Wobei sollte man IPs speichern und wie lange?

[Deus Figendi]

• Bei jedem neuen Thread das erstellt wird
• Bei jedem neuen Post der gemacht wird
• Bei jedem Login
• Von jedem Besucher der auf die Seite kommt
• Bei jedem Logout

Dann wenn es die Benutzer erlauben.
Rein theoretisch ist es nicht erlaubt personenbezogene Daten ohne Einwilligung der Person zu speichern. Dass es dennoch viele machen liegt daran, dass
a) es in vielen fertigen Anwendungen aus anderen Ländern schon implementiert ist
b) das entsprechende Urteil noch relativ jung (ca. 1 Jahr) ist.

Wenn du dir diese Gedanken schon machst, dann... warum nicht alles?
Wenn sich ein Benutzer registriert machst du einfach einen Block Checkboxen (oder eine Select-Box in der man das "Level" wählen kann) in welchen Situationen der Benutzer das Speichern seiner IP-Adresse erlaubt.
Oder du formulierst allgemeiner "http-header" oder sowas.
ODER aber du speicherst keine personenbezogenen Daten, sondern z.B. nur einen Hash derselben (damit ließen sich z.B. ebensogut Multiaccounts identifizieren) und stehst weiterhin vor dem Problem, weshalb du dich an dieses Forum gewandt hast :-D