Checkliste zur Einhaltung von e-Evidence: Ist Ihre Organisation bereit für August 2026?

Die EU-Verordnung über elektronische Beweismittel (EU) 2023/1543 gilt unmittelbar für alle Mitgliedstaaten ab 18. August 2026. Für die Anbieter von Online-Diensten ist dies eine der bedeutendsten grenzüberschreitenden Veränderungen seit der Datenschutz-Grundverordnung. Ab diesem Datum können die Justizbehörden in allen EU-Mitgliedstaaten Europäische Herausgabeanordnungen (EPA) und Europäische Aufbewahrungsanordnungen (EPOC-PR) direkt an die Diensteanbieter erlassen, wobei die verbindlichen Fristen in Stunden und nicht in Wochen gemessen werden.

Wenn Ihr Unternehmen elektronische Kommunikations-, Hosting-, Cloud-, Social-Networking-, Marktplatz-, Domänen- oder IP-Nummern-Dienste für Nutzer in der EU anbietet, fallen Sie mit ziemlicher Sicherheit in den Anwendungsbereich - auch wenn Ihr Hauptsitz außerhalb der Union liegt. Die Nichteinhaltung kann Geldbußen von bis zu 2% des weltweiten Jahresumsatzes, die Durchsetzung der Vorschriften durch die von Ihnen benannte Einrichtung und eine ernsthafte Schädigung des Rufs.

Diese umfassende Checkliste zur Einhaltung von e-Evidence führt Sie durch die rechtlichen, organisatorischen, technischen und betrieblichen Anforderungen, die Sie jetzt bewerten sollten, damit Sie Lücken erkennen, Prioritäten für die Abhilfe setzen und nachweislich vor dem Stichtag bereit sein können.

Was ist die EU-Verordnung über elektronische Beweismittel?

Die Verordnung (EU) 2023/1543 - zusammen mit der zugehörigen Richtlinie (EU) 2023/1544 - schafft einen harmonisierten Rechtsrahmen, der es den zuständigen Justizbehörden in einem Mitgliedstaat ermöglicht, elektronische Beweismittel direkt von Dienstleistern zu erhalten, die in einem anderen Mitgliedstaat niedergelassen oder vertreten sind. Sie ersetzt ein Flickwerk von langsamen Rechtshilfeverfahren durch einen schnellen, standardisierten Mechanismus, der für die Realitäten von Ermittlungen im Cloud-Zeitalter ausgelegt ist.

Mit der Verordnung werden zwei zentrale Instrumente eingeführt. Die Europäischer Produktionsauftrag (EPO) zwingt einen Anbieter zur Vorlage bestimmter elektronischer Daten, während die Europäische Erhaltungsanordnung (EPOC-PR) zwingt einen Anbieter zur Aufbewahrung von Daten, bis ein Folgeantrag auf Vorlage oder ein GwG-Verfahren gestellt wird. Beide werden über das sichere dezentrale IT-System übermittelt e-CODEX, unter Verwendung standardisierter Zertifikate (EPOC- und EPOC-PR-Formulare).

Wer fällt in den Geltungsbereich der e-Evidence-Verordnung?

Die Verordnung wirft absichtlich ein weites Netz aus. Sie sind wahrscheinlich ein benannter Diensteanbieter, wenn Sie einen der folgenden Dienste für Nutzer in der EU anbieten:

• Elektronische Kommunikationsdienste - Telefonie, Messaging, E-Mail, VoIP und nummernunabhängige zwischenmenschliche Kommunikation.
• Internet-Domänennamen und IP-Nummerierungsdienste - Register, Registrierstellen, RIRs, Datenschutz-/Proxy-Dienste und DNS-Anbieter.
• Dienste der Informationsgesellschaft in denen die Speicherung von Daten eine entscheidende Rolle spielt - soziale Netzwerke, Online-Marktplätze, Tools für die Zusammenarbeit und Inhaltsplattformen.
• Cloud Computing und Hosting-Anbieter - IaaS, PaaS, SaaS, Managed Hosting und Content Delivery Networks.

Entscheidend ist, dass der Anwendungsbereich dem “Prüfung der ”wesentlichen Verbindung"Wenn EU-Nutzer Ihren Dienst nutzen können und Sie auf den EU-Markt abzielen (z. B. durch lokalisierte Preisgestaltung, Sprache oder Marketing), fallen Sie in den Anwendungsbereich, unabhängig davon, wo Ihre juristische Person eingetragen ist. Anbieter aus Nicht-EU-Ländern müssen gemäß der Richtlinie (EU) 2023/1544 einen rechtlichen Vertreter in der Union benennen.

Die vier Kategorien des elektronischen Beweismaterials

In der Verordnung wird zwischen vier Datenkategorien unterschieden, für die jeweils unterschiedliche Schwellenwerte und Garantien gelten. Ihre Arbeitsabläufe für das Dateninventar und die Offenlegung müssen in der Lage sein, diese Kategorien genau zu unterscheiden:

1. Daten des Teilnehmers - Identität, Kontaktdaten, Rechnungsdaten und die Art des in Anspruch genommenen Dienstes.
2. Daten, die ausschließlich zum Zweck der Identifizierung des Nutzers angefordert werden - IP-Adressen und Zugriffsprotokolle, die lediglich zur Identifizierung einer Person dienen.
3. Verkehrsdaten (andere als Kategorie 2) - Verbindungsprotokolle, Zeitstempel, Quelle/Ziel, Gerätekennungen.
4. Inhaltliche Daten - den Inhalt von Mitteilungen, gespeicherten Dateien, Nachrichten, Fotos und Dokumenten.

Teilnehmer- und Identifizierungsdaten können für jede Straftat angefordert werden. Verkehrs- und Inhaltsdaten sind Straftaten vorbehalten, die mit einer Freiheitsstrafe im Höchstmaß von mindestens drei Jahren geahndet werden können, oder einer definierten Liste von schweren Straftaten in den Bereichen Cyberkriminalität, Terrorismus und sexueller Missbrauch von Kindern. Eine der wichtigsten - und oft übersehenen - Vorbereitungsmaßnahmen ist es, festzulegen, welche Ihrer Systeme in welche Kategorie fallen.

Rechtliche und organisatorische Bereitschaft

Ihre erste Aufgabe ist eine formale Umfangsbewertung. Dokumentieren Sie mit einer Begründung, welche Ihrer Dienstleistungen unter die Verordnung fallen, welche Einrichtungen Ihrer Gruppe Aufträge erhalten und welcher Mitgliedstaat als “Vollstreckungsstaat” fungiert. Diese Bewertung sollte von Ihrem Chefsyndikus oder DSB abgezeichnet und jährlich überprüft werden.

Bestimmen Sie als nächstes einen offizielle Einrichtung oder gesetzlicher Vertreter in der EU und melden sie bei der zuständigen nationalen Behörde an. In Deutschland ist dies die Bundesamt für Justiz (BfJ); In anderen Mitgliedstaaten gibt es gleichwertige benannte Behörden. Die Registrierung ist keine Formalität - sie ist die juristische Adresse, über die alle EPA- und EPOC-PR-Bescheide zugestellt werden, und falsche oder veraltete Angaben können dazu führen, dass Sie keine Einwände mehr erheben können.

• Ernennung eines benannten Verantwortlicher für die Einhaltung von e-Evidence mit funktionsübergreifenden Befugnissen in den Bereichen Recht, Sicherheit, Technik und Betrieb.
• Aufbauen oder beibehalten juristische Fachkompetenz in der Lage sein, jede eingehende Anordnung auf Gültigkeit, Verhältnismäßigkeit, Zuständigkeit und Ablehnungsgründe (z. B. offensichtliche Verstöße gegen die Charta der Grundrechte oder die Immunitäten und Vorrechte) zu prüfen.
• Definieren Sie die Benachrichtigungs-Workflow für Anordnungen, die eine Benachrichtigung des Vollstreckungsstaats erfordern, und integrieren Sie es in Ihre Fallverwaltungssysteme.
• Dokumentieren Sie Ihr Richtlinien zur Benachrichtigung der Benutzer, unter Berücksichtigung der von der ausstellenden Behörde auferlegten Geheimhaltungspflichten.
• Update dienstbedingungen, datenschutzhinweise und leitlinien für die strafverfolgung um den neuen Rahmen widerzuspiegeln.

Anforderungen an die technische Infrastruktur

Die Einhaltung der Vorschriften ist ohne die richtigen technischen Grundlagen unmöglich. Von Dienstleistern wird erwartet, dass sie Aufträge über das EU-System für den elektronischen Geschäftsverkehr empfangen, validieren und beantworten. e-CODEX dezentralisiertes IT-System - genau der Arbeitsablauf, den speziell entwickelte Werkzeuge wie das ICS e-Evidence Compliance Plattform automatisiert einen durchgängigen Prozess unter Verwendung der standardisierten EPOC- und EPOC-PR-Zertifikate. Manuelle E-Mail- oder Fax-basierte Workflows können die gesetzlichen Fristen nicht einhalten.

• Sichere Ansaugschnittstelle - einen authentifizierten Endpunkt, der mit e-CODEX verbunden ist (direkt oder über einen qualifizierten Vermittler), um jede Bestellung zu empfangen, zu bestätigen und mit einem Zeitstempel zu versehen.
• Identitäts- und Auftragsprüfung - automatische Überprüfung der digitalen Signaturen, der Berechtigungsnachweise der ausstellenden Behörde, der Integrität der Zertifikate und des Kategorieabgleichs.
• Entdeckung und Extraktion von Daten - Werkzeuge, die in der Lage sind, Teilnehmer-, Identifikations-, Verkehrs- und Inhaltsdaten über alle relevanten Systeme hinweg innerhalb von Stunden, nicht Tagen, zu finden.
• Standardisierte Ausgabeformate - Exporte, die den Durchführungsrechtsakten der Kommission über Datenformate und -struktur entsprechen.
• Verschlüsselte Lieferkanäle - Ende-zu-Ende-verschlüsselte Übermittlung der Nachweise an die ersuchende Behörde über e-CODEX mit überprüfbarem Eingang.
• Manipulationssicherer Prüfpfad - kryptografisch signierte Protokolle aller Vorgänge vom Eingang bis zur Zustellung, die die Integrität der Beweise und die nachträgliche Überprüfung unterstützen.
• Ausfallsicherheit und hohe Verfügbarkeit - redundante Infrastruktur, die in der Lage ist, das 8-Stunden-Notfallfenster 24/7/365 einzuhalten.
• Kontrollen zur Datenminimierung und Zweckbindung - Sie stellen sicher, dass Sie im Einklang mit Artikel 5 der Datenschutz-Grundverordnung nur das weitergeben, was ausdrücklich bestellt wurde.

Operative Prozesse und Reaktionszeiten

Die Verordnung schreibt vor strenge, nicht verhandelbare Antwortfristen die die Gestaltung Ihres Betriebsmodells bestimmen sollten:

• Standard-Produktionsaufträge: Die Daten müssen innerhalb von 10 Tage des Eingangs.
• Dringende Produktionsaufträge: bei unmittelbarer Bedrohung von Leben, körperlicher Unversehrtheit oder kritischer Infrastruktur müssen die Daten innerhalb von 8 Stunden.
• Erhaltungssatzungen: die Daten müssen erhalten bleiben für 60 Tage, Die Frist kann um weitere 30 Tage verlängert werden, bis ein Produktionsauftrag oder ein MLA-Antrag vorliegt.

Um diese Fristen einzuhalten, bedarf es nicht nur der Technologie, sondern auch eingespielter, gut dokumentierter Prozesse. Ihr Betriebshandbuch sollte Folgendes umfassen:

• 24/7 Aufnahme und Triage mit benannten juristischen und technischen Ansprechpartnern auf Abruf.
• Einstufung des Schweregrads die Unterscheidung zwischen Dringlichkeits-, Standard- und Erhaltungsanordnungen.
• Eskalationspfade bei Anordnungen, die Grundrechte, Immunitäten oder die Pressefreiheit betreffen oder bei denen die anordnende Behörde anscheinend handelt über die Befugnisse hinausgehend.
• Sicherung der Qualität mit einer Vier-Augen-Prüfung, bevor irgendwelche Daten Ihre Umgebung verlassen.
• Verfolgung der Kostenerstattung wenn das nationale Recht die Erstattung der Befolgungskosten zulässt.
• Tabletop-Übungen mindestens zweimal pro Jahr Notfallszenarien zu simulieren.
• Kontinuierliche Ausbildung für Mitarbeiter der Rechtsabteilung, der Sicherheitsbehörden, des Kundensupports und der Technik, die mit Aufträgen konfrontiert werden können.

Ablehnungsgründe und Nutzerschutz

Die Verordnung ist kein Blankoscheck für die anordnenden Behörden. Diensteanbieter - und, wenn sie benachrichtigt werden, der Vollstreckungsstaat - haben bestimmte, begrenzte Gründe, eine Anordnung abzulehnen oder anzufechten, darunter offensichtliche Verstöße gegen die Charta der Grundrechte, Immunitäten und Vorrechte nach dem Recht des Vollstreckungsstaats und Konflikte mit dem Recht eines Drittlandes (die so genannte Überprüfung nach Artikel 17). Es ist von entscheidender Bedeutung, dass Sie rechtlich in der Lage sind, diese Gründe schnell zu ermitteln und geltend zu machen, sowohl um Ihre Nutzer zu schützen als auch Ihre eigene Haftung zu begrenzen.

Interaktion mit GDPR, NIS2 und der DSA

E-Evidence existiert nicht für sich allein. Die Offenlegungen müssen mit dem GDPR (Rechtmäßigkeit, Minimierung, Aufzeichnungen über die Verarbeitung und DPIA-Verpflichtungen), die NIS2-Richtlinie (Behandlung von Zwischenfällen und Sicherheit von Netz- und Informationssystemen) und, bei sehr großen Online-Plattformen, die Gesetz über digitale Dienste (Transparenzberichte über Regierungsaufträge). Ihr Compliance-Programm sollte e-Evidence als eine zusätzliche Ebene behandeln, die in die bestehenden Rahmenwerke für Datenschutz, Sicherheit und Transparenz eingebettet ist, und nicht als eigenständiges Silo.

Sanktionen bei Nichteinhaltung der Vorschriften

Die Mitgliedstaaten sind verpflichtet, wirksame, verhältnismäßige und abschreckende Sanktionen für Verstöße gegen die Verordnung zu verhängen. Der Richtwert in Artikel 15 sind Geldbußen von bis zu 2% des weltweiten Gesamtjahresumsatzes des Anbieters im vorangegangenen Haushaltsjahr. Neben Geldbußen können wiederholte oder systematische Versäumnisse zu gerichtlichen Anordnungen, Rufschädigung, Kundenabwanderung und - für regulierte Sektoren - zu Konsequenzen für Lizenzen und Genehmigungen führen.

Ein praktischer 6-Monats-Fahrplan bis August 2026

1. Monate 1-2 - Erkundung und Bewertung der Lücken. Bestätigung des Geltungsbereichs, Kartierung von Daten, Prüfung bestehender Strafverfolgungsprozesse, Benchmarking anhand der Anforderungen der Verordnung.
2. Monate 2-3 - Rechtliche Grundlagen. Benennung von Einrichtungen/Vertretern, Registrierung bei der nationalen Behörde, Ausarbeitung von Strategien und Aktualisierung von Verträgen.
3. Monate 3-4 - Technischer Aufbau. Integration mit e-CODEX, Implementierung von Validierungs-, Extraktions- und Auslieferungswerkzeugen, Härtung der Audit-Protokollierung.
4. Monate 4-5 - Einsatzbereitschaft. Rekrutieren und schulen Sie das Reaktionsteam, stellen Sie das Playbook fertig, führen Sie Tabletop-Übungen und Notfallübungen durch.
5. Monat 6 - Zusicherung. Unabhängige Prüfung der Einhaltung der Vorschriften, Absegnung durch den Verwaltungsrat und Probebetrieb vor dem 18. August 2026.

Häufig gestellte Fragen

Eine längere Referenz finden Sie in unserer speziellen e-Evidence FAQ.

Wann gilt die EU-Verordnung über den elektronischen Nachweis (e-Evidence)?

Die Verordnung (EU) 2023/1543 gilt unmittelbar in allen EU-Mitgliedstaaten ab 18. August 2026. Für die Verordnung selbst ist keine weitere nationale Umsetzung erforderlich, allerdings muss die begleitende Richtlinie (EU) 2023/1544 von den Mitgliedstaaten in nationales Recht umgesetzt werden.

Gilt die Verordnung auch für Dienstleistungserbringer aus Nicht-EU-Ländern?

Ja. Jeder Anbieter, der in der EU Dienstleistungen anbietet, fällt in den Anwendungsbereich, unabhängig davon, wo er niedergelassen ist. Anbieter aus Nicht-EU-Ländern müssen einen gesetzlichen Vertreter in einem Mitgliedstaat benennen, der Bestellungen entgegennimmt und bearbeitet.

Was passiert, wenn ich die 8-Stunden-Notfallfrist verpasse?

Die Nichteinhaltung einer Frist kann die Durchsetzung durch die zuständige Behörde des durchsetzenden Staates auslösen, einschließlich Verwaltungsgeldstrafen von bis zu 2% des weltweiten Jahresumsatzes. Dokumentierte, verhältnismäßige Bemühungen um die Einhaltung der Vorschriften - und ein klarer Nachweis der Gründe für eine Verzögerung - sind unerlässlich, um das Risiko zu mindern.

Kann ich Nutzer benachrichtigen, wenn ihre Daten angefordert werden?

Die Benachrichtigung der Nutzer hängt von dem Auftrag selbst, der Datenkategorie, den geltenden Vertraulichkeitsverpflichtungen und dem nationalen Recht ab. Zu einem ausgereiften e-Evidence-Programm gehört eine klare, dokumentierte Benachrichtigungspolitik, die mit fachkundigem Rat ausgearbeitet wird.

Wie ICS Ihnen helfen kann, sich vorzubereiten

Wenn Sie nicht in der Lage sind, intern eine 24/7-Bereitschaft aufrechtzuerhalten, oder wenn Sie einfach nur eine unabhängige Zusicherung wünschen, dass Ihr Programm einer Überprüfung standhält, bietet ICS eine vollständige e-Evidence Konformitätsbewertung und Managed Operations Service. Wir helfen Ihnen dabei, Ihren Geltungsbereich abzubilden, rechtliche und technische Lücken zu schließen, sich in e-CODEX zu integrieren, Ihr Reaktionsteam zu schulen und - falls erforderlich - als Ihr Ansprechpartner in der EU zu fungieren.

Kontaktieren Sie ICS heute um Ihre e-Evidence Bereitschaftsbewertung zu planen und rechtzeitig vor dem Stichtag 18. August 2026 einen klaren, vertretbaren Fahrplan aufstellen.