E-Evidence-Verordnung ist scharf geschaltet

Seit dem 18. August 2026 gilt die EU-Verordnung E-Evidence (2023/1543) nach dreijähriger Übergangsfrist vollständig. Ermittlungsbehörden können damit elektronische Beweismittel künftig direkt bei Anbietern in anderen EU-Ländern anfordern.

Betroffen sind nicht neben klassischen Telekommunikationsanbieter auch Messenger- und E-Mail-Dienste, Cloud-Anbieter, Hoster und Domain-Registrare. Für die Datenherausgabe gibt es zwei neue Instrumente:

• Europäische Herausgabeanordnung (EPOC): Frist von zehn Tagen, im Notfall nur acht Stunden.
• Europäische Sicherungsanordnung (EPOC-PR): Daten müssen 60 Tage lang vor Löschung geschützt werden, verlängerbar um 30 Tage.

Damit Behörden Anbieter überhaupt erreichen können, müssen diese in der EU eine Niederlassung oder einen Vertreter als Adressaten benennen, ausgestattet mit ausreichend Befugnissen und Ressourcen, um Anordnungen fristgerecht zu bearbeiten.

Deutschland ist vorbereitet, viele Anbieter nicht

Deutschland hat mit dem EBewMG bereits im März 2026 die nötigen Gesetze geschaffen. Zuständige Behörde ist das Bundesamt für Justiz (BfJ), das bei Verstößen gegen die Registrierungspflicht Bußgelder von bis zu 500.000 Euro oder 2 Prozent des weltweiten Jahresumsatzes verhängen kann. Auch die technische Anbindung über das europäische e-CODEX-System steht. Das Problem: Statt der von der Bundesregierung erwarteten rund 9.000 Diensteanbieter haben sich zum Stichtag gerade einmal 193 beim BfJ registriert.

Flickenteppich in der EU

Auf europäischer Ebene ist die Lage uneinheitlich: Neben Deutschland haben erst elf weitere Mitgliedstaaten ihre Umsetzungsgesetze verabschiedet, sechs weitere arbeiten noch an Entwürfen, neun zeigen bislang keine erkennbare Aktivität. Besonders heikel: Irland, Sitz zahlreicher europäischer Zentralen großer US-Techkonzerne, kann Anordnungen zwar empfangen, mangels rechtlicher Grundlagen aber selbst noch keine erlassen.

Diensteanbietern wird daher empfohlen, jetzt zu prüfen, ob ihr benannter Adressat wirklich erreichbar und handlungsfähig ist, inklusive Notfallprozessen außerhalb der Geschäftszeiten.

(red)