Morgen ist es soweit: Am 18. August 2026 wird die EU E-Evidence-Verordnung operativ. Klingt sperrig, betrifft aber im Grunde jeden, der digitale Dienste in Europa nutzt oder anbietet. Strafverfolgungsbehörden aus einem EU-Mitgliedstaat können dann deutlich schneller elektronische Beweismittel bei Diensteanbietern in einem anderen EU-Land anfordern – ohne den bisherigen Umweg über langwierige Rechtshilfeverfahren.
Für Nutzer heißt das: Eure Daten können unter bestimmten Voraussetzungen grenzüberschreitend abgefragt werden. Für Anbieter heißt es: Es gibt neue Pflichten, Fristen und Prozesse. Ich zeige euch, was sich konkret ändert, wer betroffen ist – und wie ihr eure Rechte im Blick behaltet.
Was ändert sich ab 18. August durch E-Evidence?
Die E-Evidence-Verordnung (offiziell Verordnung (EU) 2023/1543) schafft zwei zentrale Instrumente: die European Production Order (EPO) und die European Preservation Order (EPO-PR). Mit der ersten können Behörden die Herausgabe von Daten verlangen, mit der zweiten deren Sicherung, damit sie später nicht gelöscht werden.
Das Besondere: Die Anordnung geht laut Berichten zum Start des Regimes direkt an den Diensteanbieter im anderen EU-Land. Bisher musste der Umweg über die Justizbehörden des Ziellandes gegangen werden – das konnte Monate dauern. Künftig gelten deutlich kürzere Fristen: In Regelfällen zehn Tage, in dringenden Fällen sogar acht Stunden.
Betroffen sind praktisch alle Anbieter, die ihre Dienste in der EU anbieten – laut einer Analyse zur Umsetzung also Kommunikationsdienste, Social Networks, Marktplätze, Hosting-Anbieter und Internet-Infrastrukturdienste. Auch Anbieter aus Drittstaaten wie den USA müssen sich vorbereiten, wenn sie in Europa aktiv sind – darauf weist eine Einordnung für US-Unternehmen hin.
Welche Nutzerdaten können Behörden jetzt anfordern?
Die Verordnung unterscheidet vier Datenkategorien, mit unterschiedlichen Hürden:
- Teilnehmerdaten: Name, Adresse, Kontodaten – die geringste Schwelle
- Zugangsdaten: IP-Adressen, Login-Zeitpunkte, verwendete Geräte
- Verkehrsdaten: Wer hat wann mit wem kommuniziert (Metadaten)
- Inhaltsdaten: Der eigentliche Inhalt von Nachrichten, Dateien, Posts
Für Verkehrs- und Inhaltsdaten gelten strengere Voraussetzungen: Sie dürfen nur bei schwereren Straftaten angefordert werden, für die im Höchstmaß mindestens drei Jahre Freiheitsstrafe drohen. Teilnehmer- und Zugangsdaten hingegen können auch bei leichteren Delikten abgefragt werden.
E-Evidence vs. GDPR: Was bedeutet das für Datenschutz?
Der Charme des neuen Systems liegt in der Geschwindigkeit – und genau da liegt auch das Problem. Bislang war die Rechtshilfe zwischen EU-Staaten zwar mühsam, aber sie hatte einen doppelten Prüfmechanismus: Erst prüfte die Behörde im Ausstellungsland, dann noch einmal die Behörde im Zielland. Diese zweite Kontrolle entfällt in vielen Fällen.
Datenschutzorganisationen kritisieren seit Jahren, dass damit ein wichtiger Filter verloren geht. Ein Beispiel: Wenn ein EU-Land Ermittlungen führt, die in Deutschland vielleicht gar keine Straftat wären oder eine höhere Hürde hätten, könnten deutsche Nutzerdaten trotzdem herausgegeben werden müssen. Es gibt zwar Schutzmechanismen – etwa bei drohenden Verletzungen von Grundrechten oder journalistischen Quellenschutz –, aber die Prüfung liegt primär beim Anbieter selbst.
Für kleine Anbieter ist das eine erhebliche Belastung. Sie müssen rechtliche Vertreter in der EU benennen, Prozesse für die kurzen Fristen aufsetzen und im Zweifel juristisch bewerten, ob eine Anordnung rechtmäßig ist.
Was können Nutzer gegen E-Evidence-Zugriff tun?
Panik ist nicht angebracht, aber ein bewusster Umgang mit euren Daten schon. Ein paar praktische Punkte:
- Ende-zu-Ende-Verschlüsselung nutzen: Bei Diensten wie Signal oder Threema können Anbieter Inhalte technisch gar nicht herausgeben – Metadaten aber schon
- Datensparsamkeit: Je weniger ein Anbieter über euch speichert, desto weniger kann abgefragt werden
- Anbieter mit Sitz und Standard in der EU: Diese unterliegen zusätzlich DSGVO und nationalen Grundrechten
- Transparenzberichte lesen: Große Anbieter veröffentlichen regelmäßig, wie viele Behördenanfragen sie erhalten und wie sie reagieren
- Informationsrecht wahrnehmen: Grundsätzlich müsst ihr über Datenherausgaben informiert werden – es sei denn, ein Gericht ordnet Geheimhaltung an
Wichtig zu wissen: Ihr könnt gegen eine Datenherausgabe Rechtsmittel einlegen. Die Verordnung sieht vor, dass Betroffene die Anordnung im Ausstellungsstaat gerichtlich überprüfen lassen können. Das ist in der Praxis mühsam – aber der Weg steht offen.
Kleine Anbieter und E-Evidence: Was jetzt gilt
Wer selbst einen digitalen Dienst betreibt – vom Forum bis zum SaaS-Startup – sollte jetzt handeln, falls noch nicht geschehen. Zentral sind laut den vorliegenden Analysen drei Punkte: einen benannten rechtlichen Vertreter in einem EU-Mitgliedstaat, klare interne Prozesse für den Umgang mit Anordnungen (inklusive der 8-Stunden-Frist im Notfall) und technische Fähigkeiten, Daten zu sichern beziehungsweise herauszugeben.
Wer diese Pflichten ignoriert, riskiert empfindliche Bußgelder – die genaue Höhe legen die Mitgliedstaaten fest.
Strafverfolgung vs. Datenschutz: Ein Kommentar
E-Evidence ist keine Überwachungsverordnung – aber sie senkt die Hürden für den behördlichen Zugriff auf digitale Daten spürbar. Die Idee, Ermittlungen im digitalen Raum zu beschleunigen, ist nachvollziehbar. Cyberkriminalität kennt keine Grenzen, und Rechtshilfeverfahren, die neun Monate dauern, sind der Realität nicht gewachsen.
Trotzdem bleibt ein Unbehagen: Der Wegfall der doppelten Prüfung verlagert Verantwortung auf private Diensteanbieter, die keine Grundrechte-Prüfstellen sind. Wie gut die Schutzmechanismen in der Praxis funktionieren, wird sich in den kommenden Monaten zeigen. Beobachtet die Transparenzberichte eurer Anbieter – dort wird sich früh ablesen lassen, wie oft und wofür Anordnungen kommen. Und nutzt weiterhin datensparsame, verschlüsselte Dienste.
Das bleibt der beste Schutz.
Quellen und Prüfstand
- Bericht: e-Evidence day one is approaching what applies, where, and what service providers should d… (twobirds.com)
- Bericht: Seven days out: the EU's e-evidence regime goes live Aug. 18 (complexdiscovery.com)
- Bericht: News Eu E Evidence Rules Become Operational On August 18 2026 Us Companies With European Operations Should Prepare Now (potomaclaw.com)
Hinweis: Zu diesem Thema lag zum Redaktionsschluss keine offizielle Bestätigung der beteiligten Unternehmen vor. Die Angaben stützen sich auf Medienberichte.
Faktenprüfung: Alle überprüfbaren Aussagen wurden am 17.08.2026 automatisiert gegen die offiziellen Primärquellen abgeglichen. Stand des Artikels: 17.08.2026.
