E-Evidence: Was die neuen Fristen für Diensteanbieter bedeuten

Seit dem 18. August 2026 gelten für digitale Diensteanbieter neue Abläufe bei grenzüberschreitenden Ermittlungsanfragen. Behörden aus anderen EU-Staaten können elektronische Beweismittel nun direkt bei den Unternehmen anfordern oder verlangen, dass Daten gesichert werden. Dafür gibt es zwei Instrumente: EPOC (European Production Order Certificate) zur Herausgabe und EPOC-PR (European Preservation Order Certificate) zur Sicherung von Daten. Der Verband eco – Verband der Internetwirtschaft e. V. veröffentlichte dazu ein Interview mit Mathias Handsche, Geschäftsführer des neuen eco Mitglieds EviGate.

Handsche beschreibt die Folgen für den Alltag so: Anbieter müssen einen neuen Kanal für Ermittlungsersuchen überwachen, für die sie auskunftspflichtig sind. Antworten sie nicht innerhalb der vorgeschriebenen Zeiträume, drohen Bußgelder. Große Provider erhielten womöglich Dutzende Anfragen am Tag, kleine nur ein oder zwei im Jahr, manche nie. Für diese kleinen Anbieter biete EviGate eine Art Abonnement mit sehr geringer Grundgebühr und ohne weitere laufende Kosten, das ein sofortiges Eingreifen ermögliche.

Die beiden Instrumente unterscheiden sich laut Handsche deutlich. EPOC entspreche in etwa den Bestands- und Verkehrsdatenanfragen, die deutsche Provider schon kennen, betreffe nun aber Straftaten im Ausland und komme von vielen europäischen Institutionen. EPOC-PR ähnele einer Quick-Freeze-Verfügung: Die Daten werden bei Eingang gespeichert und vor der regulären Löschung bewahrt, bis meist ein Richter die Herausgabe verlangt. Erfolgt darauf keine Reaktion, lassen sich die Daten nach Ablauf einer festgelegten Frist löschen.

Als eine der größten Schwierigkeiten nennt er die Prüfung der Rechtmäßigkeit. Ob eine Auskunft, die etwa nach spanischem Strafrecht verlangt wird, auch nach deutschem Recht zulässig ist, beantworte EviGate mit einem Pool an Rechtsanwälten, der sich kurzfristig einschalten kann. Bei EPOC gilt normalerweise eine Frist von zehn Tagen. Geht es um Gefahr für Leib und Leben oder um Bedrohungen kritischer Infrastrukturen, sind es nur acht Stunden. Dann laufe die Prüfung der Zulässigkeit ins Leere, so Handsche: Man müsse die Daten liefern und könne nur nachträglich ihre Löschung fordern, mit dem Risiko, dass Betroffene wegen der Weitergabe ohne Rechtsgrundlage klagen.

Die höchste Hürde sieht Handsche bei Unternehmen, die bisher nie mit TKÜ-Maßnahmen zu tun hatten. Der Geltungsbereich der Verordnung reicht deutlich über die bislang üblichen Telekommunikations- und Internetanbieter hinaus, denn digitale Dienste insgesamt sind erfasst. Für viele Firmen sei das Thema deshalb neu. EviGate helfe bei der Registrierung, bei Dienstangeboten, Datenarten und -formaten, bei der Kommunikation und bei der rechtlichen Prüfung der Anordnungen.

Die erste Bilanz nach gut einem Monat fällt kritisch aus. Nach Handsches Worten ist der Stand der Vorbereitungen in zahlreichen europäischen Staaten „beschämend“, obwohl die Verordnung seit drei Jahren gilt. Der 18. August 2026 markierte nur das Ende der Übergangsfristen. Auf seiner Webseite führt EviGate eine Europa-Karte zu Gesetzgebung und technischer Bereitschaft der Mitgliedstaaten. Theoretisch könnten EPOC- oder EPOC-PR-Anordnungen bislang allein aus den wenigen grün markierten Staaten stammen. Der „Fleckenteppich“ nützt weder der Rechtssicherheit der Anbieter noch der Strafverfolgung.

Hintergrund

Die E-Evidence-Verordnung regelt Europäische Herausgabeanordnungen und Europäische Sicherungsanordnungen für elektronische Beweismittel in Strafverfahren. Laut Wikipedia gilt eine Herausgabeanordnung mit einer Frist von 10 Tagen, in Eilfällen mit unmittelbar drohender Gefahr für Leib und Leben oder kritische Infrastrukturen verkürzt auf 360 Minuten. Das Bundesjustizministerium nannte in einer Pressemitteilung für Notfälle eine Frist von acht Stunden.

Laut Wikipedia haben Unternehmen, die gewerblich Nutzerkonten anbieten und dabei Daten sammeln, eine Niederlassung oder einen gesetzlichen Vertreter in der EU zu benennen, der Anordnungen annimmt. Diese Pflicht betrifft ebenso Firmen mit Sitz außerhalb der EU, sofern sie im EU-Binnenmarkt tätig sind, und schließt kleine Foren- sowie Shop-Betreiber mit ein. Die Anbindung an ein EU-Portal erfolgt über eine Weboberfläche oder eine API-Schnittstelle. Für Eilfälle muss ein Vertreter rund um die Uhr erreichbar sein.

Hierzulande überwacht laut Wikipedia das Bundesamt für Justiz (BfJ), ob sich Anbieter registrieren und Anfragen rechtzeitig beantworten. Wer dem nicht nachkommt, muss mit Bußgeldern von bis zu 500.000 € rechnen.

Eigene Einschätzung

Für kleine Anbieter ist die Verordnung vor allem eine Organisationsaufgabe: Wer nicht weiß, wer Anordnungen entgegennimmt und wer sie rechtlich prüft, gerät bei kurzen Fristen unter Druck. Das Interview stammt von einem Dienstleister, der genau dafür ein Angebot verkauft, die Darstellung ist also nicht neutral. Offen bleibt, wie gut die Zusammenarbeit der Staaten tatsächlich funktioniert.