Den kræver jo netop, at transportøren af IP-datagrammer kigger ned i transportlaget. Det er ikke bare "data retention", men krav om egentlig overvågning hos teleselskaberne. En overvågning som ellers ikke er en del af deres naturlige virksomhed.

Man kan sige, at sessionslogning på en måde svarer til, at grundejere blev forpligtet til at sætte et kamera op og filme alle forbipasserende,registrere om de bruger sko eller sandaler, hvorefter oplysningerne skulle opbevares i et år. Altså krav om overvågning, og ikke kun retention

Emnet er ikke uaktuelt. Du kan følge 2. behandlingen af L53 i Folketinget netop i dag. Og så bør du læse betænkningen, der er afgivet forud for denne behandling:

http://www.ft.dk/RIpdf/samling/20111/lovforslag/l53/20111_l53_betaenknin...

Det er et skridt i den rigtige retning. Men vælg jeres angrebsvinkler med omtanke.

Kim Andersen

Tak for linket.

Forskellen på data opbevaret efter Logningsbekendtgørelsen og på dem opbevaret efter Bogføringsloven er ikke så stor, men Bogføringsloven forpligter mig bekendt ikke ISP'erne til at gemme IP-adresser i fem år.

Politiet vil selv sagt kunne danne sig et mønster over en persons færden ud fra bogføringsdata, men er der ikke situationer, hvor f.x de sider en person surfer på er umulige at efterspore med bogføringsdata?

Derudover er jeg enig med dig i din sondring mellem logning og retention.

Hvis direktivet kun forpligter udbyderne til at opbevare data, som genereres som en naturlig følge af den tekniske drift, åbner det op for alle mulige omgåelsesmuligheder.

I Sverige har Bahnhof valgte at route kundernes trafik gennem en VPN, hvilket gør logningen værdiløs.

Er der en grund til, at de danske udbydere ikke har forsøgt at undgå effekten af logningen ved at tilbyde en VPN-løsning?

Mogens Ritsholm

Hverken Sverige eller noget andet land logger noget som helst om trafikken på internet. Der er heller ikke spor af internettrafik i bogføringsdata. Det er kun i Danmark, at logning af trafik på internet har forvildet sig ind i reglerne.

Derimod logger Sverige hvornår du har været aktivt tilsluttet nettet og den IP-adresse, som du var tildelt. Det kræver direktivet og det er med i §5 stk. 2 i logningsbekendtgørelsen. Det har intet med sessionslogning at gøre.

Mange tror, at VPN skjuler denne logning af IP-adresse. Det gør det ikke.

Dog kan VPN til dels skjule din færd videre ud på nettet, hvis nogen skulle lytte med. For du optræder jo med en anden IP-identitet. Den kan dog spores tilbage via VPN adgangs udbyderen. Og tro mig. De skal nok hjælpe politiet, hvis det er alvorligt.

Når Bahnhof tilbyder VPN for at sikre kunderne, er det ikke for at imødegå logning, men for at imødegå aflytning via de meget omdiskuterede svenske FRA-regler, der giver FRA ret til at aflytte al trafik, der passerer den svenske grænse til udlandet - også indholdet. Så kan de ihvertfald ikke direkte finde dig på IP-adressen.

Ja, det er nok svært. Men det er jo også derfor, at det kan gå så galt. Tak for din interesse.

Kim Andersen

Mange svenske VPN-tjenester skriver i deres privacy policy, at de ikke logger IP-adresser, fordi VPN-tjenester ikke er indbefattet i direktivets udbyderbegreb.

Jeg husker det er bblevet diskuteret før, og Jesper Lund har fremhævet, at VPN-tjenester ikke er omfattet af logningsforpligtelsen.

Kan du tiltræde det?

Hvis VPN-tjenester falder helt uden for direktivet, kan de helt undlade at logge IP-adresser.

Mogens Ritsholm

Nej. Nu er alle VPN sikkert ikke ens opbygget. Men som jeg forstår det, er forbindelsen mellem VPN-udbyder og kunde netop VPN - altså en slags erstatning for en fast forbindelse. Det spiller ikke nogen rolle for reglerne hvordan forbindelsen til kunden skabes. Det kan være radio, tråd og altså også VPN. Derfor er en dansk VPN-udbyder forpligtet til at logge kunde og IP-identitet efter §5 stk.2. Det samme gælder andre lande underlagt EU-direktivet.

Men du kan jo bruge VPN uden for EU, og du behøver måske ikke identificere dig fuldt ud overfor VPN-udbyderen. Og så kan VPN-udbyderen formentlig tildele dig forskellige IP-identiteter via NAT-lignende eller anden firewall funktion. Det slører altsammen din videre færd ud på nettet - også selv om du logges.

Hvis VPN-udbyder er i DK, vil der ske en sessionslogning ved den videre færd ud på nettet ved overgangen til andre net. Men der optræder du jo ikke med din IP-adresse for VPN-forbindelsen.

Hvis VPN er i udlandet, vil du blive sessionslogget efter §5 stk.1 eller 4 med din egen identitet. Men man kan kun se, at du er på VPN.

Hvis du kører VPN kunde til kunde er du ikke omfattet af direktivet. For så svarer det jo til et privat net. Det er det forhold, at der gives adgang til det åbne internet, der bringer det ind under reglerne.

Jesper Lund

Derfor er en dansk VPN-udbyder forpligtet til at logge kunde og IP-identitet efter §5 stk.2. Det samme gælder andre lande underlagt EU-direktivet.

I forhold til logningsbekendtgørelsen er det afgørende om en VPN udbyder klassificeres som en indholdstjeneste (uden for bekendtgørelsen) eller en kommunikationstjeneste. Der er ingen tvivl om at en ADSL forbindelse er en kommunikationstjeneste og at en særskilt mailudbyder (som Hotmail) er en indholdstjeneste. Det står mere eller mindre direkte i vejledningen til logningsbekendtgørelsen.

Jeg synes ikke at det er klart om VPN er det ene eller det andet (?), men det har stor betydning for logningsbekendtgørelsen.

I denne rapport fra EU Kommissionen om evaluering af Data Retention direktivet fremgår det at VPN udbydere ikke er omfattet (af direktivet, så dansk lov kan være anderledes)
http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:52011DC0225:...

A number of increasingly common forms of communication are outside the scope of the Directive. Virtual Private Networks (VPNs) in, for example, universities or large corporations, allow several users to access the internet via a single gateway using the same IP address. However, new technology permitting the attribution of addresses to individual VPN users is currently being introduced.

Rent praktisk er det mit indtryk at kommercielle VPN tjenester ikke logger hverken sessionsdata eller brugen af exit IP adresser, bl.a. fordi det ikke er teknisk muligt. Logning af exit IP vil reelt være det samme som sessionslogning fordi VPN tjenester generelt er "shared IP", så du deler den udgående IP adresse med andre. Det er i hvert fald hvad diverse VPN udbydere, inklusive HideMyAss (der sidste år blev kritiseret for deres logning), selv skriver.

Men jeg har ikke den store tekniske indsigt i driften en af VPN services, så mine ord om hvad der er (og ikke er) teknisk muligt skal tages med diverse forbehold..

Mogens Ritsholm

Læg mærke til den sidste del af mit tidligere indlæg. Jeg enig med alle dine citater, og det er samtidigt ikke i strid med mit tidligere indlæg.

Læg også mærke til, at VPN udnyttet via en tunnel over det åbne internet selvfølgelig vil blive logget. Det er jo kunden, der har gjort det til VPN, og ikke internetudbyderen af basistilslutnimngen.

VPN er mange ting. Mine kommentarer baserer sig primært på det tilfælde, hvor du via din almindelige internetforbindelse skaber en VPN-forbindelse til en slags proxyserver og dermed tror, at det falder uden for alle regler. Faktisk kan du blive logget mere, selv om det måske ikke rigtig kan bruges til noget.

Måske hjælper følgende eksempel:

Lad os sige, at du bruger dial-up adgang med modem til internetadgang. Så sker der både en logning via din telefonforbindelse og en logning af din din internetudbyder - både når internetudbyder og telefoniudbyder er den samme, og når de er forskellige.

Jesper Lund

Læg også mærke til, at VPN udnyttet via en tunnel over det åbne internet selvfølgelig vil blive logget. Det er jo kunden, der har gjort det til VPN, og ikke internetudbyderen af basistilslutnimngen.

Vi er formentlig helt enige, men blot for at præcisere: Der er stor forskel mellem at sessionslogge din trafik til en destination IP og at sessionslogge din trafik til en VPN indgangs-IP, hvorefter du via denne VPN tjeneste har trafik til den reelle destination IP (uden sessionslogning).

Jesper Lund

Lad os sige, at du bruger dial-up adgang med modem til internetadgang. Så sker der både en logning via din telefonforbindelse og en logning af din din internetudbyder - både når internetudbyder og telefoniudbyder er den samme, og når de er forskellige.

Det er vi enige om, men i dette eksempel er det klart at dial-up internet er en kommunikationstjeneste. De VPN tjenester som vi taler om i de andre indlæg forudsætter at du i forvejen har en internetadgang, og så synes jeg at det er mindre klart om det er en kommunikationstjeneste eller en indholdstjeneste.

Mogens Ritsholm

Ja, vi er jo så nok enige. Men læg mærke til, at det er ligegyldigt om VPN er det ene eller det andet. For det er ikke VPN, der udløser logningen.

Der findes formentlig stadig VPN udbudt via frame relay eller ATM. De skal heller ikke logges ligesom man ikke skal logge "rigtige" private net opbygget af faste kredsløb.

Skal vi stopppe her. Jeg tor ikke at der er mange, der kan følge med i de ret korte udmeldinger, der jo hører til denne debatform.

Kontakt mig gerne bilateralt, hvis du har behov for uddybning af teleudbyderbegreberne. Jeg var med til at definere det i Bruxelles i sin tid.

Og nu skal jeg snart se fodbold.

Log ind eller opret en konto for at skrive kommentarer

JobfinderJob i it-branchen

TDC skifter koncernchef efter faldende mobilomsætning

Jesper Stein Sandal Mobil og tele 14. aug 2015

Nyeste job

KurserStyrk dine evner med et kursus

Moms i relation til bespisning

Hvornår: 2015-09-23 Hvor: Storkøbenhavn Pris: kr. 4990.00

Ledelseskraft - udnyt dit fulde kommunikationspotentiale

Hvornår: 2015-10-26 Hvor: Østjylland Pris: kr. 11400.00

CERT 70-341 Core Solutions of Microsoft Exchange Server 2013

Hvornår: 2015-09-25 Hvor: Østjylland Pris: kr. 4950.00

MCP 20412 kursus: Configuring Advanced Windows Server 2012 Services

Hvornår: 2015-11-23 Hvor: Storkøbenhavn Pris: kr. 18750.00

Master i offentlig kvalitet og ledelse

Hvornår: Hvor: Fyn Pris: kr. Efter aftale