Früher führte die Spur zu einem Verbrecher über einen am Tatort liegen gebliebenen Zigarettenstummel oder ein heimlich abgehörtes Gespräch. Heute planen Kriminelle ihre Taten mithilfe von Smartphones und Computern, nutzen SMS und E-Mail-Dienste – und zwar über nationale Grenzen hinaus. Die Daten im Internet bewegen sich global, oft stecken sie in einer Cloud, einer Datenwolke.

Wollen Polizei und Justiz heute einen Verbrecher überführen und dingfest machen, müssen sie immer häufiger seine elektronischen Fingerabdrücke aufspüren. Sie brauchen also seine Daten. Und weil diese elektronischen Spuren schnell vernichtet, manipuliert oder unkenntlich gemacht werden können, müssen die Ermittler diese flüchtigen Beweismittel so schnell wie möglich sicherstellen können, unabhängig davon, wo der Server steckt. Das heißt: weit über nationale Grenzen hinaus.

Wollen Staatsanwälte auf Daten in einem anderen Staat zugreifen, sind sie meist nach wie vor auf ein umständliches Rechtshilfeersuchen angewiesen. Zwar gibt es inzwischen kürzere Wege, vor allem innerhalb der Europäischen Union, gleichwohl vergehen oft Monate, bevor die erwünschte Auskunft erteilt wird. Die digitale Strafverfolgung dauert immer noch viel zu lange und scheitert allzu oft an schwerfälligen Bürokratien und nationalen Egoismen.

Gegen den Widerstand Deutschlands

Darum haben die Mehrheit der 28 EU-Regierungen und eine Handvoll anderer europäischer Staaten im vergangenen Jahr ein Abkommen über die Herausgabe elektronischer Beweismittel beschlossen, die sogenannte E-Evidence-Verordnung, kurz EPOC-VO genannt.

Diese Entscheidung wurde gegen den Widerstand Deutschlands getroffen, namentlich von Bundesjustizministerin Katarina Barley, SPD, die demnächst als Abgeordnete ins Europäische Parlament wechselt. Ihr größter Vorbehalt: Die Verordnung würde in der gegenwärtigen Form die vom Grundgesetz geschützte Privatsphäre der Bürger verletzen.

Ermittler eines anderen europäischen Staates hätten danach das Recht, sich auf ihrer Suche nach elektronischen Beweisen für eine schwere Straftat unmittelbar an die in Deutschland tätigen Internet- und Telefonfirmen zu wenden und von ihnen die Herausgabe sämtlicher Kundendaten eines Verdächtigen zu verlangen.

Ein bulgarischer Staatsanwalt dürfte alle Bestands- und Verkehrs- und vor allem auch alle Inhaltsdaten verlangen. Ohne dass ein deutscher Richter als Kontrollinstanz dazwischengeschaltet wäre und sein Veto einlegen könnte, dürfte Bulgarien von der Deutschen Telekom oder einem anderen Unternehmen zum Beispiel die PIN- und IP-Nummern anfordern sowie sämtliche Informationen, wann und wo der Verdächtige einen Internetdienst in Anspruch genommen hat und was in seinen Nachrichten oder E-Mails steht.

Mit anderen Worten: Zwischen den ausländischen Strafermittlern und den privaten Internetprovidern säße hierzulande kein staatlicher Wächter, der darauf achten würde, ob das Auskunftsersuchen im Einklang mit dem deutschen Datenschutz steht. Die Prüfung läge allein in den Händen der privaten Firmen und ihrer Rechtsabteilung.

Noch ist diese Verordnung kein Gesetz, sondern nur ein sogenannter Legislativvorschlag der EU-Kommission und des Europäischen Rats. Was am Ende daraus wird, liegt in der Hand des Europäischen Parlaments, also der soeben neu gewählten Abgeordneten. Sie werden die EPOC-VO in den kommenden Wochen im sogenannten “Trilog” beraten und noch die eine oder andere Korrektur verlangen.

Katarina Barley möchte, dass der sogenannte Anordnungsstaat, also derjenige Staat, der die Herausgabe elektronischer Beweismittel von den privaten Providern verlangt, zu einer umfassenden Grundrechtsprüfung verpflichtet wird. Und dass der Vollstreckungsstaat, also das Land, das die Daten herausgeben muss, dazwischenfunken kann und den privaten Dienstleistern im Konfliktfall die Preisgabe der Informationen verbieten darf.

“Grundrechtsstandards”, sagt die Nochjustizministerin der ZEIT, “müssen in jeder Phase des Verfahrens gewahrt sein, vor allem das Telekommunikationsgeheimnis und der Schutz der Privatsphäre.” Barley verlangt darum ein “Vieraugenprinzip”.  Sie sagt: “In der gleichen Zeit, in der ein Provider eine Herausgabe von Daten prüft, muss der betroffene Staat ein Vetorecht haben.”

Nur ein Vorschlag, aber schon im Gespräch mit den USA

Doch bevor in der EU das letzte Wort über die Verordnung gesprochen ist, soll die Brüsseler Kommission bereits an diesem Donnerstag, den 6. Juni, ermächtigt werden, Verhandlungen über ein derartiges Abkommen auch mit den Vereinigten Staaten von Amerika aufzunehmen.

Darin liegt ein gewaltiges Risiko, denn bereits die im gegenwärtigen europäischen Entwurf enthaltenen Schutzmechanismen für das Grundrecht auf Privatsphäre reichen bei Weitem nicht aus. So sollen zwar bei der Herausgabe privater Verkehrs- und Inhaltsdaten die Interessen und Rechte von Parlamentariern sowie von Ärzten, Psychotherapeuten und Geistlichen, die ein Zeugnisverweigerungsrecht haben, besonders berücksichtigt werden. Auch wird der besondere Schutz der Meinungs- und Pressefreiheit erwähnt.

Doch bleibt der entscheidende Pferdefuß: Der zur Preisgabe verpflichtete Staat hat kein Vetorecht, sondern wird von den ausländischen Strafverfolgern nur konsultiert.

In der Praxis kann das bedeuten: Amerikanische Staatsanwälte ermitteln zum Beispiel gegen eine Gruppe radikaler Klimaschutzaktivisten wegen des Verdachts der Bildung einer kriminellen Vereinigung. Bei einer Demonstration kommt es zu Verhaftungen. Ein Passant hat diese Szenen mit seinem Smartphone gefilmt und sein Video auf einem deutschen Portal hochgeladen. Die Aufnahmen gehen um die Welt, viele Deutsche und Europäer bekunden ihre Solidarität mit den Demonstranten.

Nun wollen die amerikanischen Staatsanwälte gegen weitere mutmaßliche Mitglieder der angeblich kriminellen Vereinigung vorgehen und schicken eine Herausgabeanordnung an den deutschen Internetdienstleister, also den Hoster des Videos. Sie verlangen von ihm sämtliche Bestands-, Verkehrs- und Inhaltsdaten von allen Personen, die das Video hochgeladen und die darunter Solidaritätsbekundungen gepostet haben.

Widerspruch zwecklos: Greifen würde amerikanisches Recht

Laut Abkommen setzen die Amerikaner die deutsche Justiz ordnungsgemäß davon in Kenntnis. Die Deutschen erheben sofort Einwände, weil sie das Recht auf freie Meinungsäußerung sowie den Datenschutz verletzt sehen. Doch die Amerikaner schlagen diese Bedenken in den Wind, weil diese nach ihrer Rechtsordnung unbeachtlich sind. Die Folge: Die deutschen Justizbehörden können die Herausgabe nicht verhindern, denn sie haben kein Vetorecht.

Eine E-Evidence-Verordnung setzt voraus, dass in den Vertragsstaaten weitgehend gleiche Rechtsstandards gelten. Doch gerade beim Datenschutz existieren nach wie vor gewaltige Unterschiede. 1983 schuf das Bundesverfassungsgericht ein umfassendes Recht auf Privatsphäre, das “Grundrecht auf informationelle Selbstbestimmung”. Es gewährt jedem Einzelnen das Recht, grundsätzlich selbst über die Preisgabe und Verwendung seiner personenbezogenen Daten zu bestimmen. Einschränkungen dürfen den Kern dieses Rechts nicht verletzen, sie müssen verhältnismäßig, klar, transparent und gerichtlich überprüfbar sein. Kaum ein anderes EU-Land kennt derart strenge Bestimmungen – und auch die USA nicht.

“Gegenüber einem Drittstaat wie den USA stellen sich Fragen zum Grundrechtsschutz in mindestens dem Maße wie unter den EU-Mitgliedstaaten”, sagt die künftige EU-Abgeordnete Barley der ZEIT. Man bräuchte darum das wachsame Auge eines Richters. “US-Ermittler könnten sonst direkt bei europäischen Providern abfragen, wer wann mit wem über was kommuniziert hat, ohne dass noch die örtliche Justiz die Möglichkeit zur Prüfung hätte.”

Weil noch nicht abschließend geklärt ist, welche Bedingungen für eine E-Evidence-Verordnung innerhalb der Europäischen Union gelten werden, sollte die Kommission darum keine eigenständigen Verhandlungen über ein solches Abkommen mit den Vereinigten Staaten führen. “Entscheidend ist”, sagt Barley, “dass die künftige E-Evidence-Verordnung Grundlage für die Verhandlungen mit den USA sein wird. Auch die Änderungen, die sich in den Verhandlungen mit dem Europäischen Parlament ergeben werden, müssen sich in einem solchen Abkommen widerspiegeln.”

Und ganz grundsätzlich muss gelten: Den im Grundgesetz garantierten Schutz der Privatsphäre darf man nicht privaten Internetfirmen überlassen. Die deutsche Justiz muss als Wächterin dazwischengeschaltet werden.