Nginx
Nginx ist ein quelloffener Hochleistungs Webserver, Reverse Proxy und Load Balancer, ursprünglich von Igor Sysoev entwickelt und heute von F5 Networks gepflegt. Nginx ist einer der am häufigsten eingesetzten Internet Bausteine und treibt über 30 Prozent der öffentlichen Websites. Aus Datenschutzsicht ist Nginx Server Software: es setzt keine Cookies auf dem Client, schreibt aber Zugriffslogs mit IP, URLs, User Agent und Referer, die nach DSGVO personenbezogene Daten sind.
Was macht Nginx?
Was Nginx ist
Nginx ist ein quelloffener Hochleistungs Webserver, Reverse Proxy, Load Balancer, Mailproxy und HTTP Cache. Er wurde 2004 von Igor Sysoev geschrieben, um das C10K Problem zu lösen (zehntausend gleichzeitige Verbindungen auf einem Server), und wird heute von Nginx Inc. gepflegt, einer Tochter von F5 Networks. Nginx betreibt über 30 Prozent der öffentlichen Websites und ist in Container Umgebungen weit verbreitet (der Nginx Ingress Controller ist einer der am häufigsten genutzten Kubernetes Ingresses). Wichtig: Nginx ist Server Software, sie läuft auf der eigenen Infrastruktur des Betreibers und sendet standardmäßig keine Daten an Nginx Inc. oder F5.
Welche Daten erzeugt Nginx?
Nginx setzt selbst keine Client Cookies. Die Cookies, die im Browser des Besuchers erscheinen, stammen von Anwendungsbackends (Express, Django, Rails, PHP) hinter Nginx oder von Drittanbieter Tags im HTML. Was Nginx produziert, sind Zugriffslogs: das Combined Format protokolliert standardmäßig IP, Zeitstempel, HTTP Methode und URI, Statuscode, Anzahl gesendeter Bytes, Referer und User Agent. Diese Logs sind personenbezogene Daten nach DSGVO, da die IP in den meisten Kontexten einer Person zuordenbar ist. Error Logs ergänzen Request Zeilen, die je nach Konfiguration Query String Parameter oder POST Daten und damit personenbezogene Daten enthalten können.
DSGVO und ePrivacy Implikationen
Da Nginx weder Informationen auf dem Endgerät des Besuchers speichert noch von dort liest, greift Art. 5 Abs. 3 ePrivacy Richtlinie (Cookie Einwilligung) auf Nginx selbst nicht. Die Server Logs unterliegen der DSGVO und stützen sich auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f: der Betrieb einer Website umfasst das Recht, Zugriffe für Sicherheit, Betrugsabwehr, Fehlersuche und Laststeuerung zu protokollieren. CNIL und BfDI Leitfäden akzeptieren Aufbewahrungsfristen von 6 bis 12 Monaten für Sicherheits Investigationen, kürzere Fristen werden bevorzugt, längere benötigen dokumentierte Begründung. Wo eine sektorale Pflicht (Telekommunikation, Finanzen, Geldwaeschegesetz) länger fordert, ergänzt Art. 6 Abs. 1 lit. c.
Praktische Compliance Konfiguration
Nginx so konfigurieren, dass IPs anonymisiert werden, wo der Anwendungsfall es zulässt. Gaengiges Muster: ein eigenes log_format definieren, das das letzte IPv4 Oktett bzw. die letzten 80 IPv6 Bits maskiert, und die access_log Direktive auf nutzerseitigen Servern auf dieses Format setzen, während Admin Endpunkte die volle IP behalten. log_format so anpassen, dass Query Strings auf Routen mit Tokens oder personenbezogenen Daten weggelassen werden. access_log off; für statische Assets, die keinen Audit benötigen. Logs über logrotate mit der dokumentierten Aufbewahrungsfrist drehen. Werden Logs an ein externes SIEM geliefert, muss dieses SIEM im Verarbeitungsverzeichnis stehen und der Transfermechanismus dokumentiert sein.
Datentransfers und Hostingwahl
Nginx selbst transferiert keine Daten. Die Lokalisierung der Infrastruktur entscheidet, welches Transferregime gilt. EU Hosting (OVH, Scaleway, Hetzner, Ionos usw.) hält Nginx Logs in der EU. AWS, Google Cloud und Azure bieten EU Regionen, der Betreiber sollte zudem die CLOUD Act Exposition prüfen, sobald der Cloud Anbieter US Sitz hat. F5 Networks (Nginx Plus, kommerzieller Support) hat eine eigene Datenschutzerklärung mit US Transfermechanismen (SCC, EU US Data Privacy Framework); dies ist nur relevant, wenn kommerzielles Nginx gekauft wird.
Was in die Datenschutzerklärung gehört
Erwähnen, dass ein Webserver (Nginx) Zugriffsdaten für Sicherheit und Betrieb protokolliert, die Datenkategorien (IP, Anforderungs URL, User Agent, Referer), die Rechtsgrundlage (berechtigtes Interesse, ggf. rechtliche Verpflichtung), die Aufbewahrungsfrist und die Empfänger (Hoster, ggf. SIEM, Sicherheitspartner). Nginx muss in der Regel nicht namentlich genannt werden, die Verarbeitung muss aber dokumentiert sein. Nginx erscheint nicht im Cookie Banner, weil es keine Cookies setzt.
Nginx und die DSGVO
- Rechtsgrundlage
- Legitimate interest (GDPR Art. 6(1)(f)) for server access logs, justified by security, fraud prevention, traffic management and abuse detection. Legal obligation (Art. 6(1)(c)) for retention required by telecommunications or anti fraud law where applicable.
- Risikostufe
- low
- Anwendbare Vorschriften
- GDPR, ePrivacy Directive (only for cookies that the operator chooses to set through Nginx configuration, not Nginx itself), German TTDSG, French CNIL guidance on server logs, EDPB guidelines 8/2020 on targeting
Datenschutz-Folgenabschätzung (DSFA)
Nginx selbst benötigt keine DSFA, weil es Server Infrastruktur Software ist. Die Zugriffslogs benötigen jedoch Aufmerksamkeit: (1) das Default Combined Format enthält die vollständige IP, ein personenbezogenes Datum nach DSGVO; (2) die Aufbewahrungsfrist ist auf das für Sicherheit und Betrieb Notwendige zu begrenzen (typisch 30 bis 90 Tage für Sicherheits Investigation, länger nur mit dokumentierter Begründung); (3) IP Anonymisierung kann auf Nginx Ebene konfiguriert werden (eigenes log_format mit Maskierung des letzten Oktetts), wenn Sicherheitsanforderungen es zulassen; (4) Logs können von nachgelagerten Tools (Splunk, Elastic, Datadog) verarbeitet werden, die eigene Datenschutzimplikationen mitbringen; (5) wenn Nginx als Reverse Proxy vor Cookie setzenden Backends läuft, sind diese Cookies eigenständig zu bewerten, nicht als Nginx Cookies. Eine DSFA wird in der Regel für die uebergeordnete Logging und Sicherheitsarchitektur benötigt, nicht für Nginx selbst.
Beispieltext für Ihr Banner
Wir betreiben Nginx als Webserver und Reverse Proxy auf eigener Infrastruktur. Nginx setzt keine Cookies auf Ihrem Gerät. Wie jeder Webserver schreibt es Zugriffslogs mit Ihrer IP Adresse, der angeforderten Seite, dem Browsertyp und der verweisenden Seite. Diese Logs dienen dem Betrieb der Site, der Untersuchung von Sicherheitsvorfaellen und der Erfüllung gesetzlicher Aufbewahrungspflichten. Logs werden [XX] Tage aufbewahrt und anschließend gelöscht oder anonymisiert; Sie haben auf Anfrage ein Auskunftsrecht zu Ihren protokollierten Daten.
Was Nginx setzt und kontaktiert
- Tracking-Methode
- Server side software: Nginx runs on the operator's own infrastructure as a reverse proxy, web server and load balancer. It does not set any client side cookie or pixel by default. It does, however, write access logs that contain the visitor's IP address, requested URL, user agent string, referer header and response status, which qualify as personal data under the GDPR.
- Serverstandort
- Operator controlled. Nginx itself is open source software that runs wherever the operator hosts it (on premises, EU cloud, US cloud). The data location is therefore determined by the operator's hosting choice, not by Nginx.
- Cookieloser Modus verfügbar
- Ja
Häufige Fragen zu Nginx
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.
Setzt Nginx Cookies?
Nein. Nginx selbst setzt oder liest keine Cookies auf dem Endgerät des Besuchers. Die im Browser sichtbaren Cookies stammen von Anwendungsbackends hinter Nginx oder von Drittanbieter Tags im HTML. Konfiguriert der Betreiber Nginx so, dass es Cookies setzt (proxy_set_header, add_header), sind diese eigenständig zu bewerten.
Ist eine Einwilligung für Nginx erforderlich?
Nein. Da Nginx weder Informationen auf dem Endgerät speichert noch von dort liest, greift Art. 5 Abs. 3 ePrivacy Richtlinie (Cookie Einwilligung) auf Nginx nicht. Die Server Logs unterliegen der DSGVO und stützen sich auf berechtigtes Interesse für Sicherheit und Betrieb.
Welche Rechtsgrundlage gilt für Nginx Zugriffslogs?
Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f, gerechtfertigt durch Sicherheit, Betrugsprävention, Fehlersuche und Lastsicherung. Wo ein Sektorgesetz Aufbewahrung verlangt (Telekommunikation, Finanzen, Geldwaeschegesetz), greift Art. 6 Abs. 1 lit. c zusätzlich. Die Aufbewahrungsfrist ist auf das Notwendige zu begrenzen, typisch 30 bis 90 Tage für Sicherheitszwecke.
Findet ein Datentransfer in die USA statt?
Von Nginx aus nicht. Nginx ist Open Source Software, die dort läuft, wo der Betreiber sie hostet. Nutzt er einen US Cloud Anbieter, gilt der Hosting Transfer (zu bewerten für den Cloud Anbieter, nicht für Nginx). F5 Networks vertreibt kommerzielles Nginx; bei Nginx Plus oder kommerziellem Support gelten die F5 Datenschutzerklärung und SCC für dieses Verhältnis.
Brauche ich eine DSFA für Nginx?
Für Nginx allein ist eine DSFA in der Regel nicht erforderlich, da es Server Infrastruktur ist. Sie kann für die uebergeordnete Logging und Sicherheitsarchitektur nötig sein, wenn Logs für Betrugserkennung, Verhaltensanalyse oder Hochrisikoprofiling genutzt oder in Drittlandsysteme exportiert werden. Nginx im Verarbeitungsverzeichnis mit Log Kategorien, Aufbewahrung und Empfängern aufführen.
Wie konfiguriere ich Nginx datenschutzfreundlich?
Eigenes log_format definieren, das IPs anonymisiert (letztes IPv4 Oktett oder die letzten 80 IPv6 Bits maskieren). Query Strings auf Routen mit Tokens weglassen. access_log off; für statische Assets. Logs mit logrotate aggressiv rollen. Request Bodies standardmäßig nicht loggen. error_log Niveau in der Produktion eng halten. Logs nur an SIEMs schicken, die im Verarbeitungsverzeichnis stehen.
Welche Alternativen gibt es zu Nginx?
Weitere Open Source Webserver und Reverse Proxies: Apache HTTP Server, Caddy (automatisches HTTPS, EU freundlich), HAProxy (Load Balancer), Traefik (Cloud Native, EU Herkunft) und Envoy (moderner Proxy). Alle erzeugen ähnliche Zugriffslogs mit denselben DSGVO Erwaegungen. Wichtiger als die Software ist die Hosting und Log Architektur.
Wie aktualisiere ich Cookie oder Datenschutzhinweise?
Nginx gehört nicht auf den Cookie Banner, da es keine Cookies setzt. In der Datenschutzerklärung erwähnen, dass die Website von einem Webserver (Nginx) ausgeliefert wird, der Zugriffsdaten für Sicherheit und Betrieb protokolliert, die Datenkategorien, Rechtsgrundlage, Aufbewahrungsfrist und Empfänger nennen. Nginx muss nicht namentlich benannt werden, sofern keine Transparenz zur Tech Stack erwuenscht ist.
Machen Sie Ihre Website noch heute konform.
Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.