Das IPv6-Präfix als Hausnummer: warum Privacy Extensions nur die halbe Miete sind

IPv6 ist in deutschen Festnetzen breit ausgerollt. Privatkunden bekommen typischerweise ein delegiertes /56, aus dem der Router je ein /64 pro Netz bildet; je nach Anbieter und Anschlussart sind auch ein einzelnes /64 oder ein /48 üblich. Jedes Gerät im Haushalt erhält damit eine weltweit routbare Adresse, ohne NAT davor. Der vordere Teil dieser Adresse ist bei allen Geräten im Haushalt gleich.

Das ist der eigentliche Punkt für die Privatsphäre: Das Präfix identifiziert den Anschluss, nicht das einzelne Gerät. Es wirkt geräteübergreifend, browserübergreifend und ohne jeden Cookie. Privacy Extensions ändern daran nichts, denn sie rotieren nur die hinteren 64 Bit.

Wie eine IPv6-Adresse aufgebaut ist

• 128 Bit, geteilt in Netzanteil (meist die vorderen 64 Bit) und Interface-Identifier (die hinteren 64 Bit). Der Netzanteil kommt vom Provider, der Rest vom Gerät.
• EUI-64: Der Identifier wird aus der MAC-Adresse gebildet, erkennbar an ff:fe in der Mitte. Diese Adresse bleibt über Netze hinweg gleich und macht das Gerät wiedererkennbar. Bei Druckern, NAS, Kameras und älteren eingebetteten Geräten noch verbreitet.
• Temporäre Adressen (RFC 8981, früher RFC 4941): zufällig gewählt, werden regelmäßig erneuert und zum Senden bevorzugt. Auf aktuellen Desktop- und Mobilsystemen der Normalfall.
• Stabile, nicht MAC-basierte Adressen (RFC 7217): pro Netz konstant, in jedem anderen Netz anders. Dazu kommen manuell gesetzte Adressen wie ::100, die dauerhaft wiedererkennbar sind.

Prüfen, was deine Geräte senden

1. 1Windows: ipconfig /all ausführen. Es muss eine Zeile mit einer temporären IPv6-Adresse geben; ab Werk ist die Funktion in der Regel aktiv. Den Status zeigt netsh interface ipv6 show privacy.
2. 2macOS: ifconfig en0 aufrufen und auf Adressen mit den Merkmalen temporary und secured achten.
3. 3Linux: ip -6 addr show aufrufen und die Flags temporary und mngtmpaddr prüfen.
4. 4Bei jeder gefundenen Adresse den Identifier auf ff:fe in der Mitte prüfen. Trifft das zu, steckt die MAC-Adresse in der IPv6-Adresse. Danach die Geräteliste des Routers durchgehen: Drucker, Fernseher, Kameras und Smart-Home-Geräte sind die typischen Fundstellen.

Wie oft wechselt das Präfix?

Das hängt von Anbieter, Tarif und Anschlussart ab. Manche Anbieter vergeben bei jeder Neuverbindung ein anderes Präfix, andere halten es über lange Zeiträume stabil, und es gibt Anschlüsse mit fest gebuchtem Präfix. Statt Annahmen hilft eine Messung am eigenen Anschluss.

1. 1Aktuelles Präfix auf der IPv6-Statusseite des Routers ablesen und mit Datum notieren.
2. 2Die Internetverbindung trennen und neu aufbauen, notfalls den Router neu starten. Danach das Präfix erneut ablesen und vergleichen.
3. 3Den Vergleich nach einigen Tagen wiederholen. Bleibt das Präfix über Wochen identisch, ist der Anschluss über alle Geräte hinweg dauerhaft wiedererkennbar.

Was ein Tunnel ändert und was nicht

Läuft der Verkehr durch einen Tunnel, sehen Gegenstellen die Adresse des Ausgangspunkts statt des Anschlusspräfixes, und alle Geräte im Haushalt teilen sich diese eine Adresse. Zwei Lücken bleiben. Erstens: Transportiert der Tunnel kein IPv6, ist das Ziel aber per AAAA erreichbar, bevorzugt das Betriebssystem nach RFC 6724 den IPv6-Weg, und die Anfrage geht mit dem echten Präfix am Tunnel vorbei. Zweitens: Ein weiterhin genutzter Resolver des Providers sieht die Namensauflösung unabhängig davon, wohin der übrige Verkehr läuft. Beides lässt sich mit dem Leak-Test in einem Durchgang prüfen. Zum Zusammenspiel von IPv4-Tunnel und nativem IPv6 siehe DS-Lite, CGNAT und Dual Stack.

Rechtlicher Rahmen und was er nicht leistet

Der Europäische Gerichtshof hat 2016 im Verfahren Breyer (C-582/14) entschieden, dass eine dynamische IP-Adresse für den Betreiber einer Webseite ein personenbezogenes Datum sein kann, wenn er über rechtliche Mittel verfügt, die Person mithilfe Dritter bestimmen zu lassen. Die Verarbeitung braucht damit eine Rechtsgrundlage nach DSGVO. Die vertraute Einwilligungsmechanik der Cookie-Banner greift hier aber nicht: § 25 TDDDG (bis 2024 TTDSG) knüpft an das Speichern und Auslesen von Informationen auf dem Endgerät an, und eine Adresse, die das Gerät ohnehin in jedem Paketkopf mitsendet, wird dort nicht gespeichert. Rechtliche Regeln sind kein technischer Schutz. In fremden Netzen verschiebt sich die Sichtbarkeit noch einmal, wie Captive Portals eingrenzen zeigt.

Häufige Fragen