E-Evidence: Zehn Tage, dann liegen Mails beim Staat

5 Min. Lesezeit

Eine Anordnung aus einem anderen EU-Land landet jetzt im Postfach des Anbieters. Chatverläufe, Kundendaten und Standorte müssen in zehn Tagen raus, in Notfällen in acht Stunden.

Verwandt:NIS-2-Registrierung: Was die Chefetage jetzt tun muss  /  Art. 50 KI-VO: Was Betreiber ab August 2026 tun

Was ist E-Evidence? Digitale Teilnehmer-, Verkehrs- oder Inhaltsdaten, die Strafverfolger bei Anbietern sichern oder herausverlangen. Seit dem 18. August 2026 gilt die Verordnung (EU) 2023/1543; das deutsche Stammgesetz EBewMG steht seit dem 13. März 2026 im Bundesrecht.

Der Brief kommt direkt beim Anbieter an

Bisher ging der Weg über Behörden. Eine Staatsanwaltschaft im Ausland schickte ein Rechtshilfeersuchen oder eine Europäische Ermittlungsanordnung an die Behörde im Sitzstaat. Die prüfte, leitete weiter, wartete. Monate waren üblich. In dieser Zeit waren Chatverläufe oft schon gelöscht.

Die Verordnung (EU) 2023/1543 ändert den Adressaten. Strafverfolger eines Mitgliedstaats wenden sich direkt an den Diensteanbieter in einem anderen Mitgliedstaat. Zwei Instrumente tragen das neue Verfahren: die Europäische Herausgabeanordnung und die Europäische Sicherungsanordnung. Die eine verlangt die Daten. Die andere hält sie fest, bis die Herausgabe folgt.

Das Bundesamt für Justiz beschreibt den Bruch klar. Die Behörden des Sitzstaats behalten bei Verkehrs- und Inhaltsdaten eine Kontrollfunktion und können die Übermittlung in bestimmten Fällen innerhalb von zehn Tagen stoppen. Operativ geht der Vorgang künftig an den Behörden des Sitzstaats vorbei und läuft direkt über den Anbieter.

Das deutsche Stammgesetz EBewMG ist am 13. März 2026 in Kraft getreten. Es legt Zuständigkeiten, Abläufe und Rechtsschutz fest. Die Anwendung der Verordnung selbst beginnt am 18. August 2026 und erfasst alle Mitgliedstaaten außer Dänemark.

Drei Gruppen stehen auf der Liste

Der Begriff Diensteanbieter ist weit gefasst. Er erfasst natürliche und juristische Personen. Das BfJ nennt drei Kategorien.

Erste Gruppe: elektronische Kommunikationsdienste. Das BfJ nennt Messenger und Videokonferenzen, etwa Signal, WhatsApp und Zoom, dazu Internetzugangsdienste wie Telekom und Vodafone. Diese Dienste erleichtern die Interaktion zwischen Nutzern.

Zweite Gruppe: bestimmte Dienste der Informationsgesellschaft. Im BfJ-Text stehen Amazon, eBay, Google, Zalando und Meta, außerdem Cloud und Hosting. Gaming-Anbieter gehören dazu, wenn der Dienst Kommunikation oder Datenspeicher anbietet.

Dritte Gruppe: Dienste für Domainnamen und IP-Nummerierung, im Beispiel DENIC. Wer unsicher ist, nimmt das Prüfungsschema des BfJ, bevor jemand eine Adresse auf der Notification-Platform anlegt. Bereits tätige Anbieter sollten sich bis zum 18. August 2026 angemeldet haben. Neue Anbieter haben sechs Monate nach dem Start ihres Angebots in der Union. Der Anbieter als Adressat sitzt in einem teilnehmenden Mitgliedstaat, in dem der Dienst tatsächlich läuft.

Die Uhr läuft in Tagen und Stunden

Eine Herausgabeanordnung verlangt die Daten innerhalb von zehn Tagen. In Notfällen bleiben acht Stunden. Eine Sicherungsanordnung verlangt, die Daten unverzüglich festzuhalten. Das BfJ nennt diese Fristen in seinen E-Evidence-Informationen und FAQ.

Teilnehmerdaten beschreiben die Person: Name, Anschrift, Kontaktdaten, Art und Dauer des Dienstes. Verkehrsdaten beschreiben die Nutzung des Dienstes, etwa Ursprung und Ziel einer Nachricht oder den Standort eines Geräts. Inhaltsdaten sind der Rest im digitalen Format, Texte, Videos, Bilder.

Je empfindlicher die Daten, desto höher die Hürde. Für Teilnehmerdaten und identifizierende Verkehrsdaten gelten die Voraussetzungen einer Sicherungsanordnung. Inhaltsdaten und sonstige Verkehrsdaten brauchen mehr: eine Straftat mit Freiheitsstrafe im Höchstmaß von mindestens drei Jahren oder bestimmte Delikte aus den Bereichen Cyberkriminalität, Kinderpornografie, Fälschung unbarer Zahlungsmittel oder Terrorismus. Die Anordnung muss dann von einem Gericht oder einer Richterin bzw. einem Richter kommen.

Wer einer Anordnung nicht nachkommt, gerät ins Vollstreckungsverfahren. Der Anbieter kann der Anordnung formale Mängel, Unzuständigkeit, Immunitäten, Vorrechte und die Pressefreiheit entgegenhalten. Pflichtverletzungen können Geldbußen nach sich ziehen: Je nach Verstoß bis zu 500.000 Euro, bei bestimmten Verstößen alternativ bis zu zwei Prozent des weltweit im Vorjahr erzielten Gesamtumsatzes. Das BfJ überwacht als zentrale Behörde die Benennung des Empfangsbevollmächtigten durch die Adressaten und die Zusammenarbeit. Es vollstreckt keine einzelnen Anordnungen, schreitet aber ein, wenn ein Anbieter sich systematisch unkooperativ zeigt.

Zuerst den eigenen Dienst prüfen

Der praktische Schaden entsteht selten am ersten Brief. Er entsteht, wenn niemand die Anordnung entgegennehmen kann. Zehn Tage sind für eine Rechtsabteilung machbar. Acht Stunden nur, wenn klar ist, wer nachts das Postfach liest, wer die Daten findet und wer die Anordnung prüft.

Drei Fragen reichen. Bietet das Unternehmen einen der drei Diensttypen an, die das BfJ beschreibt? Sitzt ein Empfangsbevollmächtigter in einem teilnehmenden Mitgliedstaat? Ist dieser Bevollmächtigte auf der Notification-Platform hinterlegt?

Die Verordnung ersetzt Rechtshilfe und Europäische Ermittlungsanordnung nicht. Sie legt einen direkten Kanal daneben. Wer Hosting, Cloud, Marktplatz, Messenger oder Konferenzsoftware betreibt, braucht einen Prozess, der Anordnungen erkennt, Fristen hält und Einwände rechtzeitig erhebt. Ausgangspunkt sind Prüfungsschema und FAQ des BfJ.

Häufige Fragen

Bildquelle: KI-generiert (August 2026)