Nerozumím tomu na 100% a do hloubky, ale zjednodušeně řečeno by to mohlo být takto (kdyžtak mě někdo opravte):
Protože IP adres je málo, připojení lokálních sítí do internetu se děje přes routery, které mají zvenku jednu IP adresu (veřejnou) a zevnitř mnoho IP adres interních (rozsah 10.x.x.x nebo 192.168.x.x). Aby to fungovalo, musí router provádět překlad interních adres (NAT).
Provider může zjistit jenom to, co má v logu na svém přístupovém bodu, takže pokud se k němu připojí panelák s routerem s dvaceti lokálními adresami, poskytovatel bude mít v logu přístup z toho routeru, ale který z těch dvaceti lidí to byl, zjistí jedině, když ho majitel routeru pustí do logu toho routeru.
Jestli ho tam musí pustit nevím, ale provider oficiálně poskytující služby připojení k internetu musí svoje logy archivovat a na vyžádání policie zjištěné skutečnosti předat.