E-Evidence-Verordnung: Ab 18. August darf jede EU-Behörde Deine Daten anfordern

Am 18. August 2026 – in wenigen Tagen – ist es so weit: Die E-Evidence-Verordnung der EU (Verordnung 2023/1543) wird nach dreijähriger Übergangsfrist scharfgeschaltet. Ab diesem Tag darf eine Polizeibehörde oder Staatsanwaltschaft aus jedem EU-Mitgliedstaat Nutzerdaten direkt bei jedem Anbieter digitaler Dienste in der EU anfordern – ohne Umweg über die Justiz des Anbieter-Landes. In Eilfällen bleiben dem Anbieter dafür ganze acht Stunden. Was als Werkzeug gegen Terrorismus verkauft wird, ist ein Frontalangriff auf Datenschutz, Rechtsstaatlichkeit und die Anonymität im Netz – und ein Geschenk an Phishing-Betrüger obendrein.

Was die Verordnung regelt

Kern der Verordnung sind zwei neue Instrumente: die Europäische Herausgabeanordnung (EPOC) und die Europäische Sicherungsanordnung (EPOC-PR). Die Herausgabeanordnung verlangt die Übermittlung von Nutzerdaten, die Sicherungsanordnung das „Einfrieren" von Daten für 60 Tage. Die Fristen sind drastisch: 10 Tage im Normalfall, 8 Stunden in Eilfällen – rund um die Uhr, auch am Wochenende.

Bei den Daten unterscheidet die Verordnung zwei Stufen. Bestandsdaten – Name, Anschrift, E-Mail-Adresse – und Daten zur Nutzeridentifizierung wie IP-Adressen dürfen bei jeder Straftat angefordert werden, egal wie geringfügig. Verkehrs- und Inhaltsdaten – also E-Mails, Chatnachrichten, hochgeladene Dateien – setzen immerhin eine Tat voraus, die im anordnenden Staat mit mindestens drei Jahren Höchststrafe bedroht ist. Nur bei dieser zweiten Stufe wird überhaupt eine Behörde des Anbieter-Landes benachrichtigt, die binnen 10 Tagen (im Eilfall: 96 Stunden) aus eng begrenzten Gründen widersprechen kann. Für die Herausgabe Deiner IP-Adresse oder Deines Klarnamens findet keinerlei Kontrolle durch einen zweiten Staat statt.

Auch das kleine Forum muss liefern

Betroffen sind keineswegs nur Google, Meta und die Telekom. Die Verordnung erfasst jeden, der geschäftlich Dienste mit Nutzerkonten in der EU anbietet: Webhoster, Cloud-Dienste, Online-Shops – und ausdrücklich auch kleine Betreiber von Webforen. Allein in Deutschland sollen rund 300.000 Stellen betroffen sein. Sie alle müssen bis zum Stichtag einen Empfangsberechtigten für solche Anordnungen benennen und dann liefern können – notfalls sonntagnachts binnen acht Stunden. Wer nicht spurt, dem drohen Bußgelder von bis zu 500.000 Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Praktisch heißt das: Der Ein-Mann-Webhoster oder die Betreiberin eines Nischen-Forums sollen künftig Anordnungen von Behörden aus 27 Staaten entgegennehmen, deren Namen sie noch nie gehört haben und deren Echtheit sie schlicht nicht überprüfen können. Ob hinter dem amtlich anmutenden Dokument tatsächlich eine Behörde steckt oder ein Krimineller mit einem hübschen PDF, ist kaum zu erkennen. Die Verordnung liefert Phishing-Betrügern damit eine amtliche Blaupause frei Haus: Man fälsche eine Eilanordnung mit 8-Stunden-Frist samt Bußgelddrohung – und viele überforderte Betreiber werden Nutzerdaten lieber herausgeben als das Risiko einzugehen. Ein Drama für den Datenschutz mit Ansage.

Strafbar? Wo eigentlich?

Der gravierendste Konstruktionsfehler: Maßgeblich ist allein das Recht des anordnenden Staates. Die vorgeworfene Tat muss weder im Land des Anbieters noch im Land des Nutzers eine Straftat sein – das alte Prinzip der beiderseitigen Strafbarkeit wurde weitgehend über Bord geworfen. Was in einem Mitgliedstaat als „Beleidigung des Staatsoberhaupts", „Blasphemie" oder Hilfe zu einer im Ausland legalen Handlung strafbar ist, reicht dort als Türöffner für die Abfrage Deiner Identität – auch wenn Du dafür in Deutschland nie belangt werden könntest.

Dazu kommt eine Absurdität: Vor der IP-Abfrage weiß die anfragende Behörde überhaupt nicht, aus welchem Land der Nutzer hinter einem Account stammt – genau das will sie ja erst herausfinden. Welches Recht den Betroffenen schützt, welche Behörde zu benachrichtigen wäre, ob er Journalist, Anwalt oder Oppositioneller ist: alles unbekannt, alles egal. Die ohnehin schwachen Schutzmechanismen greifen erst, wenn die Anonymität bereits gefallen ist. Bürgerrechtsorganisationen wie EDRi, der Europäische Datenschutzbeauftragte und die deutschen Anwaltsvereine haben jahrelang genau davor gewarnt – geändert hat es nichts. Wer weiß, wie es in Teilen der EU um die Unabhängigkeit der Justiz steht, ahnt, was passiert, wenn eine politisch gelenkte Staatsanwaltschaft die Identität unliebsamer Kritiker abfragt: Das Zielland wird bei Bestandsdaten nicht einmal benachrichtigt. Es wäre nicht das erste Mal, dass Behörden lästige Kontrollmechanismen einfach umgehen – hier ist das Umgehen gleich ins Gesetz geschrieben.

Zusammen mit der geplanten IP-Vorratsdatenspeicherung ergibt sich ein konsistentes Bild: Erst werden alle IP-Adressen auf Vorrat gespeichert, dann darf jede Behörde Europas sie im Schnellverfahren abfragen. Anonymität im Netz wird so Stück für Stück zur Ausnahme erklärt.

Was Du jetzt tun kannst

Gegen die Verordnung selbst hilft nur politischer Druck. Bis dahin gilt: Was ein Anbieter nicht über Dich weiß, kann er auch nicht binnen acht Stunden herausgeben. Konkret:

• Immer VPN (oder Tor) nutzen: Wenn beim Forum, Shop oder Hoster nur die IP-Adresse eines VPN-Servers oder Tor-Exit-Knotens aufläuft, läuft die schnelle IP-Abfrage ins Leere. Wähle einen Anbieter ohne Logs mit Sitz außerhalb der EU – und nutze ihn konsequent, nicht nur gelegentlich.
• Anonyme E-Mail-Adresse ohne Klarnamen: Registriere Dich grundsätzlich mit einer anonymen Mail-Adresse oder einem Alias ohne Rückschluss auf Deinen Namen. Die „Bestandsdaten", die ein Betreiber dann herausgeben kann, sind wertlos.
• Datensparsam registrieren: Kein echter Name, kein Geburtsdatum, keine Adresse, wo es nicht zwingend nötig ist. Jedes leere Feld ist eines, das keine Behörde abfragen kann.
• Auf Ende-zu-Ende-Verschlüsselung setzen: Inhaltsdaten sind die sensibelste Kategorie – bei E2E-verschlüsselten Messengern und Speichern kann der Anbieter nur unlesbaren Datensalat liefern, selbst wenn er will.
• Pseudonyme sauber trennen: Ein Pseudonym, das über E-Mail, Bezahldaten oder Schreibstil mit Deiner Identität verknüpft ist, schützt nicht. Wie das diszipliniert geht, steht in unserem 10-Punkte-OPSEC-Programm und ausführlich im E-Book „Anonym im Netz – Der praktische Guide 2026".

Die E-Evidence-Verordnung dreht die Logik des Rechtsstaats um: Nicht die Behörde muss sich durch Kontrollen arbeiten, sondern der Bürger muss sich durch Technik schützen. Nimm diese Aufgabe ernst – ab dem 18. August ist Dein Forenbetreiber nicht mehr Dein Verbündeter, sondern eine Auskunftsstelle mit 8-Stunden-Frist.

Quellen: heise online – Neue EU-Regeln: Strafverfolger kommen jetzt deutlich schneller an Nutzerdaten · netzpolitik.org – E-Evidence: Elektronische Beweismittel stellen den Rechtsstaat auf die Probe · Verordnung (EU) 2023/1543 im EU-Amtsblatt (Volltext) · BfDI – Themenseite zur E-Evidence-Verordnung