Det blev indført som et nyt, vigtigt værktøj for politi og efterretningsvæsen. Nu skulle teleselskaberne ikke bare registrere, hvem der ringer eller sms’er til hvem, men også hvilke websider en internetbruger besøger.
Men fem et halvt år efter, at den såkaldte sessionslogning blev indført, har den ekstra overvågning af danskerne – ifølge en redegørelse fra Justitsministeriet – ikke givet meget gevinst for pengene.
Alligevel overlevede sessionslogningen i sidste uge endnu et ’attentatforsøg’ fra Venstre, Enhedslisten og Liberal Alliance. Samtidig faldt et krav om en revision af reglerne, da regeringen fik flertal med Konservative og Dansk Folkeparti for et lovforslag, der udskød en revision af logningen med mindst et år.
Med sessionslogning skal teleselskaberne gemme adressedata om et udsnit af de datapakker, en internetkunde sender og modtager, i et år (se grafik). Oprindelig var kravet i reglerne, at den første og sidste pakke i hver internetkommunikation (session) skulle logges, men et kompromis med teleselskaberne gav mulighed for at logge én ud af hver 500 pakker i stedet. Den løsning har de fleste selskaber valgt, fordi det var svært at definere, hvornår en ’samtale’ på nettet var slut.
Under alle omstændigheder får man et meget tilfældigt udsnit af trafikken, fortæller Mogens Ritsholm, der var telechef hos TDC, da reglerne trådte i kraft i efteråret 2007. Siden han gik på pension i 2009, har han været en aktiv fortaler for at stoppe sessionslogningen.
»Man registrerer nogle få spor af, hvilke IP-adresser din computer har været i kontakt med. Det er ikke særlig interessant, for der er hele tiden en masse kommunikation fra din computer, for eksempel software, der får opdateringer. Og når du sender en e-mail, viser sessionslogning intet om, hvem du sender den til. Den kan kun vise, at du har været i kontakt med en e-mail-server,« forklarer han.
Ét stort miskmask
Reglerne om sessionslogning blev undfanget allerede i 1999, da internettet var meget mere overskueligt end i dag, hvor data hentes fra mange forskellige kilder. For eksempel udløser ét besøg på politiken.dk 4.000 datapakker, sendt fra 25 forskellige servere via 140 forskellige forbindelser. Med sessionslogningen bliver adressedata om 8 af de 4.000 pakker gemt, og efter al sandsynlighed vil de disse nedslag ikke vise noget brugbart, fortæller datalogen Christian Panton, der er medstifter af interesseorganisationen Bitbureauet.
»Informationerne er ét stort miskmask, og der er så mange data, at man skal lede efter nålen i høstakken,« siger han.
Men selv dén situation er i de fleste tilfælde ønsketænkning. På grund af den måde, de store teleselskaber håndterer internettrafikken på, bliver logningsdata fra flere hundrede kunder som udgangspunkt blandet sammen, så den præcise afsender ikke kan identificeres. Samtidig skal selskaberne kun registrere internettrafik, som bliver udvekslet med andre teleselskaber. Besøger en TDC-kunde en webside, som TDC selv lægger servere til, bliver den trafik slet ikke registreret.
Resultatet af den meget tilfældige og hullede registrering har været, at sessionslogning næsten ikke er blevet brugt af politiet ifølge en redegørelse fra Justitsministeriet, som blev offentliggjort i februar. Sessionslogningen er ’som udgangspunkt uanvendelig i politiets efterforskning’, fremgår det, bortset fra i ’heldige tilfælde’.
Kun hos de små internetudbydere er sessionslogning måske brugbar, fordi de håndterer langt mindre datamængder og derfor kan bruge en anden logningsteknologi. Mobilt internetbrug hos TDC bliver også registreret for hver kunde adskilt, fordi selskabet har fået et nyt system til logning.
Kun ét eksempel
I redegørelsen giver Rigspolitiet to eksempler på, at sessionslogning har haft betydning for en efterforskning. Men det ene eksempel var baseret på en misforståelse, viste opklarende spørgsmål fra Enhedslisten i løbet af maj måned. Det andet handlede om et netbankindbrud, hvor sessionsdata blev brugt til at vise, at it-kriminelle havde kontakt til offerets computer.
Fra Politiets Efterretningstjeneste lyder meldingen, at brugen af sessionsdata i ’meget begrænset omfang’ har været relevant i efterforskningen, modsat resten af telelogningen, som har været af afgørende betydning i flere terrorsager. Det handler f.eks. om telefonopkald og sms’er.
De store problemer med sessionslogning har ikke fået tilhængerne af reglerne til at ændre holdning.
»Det betyder noget for Dansk Folkeparti, at sessionslogning har været brugt i begrænset omfang, for så har det jo været brugt. Vi vil give det noget tid at løbe på,« siger Martin Henriksen, MF for Dansk Folkeparti.
Justitsminister Morten Bødskov (S) taler endnu mere direkte imod at stoppe sessionslogningen:
»Det handler helt grundlæggende om, at politiet nu har fået et effektivt redskab til at efterforske alvorlig kriminalitet. Hvis man vil forhindre politiet i at bruge sessionslogning, stikker man en kæp i hjulet på politiet, når det handler om efterforskning af alvorlig kriminalitet,« sagde han ved behandlingen af lovforslaget om at udskyde revisionen af logningen.
Fakta: Telelogning i tal
I 2012 loggede de danske teleselskaber 900 milliarder poster. I år vil tallet runde de tusind milliarder, svarende til cirka 500 poster pr. dansker pr. døgn.
Mindst 90 procent af disse data stammer fra sessionslogning. Resten stammer fra øvrig telelogning, som f.eks. rummer data om, hvilke numre vi kommunikerer med fra fastnet- og mobiltelefoner, hvem vi sms’er med, og hvor vores mobiltelefon befinder sig – baseret på, hvilke master den har haft kontakt med hvornår.
Udgifterne til logningen blev i 2007 vurderet til 200 mio. kr. til opstart og 50 mio. kr. årligt. Tallet er ifølge brancheforeningen Teleindustrien steget siden da. Danske telekunder har altså siden efteråret 2007 i alt betalt mindst en halv milliard kroner til telelogning. Hvad sessionslogning isoleret set koster, er ikke opgjort.
Historien blev først bragt i avisen Ingeniøren fredag den 7. juni.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
