e-Evidence in Deutschland: Was gilt jetzt und wo bleiben Lücken?

Mit dem umfassenden Geltungsbeginn des e-Evidence-Pakets am 18.08.2026 können ausländische Strafverfolgungsbehörden nun unmittelbar Herausgabe- und Sicherungsanordnungen an Diensteanbieter in Deutschland richten. Unternehmen müssen organisatorische und technische Vorbereitungen treffen.

Wer und was ist betroffen?

Der Anwendungsbereich des e-Evidence-Pakets und des deutschen Umsetzungs- und Durchführungsgesetzes (EBewMG) geht über den des TKG hinaus. Erfasst sind neben TK-Diensteanbietern auch Cloud-Dienste, Social-Media-Plattformen, Hosting-Anbieter und Gaming-Plattformen. Betroffene Unternehmen müssen einen Adressaten als zentralen Ansprechpartner für Europäische Herausgabe- und Sicherungsanordnungen bestimmen, benennen und registrieren.

Das e-Evidence-Paket erfasst ausschließlich bereits vorhandene beziehungsweise gespeicherte Daten. Echtzeitdaten werden nicht erfasst. Sachlich erstreckt sich das Paket auf Teilnehmer-, Identifizierungs-, Verkehrs- und Inhaltsdaten, die vom e-Evidence-Paket neu definiert wurden. 

Geplante Nachbesserungen des deutschen Gesetzgebers

Ein am 19.06.2026 in den Bundestag eingebrachter Gesetzesentwurf soll insbesondere eine zentrale, auch nach dem 18.08.2026 verbleibende Lücke schließen: die erstmalige Einführung einer nationalen Sicherungsanordnung in der StPO. Deutsche Strafverfolgungsbehörden könnten damit künftig auch in rein inländischen Sachverhalten die Sicherung von Verkehrsdaten anordnen, bevor die Voraussetzungen einer Datenerhebung vorliegen. Dies würde verhindern, dass Diensteanbieter weitergehende Anordnungen anderer Mitgliedstaaten erfüllen müssen als solche, die nach deutschem Recht zulässig sind.

Praktische Herausforderungen

Auch nach dem Geltungsbeginn des e-Evidence-Pakets bestehen erhebliche rechtliche und praktische Unsicherheiten:

• Anwendungsbereich: Der Anwendungsbereich des e-Evidence-Pakets ist in Teilen weiterhin unklar. Unternehmen mit digitalen Geschäftsmodellen können deshalb oft nur schwer beurteilen, ob sie unter die Regelungen fallen. Unklar bleiben schon einzelne Kriterien bei der Bestimmung des Anwendungsbereichs, bspw. was eine „erhebliche Zahl von Nutzern“ oder ein „Ausrichten“ der Tätigkeit auf einen Mitgliedstaat konkret umfasst.
• Kostenerstattung: Eine Kostenerstattung für den Bearbeitungsaufwand der Diensteanbieter richtet sich nach dem nationalen Recht des jeweiligen Anordnungsstaats. Da viele Mitgliedstaaten die Umsetzung und Durchführung des e-Evidence-Pakets noch nicht abgeschlossen haben, ist vielfach unklar, welche Rechtsordnungen überhaupt eine solche Erstattung vorsehen.
• Rechtsschutz: Das e-Evidence-Paket sieht keine umfassenden Rechtsschutzmöglichkeiten für Diensteanbieter vor. Diese müssen grundsätzlich im Anordnungsstaat gegen Europäische Herausgabe- und Sicherungsanordnungen vorgehen.
• Technische Probleme: Auf technischer Ebene befindet sich die von bisher allen umsetzenden Mitgliedstaaten genutzte EU-Referenzimplementierung noch im Ausbau. Qualifizierte elektronische Signaturen/Siegel werden derzeit nicht von den Plattformen angeboten, von diesen aber zur Übermittlung der Daten gefordert. Außerdem bestehen auf technischer Ebene Beschränkungen bei der Übermittlung von Datenmengen über 25 MB. In diesen Fällen fordert das e-Evidence-Paket alternative Übermittlungswege, die aber nicht spezifiziert oder zur Verfügung gestellt werden.
• Lücken im neuen Gesetzesentwurf: Nach dem aktuellen Gesetzesentwurf soll die nationale Sicherungsanordnung nur Verkehrsdaten erfassen; für Teilnehmer-, Identifizierungs- und Inhaltsdaten fehlt eine entsprechende nationale Regelung. Offen bleibt zudem, ob für Anbieter digitaler Dienste eine „Doppeltür-Lücke“ durch den neuen Entwurf besteht. Das Doppeltür-Modell des Bundesverfassungsgerichts verlangt neben der behördlichen Eingriffsbefugnis eine eigenständige Übermittlungs- und Verarbeitungsbefugnis der Diensteanbieter. Die bestehenden und geplanten Verarbeitungsbefugnisse erfassen jedoch nur TK-Diensteanbieter und deren Adressaten – nicht aber sonstige Diensteanbieter, die dem e-Evidence-Paket unterfallen. Solange diese Lücke nicht geschlossen wird, bewegen sich Anbieter digitaler Dienste bei der Erfüllung ausländischer Anordnungen in einem verfassungsrechtlich unsicheren Raum.

Handlungsbedarf für betroffene Unternehmen

Europäische Herausgabe- und Sicherungsanordnungen können bereits ergehen. Bei Verstößen gegen die Pflichten aus dem e-Evidence-Paket drohen Bußgelder bis zu 500.000 EUR. Umsatzstarke Diensteanbieter müssen teilweise sogar mit einem Bußgeld von bis zu 2 % des Jahresumsatzes rechnen. Das Risiko besteht nicht nur bei Untätigkeit, sondern auch bei fahrlässig verspäteter oder fehlerhafter Bearbeitung. Betroffene Unternehmen sind daher gehalten, entsprechende Maßnahmen zu treffen:

• Betroffenheit überprüfen: Fallen die Dienste in den Anwendungsbereich des e-Evidence-Pakets?
• Adressaten bestimmen, benennen und registrieren
• Interne Prozesse aufsetzen: Für qualifizierte elektronische Signaturen, Fristenmanagement (Herausgabe innerhalb von 10 Tagen/acht Stunden im Notfall; unverzügliche Sicherung); Eskalations- und Vertretungswege einrichten sowie Legal-Hold-Mechanismen in Löschkonzepte integrieren, sodass sich automatisierte Löschroutinen bei Eingang Europäischer Sicherungsanordnungen unterbrechen lassen
• Vertragliche Regelungen mit Adressaten zur Abbildung der Verantwortlichkeiten, der Datenzugriffsprozesse und eines möglichen Ausgleichs bei Bußgeldern schaffen
• Vorbereitung alternativer Übermittlungswege für Dateien über 25 MB
• Verfolgung der weiteren Gesetzgebungsverfahren

Ausblick

Das e-Evidence-Paket als Schritt zur Beschleunigung grenzüberschreitender Ermittlungen schafft für Diensteanbieter erhebliche operative Belastungen. Mit dem EBewMG und dem neuen Gesetzesentwurf sind wesentliche Bausteine für die praktische Anwendung des e-Evidence-Pakets in Deutschland gelegt. Zentrale Fragen – insbesondere zur Reichweite nationaler Sicherungsbefugnisse auch gegenüber digitalen Diensteanbietern und zur praktischen Umsetzung – bleiben auch nach dem 18.08.2026 und nach dem neuesten Gesetzesentwurf ungeklärt. Für betroffene Unternehmen empfiehlt sich daher neben einer Überprüfung der eigenen Compliance-Strukturen eine fortlaufende Beobachtung der weiteren Entwicklungen im Gesetzgebungsprozess.

(Verordnung (EU) 2023/1543 (e-Evidence-Verordnung); Richtlinie (EU) 2023/1544 (e-Evidence-Richtlinie); Elektronische-Beweismittel-Umsetzungs- und Durchführungsgesetz – EBewMG, BGBl. 2026 I Nr. 64; BT-Drucks. 21/6581; Durchführungsverordnung (EU) 2025/1550)