Server-Logfiles wirken auf den ersten Blick wie reine Technik: IP-Adresse, Zeitpunkt, angefragte Datei, Statuscode, Browser-Informationen. Für Website-Betreiber sind sie aber mehr als ein Diagnosewerkzeug. Sie helfen, Angriffe zu erkennen, Fehler zu finden, Ausfälle nachzuvollziehen und WordPress-Installationen stabil zu halten. Gleichzeitig enthalten sie regelmäßig personenbezogene Daten und gehören deshalb in die Datenschutzprüfung jeder Website.

Gerade kleinere Unternehmen unterschätzen diesen Punkt. Cookie-Banner, Analytics und Kontaktformulare werden oft geprüft, während Webserver-Logs beim Hoster, in Sicherheitsplugins oder in Monitoring-Systemen einfach mitlaufen. Das ist riskant, weil Logfiles häufig vollständige IP-Adressen, User-Agent-Informationen und konkrete Seitenaufrufe enthalten. Wer Logdaten speichert, braucht einen Zweck, eine nachvollziehbare Rechtsgrundlage, passende Speicherfristen und eine transparente Information in der Datenschutzerklärung.

Warum Server-Logfiles personenbezogene Daten enthalten können

Der BfDI beschreibt LogFile-Daten als Daten, die beim Aufruf digitaler Dienste typischerweise von Webservern und vorgeschalteten Systemen wie Firewalls gespeichert werden. Dazu gehören eindeutige Identifikatoren zur Endeinrichtung. Unter bestimmten Umständen können diese einer Person zugeordnet werden. Der BfDI verweist dabei auch auf die Rechtsprechung des Europäischen Gerichtshofs zu dynamischen IP-Adressen.

Für die Praxis bedeutet das: Eine IP-Adresse sollte nicht als belangloser technischer Wert behandelt werden. Auch wenn ein Website-Betreiber die Person hinter einer IP-Adresse nicht ohne Weiteres kennt, kann der Personenbezug rechtlich relevant sein. Hinzu kommen weitere Merkmale wie User-Agent, Referrer, angefragte URL, Zeitpunkt, Login-Versuche oder Formularaufrufe. In Kombination können diese Informationen ein sehr genaues Bild eines Websitebesuchs ergeben.

Das heißt nicht, dass Server-Logs verboten wären. Es heißt aber, dass sie wie andere personenbezogene Daten organisiert werden müssen. Die DSGVO verlangt unter anderem Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität und Vertraulichkeit. Logfiles sollten daher nicht nach dem Motto „alles speichern, vielleicht brauchen wir es irgendwann“ behandelt werden.

Bereitstellung, Sicherheit oder Analyse: Der Zweck entscheidet

Eine saubere Prüfung beginnt mit der Frage, warum Logdaten überhaupt gespeichert werden. Für die technische Bereitstellung einer Website fallen bestimmte Daten zwangsläufig an: Ohne IP-Adresse kann der Server keine Antwort an das Endgerät senden. Kurzfristige Protokollierung kann außerdem erforderlich sein, um Fehlfunktionen, Überlastung oder Sicherheitsereignisse zu erkennen.

Anders sieht es aus, wenn Logfiles für Reichweitenmessung, Profilbildung, Nutzeranalyse oder Marketing-Auswertungen verwendet werden. Dann ist der Zweck nicht mehr nur Betrieb und Sicherheit, sondern Analyse. Die BfDI-Hinweise zu Matomo zeigen, wie genau hier differenziert werden muss: Auch Logdateien können im Kontext von Analysewerkzeugen personenbezogene Daten betreffen, und Maskierung oder Hashing führt nicht automatisch zu echter Anonymisierung.

Website-Betreiber sollten deshalb mindestens drei Zwecke unterscheiden: Erstens technische Bereitstellung, zweitens IT-Sicherheit und Missbrauchserkennung, drittens Statistik oder Marketinganalyse. Für jeden Zweck braucht es eine eigene Bewertung. Was für Security-Logs plausibel sein kann, ist für dauerhafte Besucherauswertung nicht automatisch erlaubt.

Was TDDDG und DSGVO dabei jeweils regeln

Das TDDDG regelt in § 25 den Schutz der Privatsphäre bei Endeinrichtungen. Es geht also um die Speicherung von Informationen auf dem Gerät der Nutzerinnen und Nutzer oder den Zugriff auf dort gespeicherte Informationen. Die DSK-Orientierungshilfe für Anbieter:innen digitaler Dienste erläutert diese Abgrenzung zwischen TDDDG und DSGVO ausführlich.

Beim normalen Seitenaufruf sendet der Browser zwangsläufig technische Informationen an den Webserver. Die BfDI-Matomo-Hinweise ordnen die Übertragung solcher Informationen im Regelfall als Zugriff im Sinne des TDDDG ein, sehen für die bloße technische Bereitstellung der Website aber die Ausnahme für unbedingt erforderliche Vorgänge. Sobald zusätzliche Technologien eingesetzt werden, etwa Tracking-Cookies, Fingerprinting oder nicht notwendige Analyse-Skripte, wird die Lage strenger.

Die anschließende Verarbeitung personenbezogener Daten richtet sich nach der DSGVO. Private Website-Betreiber prüfen häufig berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO, etwa für Sicherheit, Fehleranalyse und Abwehr von Angriffen. Das muss aber konkret begründet und abgewogen werden. Für Bundesbehörden gelten teilweise andere Rechtsgrundlagen, weshalb behördliche Beispiele nicht eins zu eins auf Unternehmen übertragen werden sollten.

Welche Logdaten wirklich gebraucht werden

Eine gute Logfile-Konfiguration beginnt mit Datenminimierung. Prüfen Sie, welche Felder Ihr Hosting, Ihr Webserver, Ihr CDN, Ihre Firewall und Ihre WordPress-Sicherheitsplugins speichern. Typische Felder sind IP-Adresse, Datum und Uhrzeit, Request-Zeile, Statuscode, übertragene Datenmenge, Referrer und User-Agent. Nicht jedes Feld ist für jeden Zweck notwendig.

Für Sicherheitszwecke können vollständige IP-Adressen kurzzeitig relevant sein, etwa um Brute-Force-Angriffe, DDoS-Muster oder wiederholte Schwachstellen-Scans zu erkennen. Für langfristige Statistik sind vollständige IP-Adressen dagegen meist schwer zu rechtfertigen. Wer nur Fehlerraten, beliebte Seiten oder technische Probleme auswerten will, sollte prüfen, ob gekürzte, aggregierte oder früh anonymisierte Daten genügen.

Besonders sensibel sind URLs mit Parametern. Wenn Suchbegriffe, Kundennummern, Session-IDs, Bestellnummern oder E-Mail-Adressen in URLs landen, können sie ungewollt in Server-Logs gespeichert werden. Das ist nicht nur ein Datenschutzproblem, sondern auch ein Sicherheitsproblem. Formulare und interne Links sollten daher so gestaltet sein, dass personenbezogene Daten nicht unnötig in GET-Parametern auftauchen.

Speicherfristen: Kurz genug, aber realistisch

Die DSGVO nennt keine pauschale Logfile-Frist für jede Website. Genau deshalb müssen Betreiber selbst festlegen, wie lange sie Daten für den jeweiligen Zweck benötigen. Für reine Betriebs- und Fehleranalyse reichen oft sehr kurze Fristen. Für Sicherheitslogs können längere Zeiträume sinnvoll sein, wenn Angriffe erst verzögert erkannt oder untersucht werden. Entscheidend ist, dass die Frist begründet, dokumentiert und technisch umgesetzt wird.

Ein pragmatisches Modell kann so aussehen: Rohlogs mit vollständigen IP-Adressen werden nur kurz gespeichert. Sicherheitsrelevante Ereignisse werden getrennt und mit enger Zugriffsbeschränkung aufbewahrt. Für langfristige Auswertungen werden Daten früh aggregiert oder anonymisiert. Alte Logs werden automatisch gelöscht, nicht manuell „irgendwann“ aufgeräumt.

Für WordPress-Betreiber lohnt sich zusätzlich ein Blick in Sicherheits-, Backup- und Performance-Plugins. Manche Tools speichern Login-Versuche, 404-Aufrufe, gesperrte IPs oder Debug-Informationen deutlich länger als der Hoster. Wer nur die Webserver-Logs prüft, aber Plugin-Logs vergisst, sieht nur die halbe Wahrheit.

Hosting, CDN und Auftragsverarbeitung nicht vergessen

Viele Logdaten liegen nicht direkt beim Website-Betreiber, sondern beim Hoster, CDN, Managed-WordPress-Anbieter, Firewall-Dienst oder Monitoring-Tool. Dann stellt sich die Frage, wer welche Daten in welcher Rolle verarbeitet. Bei Dienstleistern, die personenbezogene Daten im Auftrag verarbeiten, braucht es in der Regel einen Vertrag zur Auftragsverarbeitung. Außerdem sollte klar sein, wo die Daten gespeichert werden und wer Zugriff hat.

Gerade CDNs und Security-Dienste können umfangreiche Daten über Zugriffe, IP-Adressen, Bot-Erkennung und Angriffsverhalten sammeln. Das kann aus Sicherheitsgründen sinnvoll sein, muss aber zur Datenschutzerklärung, zur Anbieterprüfung und zur eigenen Risikobewertung passen. Prüfen Sie deshalb nicht nur Ihr WordPress-Backend, sondern auch Hosting-Control-Panel, CDN-Dashboard, Firewall-Reports und externe Monitoring-Dienste.

Was in die Datenschutzerklärung gehört

Besucherinnen und Besucher müssen nachvollziehen können, welche Daten beim Websitebesuch verarbeitet werden. Die Datenschutzerklärung sollte daher nicht nur Kontaktformular, Newsletter und Cookies erwähnen, sondern auch Server-Logfiles. Typische Angaben sind: welche Datenkategorien gespeichert werden, zu welchen Zwecken dies geschieht, welche Rechtsgrundlage herangezogen wird, wie lange die Daten gespeichert werden, wer Empfänger oder Dienstleister ist und welche Rechte Betroffene haben.

Die Informationen sollten konkret genug sein, um wirklich zu helfen. Eine pauschale Formulierung wie „Wir speichern technische Daten“ ist schwach. Besser ist eine klare Beschreibung, die zur tatsächlichen Konfiguration passt. Wenn Sie beispielsweise IP-Adressen nach wenigen Tagen löschen oder kürzen, sollte auch das stimmen. Wenn ein CDN oder Sicherheitsdienst beteiligt ist, gehört dieser Zusammenhang in die Prüfung.

Wer seine Datenschutzerklärung regelmäßig mit einem Generator oder juristischer Unterstützung aktualisiert, sollte Logfiles als eigenen Prüfschritt behandeln. Gerade nach Hostingwechseln, neuen Security-Plugins oder CDN-Einbindungen ändern sich Datenflüsse oft, ohne dass es im Frontend auffällt.

Praktische Prüfliste für Website-Betreiber

Beginnen Sie mit einer einfachen Inventur. Fragen Sie Ihren Hoster, welche Server-Logs gespeichert werden und wie lange. Prüfen Sie WordPress-Plugins auf eigene Protokolle. Kontrollieren Sie CDN, Firewall, Backup- und Monitoring-Dienste. Notieren Sie pro Quelle Zweck, Datenfelder, Speicherfrist, Zugriffskreis und Löschmechanismus.

Danach räumen Sie auf: Deaktivieren Sie unnötige Debug-Logs, vermeiden Sie personenbezogene Daten in URLs, begrenzen Sie Zugriff auf Logdateien, setzen Sie automatische Löschung um und trennen Sie Security-Logs von Analysezwecken. Wenn Sie Logdaten für Statistik verwenden, prüfen Sie, ob eine datenschutzfreundlichere Lösung möglich ist. Bei Analyse-Tools kann außerdem ein Consent-Thema entstehen; dazu passt auch unser Beitrag zur Einwilligungsverwaltung nach TDDDG.

Für eine breitere Website-Prüfung lohnt sich außerdem der DSGVO-Website-Check. Logfiles sind dabei ein guter Testfall: Sie zeigen schnell, ob Datenschutz, IT-Sicherheit und tatsächlicher Betrieb sauber zusammengedacht werden.

Fazit: Logfiles bewusst konfigurieren, nicht einfach mitlaufen lassen

Server-Logfiles sind für sichere und stabile Websites wichtig. Sie sind aber kein rechtsfreier Technikbereich. IP-Adressen, Zeitpunkte, URLs und Browserdaten können personenbezogene Daten sein und müssen daher zweckgebunden, sparsam, geschützt und zeitlich begrenzt verarbeitet werden.

Für KMU und WordPress-Betreiber ist der beste nächste Schritt eine nüchterne Bestandsaufnahme: Welche Logs gibt es, warum gibt es sie, wie lange bleiben sie erhalten und wer kann sie sehen? Wenn diese Fragen beantwortet sind, lassen sich Datenschutzerklärung, Hosting-Verträge, Security-Konfiguration und Analytics deutlich sauberer steuern. Genau hier wird Datenschutz praktisch: nicht als Formulartext, sondern als kontrollierter Website-Betrieb.

Quellen und weiterführende Informationen