Strafverfolgungsbehörden in der EU können künftig deutlich schneller länderübergreifend Nutzerdaten von Online-Diensteanbietern anfordern. Ab dem 18. August gelten entsprechende Regeln der europäischen E-Evidence-Verordnung (EEVO) sowie einer zugehörigen Richtlinie und des deutschen Umsetzungsgesetzes. Je nach Anordnung müssen die Anbieter die Daten für 60 Tage sichern oder innerhalb von 10 Tagen, in Eilfällen 8 Stunden, herausgeben.

Bisher dauerte es für Strafverfolgungsbehörden Monate bis Jahre, um über sogenannte Rechtshilfeverfahren ermittlungsrelevante Nutzerdaten aus anderen Ländern zu erhalten. Strafverfolgungsbehörden und Gerichte im Heimatland des Anbieters mussten die Anordnung prüfen und vor Ort durchsetzen. Die EEVO schafft nun einen einheitlichen EU-weiten Rechtsrahmen, mit dem dieses Verfahren entfällt und die Herausgabe deutlich beschleunigt wird. Die Behörden im Land des Anbieters bleiben dabei häufiger außen vor.

Viele Datenarten betroffen

IP-Adressen sowie „Teilnehmerdaten“ wie Namen und Anschriften fordern Ermittlungsbehörden künftig direkt beim Anbieter im EU-Ausland an. Das ist unabhängig davon möglich, ob das vorgeworfene Verhalten im Staat des Anbieters strafbar ist. Die Neuregelung greift damit etwa auch bei Beleidigungen oder Volksverhetzung, die im EU-Staat, in dem der Anbieter seinen Sitz hat, anders oder gar nicht strafrechtlich verfolgt werden könnten.

Bei den sensibleren „Verkehrs- und Inhaltsdaten“ wie E-Mails, Chats und Dateien gelten strengere Hürden. Ermittler dürfen diese Daten meist nur bei Straftaten anfordern, auf die eine Höchststrafe von mindestens drei Jahren im Ermittlungsland steht, und sie benötigen dafür in der Regel einen richterlichen Beschluss in ihrem Heimatland. Zudem muss meist die zuständige Justizbehörde im Staat des Anbieters benachrichtigt werden und kann der Herausgabe widersprechen, wenn sie daran zweifelt, dass die Maßnahme gerechtfertigt ist.

Da diese Behörde allerdings auch im Eilfall bis zu 4 Tage Zeit für ein Veto hat, der Anbieter die Daten aber in ebensolchen eiligen Fällen binnen 8 Stunden herausgeben muss, dürften die Informationen künftig mitunter schon vor der Entscheidung bei den Ermittlern eintreffen. Bei einem nachträglichen Veto dürfen sie nicht verwendet, sondern müssen wieder gelöscht werden.

Die betroffenen Nutzer sollen keine Benachrichtigung erhalten, bevor ihre Daten an ausländische Strafverfolger herausgegeben werden. Die Anordnung verpflichtet Anbieter zur Verschwiegenheit, damit Verdächtige keine Beweismittel verändern und Ermittlungen vereiteln können. Ermittlungsbehörden müssen Betroffene nur nachträglich informieren, sobald der Ermittlungszweck nicht mehr gefährdet ist.

Weitreichender Anbieterbegriff

Nicht nur große Telekommunikationskonzerne und Social-Media-Betreiber fallen unter die neuen Vorschriften. Die Verordnung verpflichtet jede Organisation oder Einzelperson, die geschäftlich Nutzerkonten bereitstellt und dafür Daten erhebt. Dazu zählen auch kleinere Betreiber von Webforen, Webhoster, Cloud-Anbieter und Online-Shops. Wirtschaftsverbände schätzen, dass in Deutschland rund 300.000 Stellen davon betroffen sind. Das Bundesjustizministerium geht von 9000 aus.

Betroffene Anbieter müssen eine Niederlassung oder einen gesetzlichen Vertreter in der EU benennen, die Anordnungen entgegennehmen. Das gilt ausdrücklich auch für Unternehmen, die keinen Sitz in der EU haben, sofern sie ihre Dienste auf dem europäischen Binnenmarkt anbieten. Der Datenaustausch läuft über ein digitales EU-Portal, an das sich Anbieter per Webinterface oder Programmierschnittstelle (API) anbinden sollen. Für Eilfälle müssen die Vertreter zudem rund um die Uhr erreichbar sein.

In Deutschland kontrolliert das Bundesamt für Justiz (BfJ), ob Anbieter sich ordnungsgemäß registrieren und Anfragen fristgerecht bearbeiten. Halten sie die Vorgaben nicht ein oder ignorieren Anordnungen, drohen Bußgelder von bis zu 500.000 Euro oder bei großen Anbietern bis zu 2 Prozent des weltweiten Jahresumsatzes.

Überforderte Anbieter und Grundrechtszweifel

Für besonders sensible Daten sieht die EEVO spezifische Schutzvorschriften vor. Diensteanbieter können die Herausgabe verweigern oder bei der zuständigen Behörde Bedenken anmelden, wenn eine Anordnung das Berufsgeheimnis verletzt, also etwa das Anwaltsgeheimnis oder die ärztliche Schweigepflicht. Einige Fachverbände befürchten jedoch, dass diese Schutzrechte aufgrund des Zeitdrucks leicht übersehen werden könnten. Der Internetwirtschaftsverband eco sieht die Anbieter mit den Pflichten überfordert, und die IHK erwartet, dass sie Daten aus Angst vor Bußgeldern voreilig und womöglich rechtswidrig herausgeben könnten.

Nach Forderungen von Verbänden hatte das Bundesjustizministerium zuletzt angekündigt, zumindest die elektronische Patientenakte künftig ganz von strafrechtlichen Datenabfragen ausnehmen zu wollen, hat dazu aber noch keinen Gesetzentwurf vorgelegt.

Die Bürgerrechtsorganisation European Digital Rights (EDRi) äußert erhebliche Bedenken, ob die neuen Regeln Grundrechte ausreichend schützen. Ebenso wie eco kritisiert EDRi, dass ausländische Ermittler ohne vorherige richterliche Kontrolle im Anbieterland auf Daten zugreifen dürfen. Kritiker bemängeln zudem, dass Betroffene Rechtsmittel ausschließlich im ermittelnden Auslandsstaat einlegen können, statt vor Gerichten im eigenen Heimatland.

Sachverständige vor dem Rechtsausschuss des Bundestages stufen das deutsche Umsetzungsgesetz zudem als verfassungswidrig ein, da es Betroffenen keinen ausreichenden Rechtsschutz biete. Juristen erwarten daher zahlreiche Klagen gegen die neuen Regeln, die das Bundesverfassungsgericht und den Europäischen Gerichtshof beschäftigen könnten.

Verordnung nahm bereits langen Weg

Mit dem Start der neuen Regeln am 18. August endet ein mehr als achtjähriger Vorbereitungsprozess: Den ersten Entwurf für eine E-Evidence-Verordnung hatte die EU-Kommission bereits im Jahr 2018 vorgelegt, woraufhin von Kritik begleitete, langwierige Verhandlungen zwischen EU-Parlament, -Kommission und -Mitgliedstaaten folgten. Das Parlament verabschiedete im Sommer 2023 schließlich die Verordnung und der Bundestag im vergangenen Januar das deutsche Umsetzungsgesetz.

Während die EEVO ab dem 18. August die Datenabfrage innerhalb der EU regelt, bildet das Zweite Zusatzprotokoll der Cybercrime-Konvention des Europarates den nächsten, globalen Schritt. Das Abkommen wurde 2021 angenommen; derzeit läuft das parlamentarische Ratifizierungsverfahren. Es würde Strafverfolgungsbehörden aus Nicht-EU-Staaten wie den USA erlauben, Basisdaten wie Namen oder IP-Adressen künftig direkt bei europäischen Anbietern abzufragen, ohne dass vorher ein hiesiges Gericht zustimmen muss. International tritt das Abkommen erst in Kraft, sobald mindestens fünf Staaten das Ratifizierungsverfahren abgeschlossen haben. Bislang haben das erst vier Staaten getan.

(egia)