Die Europäische Union strebt die Erweiterung eines geplanten Rechtsaktes an, um direkt auf Daten bei Internetdienstleistern zugreifen zu können. Dies geht aus einem Dokument hervor, das die bulgarische Ratspräsidentschaft an die Vertretungen der Mitgliedstaaten verteilt hat. Die Regelung richtet sich insbesondere an US-Firmen. Die EU-Justizminister sollen möglichst schnell grünes Licht geben, um entsprechende Verhandlungen mit der US-Regierung zu beginnen. Außerdem sollen sie darüber beraten, ob der Rechtsakt auch für abgehörte Telefonate gelten könnte.
Im April hatte die Europäische Kommission eine Verordnung vorgeschlagen, um den Zugang zu sogenannten „elektronischen Beweismitteln“ zu vereinfachen. Die Justizbehörde eines Mitgliedstaats könnte demnach eine Herausgabeanordnung für Inhaltsdaten, Verkehrsdaten und Bestandsdaten erlassen, der innerhalb von zehn Tagen entsprochen werden muss. Im „Notfall“ verkürzt sich die Frist auf sechs Stunden. Ähnlich dem deutschen „Quick Freeze“ erhalten die betroffenen Internetdienstleister vorher eine „Sicherungsanordnung“, damit die verlangten Daten nicht gelöscht werden.
Auch Zugangsdaten würden herausverlangt
Die Sicherungs- und Herausgabeanordnungen beträfen alle Firmen, die im Hoheitsgebiet von EU-Mitgliedstaaten „interpersonelle Kommunikationsdienste“ anbieten. Gemeint sind neben Cloud-Speichern auch Internet-Telefonie, Messenger, E‑Mail-Dienste und Online-Marktplätze. Außerdem soll die Regelung für soziale Netzwerke wie Twitter und Facebook gelten. Schließlich sollen auch Anbieter von „Internetinfrastruktur“ sowie Domainregistrare unter eine entsprechende Verordnung fallen.
Als Bestandsdaten müssten die Firmen neben Personendaten alle bekannten Mail-Adressen und Telefonnummern sowie Dokumente und Fotos, die bei der Identitätsüberprüfung genutzt wurden, herausgeben. Ebenfalls verlangt werden können SIM-Kartennummern und Kreditkarteninformationen. Auch Zugangsdaten (etwa PIN- und PUK-Nummern oder Passwörter) werden als Bestandsdaten definiert. Als Verkehrsdaten werden unter anderem aus- und eingehende Verbindungsdaten erhoben, außerdem die Verbindungszeit und –dauer, IP-Adressen, genutzte Browser oder die „Kaufhistorie“ bei Online-Einkäufen. Zu den Inhaltsdaten zählen schließlich komplette Sicherungen von Mailbox-Dateien, Online-Speichern oder Voicemail-Mitschnitte. Auch online gesicherte Geräte-Backups wären von einem Herausgabeverlangen betroffen.
Herausgabe von Daten für „jede Art von Straftaten“
Ähnlich den bereits verfügbaren EU-Verfahren zur Rechtshilfe (etwa dem Europäischen Haftbefehl oder der Europäischen Ermittlungsanordnung) würde eine Verordnung zu „elektronischen Beweismitteln“ auf dem Prinzip der gegenseitigen Anerkennung basieren. Sie dürfte nur dann in strafrechtlichen Ermittlungen genutzt werden, wenn in beiden Staaten eine ähnliche Maßnahme für dieselbe Straftat zur Verfügung steht.
Laut dem Entwurf soll die Herausgabe der Telekommunikationsdaten einem abgestuften Verfahren folgen. Anordnungen zur Herausgabe von Teilnehmer- und Zugangsdaten dürften demnach für „jede Art von Straftaten“ erlassen werden, Anordnungen zur Herausgabe von Transaktions- und Inhaltsdaten jedoch nur für Straftaten mit einer Freiheitsstrafe von mindestens drei Jahren.
Direktzugriff mit „Option D“
Im Verordnungsentwurf für die Sicherungs- und Herausgabeanordnung hatte die Kommission mehrere Optionen vorgestellt und gegeneinander abgewogen. Durchgesetzt hat sich schließlich ein Rechtshilfeverfahren, an das die Firmen mit bestimmten Fristen gebunden sind. Ein Direktzugriff („Option D“) ging der Kommission zu weit und wäre in Bezug auf US-Firmen juristisch zunächst nicht durchsetzbar. Jedoch versprach die Kommission, über „Maßnahmen zum direkten Zugang und zum Zugang zu Datenbanken, die Bestandteil von Option D sind“, weiter zu reflektieren.
Der Verordnungsentwurf bleibt dazu unkonkret, nun gibt die bulgarische Ratspräsidentschaft die Richtung vor. Demnach könnte außer dem Direktzugriff auch das Abhören in Echtzeit („real-time interception of data“) in die Verordnung gehievt werden. Die europäischen ErmittlerInnen müssten hierzu mit allen Werkzeuge ausgestattet werden, „die auch ihren US-Kollegen zur Verfügung stehen“. Allerdings sind sich die Delegationen der Mitgliedstaaten in dieser Frage uneins: Laut dem Brüsseler Informationsdienst Euractiv hätten sich „Minister aus Belgien, Portugal, Zypern, Frankreich, Griechenland, Italien und Estland“ für das Abfangen von Kommunikationsdaten in Echtzeit ausgesprochen.
Der betroffene Staat, auf dessen Hoheitsgebiet sich ein solcher Server befindet, müsste jedoch über eine solche Maßnahme informiert werden. Weiterhin ist unklar, wie mit Daten umgegangen werden soll, deren Speicherort oder Hoster unbekannt ist. Einem Papier der Kommission zufolge könnten dann „Möglichkeiten des Zugangs“ genutzt werden, mit denen Behörden der Mitgliedstaaten bereits jetzt auf die betroffenen Server zugreifen und Daten „direkt von dem Computersystemen“ kopieren können.
Durchführungsabkommen für gesamte EU
Die Vereinigten Staaten würden einem Direktzugriff auf ihrem Hoheitsgebiet vermutlich nur zustimmen, wenn auch US-Behörden in der Europäischen Union eine solche Maßnahme zugestanden würde. Die geplante Verordnung zu „elektronischen Beweismitteln“ kann insofern als Antwort auf den jüngst in den USA erlassenen „CLOUD Act“ („Clarifying Lawful Overseas Use of Data (CLOUD) Act“) verstanden werden, der dort niedergelassene Firmen zur Offenlegung von Bestands‑, Verkehrs- und Inhaltsdaten zwingt.
Der „CLOUD Act“ enthält eine Klausel, wonach einzelne EU-Mitgliedstaaten mit der US-Regierung als „Partnerstaaten“ ein Durchführungsabkommen schließen können. Die europäischen Behörden wären den US-Behörden in Bezug auf Anordnungen zur Herausgabe „elektronischer Beweismittel“ gleichgestellt. Anstatt mühseliger Verhandlungen jedes einzelnen EU-Mitgliedstaates soll nun der Rat ein solches Durchführungsabkommen mit der US-Regierung für die gesamte Europäische Union aushandeln. Großbritannien führt bereits Gespräche für ein eigenes, bilaterales Abkommen nach dem Brexit.
Österreich will Einigung bis Jahresende
Vor zwei Wochen stand das Thema auf der Agenda des EU-US-Ministertreffens in Sofia, an dem neben dem österreichischen Innenminister Herbert Kickl der US-Justizminister Jeff Sessions und die Heimatschutz-Vizeministerin Claire Grady teilnahmen. Österreich wird in der zweiten Jahreshälfte die Ratspräsidentschaft übernehmen und will die Verordnung zu „elektronischen Beweismitteln“ als Priorität behandeln. Eine erste Einigung soll im Oktober erzielt werden, der Rechtsakt schließlich bis Jahresende unterschriftsreif verhandelt sein.
Am Montag berieten darüber die EU-Justizminister in Luxemburg. Das bulgarische Diskussionspapier wurde dort ohne Einspruch beschlossen, nun braucht es eine starke Verhandlungsposition gegenüber den Vereinigten Staaten. Die Debatte zur grenzüberschreitenden Herausgabe „elektronischer Beweismittel“ soll deshalb möglichst offen geführt werden, um in der Angelegenheit ein „klares Signal“ für die Entschlossenheit der Europäischen Union und ihrer Mitgliedstaaten auszusenden.
