Was kann man mit einer IP-Adresse machen? Was sie verrät und was die DSGVO verlangt

Jede Website, jede App und jeder Spieleserver, mit dem Sie sich verbinden, sieht Ihre öffentliche IP-Adresse – sonst käme keine Antwort an. Die folgenden Abschnitte zeigen, was andere damit anfangen können und was nicht, wann Polizei und Rechteinhaber den Anschlussinhaber ermitteln lassen können und wie Sie sich schützen. Der zweite Teil erklärt Website-Betreibern und Entwicklern, was die DSGVO für IP-Adressen in Server-Logs und bei IP-Lookups verlangt.

Das sieht jede Website von Ihnen

Die Box zeigt, was diese Seite allein aus Ihrer Verbindung ablesen kann, ohne Standortfreigabe und ohne GPS.

• IP-Adresse: die öffentliche Adresse Ihres Anschlusses, Ihres Mobilfunkanbieters oder eines VPN. Doppelpunkte bedeuten IPv6.
• Ort und Koordinaten: eine Schätzung, oft die nächste größere Stadt oder ein Standort Ihres Providers, nicht Ihre Wohnung.
• Provider: das Unternehmen, dem der Adressbereich zugeteilt ist.
• Zeitzone: folgt aus dem geschätzten Ort.

Die private IP-Adresse Ihrer Geräte im Heimnetz, etwa 192.168.178.20, sehen Websites nicht. Den Unterschied erklärt die Seite über öffentliche und private IP-Adressen.

Was verrät meine IP-Adresse – und was nicht?

Eine IP-Adresse ist eine Netzadresse, kein Personenprofil. Registrys wie das RIPE NCC verzeichnen, wem ein Adressblock zugeteilt ist, Geolocation-Datenbanken schätzen, wo er genutzt wird. Mehr liefert keine Abfrage.

Wie die Ortsangaben entstehen und wie genau sie sind, erklärt die Seite IP-Geolocation. Ihren genauen Standort erfahren Websites nur über die Standortfreigabe im Browser oder in einer App.

Was kann jemand mit Ihrer IP-Adresse machen?

Ihre IP-Adresse ist kein Geheimnis. Websites, Apps und Spieleserver sehen sie, in manchen Online-Spielen und in Tauschbörsen auch andere Teilnehmer.

Das ist möglich

• Ort und Provider nachschlagen: Jeder kann zu einer Adresse Land, ungefähre Region und Provider abfragen, zum Beispiel mit dem Tool IP-Adresse orten.
• Sie wiedererkennen: Zusammen mit Cookies und Logins hilft die Adresse, Besuche derselben Person zuzuordnen.
• Sie sperren: Spiele und Foren sperren einzelne Adressen. Weil Provider Adressen neu vergeben, trifft eine Sperre manchmal den nächsten Nutzer.
• Ihren Anschluss überlasten: Ein DoS-Angriff flutet Ihre Adresse mit Daten, bis die Verbindung zusammenbricht. Zugang zu Ihren Geräten verschafft das nicht. Solche Angriffe können als Computersabotage strafbar sein (§ 303b StGB).
• Nach offenen Diensten suchen: Scanner prüfen laufend große Teile des Internets auf erreichbare Dienste, auch ohne Ihre Adresse zu kennen. Gefährlich wird das für Geräte, die Verbindungen von außen annehmen und eine Sicherheitslücke oder ein schwaches Passwort haben.

Das geht nicht: Wohnort, Name, Zugriff auf Geräte

• Ihren Wohnort finden: Eine Abfrage endet beim Gebiet. Den Kunden hinter einer Adresse kennt nur der Provider.
• Name oder Telefonnummer ermitteln: Diese Angaben stehen weder in Registry- noch in Geolocation-Daten.
• In Ihre Geräte eindringen: Die Firewall Ihres Routers blockiert in der Regel Verbindungen von außen. Ein Angreifer braucht ein erreichbares, verwundbares Gerät oder einen schädlichen Link, den Sie öffnen.

Betrugsmasche: „Ihre IP-Adresse wurde gespeichert“

Behauptet eine E-Mail, ein Brief oder ein Anruf, Ihre IP-Adresse sei bei einer Straftat oder einem illegalen Download erfasst worden, und verlangt Geld, ist Misstrauen angebracht. Das Bundeskriminalamt warnt auf seiner Website vor gefälschten Briefen in seinem Namen und vor Betrügern, die sich als BKA-Beamte ausgeben. So reagieren Sie:

1. Zahlen Sie nichts.
2. Öffnen Sie keine Links und Anhänge aus der Nachricht.
3. Fragen Sie im Zweifel unter einer selbst herausgesuchten Nummer bei der Polizei nach.
4. Lassen Sie eine echt wirkende Abmahnung vor dem Zahlen prüfen, etwa bei einer Verbraucherzentrale.

Wer kann herausfinden, wem eine IP-Adresse gehört?

Die Zuordnung von Adresse und Anschluss kennt nur der Provider. Herausgeben darf er sie nur auf gesetzlicher Grundlage und nur, solange er sie noch gespeichert hat.

IP-Adresse herausfinden: Polizei und Bestandsdatenauskunft

Im Strafverfahren können Polizei und Staatsanwaltschaft beim Provider erfragen, welchem Anschluss eine IP-Adresse zu einem bestimmten Zeitpunkt zugeteilt war (§ 100j Abs. 2 StPO). Der Provider darf dafür seine Verkehrsdaten auswerten (§ 174 Abs. 1 TKG) und nennt die Bestandsdaten des Anschlussinhabers, darunter Name und Anschrift. Die Betroffenen werden benachrichtigt, sobald das die Ermittlungen nicht mehr gefährdet (§ 100j Abs. 4 StPO).

Nötig sind die IP-Adresse und die sekundengenaue Uhrzeit mit Zeitzone, bei geteilten IPv4-Adressen (CGNAT, DS-Lite) auch die Portnummer. Die Spur endet beim Anschlussinhaber, nicht unbedingt bei der Person, die den Anschluss genutzt hat. Bei einem VPN führt sie zuerst zu dessen Betreiber.

Rechteinhaber: Auskunft nach § 101 UrhG

In Tauschbörsen sehen die Teilnehmer gegenseitig ihre IP-Adressen. Bei einer offensichtlichen Urheberrechtsverletzung können Rechteinhaber vom Provider Auskunft verlangen, wer hinter einer Adresse stand (§ 101 Abs. 2 UrhG). Weil der Provider dafür Verkehrsdaten verwenden muss, braucht es vorher eine richterliche Anordnung des zuständigen Landgerichts (§ 101 Abs. 9 UrhG). Erst damit kennen Rechteinhaber den Anschlussinhaber, den sie abmahnen.

Vorratsdatenspeicherung: was Provider speichern, was geplant ist

Eine Pflicht, IP-Adressen auf Vorrat zu speichern, gilt in Deutschland derzeit nicht. Die frühere Vorratsdatenspeicherung im Telekommunikationsgesetz darf seit einem Urteil des Bundesverwaltungsgerichts von 2023 nicht mehr angewendet werden, nachdem der EuGH 2022 Regeln dieser Art für unvereinbar mit EU-Recht erklärt hatte. Provider speichern die Zuordnung deshalb nur für eigene Zwecke, laut Bundesregierung „wenn überhaupt – nur wenige Tage“.

Nach dem Gesetzentwurf der Bundesregierung (Bundestagsdrucksache 21/6581) müssten Internetprovider drei Monate lang speichern, welche öffentliche IP-Adresse sie welchem Anschluss zugeteilt haben, samt Portnummern und sekundengenauer Zeit. Inhalte und genutzte Dienste sind ausgenommen, verwenden dürften die Provider die Daten nur für Auskünfte an Behörden. Die Regierung stützt sich auf ein EuGH-Urteil von 2024 (C-470/21): Danach ist eine allgemeine Speicherung von IP-Adressen möglich, wenn sie keine genauen Schlüsse auf das Privatleben zulässt.

Stand Ende Oktober 2026: Erste Lesung im Bundestag am 24. Juni 2026, Anhörung im Rechtsausschuss am 7. Oktober 2026, noch keine Abstimmung. Die Speicherpflicht würde spätestens sechs Monate nach Inkrafttreten gelten. Den Verlauf beschreibt der Bundestag in seinem Bericht zur Anhörung.

So schützen Sie Ihre IP-Adresse und Ihr Heimnetz

Verstecken müssen Sie Ihre IP-Adresse im Alltag nicht. Wichtiger ist, was Ihr Router nach außen öffnet.

Router absichern

1. Öffnen Sie die Oberfläche Ihres Routers im Browser. Die Adresse finden Sie mit der Anleitung Router-IP-Adresse finden.
2. Installieren Sie verfügbare Updates, bei der FRITZ!Box unter System > Update. Bekommt Ihr Router keine Updates mehr, ersetzen Sie ihn.
3. Öffnen Sie die Liste der Portfreigaben, bei der FRITZ!Box unter Internet > Freigaben.
4. Löschen Sie jede Freigabe, die Sie nicht mehr brauchen. Jede Freigabe macht ein Gerät aus dem Internet erreichbar.
5. Schalten Sie den Zugriff aus dem Internet auf die Router-Oberfläche ab, wenn Sie ihn nicht nutzen.
6. Erlauben Sie Geräten nur dann, selbst Freigaben anzulegen (UPnP), wenn eine Anwendung das braucht.

Wenn jemand droht oder angreift

1. Sichern Sie Nachrichten mit Benutzernamen, Datum und Uhrzeit.
2. Melden Sie die Person der Plattform oder dem Spielebetreiber.
3. Trennen Sie die Internetverbindung des Routers und stellen Sie sie wieder her. Bei einer dynamischen IP-Adresse erhalten Sie so oft eine neue Adresse.
4. Bitten Sie Ihren Provider um eine neue Adresse, wenn die Angriffe weitergehen.
5. Erstatten Sie Anzeige bei der Polizei. Bei akuter Gefahr wählen Sie 110.

IP-Adresse verbergen

Ein VPN oder ein Relay-Dienst, wie ihn manche Betriebssysteme und Browser anbieten, leitet Ihren Datenverkehr über eigene Server. Websites sehen dann dessen Adresse statt Ihrer. Dafür vertrauen Sie diesem Dienst an, was sonst Ihr Provider sieht.

Mit IPv6 nutzen viele Geräte zusätzlich temporäre Adressen (Privacy Extensions), die regelmäßig wechseln. Das Präfix Ihres Anschlusses bleibt dabei gleich. Mehr dazu: IPv6-Adresse und Privacy Extensions.

IP-Adresse und Datenschutz: Pflichten für Website-Betreiber

Ist die IP-Adresse ein personenbezogenes Datum?

In der Regel ja. Personenbezogen sind nach Art. 4 Nr. 1 DSGVO alle Informationen über eine identifizierte oder identifizierbare Person, auch über eine Online-Kennung. Erwägungsgrund 30 der Datenschutz-Grundverordnung nennt IP-Adressen ausdrücklich als solche Kennungen.

Für dynamische IP-Adressen hat der Europäische Gerichtshof 2016 entschieden (Urteil vom 19. Oktober 2016, C-582/14, „Breyer“): Sie sind für einen Website-Betreiber personenbezogen, wenn er rechtliche Mittel hat, den Nutzer mithilfe der Zusatzinformationen des Providers bestimmen zu lassen. Solche Mittel gibt es nach Einschätzung des Gerichts in Deutschland, etwa über die zuständige Behörde nach einem Cyberangriff. Die Kernaussagen stehen in der Pressemitteilung des EuGH zum Urteil Breyer. Behandeln Sie die IP-Adressen Ihrer Besucher deshalb als personenbezogene Daten.

Rechtsgrundlage: meist das berechtigte Interesse

Wer IP-Adressen speichert oder auswertet, braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Für Server-Logs, Angriffsabwehr und Betrugsprüfung kommt vor allem das berechtigte Interesse in Betracht (Art. 6 Abs. 1 Unterabs. 1 lit. f): Die Verarbeitung muss erforderlich sein, und die Interessen der Besucher dürfen nicht überwiegen.

Als Beispiele nennt die DSGVO die Verhinderung von Betrug (Erwägungsgrund 47) und die Netz- und Informationssicherheit (Erwägungsgrund 49), jeweils nur im unbedingt nötigen Umfang. Auch der EuGH hat im Fall Breyer anerkannt, dass ein Betreiber ein berechtigtes Interesse daran haben kann, die Funktionsfähigkeit seiner Website über die konkrete Nutzung hinaus zu gewährleisten. Behörden können sich bei ihren Aufgaben nicht darauf stützen (Art. 6 Abs. 1 Unterabs. 2).

Server-Logfiles: Wie lange dürfen IP-Adressen gespeichert werden?

Eine feste Frist nennt die DSGVO nicht. Personenbezogene Daten dürfen nur so lange identifizierbar gespeichert werden, wie es für ihren Zweck erforderlich ist (Speicherbegrenzung, Art. 5 Abs. 1 lit. e), und nur im nötigen Umfang (Datenminimierung, lit. c). Für Server-Logs heißt das:

• Legen Sie den Zweck fest, etwa Angriffe erkennen und Fehler analysieren.
• Bestimmen Sie eine dazu passende Frist und halten Sie die Begründung fest.
• Löschen oder kürzen Sie die Adressen danach automatisch, etwa bei der Log-Rotation.
• Nennen Sie die Frist in der Datenschutzerklärung.

Die geplante dreimonatige Speicherpflicht betrifft nur Internetprovider, nicht Websites.

IP-Adresse anonymisieren: kürzen statt speichern

Für Statistiken brauchen Sie keine vollständigen Adressen. Setzen Sie den hinteren Teil auf null:

• IPv4: Aus 203.0.113.42 wird 203.0.113.0. Übrig bleibt ein Bereich von 256 Adressen.
• IPv6: Behalten Sie höchstens die ersten 48 Bit, also drei Blöcke. Aus 2001:db8:85a3:4f2c::1a wird 2001:db8:85a3::.

Bei IPv6 reicht es nicht, nur die hinteren 64 Bit zu entfernen. Die Empfehlung RIPE-690 sieht vor, dass Provider Privatkunden ein /56 oder ein /48 zuteilen; ein /64 ist ein einzelnes Netz beim Kunden. Selbst auf 48 Bit gekürzt, kann eine Adresse deshalb noch zu genau einem Anschluss gehören.

Für anonyme Daten gelten die Grundsätze des Datenschutzes nicht. Anonym sind Daten aber erst, wenn sich die Person mit Mitteln, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, nicht mehr identifizieren lässt; dabei zählen Kosten, Zeitaufwand und verfügbare Technik (Erwägungsgrund 26). Pseudonymisierte Daten bleiben personenbezogen. Ein einfacher Hashwert der Adresse genügt deshalb nicht, denn alle rund 4,3 Milliarden IPv4-Adressen lassen sich durchrechnen.

So kürzen Sie Adressen in Python vor dem Speichern:

import ipaddress

def ip_kuerzen(ip: str) -> str:
    """IPv4: letzte 8 Bit auf 0 setzen, IPv6: alles nach den ersten 48 Bit."""
    adresse = ipaddress.ip_address(ip)
    praefix = 24 if adresse.version == 4 else 48
    netz = ipaddress.ip_network(f"{adresse}/{praefix}", strict=False)
    return str(netz.network_address)

print(ip_kuerzen("203.0.113.42"))            # 203.0.113.0
print(ip_kuerzen("2001:db8:85a3:4f2c::1a"))  # 2001:db8:85a3::

Externe Dienste und IP-Lookup-APIs

Lädt eine Seite Schriftarten, Skripte, Videos oder Karten von einem fremden Server, erhält dieser die IP-Adresse des Besuchers. Das Landgericht München I sprach einem Besucher deshalb 100 Euro Schadensersatz zu: Eine Website hatte Google Fonts von Google-Servern geladen und so seine IP-Adresse ohne Einwilligung an Google übermittelt (Urteil vom 20. Januar 2022, 3 O 17493/20). Ein berechtigtes Interesse sah das Gericht nicht, weil sich die Schriften auch ohne Verbindung zu Google-Servern nutzen lassen. Binden Sie solche Dateien deshalb möglichst vom eigenen Server ein.

Für IP-Lookups gilt dasselbe: Wer die Adresse eines Besuchers an einen Geolocation-Dienst schickt, gibt ein personenbezogenes Datum weiter. Prüfen Sie vorher:

• ob der Anbieter die Daten in Ihrem Auftrag verarbeitet. Dann brauchen Sie einen Vertrag zur Auftragsverarbeitung (Art. 28 Abs. 3 DSGVO) mit einem Anbieter, der hinreichende Garantien bietet (Art. 28 Abs. 1).
• wo der Anbieter die Daten verarbeitet. Eine Übermittlung in ein Drittland gehört in die Datenschutzerklärung.
• was der Anbieter protokolliert und wie lange.

Was in die Datenschutzerklärung gehört

Nach Art. 13 DSGVO informieren Sie Besucher, wenn Sie Daten bei ihnen erheben. Zu IP-Adressen gehören vor allem:

• Zwecke und Rechtsgrundlage, etwa die Sicherheit der Website (Abs. 1 lit. c)
• das berechtigte Interesse, auf das Sie sich stützen (Abs. 1 lit. d)
• Empfänger wie Hoster, CDN oder Geolocation-Dienst (Abs. 1 lit. e)
• Übermittlungen in Drittländer und ihre Grundlage (Abs. 1 lit. f)
• die Speicherdauer oder die Kriterien dafür (Abs. 2 lit. a)

Cookies und TDDDG: wann zusätzlich eine Einwilligung nötig ist

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, früher TTDSG) regelt in § 25 einen anderen Vorgang: das Speichern von Informationen auf dem Endgerät und den Zugriff darauf, etwa durch Cookies. Das ist nur mit Einwilligung erlaubt, außer es dient allein der Übertragung einer Nachricht oder ist für einen vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich. Liest ein Skript aktiv Eigenschaften des Geräts aus, etwa für einen Browser-Fingerabdruck, werten die Aufsichtsbehörden auch das als Zugriff. Wer IP-Adressen zusammen mit solchen Techniken verarbeitet, muss deshalb neben der DSGVO auch § 25 TDDDG beachten.

Für Entwickler: IP-Lookups datensparsam umsetzen

Eine IP-Lookup-API erhält mit jeder Anfrage die abgefragte Adresse, die IP-Adresse Ihres Servers und Ihren API-Schlüssel. Sie liefert Daten zum Adressbereich wie Land, Region, Stadt, Provider und Zeitzone, je nach Tarif auch Netzwerk- und Sicherheitsangaben, aber keine Namen oder Anschriften von Anschlussinhabern. So bleibt die Verarbeitung klein:

1. Fragen Sie die API nur aus Ihrem Backend ab. Der API-Schlüssel gehört nicht in Browser-Code.
2. Senden Sie den Schlüssel im Header apikey statt in der URL, denn URLs landen in Logs.
3. Fordern Sie mit dem Parameter fields nur die nötigen Felder an, etwa das Land.
4. Speichern Sie das Ergebnis statt der Adresse, oder nur die gekürzte Adresse.

Nur den Ländercode abfragen, mit der Beispieladresse aus der API-Dokumentation:

curl -H "apikey: $IPLOOKUPAPI_KEY" \
  "https://api.iplookupapi.com/v1/info?ip=80.110.0.1&fields=location.country.alpha2"

Die Antwort, gekürzt:

{
  "data": {
    "location": {
      "country": { "alpha2": "AT" }
    }
  }
}

Für Länderstatistiken genügt oft eine gekürzte Adresse, weil Geolocation-Daten ganzen Adressbereichen zugeordnet sind (so funktioniert IP-Geolocation). Die IP-Lookup-API liefert diese Daten für IPv4 und IPv6, im kostenlosen Tarif für 150 Abfragen pro Monat.

Bei iplookupapi beantworten eigene Server in Deutschland die Abfragen. Anfragen mit API-Schlüssel werden mit der Anfrage-URL protokolliert, die die abgefragte Adresse enthalten kann, um sie Ihrem Tarif zuzuordnen und Missbrauch zu verhindern; nach 90 Tagen löscht das Protokoll Anfrage-URL, Absender-IP und User-Agent. Einzelheiten nennen die Datenschutzerklärung und das Trust Center (beide auf Englisch).