Seit dem 18. August 2026 gilt in der Europäischen Union die Verordnung über elektronische Beweismittel, oft kurz E-Evidence-Verordnung genannt. Ihr Ziel klingt zunächst technisch, hat aber einen sehr praktischen Hintergrund: Ermittlungsbehörden sollen bei grenzüberschreitenden Strafverfahren bestimmte digitale Daten schneller bei einem Anbieter in einem anderen EU-Staat anfordern können. Das betrifft Dienste, die viele Menschen täglich nutzen, etwa E-Mail, Messenger, Online-Speicher, soziale Netzwerke oder Domain- und IP-Dienste.

Die neue Regel ist kein Freifahrtschein für einen allgemeinen Zugriff auf private Chats. Sie schafft ein Verfahren für konkrete Ermittlungen, mit vorgegebenen Zuständigkeiten, Datenkategorien, Fristen und Rechtsbehelfen. Entscheidend ist deshalb die Unterscheidung zwischen einer gezielten Anordnung in einem Strafverfahren und der Vorstellung, Behörden könnten nun beliebig Messenger-Konten durchsuchen. Letzteres folgt aus der Verordnung gerade nicht.

Für Nutzerinnen und Nutzer ist vor allem wichtig: Die Daten liegen nicht automatisch bei einer deutschen Stelle, nur weil man in Deutschland lebt. Ein Cloudkonto kann von einem Unternehmen mit Sitz in einem anderen EU-Staat oder außerhalb der EU betrieben werden. Die neuen Regeln sollen den Weg zu dem in der EU benannten Ansprechpartner des Dienstes vereinheitlichen. Sie ändern aber weder die Ende-zu-Ende-Verschlüsselung einer Nachricht noch ersetzen sie die strafprozessualen Voraussetzungen für staatliche Maßnahmen.

Was am 18. August 2026 in Kraft getreten ist

Kernstück ist die Verordnung (EU) 2023/1543 über Europäische Herausgabeanordnungen und Europäische Sicherungsanordnungen für elektronische Beweismittel. Sie ist seit dem 18. August 2026 anwendbar. Ergänzend verpflichtet die Richtlinie (EU) 2023/1544 bestimmte Anbieter, eine Niederlassung oder einen gesetzlichen Vertreter in der EU zu benennen. Die Richtlinie galt bereits ab Februar 2026, die Verordnung regelt nun das eigentliche grenzüberschreitende Anordnungsverfahren.

Vorher mussten Behörden für Daten in einem anderen Staat häufig Instrumente der Rechtshilfe oder die Europäische Ermittlungsanordnung nutzen. Das kann sinnvoll und rechtlich nötig bleiben, dauert aber je nach Fall länger. Nun kann eine zuständige Behörde eines Mitgliedstaats ein standardisiertes Zertifikat unmittelbar an den benannten EU-Ansprechpartner eines Dienstanbieters in einem anderen Mitgliedstaat übermitteln. Die Europäische Kommission nennt als Regelantwortzeit zehn Tage. In einem gesetzlich definierten Eilfall sind es acht Stunden.

Schneller heißt dabei nicht schrankenlos. Die Frist beschreibt, wann der Adressat auf eine zulässige Anordnung reagieren muss. Sie macht weder aus jeder Information ein Beweismittel noch hebt sie Anforderungen wie Erforderlichkeit, Verhältnismäßigkeit, richterliche Beteiligung in den vorgesehenen Fällen oder Schutzrechte auf. Die Verordnung gilt unmittelbar, die konkrete Durchführung bleibt jedoch mit nationalem Strafverfahrensrecht, zuständigen Stellen und technischen Kommunikationswegen verbunden.

Für welche Verfahren die Regeln bestimmt sind

Die Verordnung betrifft ausschließlich Strafverfahren sowie einen eng beschriebenen Sonderfall bei der Vollstreckung einer mindestens viermonatigen freiheitsentziehenden Strafe oder Maßnahme nach einem Strafverfahren, wenn die verurteilte Person sich der Justiz entzogen hat. Auch Verfahren wegen einer Straftat, für die eine juristische Person verantwortlich gemacht oder bestraft werden kann, können erfasst sein. Zivilstreitigkeiten, familienrechtliche Auseinandersetzungen oder allgemeine Verwaltungsanfragen erhalten dadurch kein neues Schnellverfahren.

Eine zentrale Grenze lautet daher: Es geht nicht um eine Auskunft auf Wunsch einer Privatperson, eines Unternehmens oder einer beliebigen Behörde. Eine Anordnung muss im Rahmen und für Zwecke eines Strafverfahrens ergehen. Die ausstellende Stelle muss außerdem prüfen, ob die Maßnahme notwendig und verhältnismäßig ist. Die Verordnung lässt die Grundrechte aus der EU-Grundrechtecharta ausdrücklich unberührt, darunter Privat- und Familienleben, Datenschutz, wirksamer Rechtsschutz sowie Presse- und Meinungsfreiheit.

Auch die Verteidigung ist nicht vollständig außen vor. Nach Artikel 1 kann eine verdächtige oder beschuldigte Person beziehungsweise ihre Rechtsanwältin oder ihr Rechtsanwalt im Rahmen der nationalen Verteidigungsrechte beantragen, dass eine europäische Herausgabe- oder Sicherungsanordnung erlassen wird. Ob und wie ein solcher Antrag Erfolg hat, richtet sich nicht allein nach dem EU-Text, sondern auch nach dem anwendbaren nationalen Strafverfahrensrecht.

Welche Anbieter und Dienste in den Blick kommen

Die Regeln richten sich an Dienstanbieter, die Dienste in der Union anbieten. Dazu zählen elektronische Kommunikationsdienste, Internet-Domainnamen- und IP-Nummerierungsdienste sowie bestimmte Dienste der Informationsgesellschaft. Letztere müssen entweder Kommunikation zwischen Nutzerinnen und Nutzern ermöglichen oder Daten im Auftrag der Nutzer speichern oder verarbeiten. Deshalb können Messenger, Webmail, Cloudspeicher oder Plattformen in den Anwendungsbereich fallen. Finanzdienstleistungen sind von der Definition ausgenommen.

Die Einordnung hängt von der konkreten Dienstleistung ab, nicht vom Etikett einer App. Ein Anbieter kann mehrere Funktionen verbinden, etwa Kommunikation, Dateispeicherung und Identitätsverwaltung. Für eine Anordnung muss trotzdem klar sein, welche Daten zu welchem Dienst verlangt werden. Die Kategorie sagt ebenso wenig darüber aus, ob Daten tatsächlich vorhanden sind. Nicht gespeicherte Inhalte kann ein Anbieter nicht nachträglich herbeischaffen, und eine Sicherungsanordnung schafft keine Aufzeichnungspflicht für künftige Kommunikation.

Besonders relevant ist die Vertretung in der EU. Auch ein Unternehmen ohne Niederlassung in dem Staat der ermittelnden Behörde kann einen in der EU benannten Ansprechpartner haben. Dieser soll Anordnungen entgegennehmen, ihre Befolgung organisieren und gegebenenfalls an Vollstreckungsverfahren teilnehmen. Das ist vor allem ein Zustell- und Verantwortungsmechanismus. Es bedeutet nicht, dass ein EU-Vertreter eigene Zugangsdaten zu allen Konten besitzt oder technische Schutzmaßnahmen umgehen darf.

Vier Datenarten, unterschiedliche Eingriffstiefe

Die Verordnung unterscheidet Teilnehmerdaten, Daten zur Nutzeridentifizierung, Verkehrsdaten und Inhaltsdaten. Teilnehmerdaten betreffen etwa Angaben zu einer Person, die einen Dienst abonniert oder registriert hat. Daten zur Nutzeridentifizierung dienen ausschließlich dazu, einen Nutzer zu identifizieren, beispielsweise soweit sie zur Zuordnung eines Kontos oder einer Kennung nötig sind. Verkehrsdaten beziehen sich auf die Übermittlung oder den Verlauf einer Kommunikation, etwa Zeitpunkt, Dauer, Absender- oder Empfängerkennung und gegebenenfalls Standortdaten. Inhaltsdaten sind der eigentliche Kommunikations- oder Dateiinhalte.

Diese Begriffe sind keine Garantie, dass jede Information immer eindeutig nur in eine Schublade fällt. Bei einem Cloudkonto können beispielsweise Kontodaten, Loginprotokolle, Datei-Metadaten und gespeicherte Dokumente rechtlich verschieden zu bewerten sein. Für Betroffene ist die Einteilung dennoch wichtig, weil die Verordnung an sie unterschiedliche Voraussetzungen knüpft. Es ist ein großer Unterschied, ob eine Behörde die Inhaberin eines Accounts identifizieren will oder ob sie den Inhalt einer Nachricht oder Datei verlangt.

Für Teilnehmerdaten und Daten, die ausschließlich der Identifizierung dienen, kann eine Herausgabeanordnung grundsätzlich für jede Straftat in Betracht kommen, wenn die weiteren Bedingungen erfüllt sind. Verkehrsdaten, die nicht nur der Identifizierung dienen, und Inhaltsdaten unterliegen höheren Schwellen. Sie dürfen grundsätzlich nur bei Straftaten angeordnet werden, die im Ausstellungsstaat mit einer Höchststrafe von mindestens drei Jahren bedroht sind, oder bei bestimmten ausdrücklich genannten Delikten. Die Maßnahme darf also nicht allein deshalb erfolgen, weil ein Messenger genutzt wurde.

Herausgabe sichern, aber nicht heimlich alles sammeln

Die Europäische Herausgabeanordnung verlangt die Übermittlung bereits vorhandener elektronischer Beweismittel. Ihr steht die Europäische Sicherungsanordnung gegenüber. Diese verpflichtet den Anbieter, konkret bezeichnete Daten vor Löschen, Entfernen oder Veränderung zu bewahren, damit anschließend über eine Herausgabeanordnung, Rechtshilfe oder eine Europäische Ermittlungsanordnung weiter vorgegangen werden kann. Sichern ist nicht gleich herausgeben: Nach einer Sicherung bekommt die ausstellende Stelle den Inhalt nicht automatisch.

Die Sicherung soll eine Lücke schließen, wenn Daten wegen kurzer Speicherfristen oder nutzerseitiger Löschung verloren gehen könnten. Sie muss ebenfalls notwendig und verhältnismäßig sein und die Rechte der verdächtigen oder beschuldigten Person berücksichtigen. Die Verordnung sieht für die anfängliche Sicherung grundsätzlich 60 Tage vor. Sie kann unter den gesetzlichen Bedingungen um weitere 30 Tage verlängert werden. Danach muss eine nachfolgende Anforderung erfolgen oder der Sicherungsstatus endet.

Für die Praxis bedeutet das: Eine Sicherungsanordnung ist kein unbefristetes Einfrieren eines kompletten Kontos. Sie muss Daten so genau beschreiben, dass der Anbieter bestimmen kann, was zu erhalten ist. Niemand sollte daraus den Schluss ziehen, eine Behörde erhalte vorsorglich Zugriff auf alle künftigen Chats. Die Verordnung betrifft vorhandene elektronische Beweismittel und eine gezielte Sicherung bestehender Daten, nicht eine generelle Dauerüberwachung.

Wer eine Anordnung ausstellen oder bestätigen muss

Die Verordnung verlangt je nach Datenart und Konstellation eine richterliche oder staatsanwaltschaftliche Verantwortung. Eine Europäische Herausgabeanordnung kann durch eine Richterin, einen Richter, ein Gericht oder unter bestimmten Voraussetzungen durch eine Staatsanwältin oder einen Staatsanwalt ausgestellt oder bestätigt werden. Bei Verkehrsdaten, die nicht ausschließlich der Identifizierung dienen, und bei Inhaltsdaten ist eine Richterin, ein Richter oder ein Gericht als ausstellende oder bestätigende Stelle vorgesehen. Für Sicherungsanordnungen gelten eigene Zuständigkeitsregeln.

Das ist nicht bloß Formalie. Das Zertifikat muss unter anderem die ausstellende Behörde, die betroffene Person oder Kennung, die angeforderten Daten, die Rechtsgrundlage, den Sachverhalt, die Straftat und die Gründe für Erforderlichkeit und Verhältnismäßigkeit benennen. Der Anbieter soll die Anordnung dadurch prüfen und zustellen können. Eine pauschale Formulierung wie „alle Daten zu diesem Dienst“ genügt dem Gedanken einer gezielten Beweiserhebung nicht.

Bei bestimmten Herausgabeanordnungen informiert die ausstellende Stelle außerdem die Behörde des Staates, in dem der Anbieter niedergelassen oder vertreten ist. Diese Benachrichtigung kann der dortigen Behörde eine Prüfung und unter gesetzlich bestimmten Gründen ein Einschreiten ermöglichen. Die Details hängen unter anderem von Datenart, Aufenthaltsort der betroffenen Person und Ausnahmevorschriften ab. Wer einen konkreten Fall beurteilen muss, sollte deshalb nicht aus einer Medienmeldung auf den ganzen Verfahrensablauf schließen.

Zehn Tage, acht Stunden: Was die Fristen wirklich sagen

Die häufig zitierten Fristen sind wichtig, aber leicht misszuverstehen. Bei einer ordnungsgemäß übermittelten Herausgabeanordnung soll der Adressat die Daten grundsätzlich binnen zehn Tagen bereitstellen oder die Unmöglichkeit der Ausführung mitteilen. Bei einem Eilfall muss er binnen acht Stunden reagieren. Ein Eilfall setzt voraus, dass eine unmittelbare Gefahr für Leben, körperliche Unversehrtheit oder die Sicherheit einer Person besteht oder für eine kritische Infrastruktur oder deren Betriebsfähigkeit.

Die Acht-Stunden-Regel ist somit nicht für jede als dringend empfundene Ermittlung gedacht. Sie sagt auch nicht, dass eine Behörde binnen acht Stunden den gesamten Nachrichtenverlauf auf einem Telefon oder in einer App lesen kann. Es geht um die Reaktion des adressierten Dienstanbieters auf ein formales Ersuchen zu konkret bestimmten, bei ihm vorhandenen Daten. Technische Verfügbarkeit, Umfang der Daten, Verschlüsselungsarchitektur und rechtliche Einwände können weiterhin entscheidend sein.

Die Europäische Kommission hat nach Start der Anwendung eigene Hinweise zur Fristberechnung veröffentlicht. Das zeigt, dass der Zeitrahmen rechtlich präzise gehandhabt werden muss. Für Betroffene ist ein nüchterner Blick sinnvoller als Schlagworte über „Sofortzugriff“: Schneller wird vor allem der grenzüberschreitende Behörden- und Anbieterweg, nicht die Reichweite staatlicher Befugnisse ins Unbegrenzte.

Warum Ende-zu-Ende-Verschlüsselung weiterhin eine technische Grenze ist

Eine rechtmäßige Anordnung verpflichtet einen Anbieter nur im Rahmen dessen, was er speichern und herausgeben kann. Viele Messenger nutzen Ende-zu-Ende-Verschlüsselung so, dass Inhalte auf dem Übertragungsweg und beim Anbieter nicht im Klartext verfügbar sind. Die E-Evidence-Verordnung verpflichtet keinen Dienst, eine Hintertür zu entwickeln, Verschlüsselung zu schwächen oder Daten zu erzeugen, die er nicht besitzt. Sie ist ein Verfahrensrecht für grenzüberschreitende Beweismittel, kein Gesetz zur Aufhebung kryptografischer Schutzmechanismen.

Das bedeutet nicht, dass bei verschlüsselten Diensten niemals Informationen verfügbar sind. Je nach Anbieter, Einstellung und Zeitpunkt können etwa Teilnehmerdaten, bestimmte Verbindungsdaten, Cloud-Backups oder unverschlüsselt gespeicherte Inhalte vorhanden sein. Ob dies im Einzelfall zutrifft und unter welchen Voraussetzungen es verlangt werden darf, lässt sich nicht aus dem Namen eines Messengers ableiten. Wer seine Privatsphäre schützen möchte, sollte die Sicherheits- und Backup-Einstellungen des konkreten Dienstes kennen, statt sich auf pauschale Versprechen zu verlassen.

Umgekehrt sollten Debatten über Verschlüsselung nicht den Eindruck erzeugen, sie stehe außerhalb des Rechts. Ermittlungen können auf viele rechtliche Wege und Beweisquellen gestützt werden. Die neue Verordnung regelt jedoch nicht den Zugriff auf ein Endgerät selbst. Eine Durchsuchung oder Beschlagnahme eines Smartphones folgt anderen Voraussetzungen nach nationalem Recht und gegebenenfalls anderen EU-Instrumenten.

Rechte, Einwände und Schutz besonders sensibler Daten

Der Rechtsweg bleibt ein wesentlicher Teil des Systems. Personen, deren Daten betroffen sind, sollen nach der Verordnung wirksame Rechtsbehelfe im Ausstellungsstaat nutzen können. Dabei können sie unter anderem die Rechtmäßigkeit, Notwendigkeit und Verhältnismäßigkeit einer Herausgabe- oder Sicherungsanordnung anfechten. Der Rechtsschutz richtet sich nach den anwendbaren Verfahrensregeln. Ob Betroffene sofort informiert werden, kann im Strafverfahren aus Ermittlungsgründen zeitlich begrenzt sein, doch eine solche Begrenzung ist nicht mit dem Wegfall aller Rechte gleichzusetzen.

Anbieter können Einwände erheben, wenn sie eine Anordnung nicht erfüllen können oder wenn sie Rechte, Immunitäten oder Privilegien berührt sehen. Für Konflikte mit Verpflichtungen aus dem Recht eines Drittstaats enthält die Verordnung ein eigenes Prüfverfahren. Bei bestimmten Daten kann zudem der Staat der Niederlassung oder Vertretung die Anerkennung oder Vollstreckung aus näher geregelten Gründen ablehnen, etwa wegen Immunitäten, Privilegien oder Schutzvorschriften für Pressefreiheit und freie Meinungsäußerung.

Das sind keine Garantien für ein bestimmtes Ergebnis in jedem Einzelfall. Sie zeigen aber, dass das Verfahren mehrere Kontrollpunkte kennt. Gerade Journalistinnen, Berufsgeheimnisträger, Rechtsanwälte und andere Personen mit besonders geschützten Kommunikationsbeziehungen sollten bei einer konkreten Betroffenheit rasch unabhängigen Rechtsrat einholen. Allgemeine Online-Information kann die Prüfung einer Anordnung und des einschlägigen nationalen Rechts nicht ersetzen.

Was Nutzerinnen und Nutzer jetzt sinnvoll tun können

Die Verordnung verlangt keine neue Registrierung, keine Zustimmung und keine App-Aktualisierung von Privatpersonen. Für den Alltag ist vor allem ein bewusster Umgang mit den eigenen Daten sinnvoll. Prüfen Sie, welche Cloud-Backups für Chats aktiviert sind, welche Geräte Zugriff auf Ihr Konto haben und welche Informationen ein Dienst nach seinen Datenschutzhinweisen speichert. Das ist keine Anleitung, Beweise zu verbergen. Es hilft, die eigene digitale Ablage nachvollziehbar und sicher zu halten.

Aktivieren Sie Mehrfaktor-Authentifizierung, halten Sie Betriebssystem und Apps aktuell und verwenden Sie unterschiedliche, starke Passwörter. Diese Maßnahmen schützen vor Kontodiebstahl und unbefugtem Zugriff durch Dritte. Wer ein Konto löscht, Daten verschiebt oder Backups ändert, um eine laufende Ermittlung zu vereiteln, kann rechtliche Folgen riskieren. Bei einem konkreten behördlichen Schreiben oder einer Beschlagnahme ist es vernünftig, nichts überstürzt zu verändern und juristischen Rat einzuholen.

Das neue EU-Verfahren verdient Aufmerksamkeit, weil digitale Spuren in grenzüberschreitenden Strafverfahren oft entscheidend sind. Es ist aber präziser, von beschleunigten, formgebundenen Auskunfts- und Sicherungswegen zu sprechen als von einem pauschalen Zugriff auf Cloud oder Messenger. Wer diese Grenze kennt, kann Schlagzeilen besser einordnen und zugleich die eigenen Konten verantwortungsvoll absichern.