[Wolfkid]

Und da das Cookie nicht IP-gebunden ist, ist es auch nicht notwendig diese zuspeichern.

Was aber auch nicht heißt, dass man es nicht könnte.
Allerdings dürfte die IP (meistens zumindest) nicht für Otto-Normal-User einsehbar sein.
Die Frage wäre dann also immer noch, woher der "Stalker" die IP hat.
Gedanken würde ich mir trotzdem nicht weiter machen. Wie gesagt, die genaue Adresse hat er so auf jeden Fall nicht.