VPN-Verbindungsaufzeichnungen werden 93 Tage lang aufbewahrt: StageVPN-Protokollrichtlinie im Volltext gelesen

Rechtsgrundlage: Welches Gesetz verlangt von mir, Zugriffsaufzeichnungen zu führen?

Das Gesetz, das die Speicherung von Zugangsdaten vorschreibt, ist Artikel 15-2 des Communications Secrets Protection Act und Artikel 41 der Durchsetzungsverordnung desselben Gesetzes. Das Gesetz legt die Mitwirkungspflicht des Telekommunikationsunternehmens fest und delegiert die Aufbewahrungsfrist, und die Vollzugsverordnung legt die Mindestaufbewahrungsfrist für jede Art von Daten fest. Enbase Korea Co., Ltd., die StageVPN betreibt, unterliegt dieser Verpflichtung als Telekommunikationsanbieter in Korea.

„① Telekommunikationsunternehmen müssen bei Anfragen von Staatsanwälten, Kriminalpolizeibeamten oder Leitern von Geheimdiensten und Ermittlungsbehörden kooperieren, um gemäß diesem Gesetz kommunikationseinschränkende Maßnahmen und Kommunikationsbestätigungsdaten bereitzustellen. ② Angelegenheiten, mit denen Telekommunikationsunternehmen bei der Durchführung kommunikationseinschränkender Maßnahmen gemäß den Bestimmungen von Absatz (1) kooperieren müssen, die Speicherdauer von Kommunikationsbestätigungsdaten und andere notwendige Angelegenheiten im Zusammenhang mit der Zusammenarbeit von Telekommunikationsunternehmen werden durch einen Präsidialerlass festgelegt.“

Artikel 15-2 des Communications Secrets Protection Act (Kooperationspflicht von Telekommunikationsunternehmen), Gesetz Nr. 20735, gültig ab 1. August 2025 – Nationales Rechtsinformationszentrum

Artikel 15-2 legt zwei Dinge fest. Erstens müssen Telekommunikationsunternehmen bei Anfragen zur Bereitstellung von Kommunikationsbestätigungsdaten im Einklang mit dem Gesetz kooperieren. Zweitens bleibt es dem Präsidialerlass (Durchsetzungserlass) überlassen, wie lange es aufbewahrt werden muss. Die Vollstreckungsverordnung ist Artikel 41 unten.

„② Die Aufbewahrungsfrist für Kommunikationsbestätigungsdaten eines Telekommunikationsunternehmens gemäß Artikel 15-2 Absatz 2 des Gesetzes ist länger als der Zeitraum gemäß den folgenden Klassifizierungen: 1. Kommunikationsbestätigungsdaten gemäß Artikel 2 Absatz 11 Buchstaben a bis d und f des Gesetzes: 12 Monate. Bei Daten im Zusammenhang mit Fern- und Ortstelefondiensten beträgt sie jedoch 6 Monate. 2. Gemäß Artikel 2, Abs. 11, e und g des Gesetzes Kommunikationsbestätigungsdaten: 3 Monate“

Artikel 41 (Kooperationspflicht der Telekommunikationsunternehmen usw.) Absatz 2 des Durchsetzungsbeschlusses zum Gesetz zum Schutz von Kommunikationsgeheimnissen, Präsidialerlass Nr. 35674, in Kraft getreten am 1. August 2025 – Nationales Rechtsinformationszentrum

Was „e und pastorale Posten“ in Artikel 41 Absatz 2 sind, ist in Artikel 2 Nummer 11 des Gesetzes geregelt. Kommunikationsbestätigungsdaten beziehen sich auf Daten zu den Fakten der Kommunikation, z. B. „wann, wer und wo die Kommunikation stattgefunden hat“, und nicht auf den Inhalt der Kommunikation.

„11. ‚Kommunikationstatsachen-Bestätigungsdaten‘ beziehen sich auf Daten zu Telekommunikationstatsachen, die unter einen der folgenden Punkte fallen: (…) E. Computerkommunikations- oder Internetprotokolldaten bezüglich der Tatsache, dass ein Computerkommunikations- oder Internetnutzer Telekommunikationsdienste genutzt hat (…) F. Zugriffsverfolgungsdaten, die den Standort des Informations- und Kommunikationsgeräts bestätigen können, das von einem Computerkommunikations- oder Internetnutzer für den Zugriff auf das Informations- und Kommunikationsnetz verwendet wird.“

Kommunikationsgeheimnisschutzgesetz Artikel 2 (Begriffsbestimmungen) Nr. 11 E und A – Nationales Rechtsinformationszentrum

Die auf dem VPN-Server hinterlassenen Aufzeichnungen, die zeigen, „welches Konto sich verbunden hat und wo und wann kommuniziert hat“, entsprechen den Internetprotokollaufzeichnungen von Mamok, und die hinterlassenen Aufzeichnungen „von welcher IP aus zugegriffen wurde“ entsprechen den Zugriffsverfolgungsdaten von Samok. Daher beträgt die gesetzliche Mindestaufbewahrungsfrist für die Zugriffsdaten von StageVPN 3 Monate.

Der Grund, warum StageVPN sich für 93 Tage entschieden hat, liegt darin, dass die gesetzliche Regelung „nicht weniger als drei Monate“ vorsieht. Die drei Kalendermonate variieren zwischen 89 und 92 Tagen, abhängig von der Kombination dreier aufeinanderfolgender Monate, mit einem Maximum von 92 Tagen, z. B. 1. Juli bis 30. September. In einem Monat erstellte Aufzeichnungen werden auf 93 Tage festgelegt, um den gesetzlichen Zeitraum zu erfüllen, und werden nicht willkürlich länger aufbewahrt. Der rechtliche Inhalt dieses Artikels basiert auf der Durchsetzungsverordnung des Communications Secrets Protection Act (gültig ab 1. August 2025), die im September 2026 im National Legislation Information Center veröffentlicht wurde.

Was Sie behalten sollten: Was bleibt und was nicht?

Übrig bleiben die Verbindungszeit und Adressinformationen, nicht der Inhalt der Kommunikation. Die StageVPN-App und StageVPN für Chrome funktionieren unterschiedlich und verfügen über leicht unterschiedliche Elemente. Bei beiden Methoden sammelt der Server jede Minute Datensätze und sendet sie über verschlüsselte Kommunikation (HTTPS) an die StageVPN-Datenbank. Die beiden folgenden Tabellen sind Hinweis zur Speicherung von Zugriffsdatensätzen Artikel 2 und 3 werden wörtlich übersetzt.

Die Zieldomäne (Hostname) ist nicht im App-Verlauf enthalten. DNS-Suchvorgänge werden auch innerhalb des VPN-Tunnels verarbeitet, es gibt jedoch keine Aufzeichnung darüber, welche Domänen gesucht wurden. Das Problem mit DNS-Lecks aus dem Tunnel ist DNS-Leck und WebRTC-LeckDies wurde gesondert erläutert.

StageVPN für Chrome sendet die Browserkommunikation an einen HTTPS-Proxy und protokolliert daher den für die Verbindung erforderlichen Zielhostnamen (z. B. www.example.com), jedoch keine Seitenpfade, Suchbegriffe, Abfragezeichenfolgen oder Seiteninhalte. Außerdem werden verschlüsselte Inhalte auf HTTPS-Sites nicht entschlüsselt. Der Unterschied im Schutzumfang zwischen den beiden Methoden beträgt Browser-VPN vs. App-VPNBitte beachten Sie .

Wir speichern die folgenden Informationen in keiner Weise (Artikel 4 der Mitteilung zur Aufbewahrung von Zugriffsdatensätzen):

• Inhalte der ausgetauschten Kommunikation: Webseiteninhalte, E-Mail-/Nachrichtentext, Audio/Video, Dateien
• URL-Pfad, Suchbegriff, Abfragezeichenfolge, eingegebener Formularwert und Cookie-Wert
• Liste der Domänennamen (DNS-Suchen) und besuchten Domänen, die in der StageVPN-App gesucht wurden
• Entschlüsselter Inhalt der HTTPS-Kommunikation (verschlüsselte Kommunikation wird nicht abgefangen oder entschlüsselt)
• Präzise Standortinformationen, z. B. das GPS Ihres Geräts

Abgesehen von den Zugriffsaufzeichnungen gibt es mehrere andere Aufzeichnungen, um betrügerische Nutzung zu verhindern und die Sicherheit zu gewährleisten. VPN-Schlüsselausstellungs- und -freigabedatensätze werden automatisch nach 90 Tagen gelöscht, Diensteinstellungsänderungsüberwachungsdatensätze werden automatisch nach 180 Tagen gelöscht und API-Anforderungsdatensätze (Serverprotokolle) werden automatisch nach 30 Tagen gelöscht. Der Zeitraum für jedes Element beträgt Datenschutzrichtlinie Es ist alles in Artikel 3 niedergeschrieben.

Datenleben: Wie werden Datensätze erstellt und wann werden sie gelöscht?

Zugriffsdatensätze werden zum Zeitpunkt der Verbindung auf dem Server erstellt und jede Minute in die Datenbank übertragen und durch die automatische Ablauffunktion der Datenbank 93 Tage nach dem Erstellungsdatum gelöscht. Anstatt den Löschzeitplan von einem Menschen festlegen zu lassen, wird jeder Datensatz automatisch zu einer festgelegten Ablaufzeit gelöscht, sodass StageVPN ihn nicht beliebig länger aufbewahren kann.

Die Ausnahme bildet der Sitzungsverlauf der App. Sitzungsaufzeichnungen werden bis zum Austritt aus der Mitgliedschaft aufbewahrt, da es sich dabei um Nutzungshistorien handelt, die für die Leistungserbringung erforderlich sind. Die für den Abgleich mit den Zugangsdatensätzen erforderlichen Teile bleiben jedoch auch nach dem Widerruf bestehen, bis 93 Tage nach dem Erstellungsdatum vergangen sind. Auch im Falle eines Austritts eines Mitglieds werden bereits erstellte Zugangsdaten aufgrund gesetzlicher Aufbewahrungspflichten nach 93 Tagen gelöscht und getrennt von anderen Informationen nur für die gesetzlich vorgesehenen Zwecke gespeichert.

Benutzerrechte: Kann ich meine Datensätze einsehen oder löschen?

Sie können eine Einsichtnahme verlangen, eine Löschung während der Speicherdauer wird jedoch nicht verlangt. Nach der Überprüfung ihrer Identität können Mitglieder beantragen, dass ihre Zugangsdaten gespeichert werden und deren Inhalte eingesehen werden. Allerdings kann die Anzeige gemäß Artikel 35 Absatz 4 des Gesetzes zum Schutz personenbezogener Daten eingeschränkt werden. In diesem Fall wird StageVPN Sie über den Grund informieren.

Zugriffsdatensätze während der Aufbewahrungsfrist können auch dann nicht vor Ablauf der Frist gelöscht werden, wenn eine Löschung aufgrund gesetzlicher Aufbewahrungspflichten verlangt wird, und werden automatisch nach 93 Tagen gelöscht. Anfragen und Wünsche können an den Personal Information Protection Manager (privacy@stagevpn.com) oder das Kundencenter (support@stagevpn.com) gesendet werden. Wenn Sie mit der Abwicklung durch StageVPN nicht zufrieden sind, können Sie eine Beratung oder Streitschlichtung beim Personal Information Dispute Mediation Committee (1833-6972, ohne Vorwahl) oder beim Personal Information Infringement Reporting Center (118, ohne Vorwahl) der Korea Internet & Security Agency beantragen. Der Unterschied zwischen Mitgliedschaftsaustritt und Abonnementkündigung Informationen zum StageVPN-PlanDies wird in erklärt.

Bereitstellungsverfahren: Wer kann Zugangsdaten erhalten und über welche Verfahren?

Zugriffsaufzeichnungen werden nur auf schriftliche Anfrage bereitgestellt, die den gesetzlich festgelegten Anforderungen und Verfahren entspricht, einschließlich einer gerichtlichen Genehmigung, und in dem im Rahmen der Anfrage erforderlichen Mindestmaß. Es wird nicht automatisch auf Anfrage bereitgestellt, und StageVPN wird eine Ergänzung verlangen oder die Bereitstellung von Anfragen verweigern, die unzureichend oder zu weit gefasst sind. Das Antragsverfahren für strafrechtliche Ermittlungen richtet sich nach Artikel 13 des Kommunikationsgeheimnisschutzgesetzes.

„③ Bei der Beantragung der Bereitstellung von Kommunikationsbestätigungsdaten gemäß den Absätzen 1 und 2 muss die Erlaubnis des zuständigen Bezirksgerichts (einschließlich Militärgerichten; im Folgenden gilt dasselbe) eingeholt werden oder es muss eine schriftliche Unterstützung erfolgen, in der der Grund für die Anfrage, die Beziehung zum betreffenden Teilnehmer und der Umfang der erforderlichen Daten festgehalten werden. Liegen jedoch dringende Gründe vor, aus denen die Genehmigung des zuständigen Bezirksgerichts oder keine Unterstützung eingeholt werden kann, muss der Antrag auf Bereitstellung von Kommunikationsbestätigungsdaten unverzüglich eingehen und an den Telekommunikationsunternehmensbetreiber gesendet werden. ④ Abs. 3 Wurden Kommunikationsbestätigungsdaten aus dringenden Gründen gemäß der Bestimmung bereitgestellt, ohne dass eine Genehmigung des örtlichen Gerichts oder der zuständigen Behörde eingeholt wurde, sind die bereitgestellten Kommunikationsbestätigungsdaten unverzüglich zu vernichten.“

Gesetz zum Schutz von Kommunikationsgeheimnissen Artikel 13 (Verfahren zur Bereitstellung von Kommunikationsbestätigungsdaten für strafrechtliche Ermittlungen) Absätze 3 und 4 – Nationales Rechtsinformationszentrum

Artikel 13 Absatz 1 legt fest, dass die Person, die den Antrag stellen kann, ein Staatsanwalt oder Kriminalpolizeibeamter ist, und Absatz 3 legt fest, dass die Genehmigung des Gerichts schriftlich eingeholt werden muss und dabei den Grund des Antrags, seine Relevanz für den Abonnenten und den Umfang der Daten angeben muss. Im Notfall müssen Sie zunächst eine Genehmigung einholen und diese unverzüglich einholen. Wird keine Genehmigung eingeholt, müssen die erhaltenen Materialien vernichtet werden. Die Pflicht zur Aufzeichnung nach Bereitstellung ist in Absatz 7 desselben Artikels geregelt.

„⑦ Wenn ein Telekommunikationsunternehmen einem Staatsanwalt, einem Kriminalpolizeibeamten oder dem Leiter einer Geheimdienst- und Ermittlungsbehörde Daten zur Kommunikationsüberprüfung zur Verfügung stellt, muss er dem Minister für Wissenschaft, IKT und Zukunftsplanung zweimal im Jahr den Status der Datenbereitstellung melden und ein Register führen, das notwendige Angelegenheiten, wie die Bereitstellung der Kommunikationsüberprüfungsdaten, und damit verbundene Daten, wie etwa eine Anfrage zur Bereitstellung von Kommunikationsüberprüfungsdaten, sieben Jahre lang ab dem Datum der Bereitstellung der Kommunikationsüberprüfungsdaten führt.“

Artikel 13, Absatz 7 des Gesetzes zum Schutz von Kommunikationsgeheimnissen – Nationales Rechtsinformationszentrum

Die Ermittlungsbehörde, die die Daten erhalten hat, muss die betroffene Person benachrichtigen. Die Benachrichtigungsfrist richtet sich nach Artikel 13-3 für jedes Ergebnis der Fallbearbeitung.

„① Ein Staatsanwalt oder Kriminalpolizeibeamter muss in Bezug auf einen Fall, für den Kommunikationsüberprüfungsdaten gemäß Artikel 13 bereitgestellt wurden, die Partei, die von der Bereitstellung von Kommunikationsüberprüfungsdaten betroffen ist, innerhalb der in den folgenden Kategorien festgelegten Frist schriftlich darüber informieren, dass Kommunikationsüberprüfungsdaten bereitgestellt wurden, über die Behörde, die die Bereitstellung beantragt hat, über den Zeitraum usw.: Strafverfolgung, Suspendierung eines Zeugen oder Aussetzung von Ermittlungen) (ausgenommen Entscheidungen) oder im Falle einer Anordnung, einen Fall nicht anzumelden: Innerhalb von 30 Tagen ab dem Datum dieser Anordnung (…) 3. Wenn eine Untersuchung im Gange ist: Innerhalb von 30 Tagen ab dem Datum des Erhalts der Kommunikationsbestätigungsdaten (3 Jahre im Falle einer Straftat, die unter einen Unterabsatz von Artikel 6, Absatz 8 fällt).

Gesetz zum Schutz von Kommunikationsgeheimnissen Artikel 13-3 (Mitteilung über die Bereitstellung von Kommunikationsbestätigungsdaten für strafrechtliche Ermittlungen) Absatz 1 – Nationales Rechtsinformationszentrum

In Absatz 2 desselben Artikels ist festgelegt, dass die Benachrichtigung verschoben werden kann, wenn eine Gefahr für die nationale Sicherheit, eine Gefahr für das Leben oder den Körper der in den Fall involvierten Personen, die Gefahr der Vernichtung von Beweismitteln oder der Flucht oder eine Verletzung der Ehre oder der Privatsphäre besteht. In Absatz 4 ist festgelegt, dass die Benachrichtigung innerhalb von 30 Tagen nach der Klärung der Ursache erfolgen muss. Für Ersuchen um nationale Sicherheit gelten gesonderte Verfahren, die in Artikel 13-4 desselben Gesetzes festgelegt sind. Überträgt man diese Bestimmungen in die eigentliche Verarbeitungsreihenfolge von StageVPN, so lautet diese wie folgt:

Es gibt auch Zugriffsprotokolle und andere Arten von Anfragen. Artikel 83 des Telekommunikationsunternehmensgesetzes schreibt Anfragen zur Bereitstellung von Teilnehmerinformationen wie Name, ID und Abonnementdatum des Benutzers vor. Mit der Überarbeitung im Dezember 2023 wurde der Name von „Kommunikationsdaten“ in „Kommunikationsbenutzerinformationen“ geändert.

„③ Ein Telekommunikationsunternehmen kann einer Aufforderung eines Gerichts, eines Staatsanwalts oder des Leiters einer Ermittlungsbehörde (…) oder des Leiters einer Geheimdienst- und Ermittlungsbehörde nachkommen, die folgenden Daten (im Folgenden als „Kommunikationsnutzerdaten“ bezeichnet) einzusehen oder zu übermitteln (im Folgenden als „Bereitstellung von Kommunikationsnutzerdaten“ bezeichnet) zum Zwecke des Gerichtsverfahrens, der Ermittlungen (...), der Strafvollstreckung oder der Sammlung von Informationen zur Vermeidung von Schäden für die nationale Sicherheit: 1. Name des Nutzers 2. Wohnsitzregistrierungsnummer des Nutzers. 3. Adresse des Nutzers 4. Telefonnummer des Nutzers 5. ID des Nutzers (…) 6. Datum des Abonnements oder Kündigungsdatums des Nutzers ④ Anträge auf Bereitstellung von Kommunikationsnutzerinformationen gemäß Absatz 3 müssen schriftlich gestellt werden (im Folgenden „Informationsbereitstellungsanfrage“) unter Angabe des Grundes der Anfrage, der Beziehung zum jeweiligen Nutzer und des Umfangs der erforderlichen Kommunikationsnutzerinformationen.“

Artikel 83 (Schutz von Kommunikationsgeheimnissen) Absätze 3 und 4 des Telekommunikationsunternehmensgesetzes, überarbeiteter Text vom 29. Dezember 2023 – Nationales Rechtsinformationszentrum

Der Wortlaut von Artikel 83 Absatz 3 lautet „kann folgen“. Mit anderen Worten: Die Bereitstellung von Kommunikationsbenutzerinformationen ist ein Bereich, in dem das Urteil des Unternehmers eingreift, im Gegensatz zu Kommunikationsbestätigungsdaten, für die eine gerichtliche Genehmigung erforderlich ist, und StageVPN prüft die Rechtmäßigkeit und Notwendigkeit der Anfrage und antwortet nur im erforderlichen Mindestmaß. Die Organisation, die die Daten erhalten hat, muss die Partei innerhalb von 30 Tagen gemäß Artikel 83-2 desselben Gesetzes benachrichtigen, und StageVPN sammelt keine Einwohnerregistrierungsnummern, sodass Daten Nr. 2 nicht von Anfang an vorhanden sind.

Selbst Administratoren von Unternehmens-VPNs können diese gesetzlich vorgeschriebenen Zugriffsdatensätze nicht einsehen. Was dem Administrator zur Verfügung gestellt wird, ist die Sitzungszeit der Unternehmensqualifizierung, die Nutzungsdauer, die Datenmenge, der Name/das Land des Servers und sogar die verwendete dedizierte IP. Einführungsleitfaden für Enterprise Fixed IP VPNEs war bedeckt.

So lesen Sie No-Log-Anzeigen

Sie sollten zunächst prüfen, was der Ausdruck „keine Aufzeichnungen hinterlassen“ bedeutet, nicht zurückzulassen. Denn die Bedeutung variiert stark, je nachdem, ob damit gemeint ist, keine Kommunikationsinhalte zu hinterlassen oder keine Metadaten wie Verbindungszeit und Adresse zu hinterlassen. VPN-Betreiber sind technisch gesehen in der Lage, mehrere Informationsebenen zu sehen, und welche Ebenen sie zurücklassen müssen, hängt von den Gesetzen des Landes ab, die der Betreiber befolgt.

Überprüfen Sie beim Vergleich der Protokollierungsrichtlinien von VPN-Diensten, ob die folgenden Punkte in deren Dokumentation aufgeführt sind: Keine der Fragen kann mit einem Wort beantwortet werden: „Keine Protokolle“.

• Gibt es eine Liste, welche Gegenstände aufbewahrt werden sollen und welche nicht? Werden Zeit, IP, Ziel, DNS und Inhalt separat angezeigt und nicht nur eine einzige Zeile mit der Aufschrift „Keine Protokolle“?
• Sind die Aufbewahrungsfrist und die Löschmethode in Zahlen angegeben? Wenn es nur einen offenen Ausdruck wie „so lange wie nötig“ gibt, wird der Zeitraum nicht festgelegt.
• Wird offengelegt, in welchem ​​Land der Betreiber ansässig ist und welche Gesetze für ihn gelten? Da koreanische Telekommunikationsbetreiber verpflichtet sind, Verbindungsaufzeichnungen zu führen, sollten Sie gegenüber „No Log“-Werbungen koreanischer Betreiber misstrauisch sein.
• Geben Sie offen, mit welchen Verfahren auf Anfragen von Ermittlungsbehörden reagiert wird? Sind die Kriterien für die Beantragung einer gerichtlichen Genehmigung, Prüfung des Umfangs und Ablehnung angegeben?
• Ist darin festgelegt, dass die Aufzeichnungen nicht für Werbe-, Verhaltensanalyse- oder Verkaufszwecke verwendet werden?
• Gibt es ein Fenster, in dem Benutzer ihre Datensätze einsehen oder nachfragen können?

Umgekehrt bedeutet die Aussage, dass Zugriffsprotokolle aufbewahrt werden, nicht, dass auch der Inhalt der Kommunikation überprüft wird. Der Grund dafür, dass StageVPN alle Artikel, Zeiträume und Liefermodalitäten offenlegt, liegt darin, dass wir davon überzeugt sind, dass der Ausgangspunkt für Vertrauen darin besteht, dass Benutzer genau wissen, was sie erwarten können und was nicht. Die veröffentlichte Richtlinie wird zum Standard, den der Betreiber einhalten muss, und Benutzer können auf der Grundlage dieses Standards Fragen stellen. Der Umfang und die Einschränkungen eines VPN sind Was VPNs verhindern und was nicht verhindern könnenDie Gesamtstruktur der Dienstsicherheit ist SicherheitsinformationenIch habe es organisiert.