Når en bruker besøker et nettsted på internett, innebærer det at det etableres kommunikasjon med en webserver hvor de aktuelle sidene ligger.
For å finne denne trengs et domenenavn, for eksempel www.teknologiradet.no, som ved hjelp av en DNS-server (Domain Name System) oversettes til en IP-adresse, slik at det kan opprettes en forbindelse med akkurat den riktige webserveren. Brukerens nettleser (browser) vil på sin side oppgi egen IP-adresse til den server som besøkes for at denne skal kunne sende data tilbake til riktig PC.
Den besøkte webserver vil ofte lagre informasjon om brukerens besøk på de aktuelle websider. Typisk vil slik informasjon omfatte tidspunkt, brukerens IP-adresse, brukernavnet for den aktuelle internettkonto og navnet på de dokumenter (websider) som ble forespurt. Avhengig av brukerens tilknytningsform til internett vil den aktuelle tjenestetilbyder kunne anvende brukerens IP-adresse til i større eller mindre grad å identifisere brukeren.
For brukere som har fast IP-adresse, og som ikke går igjennom en brannmur, vil brukerens maskin entydig kunne bestemmes ut fra IP-adressen. Hvis det videre er knyttet et domenenavn til denne IP-adressen, vil navnet på maskinen kunne slås direkte opp på en DNS-server (domenenavntjenesten). I forhold til brukere som tildeles en dynamisk IP-adresse hver gang de logger seg på nettet, er det kun mulig for den besøkte webserver å fastslå hvilken internettleverandør brukeren benytter. Internett-leverandøren vil derimot som regel kunne identifisere en bruker på bakgrunn av et tidspunkt og en IP-adresse. Hvis leverandøren kan logge hvilket telefonnummer som er brukt til å etablere forbindelsen, vil dette kunne brukes til å avgjøre nøyaktig hvor den aktuelle PC befant seg på det gitte tidspunkt. Internett-leverandøren vil logge både hvilket brukernavn (login) som var knyttet til en oppkobling, og hvilken IP-adresse som ble tildelt. Dette kan så brukes til å finne identiteten til innehaveren av det aktuelle internett-abonnementet.