Conservation des adresses IP est de nouveau à l'ordre du jour en Allemagne. En vertu du projet de loi du gouvernement sur la conservation des adresses IP (document du Bundestag n° 21/6581), chaque fournisseur d'accès à Internet devra enregistrer quelle adresse IP publique, et derrière le CGNAT quels ports, a été attribuée à quelle connexion, pendant trois mois. L'objectif est précis : les autorités doivent pouvoir identifier l'abonné associé à une adresse IP relevée dans le cadre d'une enquête.
Pour les FAI, les opérateurs mobiles et les MVNO, cette obligation soulève des questions d'ordre pratique. De quelles données s'agit-il exactement ? La comptabilité RADIUS est-elle suffisante ? Qu'en est-il du CGNAT, de l'IPv6 et des connexions permanentes ? Et qui est responsable lorsque l'adresse IP est attribuée au sein du réseau hôte ? Cet article répond à ces questions sur la base du projet actuel.
Status: government bill BT-Drs. 21/6581; first reading on 24 June 2026, Legal Affairs Committee hearing on 7 October 2026; not yet passed. Details may still change.
Points clés à retenir
- Seulement fournisseurs de services d'accès à Internet sont tenus, en vertu de § 177 TKG-E, dont le nombre est estimé à environ 700 entreprises dans l'exposé des motifs. Les fournisseurs de services d'hébergement, de messagerie électronique, de messagerie instantanée et de VoIP n'en font pas partie.
- Les prestataires doivent conserver les adresse IP publique (for IPv6, in practice the delegated prefix; details are expected in the TR TKÜV), the ports lorsqu'ils sont nécessaires à des fins d'attribution, les ligne et identifiant utilisateur, et début et fin de la mission, à la seconde près, avec le fuseau horaire.
- Les adresses de destination, les URL, les volumes, le contenu et les données de localisation ne relèvent pas de cette obligation et ne doivent pas être enregistrés dans le système de conservation des données.
- La durée de conservation est de trois mois. For long-running sessions the explanatory memorandum requires rolling deletion, so no record is kept longer than three months.
- Les données peuvent seulement être utilisé pour identifier les abonnés (article 174 de la TKG) et pour répondre aux demandes des abonnés dans le cadre de la procédure de preuve électronique. Il doit être stockés séparément et supprimés de manière irréversible.
- La comptabilité RADIUS couvre la plupart des champs, mais pas les mappages de ports CGNAT. La journalisation NAT est obligatoire.
- Opérateurs mobiles virtuels (MVNO) et revendeurs doit veiller à ce que les données soient conservées même si l'attribution de l'adresse IP est effectuée par le partenaire de gros (article 177, paragraphe 2).
- Les prestataires disposeront de six mois après l'entrée en vigueur pour s'y conformer.
Pourquoi conserver les adresses IP, et pourquoi maintenant ?
Germany’s previous data retention rules have not been enforced since 2017, and in 2022 the Court of Justice of the EU (CJEU) found them incompatible with EU law (SpaceNet), and in 2023 the Federal Administrative Court confirmed that they cannot be applied (BVerwG 6 C 6.22). The CJEU has, however, accepted that conservation générale des adresses IP attribuées à la source d'une connexion can be permissible for a limited period. In 2020 it allowed this to fight serious crime (La Quadrature du Net), and in 2024 it extended this to criminal offences in general, provided the data is kept in genuinely watertight separation from other data (La Quadrature du Net II). The new bill builds on this case law. It limits retention to the data needed to identify a subscriber and pairs it with the targeted congélation rapide procédure décrite dans notre article précédent. Un nouveau recours devant la CJUE est néanmoins jugé probable.
Qui est tenu de le faire ?
Sont concernés : toute personne fournissant des services d'accès à Internet (article 3, n° 23 de la TKG) :
- Fournisseurs d'accès Internet (FAI) sur réseau fixe (ADSL, câble, fibre optique), y compris les revendeurs en gros
- Opérateurs de données mobiles : opérateurs de réseaux mobiles (MNO), opérateurs virtuels de réseaux mobiles (MVNO) complets, opérateurs virtuels de réseaux mobiles (MVNO) allégés et prestataires de services disposant de leur propre contrat client. Pour les opérateurs virtuels de réseaux mobiles (MVNO) allégés et les prestataires de services, la clause de vente en gros prévue à l'article 177, paragraphe 2, s'applique.
Non couvert :
- Fournisseurs spécialisés dans l'hébergement web, la messagerie électronique, la messagerie instantanée, la VoIP et les SMS. Les prestataires de services de télécommunications restent soumis aux mesures de blocage immédiat et aux demandes de données de trafic.
- Non-public networks, such as corporate LANs
- Operators of local Wi-Fi networks, such as hotel guest Wi-Fi, public hotspots that rely on another provider’s internet access, and Freifunk. The explanatory memorandum excludes them explicitly; the upstream internet access provider stores the data.
Que faut-il exactement conserver ?
| § 177, alinéa 1 | Données | Remarques |
|---|---|---|
| N° 1 | Adresse IP publique attribuée à l'abonné | IPv4 address; for IPv6 in practice the delegated prefix (details expected in the TR TKÜV) |
| N° 2 | Numéros de port ou plages de ports, ainsi que d'autres données relatives au trafic si nécessaire pour une attribution unique | Valable pour CGNAT, NAT44 et NAT64 |
| N° 3 | Identifiant unique de ligne et identifiant d'utilisateur attribué | Identifiant de ligne, IMSI/MSISDN, numéro de contrat, nom d'utilisateur |
| N° 4 | Date et heure de début et de fin de la mission, à la seconde près, avec le fuseau horaire | S'applique aux attributions d'adresses IP et de ports |
Sont expressément exclus : les adresses IP de destination, les services ou URL consultés, les volumes de données, le contenu, la localisation et les données de téléphonie mobile, ainsi que les données relatives à l'utilisation d'autres services.
Durée de conservation : three months. For long-running sessions, the government’s explanatory memorandum requires rolling deletion: once the start of an ongoing assignment is older than three months, it is replaced by a ‘fictitious’ start at the beginning of the three-month window, so no record is kept longer than three months. Industry criticised the earlier ministry draft for not saying this.
La comptabilité RADIUS est-elle suffisante ?
Pour la plupart des champs, oui. La comptabilité RADIUS (ou ses équivalents Diameter/CDR dans les réseaux mobiles) en est la source naturelle :
| Attribut RADIUS | § 177 champ |
|---|---|
| Type d'état du compte (Début / Mise à jour intermédiaire / Arrêt) avec horodatage de l'événement | Début et fin de la mission (n° 4) |
| Adresse IP encadrée, préfixe IPv6 encadré, préfixe IPv6 délégué | Adresse IP ou préfixe attribué(e) (n° 1) |
| Nom d'utilisateur, identifiant de la station appelante, IMSI 3GPP, identifiant du port NAS / identifiant de ligne | Ligne et identifiant d'utilisateur (n° 3) |
| Acct-Session-Id | Clé de corrélation |
Dans les réseaux mobiles, les enregistrements Diameter Gy/Rf, les enregistrements de facturation PGW ou SMF/CHF, ou encore la comptabilité RADIUS sur l'interface Gi/SGi (début et fin de session, adresse IP attribuée) remplissent la même fonction.
Derrière un CGNAT, le protocole RADIUS ne suffit pas. Les blocages de ports et les mappages de ports sont créés au niveau de la passerelle NAT, et non dans le système AAA. Les fournisseurs doivent Journalisation CGN, such as port block allocation (PBA) logs, syslog or IPFIX export from the NAT gateway. The records are then correlated: private IP and time (RADIUS) plus public IP, port block and time (CGN log) identify the line. The explanatory memorandum notes that NAT systems that cannot export this data will have to be replaced, a significant intervention in live networks. NAT déterministe, grâce à des blocs de ports fixes par abonné, réduit considérablement le volume des journaux et simplifie les recherches.
Les obligations des prestataires, étape par étape
1. Collection
- Définir les sources de données : enregistrements de session et de comptabilité, ainsi que les journaux CGNAT.
- Assurez-vous que les quatre catégories de données soient bien enregistrées intégralement et à la seconde près, y compris lors des transitions entre sessions, telles que la réauthentification, le transfert de connexion, les changements d'adresse IP et les nouvelles attributions de blocs de ports.
- Synchronisez l'heure (NTP) et indiquez systématiquement le fuseau horaire ou l'UTC.
2. Le cas de la vente en gros (article 177, paragraphe 2) : opérateurs mobiles virtuels (MVNO) et revendeurs
Un fournisseur qui ne génère pas lui-même l'ensemble des données, par exemple parce que l'attribution des adresses IP et la traduction NAT sont effectuées chez l'opérateur de réseau mobile (MNO) ou chez un agrégateur, doit s'assurer que les données manquantes sont toujours enregistrées. Il existe deux options :
- A obligation contractuelle de conservation pour le partenaire grossiste, notamment l'engagement de répondre aux demandes, ou
- A flux de données vers le système de conservation du prestataire lui-même ou vers un système externalisé.
Sur demande, le fournisseur doit en informer sans délai la BNetzA qui stocke les données. Le non-respect de cette obligation constitue une infraction administrative. Dans la pratique, l'attribution d'une adresse IP et d'un port au client de l'opérateur mobile virtuel (MVNO) doit pouvoir être identifiée à l'aide de l'identifiant (IMSI/MSISDN) du côté de l'opérateur mobile virtuel. Pour plus d'informations, voir LI pour les opérateurs mobiles virtuels (MVNO) proposant uniquement des forfaits eSIM et Responsabilités des MVNO par rapport à celles des MNO.
3. Stockage et protection
- Postuler mesures techniques et organisationnelles de pointe contre tout accès et toute utilisation non autorisés.
- Conserver les données séparés techniquement distincte de toutes les autres données relatives aux utilisateurs finaux : sa propre base de données ou son propre système, sans aucun mélange avec les données de facturation ou de CRM.
- Rangez-le de manière à ce que le l'abonné peut être identifié sans délai, avec une recherche permettant d'associer une adresse IP, un port et un horodatage à la ligne et à l'utilisateur.
- Le supprimer définitivement au bout de trois mois, grâce à une tâche de suppression automatisée et à une preuve de suppression.
4. Limitation stricte de la finalité
Les données conservées peuvent seulement être utilisé pour :
- Demandes de données relatives aux abonnés sur la base d'une adresse IP (§ 174, alinéa 1, troisième phrase, de la loi sur les télécommunications (TKG)), sur la base du code de procédure pénale (StPO), de la loi sur les services de police fédérale (BKAG), de la loi sur la police fédérale (BPolG) ou du droit régional
- Données relatives aux abonnés dans le cadre des ordonnances européennes de production et de conservation sous le Règlement sur les preuves électroniques
Toute autre utilisation, telle que le marketing, la gestion des abus ou les demandes de divulgation dans le cadre d'une procédure civile, est interdit à partir de cet ensemble de données. Si vous avez besoin de ces données à des fins opérationnelles, conservez un ensemble de données opérationnelles distinct, assorti d’une période de conservation plus courte. Les données conservées peuvent également pas être communiquées en tant que données de trafic en vertu de l'article 100g du Code de procédure pénale (StPO).
5. Répondre aux demandes
- Vérification formelle de la demande par un employé habilité, ou automatiquement via l'interface.
- Transmission intégrale sans délai et la confidentialité vis-à-vis de l'abonné.
- ETSI-ESB pour les prestataires comptant au moins 100 000 partenaires contractuels (en plus de l'E-Mail-ESB), l'E-Mail-ESB est réservé aux petits prestataires.
- Enregistrement conformément à l'article 35 du TKÜV, y compris la base juridique sur laquelle les données ont été conservées.
- Rémunération : 15 euros pour un maximum de trois identifiants (JVEG n° 201 ; actuellement 45 euros pour un maximum de dix identifiants).
6. Encadrement
- Soumettre documents de mise en œuvre (systèmes, procédures, séparation, suppression) à la BNetzA sans délai dès le lancement du service, et signaler toute modification.
- Attendez-vous à contrôles réguliers. Le TKÜV et le TR TKÜV définiront les systèmes, les procédures et les équipements techniques.
- Date limite : au plus tard six mois après l'entrée en vigueur de la loi.
Modèle : un espace de stockage conforme aux exigences de conservation des données
- Diffusion en continu Comptabilité RADIUS/Diameter et journaux CGN dans un espace de stockage dédié à la conservation. Ne vous contentez pas de conserver la base de données AAA pendant trois mois, car cela enfreint l'obligation de séparation.
- Enregistrer uniquement les champs visés à l'article 177 (minimisation des données). Supprimez les champs opérationnels tels que les volumes ou les adresses IP NAS, ou conservez-les séparément en leur attribuant une durée de conservation plus courte.
- Enregistrer les mises à jour intermédiaires for long sessions, and use them to move the start of an ongoing assignment forward as data ages out.
- Supprimer automatiquement every record older than three months, including the start of still-running assignments (rolling deletion), with logging.
- Fournir une API de recherche pour l'équipe chargée de la divulgation : (adresse IP publique, port, horodatage, fuseau horaire) → identifiant de ligne → données de l'abonné.
- Se connecter à l'ESB / E-Mail-ESB pour les requêtes et les réponses entrantes.
- Tout consigner par écrit pour la BNetzA.
How ICS Helps: Operating Your Retention Store
ICS International Carrier Services builds on more than 20 years of team experience in telecommunications, interception légale et la conformité and on BNetzA-accepted LI implementations. Pour les FAI et en particulier pour les MVNO, ICS peut prendre en charge le retention store on your behalf, and you name ICS to the BNetzA as the entity that stores the data. You remain the obligated provider under § 177.
- Analyse des écarts de vos journaux RADIUS/Diameter, du cœur de réseau de paquets et du CGNAT, conformément à l'article 177.
- Flux de données et connecteurs à partir de vos systèmes AAA, de vos passerelles PGW/UPF et NAT, ou de votre opérateur de réseau mobile (MNO) hôte.
- Un espace de stockage de données conservées, séparé et chiffré ne contenant que les champs obligatoires, avec suppression automatique et trace de la suppression.
- Service de recherche et de communication d'informations: identification des abonnés par adresse IP, port et heure, avec réponse via ESB ou E-Mail-ESB, y compris Facturation JVEG.
- Documentation de la BNetzA et un accompagnement lors des audits.
- Entrepôt de données des abonnés: recherches rapides et conformes aux exigences d'audit sur les abonnés, dans les systèmes de facturation, d'activation et de gestion de la relation client (CRM). Découvrez notre Solutions de conservation des données.
- Associé aux fonctions « Quick Freeze » et « e-Evidence » processus, afin que tous les types de demandes soient traités au même endroit.
Le délai de six mois est court, surtout s'il faut remplacer les passerelles NAT. Contacter ICS pour lancer votre évaluation de l'état de préparation.
Questions fréquemment posées
Qu'est-ce que la conservation des adresses IP ?
La conservation des adresses IP désigne l'obligation faite aux fournisseurs d'accès à Internet de consigner quelle adresse IP publique, et le cas échéant quels ports, ont été attribués à quelle connexion et à quel moment. L'objectif est de pouvoir identifier ultérieurement l'abonné associé à une adresse IP.
Pendant combien de temps les adresses IP doivent-elles être conservées en Allemagne ?
Under the government draft of § 177 TKG, for three months. For long-running sessions the explanatory memorandum requires rolling deletion: once the start of an ongoing assignment is older than three months it is replaced by a fictitious start at the beginning of the three-month window, so no record is kept longer than three months.
Les opérateurs mobiles virtuels (MVNO) sont-ils tenus de conserver les adresses IP ?
Oui, s'ils fournissent un accès à Internet dans le cadre de leur propre relation client. Si l'adresse IP est attribuée au sein du réseau hôte, l'opérateur mobile virtuel (MVNO) doit s'assurer, par le biais d'un contrat ou d'un flux de données, que les données sont conservées, et doit être en mesure d'indiquer à la BNetzA l'entité chargée de cette conservation.
La comptabilité RADIUS est-elle suffisante pour la conservation des adresses IP ?
Il couvre l'adresse IP attribuée, les identifiants et les horodatages. Derrière un NAT de niveau opérateur (CGN), cependant, les mappages de ports ne sont connus que de la passerelle NAT ; par conséquent, la journalisation CGN (par exemple, les journaux d'attribution de blocs de ports) est également nécessaire.
Les données IP conservées peuvent-elles être utilisées dans le cadre de la gestion des abus ou des réclamations relatives aux droits d'auteur ?
Non. Les données conservées ne peuvent être utilisées que dans le cadre de demandes d'informations sur les abonnés émanant des autorités et de demandes d'e-preuves concernant les abonnés. Toute autre utilisation nécessite un ensemble de données opérationnelles distinct, fondé sur une base juridique propre.
Disclaimer: This article provides general information based on the German government bill (BT-Drs. 21/6581) as of October 2026, after the Legal Affairs Committee hearing. It does not constitute legal advice. Provisions, deadlines and technical details may change during the parliamentary process and in the TKÜV / TR TKÜV.
Articles connexes
- LI pour les opérateurs mobiles virtuels (MVNO) proposant uniquement des forfaits eSIM : défis spécifiques et solutions pratiques
- Comment gérer la responsabilité civile (LI) lorsque votre réseau central est externalisé ou hébergé
- Qu'est-ce qu'une preuve électronique ? Un guide complet
Ressources externes
- Bundestag allemand : débat sur l'introduction de la conservation des adresses IP (première lecture)
- Gouvernement fédéral : le Conseil des ministres adopte un projet de loi sur la conservation des adresses IP
- netzpolitik.org: Criticism of the retention period in the December 2025 ministry draft (German)
