E-Evidence trifft Praxis: Zwischen kurzen Fristen und rechtlicher Prüfung

Seit dem 18. August 2026 müssen sich digitale Diensteanbieter auf neue Verfahren für grenzüberschreitende Ermittlungsanfragen einstellen. Die europäische E-Evidence-Verordnung ermöglicht Behörden, elektronische Beweismittel direkt bei Diensteanbietern in anderen EU-Staaten anzufordern oder deren Sicherung zu verlangen. Mit EPOC und EPOC-PR kommen dafür bestimmte Verfahren, Fristen und Prüfpflichten auf die Unternehmen zu.

Im Interview erklärt Mathias Handsche, Geschäftsführer des neuen eco Mitglieds EviGate, wie sich die Regelungen im Arbeitsalltag auswirken, warum insbesondere kleinere und bislang kaum mit Behördenanfragen befasste Anbieter vor neuen Herausforderungen stehen und wo sich gut einen Monat nach dem Start noch Reibungsverluste bei der europäischen Umsetzung zeigen.

Seit dem 18. August 2026 gilt die europäische E-Evidence-Verordnung. Welche Veränderungen bringt sie für digitale Diensteanbieter ganz konkret im Arbeitsalltag?

Ganz grob vereinfacht: Da gibt es plötzlich einen neuen Kanal, den man auf grenzüberschreitende Ermittlungsersuchen überwachen muss, für die man als hiesiger Diensteanbieter auskunftspflichtig ist. Und zwar unter strenger Einhaltung von Fristen - wenn das nicht in den vorgeschriebenen Zeiträumen beantwortet wird, kann es Bußgelder hageln. Das wirkt sich unterschiedlich aus - die großen Provider bekommen vielleicht Dutzende von Anfragen pro Tag, kleine eine oder zwei im Jahr, vielleicht auch nie. EviGate ist vor allem für letztere enorm hilfreich, weil wir eine Art Abonnement abschließen, das jederzeit sofortiges Einschreiten ermöglicht, aber keine weiteren laufenden Kosten als die wirklich sehr geringe Grundgebühr verursacht.

Mit EPOC (European Production Order Certificate) und EPOC-PR (European Preservation Order Certificate) gibt es zwei unterschiedliche Instrumente - einmal zur Herausgabe, einmal zur Sicherung von Daten. Wo liegen für Diensteanbieter in der Praxis die wichtigsten Unterschiede bei Prüfung, Bearbeitung und interner Abstimmung?

EPOC entsprechen in etwa den Bestands- und Verkehrsdatenanfragen, die Provider in Deutschland bisher bereits von Ermittlungsbehörden übermittelt bekommen - nur betreffen die Anordnungen zur Herausgabe digitaler Beweismittel jetzt den grenzüberschreitenden Fall einer Straftat im Ausland, und sie kommen von einer Vielzahl europäischer Institutionen. EPOC-PR wäre dagegen einer Quick-Freeze-Verfügung ähnlich: Bei Eingang der Anordnung werden die Daten gespeichert und vor turnusgemäßer Löschung bewahrt, bis eine entsprechende, meist richterliche Aufforderung zur Herausgabe erfolgt - oder auch nicht, dann können die Daten nach einer bestimmten Frist zur Löschung freigegeben werden. Eine der größten Schwierigkeiten besteht grundsätzlich aber darin, die Rechtmäßigkeit einer Anordnung zu prüfen: Ist eine solche Auskunft, die zum Beispiel nach spanischem Strafrecht verlangt wird, auch unter Berücksichtigung des deutschen Rechts zulässig? Das ist die Kernfrage, die wir bei EviGate mit einem Pool an Rechtsanwälten beantworten, der sich kurzfristig in die Prüfung der Rechtskonformität einschalten kann.

Bei einer europäischen Herausgabeanordnung können plötzlich sehr kurze Fristen auf rechtliche Prüfung, technische Datenbereitstellung und interne Abstimmung treffen. Wo liegen in der Praxis die größten Herausforderungen, wenn ein Unternehmen auf eine solche Anfrage reagieren muss? Und wie kann EviGate betroffene Unternehmen unterstützen?

Bei EPOC gibt es in der Tat den Sonderfall einer extrem verkürzten Acht-Stunden-Frist - normal sind zehn Tage - wenn es sich um Ermittlungen bei Gefahr für Leib und Leben oder Bedrohungen kritischer Infrastrukturen handelt. Problematisch ist dabei vor allem, dass die rechtliche Prüfung der Zulässigkeit erstmal ins Leere läuft - man muss die angeforderten Daten liefern und kann nur nachträglich ihre Löschung fordern. Und beten, dass die Betroffenen einen nicht verklagen, weil man ihre Daten ohne Rechtsgrundlage ins Ausland geschickt hat…

E-Evidence verbindet Recht, technische Standards und operative Prozesse über Ländergrenzen hinweg. Was müssen Behörden, Diensteanbieter und Internetwirtschaft im länderübergreifenden Kontext jetzt gemeinsam lernen?

Die höchste Schwelle stellt sich denjenigen in den Weg, die bislang als Unternehmen noch nie mit TKÜ-Maßnahmen zu tun hatten. Weil die Definition digitaler Dienste im Anwendungsbereich der E-Evidence-Verordnung so viel weitreichender ist als die national bisher übliche Beschränkung auf Telekommunikations- und Internet-Provider, ist für die breite Masse der potenziell zur Herausgabe von Daten verpflichteten Unternehmen das ganze Thema neu und ungewohnt. Wir helfen an allen Stellen, die unklar sein können: Wer muss sich wo registrieren, mit welchen Dienstangeboten, Datenarten und -formaten, wie wird kommuniziert. EviGate unterstützt die komplette Abfolge aller Kommunikationsschritte, inklusive der erforderlichen rechtlichen Prüfung der Anordnungen.

Die E-Evidence-Verordnung gilt inzwischen seit gut einem Monat. Welche erste Bilanz ziehen Sie: Was funktioniert in der Praxis bereits gut und wo zeigen sich noch Reibungsverluste?

Es ist ein bisschen beschämend, wie wenig die Vorbereitung in vielen europäischen Ländern gediehen ist, obwohl die Verordnung schon seit drei Jahren in Kraft ist - der 18. August 2026 war ja nur das Ende der Übergangsfristen zur Einführung der technischen und organisatorischen Verfahren. Auf unserer Webseite führen wir eine Europa-Karte mit den Umsetzungsständen der Gesetzgebung und der technischen Bereitschaft in den einzelnen Mitgliedsstaaten - theoretisch können EPOC oder EPOC-PR bisher nur aus den wenigen grün eingefärbten Ländern überhaupt kommen. Wir hoffen, dass die europaweite Homogenisierung nicht mehr allzu lange auf sich warten lässt. Der aktuelle Fleckenteppich dient weder der Rechtssicherheit des Verfahrens aus Sicht der auskunftsverpflichteten Provider, noch der Strafverfolgung selbst: Wie soll die erfolgreich sein können, solange die Voraussetzungen für die digitale Beweismittelbeschaffung fehlen.