E-Evidence startet in der EU: Neue Pflichten für Cloud- und Hostinganbieter

Seit dem 18. August gelten in der Europäischen Union neue Regeln für den grenzüberschreitenden Zugriff auf elektronische Beweismittel. Ermittlungsbehörden können sich in vielen Fällen direkt an Diensteanbieter oder deren Vertreter in einem anderen EU-Staat wenden. Für Cloud-, Hosting- und Kommunikationsanbieter bringt E-Evidence damit neue Pflichten, enge Fristen und erhebliche Compliance-Risiken – zugleich bleibt umstritten, wie belastbar die vorgesehenen Schutzmechanismen in der Praxis sind.

Brüssel/Berlin, 21. August 2026. Der Zugriff auf digitale Beweismittel über Ländergrenzen hinweg soll in der Europäischen Union deutlich schneller werden. Seit dem 18. August ist die E-Evidence-Verordnung anwendbar. Sie ermöglicht es zuständigen Ermittlungs- und Justizbehörden, bestimmte elektronische Daten unmittelbar bei einem Diensteanbieter beziehungsweise dessen benannter Niederlassung oder rechtlichem Vertreter anzufordern.

Für die betroffenen Unternehmen ist das mehr als eine technische Verfahrensänderung. E-Evidence verlagert einen Teil der praktischen Verantwortung für grenzüberschreitende Ermittlungen direkt zu privaten Anbietern. Betroffen sein können unter anderem Kommunikationsdienste, Hostinganbieter, Cloud- und Speicherdienste sowie bestimmte Internet- und Domain-Dienste. Auch Unternehmen mit Hauptsitz außerhalb der EU können unter die Vorgaben fallen, wenn sie entsprechende Dienste innerhalb der Union anbieten.

Die aktuelle Folge des c't-Podcasts „Auslegungssache“ von Heise greift die Neuregelung zugespitzt unter der Frage einer „Datenherausgabe auf Zuruf“ auf. Als Beschreibung der Rechtslage wäre diese Formulierung jedoch zu pauschal. Die E-Evidence-Verordnung sieht ein formalisiertes Verfahren mit rechtlichen Voraussetzungen, unterschiedlichen Hürden je nach Datenart und Kontrollmechanismen vor.

E-Evidence verkürzt den Weg zu digitalen Beweismitteln

Im Zentrum der neuen Regeln stehen die Europäische Herausgabeanordnung und die Europäische Sicherungsanordnung. Sie sollen verhindern, dass Ermittlungen ins Stocken geraten, nur weil relevante Daten bei einem Anbieter in einem anderen Mitgliedstaat gespeichert sind.

Bislang führte der Weg häufig über klassische Rechtshilfeverfahren oder andere grenzüberschreitende Instrumente. Das konnte dauern. Nach Angaben der Europäischen Kommission nehmen traditionelle Rechtshilfeverfahren im Durchschnitt rund zehn Monate in Anspruch. Auch Europäische Ermittlungsanordnungen können demnach bis zu 120 Tage benötigen.

E-Evidence setzt deutlich kürzere Fristen. Für eine Europäische Herausgabeanordnung gilt grundsätzlich eine Frist von zehn Tagen. In gesetzlich definierten Notfällen kann sie auf höchstens acht Stunden sinken. Gemeint sind insbesondere Situationen, in denen eine unmittelbare Gefahr für Leben, körperliche Unversehrtheit oder Sicherheit einer Person besteht.

Der entscheidende Unterschied liegt jedoch nicht allein in der Geschwindigkeit. Eine zuständige Behörde eines Mitgliedstaates kann die Anordnung grenzüberschreitend direkt an die vorgesehene Stelle beim Diensteanbieter richten. Die Behörde des Staates, in dem das Unternehmen sitzt, muss damit nicht mehr in jedem Fall als vermittelnde Instanz eingeschaltet werden.

Nicht alle Daten unterliegen denselben Hürden

E-Evidence unterscheidet mehrere Kategorien elektronischer Informationen. Dazu zählen Teilnehmerdaten und Daten zur Identifizierung eines Nutzers ebenso wie Verkehrs- und Inhaltsdaten. Diese Differenzierung ist zentral, weil die Anforderungen an eine Herausgabe je nach Eingriffsintensität deutlich variieren.

Teilnehmerdaten und Informationen zur Nutzeridentifizierung können grundsätzlich im Zusammenhang mit allen Straftaten angefordert werden. Anders sieht es bei Verkehrs- und Inhaltsdaten aus. Für sie gelten strengere Voraussetzungen. Eine Herausgabe kommt im Regelfall nur bei Straftaten infrage, die im anordnenden Staat mit einer Höchstfreiheitsstrafe von mindestens drei Jahren bedroht sind, oder bei ausdrücklich erfassten Deliktsgruppen.

Hinzu kommt: Eine Anordnung muss notwendig und verhältnismäßig sein. Sie darf grundsätzlich nur ergehen, wenn eine vergleichbare Maßnahme unter entsprechenden Voraussetzungen auch in einem innerstaatlichen Verfahren zulässig wäre. Je nach Datenkategorie sind zudem die Beteiligung oder Validierung durch Justizbehörden vorgesehen.

Von einer freien oder voraussetzungslosen Datenherausgabe kann daher keine Rede sein. Dennoch verändert E-Evidence den bisherigen Ablauf spürbar. Der direkte Zugriff auf bei privaten Anbietern gespeicherte elektronische Beweismittel wird erleichtert und beschleunigt.

Cloud- und Hostinganbieter geraten stärker in die Pflicht

Für Unternehmen bringt E-Evidence vor allem neue organisatorische Anforderungen. Diensteanbieter werden unmittelbare Adressaten grenzüberschreitender strafrechtlicher Anordnungen. Ergänzend verpflichtet die Richtlinie EU 2023/1544 betroffene Unternehmen dazu, unter den dort festgelegten Voraussetzungen eine benannte Niederlassung oder einen rechtlichen Vertreter vorzuhalten.

Das betrifft nicht nur die großen Plattform- und Technologiekonzerne. Auch Unternehmen aus der Hosting-, Cloud-, Speicher- oder Kommunikationsbranche können unter die Vorgaben fallen. Entscheidend ist die jeweilige Dienstleistung, nicht die Bekanntheit des Anbieters.

In der Praxis müssen Unternehmen deshalb Strukturen schaffen, mit denen entsprechende Anordnungen zuverlässig entgegengenommen und fristgerecht bearbeitet werden können. Bei regulären Fällen bleiben zehn Tage. In einem Notfall können wenige Stunden entscheidend sein. Gerade bei international tätigen Anbietern wird damit aus einer rechtlichen Vorgabe schnell eine organisatorische und technische Compliance-Frage.

Hinzu kommt das mögliche finanzielle Risiko. Die Mitgliedstaaten müssen wirksame Sanktionen für Verstöße vorsehen. Nach der EU-Verordnung können Geldbußen bei Verstößen gegen Pflichten aus Herausgabe- oder Sicherungsanordnungen bis zu zwei Prozent des weltweiten Jahresumsatzes des Diensteanbieters im vorangegangenen Geschäftsjahr erreichen.

Wie groß der Aufwand tatsächlich wird, ist noch offen

Belastbare Zahlen über die tatsächlichen Kosten der neuen E-Evidence-Pflichten für Unternehmen liegen bislang nicht vor. Gerade für kleinere und mittlere Hosting- oder Cloudanbieter ist deshalb noch offen, wie stark sich Personal-, Prüf- und Bereitschaftsaufwand im laufenden Betrieb bemerkbar machen werden.

Auch zur Zahl der seit dem 18. August tatsächlich versandten Europäischen Herausgabeanordnungen gibt es derzeit keine belastbare öffentliche Echtzeitstatistik. Das erschwert eine frühe Bewertung der praktischen Auswirkungen. Rechtlich ist das System gestartet, über seine tatsächliche Nutzung lässt sich wenige Tage nach dem Anwendungsbeginn jedoch noch kaum verlässlich urteilen.

Der Streit dreht sich um Kontrolle und Grundrechte

Die Debatte über E-Evidence begleitet das Gesetz seit Jahren. Befürworter verweisen auf die Realität digitaler Ermittlungen: Daten liegen häufig nicht dort, wo eine Straftat untersucht wird. Schneller grenzüberschreitender Zugriff soll verhindern, dass Verfahren an langsamen Rechtshilfewegen scheitern oder Beweismittel zu spät gesichert werden.

Kritiker sehen dagegen Risiken für Rechtsschutz und Grundrechte. Im Mittelpunkt steht die Frage, wie zuverlässig geprüft wird, ob eine Anordnung mit besonderen Schutzrechten vereinbar ist. Dazu zählen unter anderem Berufsgeheimnisse, Immunitäten sowie die Presse- und Meinungsfreiheit.

Die Verordnung enthält hierfür Schutzmechanismen. Erkennt ein Diensteanbieter anhand einer Anordnung mögliche Konflikte mit solchen Rechten, kann er die zuständigen Behörden darauf hinweisen. Bei bestimmten Anordnungen zu Verkehrs- und Inhaltsdaten ist außerdem vorgesehen, die zuständige Behörde des Vollstreckungsstaates zu benachrichtigen. Unter den Voraussetzungen der Verordnung kann sie Ablehnungsgründe geltend machen.

Diese Kontrolle greift allerdings nicht in jedem Fall. Genau daran entzündete sich auch im deutschen Gesetzgebungsverfahren Kritik. Bei einer Sachverständigenanhörung des Deutschen Bundestages im Januar 2026 verwiesen Vertreter der Strafverfolgung auf die Vorteile eines schnelleren Zugriffs auf grenzüberschreitend gespeicherte Beweismittel. Andere Sachverständige äußerten Bedenken hinsichtlich gerichtlicher Kontrolle, Rechtsschutz sowie des Schutzes von Berufsgeheimnissen und Pressefreiheit.

Deutschland hat die europäischen Vorgaben flankiert

Die E-Evidence-Verordnung gilt unmittelbar in den Mitgliedstaaten. Für die praktische Durchführung waren dennoch nationale Regelungen erforderlich. Der Bundestag beschloss Ende Januar 2026 das Elektronische-Beweismittel-Umsetzungs-und-Durchführungsgesetz. Es schafft die nationalen Voraussetzungen für das europäische Verfahren.

Wichtig ist zugleich eine Abgrenzung, die in der öffentlichen Debatte leicht verloren geht: E-Evidence bezieht sich auf bereits gespeicherte elektronische Beweismittel. Die Verordnung führt keine allgemeine Befugnis zur laufenden Echtzeitüberwachung von Kommunikation ein.

Damit richtet sich das System etwa auf vorhandene Teilnehmer-, Verkehrs- oder Inhaltsdaten, sofern die gesetzlichen Voraussetzungen erfüllt sind. Der Zugriff bleibt an konkrete strafrechtliche Verfahren und formalisierte Anordnungen gebunden.

Der eigentliche Praxistest beginnt jetzt

E-Evidence verändert die grenzüberschreitende Strafverfolgung in Europa spürbar. Ermittler können elektronische Beweismittel schneller und direkter bei Diensteanbietern anfordern. Für Unternehmen bedeutet das: weniger Distanz zum Ermittlungsverfahren, kürzere Reaktionszeiten und höhere Anforderungen an interne Abläufe.

Die zugespitzte Formel von der Datenherausgabe „auf Zuruf“ trifft den Mechanismus deshalb nur teilweise. Die Hürden sind niedriger und die Wege kürzer geworden, verschwunden sind rechtliche Voraussetzungen und Kontrollen aber nicht. Entscheidend wird nun sein, wie Behörden, Gerichte und Diensteanbieter die neuen Regeln anwenden – und ob die vorgesehenen Schutzmechanismen auch unter dem Druck kurzer Fristen funktionieren.