Wenn man als Deutscher künftig in einem Hotel in Barcelona übernachtet und gleichzeitig in diesem Hotel ein schwerer Raubüberfall stattfindet, dann könnte es sein, dass die spanische Justiz an die Tür klopft. Allerdings nicht an die eigene, sondern an die des Providers zu Hause, mit dessen E-Mail-Adresse man in dem Hotel eingecheckt hat. Die spanischen Behörden interessieren sich von allem für den Kommunikationsverkehr, die IP-Adresse und Standortdaten.

Die EU-Kommission hat im vergangenen Jahr eine – in der öffentlichen Diskussion bislang weitgehend unbeachtete – Verordnung (»E-Evidence-Verordnung«) vorgelegt, die den grenzüberschreitenden Zugang zu elektronischen Beweismitteln erleichtern will. Diensteanbieter wie etwa Cloud-Anbieter oder Internetprovider sind künftig verpflichtet, bei Straftaten Teilnehmer- oder Zugangsdaten auch an Strafverfolgungsbehörden anderer EU-Mitgliedstaaten herauszugeben. Dazu soll das Rechtsinstitut einer »Europäischen Herausgabeanordnung« geschaffen werden, das von einem Richter, einem Gericht oder Staatsanwalt in dem jeweiligen Anordnungsstaat erlassen werden kann.

Bislang war es so, dass etwa bei einem Mord in Rom die italienische Justiz Daten von Personen mit italienischem Wohnsitz auswertete. In Zukunft könnten die Ermittlungen europaweit ausgedehnt werden. In der Verordnung heißt es: »Daten im Besitz von Anbietern von Internet-Infrastrukturdiensten wie Domänennamen-Registrierstellen und -Registern (…) können in Strafverfahren wichtig werden, da sie Spuren zur Identifizierung von an strafbaren Handlungen beteiligten Personen oder Einrichtungen liefern können.«

Die Kommission begründet die Harmonisierung mit einer Zersplitterung der Rechtslandschaft. Bei Straftaten komme es häufig vor, dass Infrastruktur und Diensteanbieter unter einen anderen nationalen Rechtsrahmen innerhalb oder außerhalb der Union fallen als das Opfer oder der Straftäter. In der Folge könne es für das zuständige Land »sehr zeitaufwändig und schwierig werden, sich ohne gemeinsame Mindestvorschriften über Grenzen hinweg Zugang zu elektronischen Beweismitteln zu verschaffen«.

Schnell kann aus der Anforderung elektronischer Beweismittel eine anlasslose Rasterfahndung werden

Das Problem aus Sicht der EU: In vielen Fällen werden die Daten nicht auf dem Gerät eines Nutzers gespeichert, sondern in der Cloud eines anderen Landes. Die nationalen Strafverfolgungsbehörden haben daher meist keinen Hebel, auf Daten von Straftätern zuzugreifen, wenn diese in einer Cloud im Ausland liegen. Die Verordnung sollte daher »nicht vom tatsächlichen Standort der Niederlassung des Diensteanbieters« abhängen. Parallel dazu haben die USA mit dem Cloud Act eine Verordnung erlassen, der US-Behörden den Datenzugriff auf US-Unternehmen wie Google, Microsoft und Facebook, die auf europäischem Hoheitsgebiet Dienste erbringen, erleichtert.

Der Datenkatalog, zu dessen Herausgabe die Diensteanbieter verpflichtet sind, ist äußerst umfangreich: Dazu gehören unter anderem einschlägige Angaben zur Identität des Nutzers/Teilnehmers wie Name, Anschrift, Geburtsdatum sowie Kreditkarteninformationen, Transaktionsdaten, Verkehrsdaten, Datenvolumen, Tickets, Kaufhistorie, Kontaktlisten, Historie über Prepaid-Aufladevorgänge. Sogar Anrufversuche und die ID der Basisstation müssen herausgegeben werden. Das bisherige Rahmenabkommen zum Austausch elektronischer Beweismittel galt als zu langsam und soll neu verhandelt werden.

Datenschützer haben sich bereits in Stellung gebracht. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) betrachtet die vorgesehene Abkehr vom Grundsatz der doppelten beziehungsweise beiderseitigen Strafbarkeit mit großer Sorge. »Erstmals im Bereich der internationalen Zusammenarbeit in Strafsachen soll die Herausgabe von Daten nicht mehr davon abhängig sein, ob die verfolgte Tat dort, wo die Daten ersucht werden, überhaupt strafbar ist«, heißt es in einer Stellungnahme. Im Ergebnis könnten Unternehmen mit Sitz in Deutschland zur Herausgabe von Daten an Ermittlungsbehörden in anderen EU-Mitgliedstaaten verpflichtet werden, obwohl die verfolgte Tat in Deutschland überhaupt keine Straftat ist. Zum Beispiel ein in Deutschland erlaubter Schwangerschaftsabbruch oder eine politische Meinungsäußerung, wenn diese im ersuchenden Staat unter Strafe steht.

Die DSK kritisiert zudem, dass die Justizbehörden des Staats, in dem der Provider seinen Sitz hat, im Regelfall gar nicht über die Abfrage informiert geschweige denn beteiligt werden müssten. Damit fehle ein »wichtiges verfahrensrechtliches Korrektiv«.

Auch die Bundesregierung sieht das Vorhaben kritisch. In einem Hintergrundpapier des Bundesjustizministeriums, das das Portal »Netzpolitik« veröffentlicht hat, heißt es: »Die Legislativvorschläge zu ›E-Evidence‹ werfen Fragen von hoher Grundrechtsrelevanz auf, die aus Sicht der Bundesregierung noch nicht zufrieden stellend gelöst sind.« Die Schutzmechanismen seien »nicht wasserdicht«. Vor allem unterschiedliche Rechtsstandards in den einzelnen Mitgliedstaaten sind es, auf die sich die Bedenken des Ministeriums beziehen.

Als Beispiel wird in dem Papier der fiktive Fall eines Klimaaktivisten angeführt, der bei einer Demonstration in einem Mitgliedstaat X mit anderen regierungskritischen Aktivisten festgenommen wird. Ein Unbeteiligter, der die Festnahme mit seiner Handykamera dokumentiert, lädt das Video auf ein deutsches Videoportal hoch. Nutzer aus verschiedenen Mitgliedstaaten bekunden in den Kommentarspalten ihre Solidarität. Darunter ist auch P aus Deutschland. Die Staatsanwaltschaft aus X erlässt eine Europäische Herausgabeanordnung an den Provider in Deutschland, verbunden mit der Aufforderung, Bestands-, Verkehrs- und Inhaltsdaten aller Beteiligten herauszugeben – von der Person, die das Video hochgeladen hat, sowie von allen, die Kommentare gepostet haben. Die deutsche Staatsanwaltschaft, die diese Datenabfrage für unverhältnismäßig hält, erhebt bei den Kollegen in X Einspruch. Dieses Veto bleibt beim Vollstreckungsstaat jedoch unbeachtet, so dass der Provider die Daten herausgeben muss.

Man braucht nicht viel Fantasie, um sich vorzustellen, dass die Juristen, die diesen Fall ersonnen haben, dabei an EU-Mitgliedsstaaten wie Polen oder Ungarn gedacht haben – Länder, in denen ein massiver Rückbau des Rechtsstaats stattfindet. Ein deutscher Bürger kann sich bei einer Datenabfrage aus dem EU-Ausland nicht mehr allein auf deutsche Grundrechte berufen. Der Fall zeigt, wie schnell die Anforderung elektronischer Beweismittel in eine anlasslose Rasterfahndung münden kann, bei der auch Daten Unbeteiligter abgegriffen werden. In den USA hat die Polizei schon häufiger Durchsuchungsbefehle erwirkt, um Google-Konten von Personen zu durchsuchen, die ausweislich ihrer Standortdaten in der Nähe des Tatorts waren – was in einem Fall zu einer falschen Verdächtigung und Verhaftung führte. So groß die Verlockung ist, digitale Spuren zu sichern, so groß ist die Gefahr, dass bei der Nutzung elektronischer Beweismittel Unschuldige in Verdacht geraten.