// HEISE ONLINE — HARDWARE & GADGET
Neue EU-Regeln: Strafverfolger kommen jetzt deutlich schneller an Nutzerdaten
Zum 18. August sinken die Hürden, Nutzerdaten im EU-Ausland anzufordern. Die E-Evidence-Verordnung verpflichtet Anbieter zu mehr Kooperation mit Justizbehörden.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Strafverfolgungsbehörden in der EU können künftig deutlich schneller länderübergreifend Nutzerdaten von Online-Diensteanbietern anfordern. Ab dem 18. August gelten entsprechende Regeln der europäischen E-Evidence-Verordnung (EEVO) sowie einer zugehörigen Richtlinie und des deutschen Umsetzungsgesetzes. Je nach Anordnung müssen die Anbieter die Daten für 60 Tage sichern oder innerhalb von 10 Tagen, in Eilfällen 8 Stunden, herausgeben.
Bisher dauerte es für Strafverfolgungsbehörden Monate bis Jahre, um über sogenannte Rechtshilfeverfahren ermittlungsrelevante Nutzerdaten aus anderen Ländern zu erhalten. Strafverfolgungsbehörden und Gerichte im Heimatland des Anbieters mussten die Anordnung prüfen und vor Ort durchsetzen. Die EEVO schafft nun einen einheitlichen EU-weiten Rechtsrahmen, mit dem dieses Verfahren entfällt und die Herausgabe deutlich beschleunigt wird. Die Behörden im Land des Anbieters bleiben dabei häufiger außen vor.
IP-Adressen sowie „Teilnehmerdaten“ wie Namen und Anschriften fordern Ermittlungsbehörden künftig direkt beim Anbieter im EU-Ausland an. Das ist unabhängig davon möglich, ob das vorgeworfene Verhalten im Staat des Anbieters strafbar ist. Die Neuregelung greift damit etwa auch bei Beleidigungen oder Volksverhetzung, die im EU-Staat, in dem der Anbieter seinen Sitz hat, anders oder gar nicht strafrechtlich verfolgt werden könnten.
Bei den sensibleren „Verkehrs- und Inhaltsdaten“ wie E-Mails, Chats und Dateien gelten strengere Hürden. Ermittler dürfen diese Daten meist nur bei Straftaten anfordern, auf die eine Höchststrafe von mindestens drei Jahren im Ermittlungsland steht, und sie benötigen dafür in der Regel einen richterlichen Beschluss in ihrem Heimatland. Zudem muss meist die zuständige Justizbehörde im Staat des Anbieters benachrichtigt werden und kann der Herausgabe widersprechen, wenn sie daran zweifelt, dass die Maßnahme gerechtfertigt ist.
Da diese Behörde allerdings auch im Eilfall bis zu 4 Tage Zeit für ein Veto hat, der Anbieter die Daten aber in ebensolchen eiligen Fällen binnen 8 Stunden herausgeben muss, dürften die Informationen künftig mitunter schon vor der Entscheidung bei den Ermittlern eintreffen. Bei einem nachträglichen Veto dürfen sie nicht verwendet, sondern müssen wieder gelöscht werden.
Die betroffenen Nutzer sollen keine Benachrichtigung erhalten, bevor ihre Daten an ausländische Strafverfolger herausgegeben werden. Die Anordnung verpflichtet Anbieter zur Verschwiegenheit, damit Verdächtige keine Beweismittel verändern und Ermittlungen vereiteln können. Ermittlungsbehörden müssen Betroffene nur nachträglich informieren, sobald der Ermittlungszweck nicht mehr gefährdet ist.
Nicht nur große Telekommunikationskonzerne und Social-Media-Betreiber fallen unter die neuen Vorschriften. Die Verordnung verpflichtet jede Organisation oder Einzelperson, die geschäftlich Nutzerkonten bereitstellt und dafür Daten erhebt. Dazu zählen auch kleinere Betreiber von Webforen, Webhoster, Cloud-Anbieter und Online-Shops. Wirtschaftsverbände schätzen, dass in Deutschland rund 300.000 Stellen davon betroffen sind. Das Bundesjustizministerium geht von 9000 aus.
Betroffene Anbieter müssen eine Niederlassung oder einen gesetzlichen Vertreter in der EU benennen, die Anordnungen entgegennehmen. Das gilt ausdrücklich auch für Unternehmen, die keinen Sitz in der EU haben, sofern sie ihre Dienste auf dem europäischen Binnenmarkt anbieten. Der Datenaustausch läuft über ein digitales EU-Portal, an das sich Anbieter per Webinterface oder Programmierschnittstelle (API) anbinden sollen. Für Eilfälle müssen die Vertreter zudem rund um die Uhr erreichbar sein.