16. April 2018 | 09:10 Uhr

Datenschutzerklärung: Ein Blick hinter die Kulissen

Aktuell werden die bestehenden Datenschutzhinweise für die anstehende Datenschutz-Grundverordnung (DSGVO) überarbeitet.

Im Zuge dieser Überarbeitung möchte ich euch einen kleinen Einblick hinter die Kulissen (und Sicherheitsmaßnahmen) eines Webservers gewähren, weil ich den Eindruck habe, dass die dahinterliegende Technik für einige von Interesse ist – insbesondere im Zusammenhang mit einer Datenschutzerklärung.

Sobald ihr den Kuketz-Blog oder das Forum im Browser aufruft, wird zunächst eine TLS-verschlüsselte Verbindung zwischen dem Webserver und eurem Browser ausgehandelt. Systembedingt überträgt euer Browser dabei ein paar Informationen. Unter anderem:

Die IP-Adresse eures Anschlusses
Der User-Agent des Browsers
Den HTTP-Referer
[…]

Der Webserver (nginx) nimmt den HTTP-Request eures Browsers anschließend entgegen und verabeitet dabei folgende Daten:

www.kuketz-blog.de 217.110.34.132 - - [16/Apr/2018:08:32:33 +0200] "GET /ublock-origin-schutz-gegen-tracker-und-werbung/ HTTP/2.0" 200 23876 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/55.0.2900.1 Iron Safari/537.36"

Aufgeschlüsselt im Detail verarbeitet nginx folgende Informationen:

Der Host, der aufgerufen wird: www.kuketz-blog.de
Von welcher IP-Adresse der Aufruf stammt: 217.110.34.132
Datum / Uhrzeit des Aufrufs: 16/Apr/2018:08:32:33
Um welche Art von HTTP-Request es sich handelt: GET
Die URL, die aufgerufen wird: /ublock-origin-schutz-gegen-tracker-und-werbung/
Der HTTP-Statuscode: 200
Der User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/55.0.2900.1 Iron Safari/537.36

Serverseitig werden diese Informationen temporär von unterschiedlichen Diensten verarbeitet und ausgewertet:

Der Webserver nginx hat unter anderem folgende Schutzmechanismen konfiguriert:
- Eine Blacklist mit User-Agents (Bad Bot Blocker), die keine HTTP-Requests absetzen dürfen und blockiert werden.
- Eine Blacklist (auf Basis von Spamhaus) mit IP-Adressen, die keine HTTP-Requests absetzen dürfen und blockiert werden.
- Eine Blacklist mit HTTP-Referern, die keine HTTP-Requests absetzen dürfen und blockiert werden.
- Es sind nur bestimmte HTTP-Requests erlaubt (GET, HEAD & POST).
- Ein Schutz vor Denial-of-Service Angriffen.
- Ein Rate Limit für POST-Requests.
- […]
Die Web-Application-Firewall (WAF) NAXSI schützt unter anderem vor XSS- und SQL-Injection Versuchen.
Das Host-Intrusion-Detection-System OSSEC reagiert auf Systemebene unter anderem auf Port-Scans, SSH-Probing und andere Vorläufer eines Angriffs.

Damit diese Schutzmechanismen zuverlässig und effizient funktionieren werden die nginx Log-Files für einen Zeitraum von 24 Stunden vorgehalten und anschließend automatisiert gelöscht. Die Log-Files werden also nicht gespeichert, sondern nach 24 Stunden dann verworfen. Die übermittelten Informationen werden – entsprechend der Gesetzesintention -, also nur zum Zweck der Aufrechterhaltung meiner Webservices verwendet.

Zu Analyse-, Werbezwecken oder Ähnlichem werden die Informationen grundsätzlich nicht verwendet.