Grenzüberschreitende DatenanfragenEine Forderung muss dort, wo die Festplatte steht, zu einer Anordnung werden, sonst bleibt sie ein Schreiben.

Der Ausdruck, den dieser Markt verwendet und nie erklärt

Wer genug über diese Branche liest, stößt auf dieselbe Behauptung aus zwei entgegengesetzten Richtungen. Die eine sagt, ein Server im Ausland sei schlicht unerreichbar. Die andere sagt, das alles spiele keine Rolle, weil sie die Daten ohnehin bekommen. Beides sind Vermutungen, und die Sache, über die vermutet wird, hat einen Namen, ein Verfahren, eine Warteschlange und eine Papierspur.

Ein Ermittler in einem Land, der Aufzeichnungen will, die ein Unternehmen in einem anderen Land hält, hat nur eine kleine Zahl von Wegen offen — fünf, großzügig gezählt. Nur einer davon ist der Vertrag, den alle nennen und den niemand beschreibt. Zwei sind schneller als der Vertrag und beruhen auf einem Kriterium, das nichts damit zu tun hat, wo die Hardware steht. Und die schnellsten Wege von allen sind überhaupt kein Recht, was der Teil davon ist, der tatsächlich Websites beendet.

Die fünf Wege über eine Grenze

Sie unterscheiden sich darin, wem zugestellt wird, wer ablehnen kann und ob je ein Richter die Akte liest. Grob nach Geschwindigkeit geordnet, vom schnellsten an, was ziemlich genau der Umkehrung dessen entspricht, wie viel Gewicht jeder einzelne trägt.

Drei der fünf enden damit, dass jemand vor Ort örtliches Papier zustellt, und das ist der Satz, den man aus der Tabelle mitnehmen sollte. Die anderen zwei verlangen von einem Unternehmen, auf ein Dokument zu reagieren, das dort, wo das Unternehmen steht, keine Wirkung hat. Ob “Offshore” überhaupt etwas bedeutet, ist fast ausschließlich die Frage, was ein Anbieter mit diesen beiden macht.

Was Rechtshilfe tatsächlich ist

Ein MLAT ist ein Vertrag zwischen zwei Staaten, in dem sie sich gegenseitig Unterstützung in Strafsachen zusagen: Beweismittel, Zeugenaussagen, Aufzeichnungen, die Zustellung von Schriftstücken. Es gibt Hunderte davon, fast alle bilateral; allein die Vereinigten Staaten sind Vertragspartei von mehr als sechzig. Sie bestehen, weil ein Staatsanwalt im Ausland keine Macht hat und eine gerichtliche Anordnung ein innerstaatliches Instrument ist. Der Vertrag verschafft dem ersuchenden Staat keine Reichweite. Er verschafft ihm eine Warteschlange.

Die Warteschlange verläuft über eigens dafür bestimmte Stellen, die Zentralbehörden genannt werden, und ein Ersuchen wird von einer zur nächsten weitergereicht, statt direkt zugestellt zu werden. In den Vereinigten Staaten ist das das Office of International Affairs im Justizministerium; anderswo ist es meist das Justizministerium selbst. Die Kette hat fast überall dieselbe Form:

1. Ein Ermittler formuliert das Ersuchen und übergibt es der eigenen Zentralbehörde, in der vom Vertrag vorgeschriebenen Form, unter Nennung der Straftat und der gewünschten Aufzeichnungen.
2. Diese Behörde prüft, ob das Ersuchen in den Anwendungsbereich des Vertrags fällt, und übermittelt es an die Zentralbehörde des ersuchten Staates. Auf dieser Stufe werden Ersuchen wegen Unbestimmtheit zurückgeschickt, und das trifft auf sehr viele zu.
3. Die empfangende Behörde prüft es gegen das Recht des eigenen Landes und übergibt es einem örtlichen Staatsanwalt oder Untersuchungsrichter.
4. Dieser Staatsanwalt beantragt bei einem örtlichen Gericht eine inländische Anordnung, genau wie in einem innerstaatlichen Fall, auf innerstaatlicher Rechtsgrundlage.
5. Das Gericht gewährt oder lehnt ab. Gewährt es, wird dem Unternehmen eine inländische Anordnung zugestellt — in seinem eigenen Land, in seiner eigenen Sprache, nach seinem eigenen Recht.
6. Was auch immer herausgegeben wird, reist dieselbe Kette rückwärts wieder hinauf, wobei jede Stufe ihre eigene Warteschlange hat.

Ein diplomatisches Rechtshilfeersuchen ist dieselbe Reise, nur ohne Grundlage darunter: ein Ersuchen eines Gerichts in einem Land an ein Gericht in einem anderen, übermittelt auf diplomatischem Weg und gewährt aus Courtoisie statt aus Verpflichtung. Es wird dort eingesetzt, wo kein Vertrag besteht, und es ist langsamer als der Mechanismus, über den sich Leute ohnehin schon als langsam beschweren.

Die vier Filter, die eine Anfrage überstehen muss

Das sind keine Formalitäten. Hier findet die eigentliche Auslese statt, und drei der vier werden von Personen angewendet, die kein eigenes Interesse an den Ermittlungen haben.

1. Beiderseitige Strafbarkeit. Die meisten Verträge erlauben es, Unterstützung zu verweigern, wenn das beschriebene Verhalten nicht auch im ersuchten Staat eine Straftat ist. Ein Land, dessen Recht die Straftat nicht kennt, hat seinen eigenen Gerichten nichts aufzutragen.
2. Bestimmtheit. Das Ersuchen muss so genau benennen, was verlangt wird, dass ein örtlicher Richter dafür eine Anordnung unterzeichnen kann. “Alles, was mit dieser Website zusammenhängt” ist nichts, wofür ein Gericht in einem Rechtsstaat eine Anordnung erlässt.
3. Das eigene Recht des ersuchten Staates. Die Anordnung, die am Ende ankommt, ist eine inländische Anordnung und muss daher inländische Anforderungen erfüllen — Verhältnismäßigkeit, Datenschutz, und in der Europäischen Union Artikel 48 der DSGVO, der eine Forderung aus einem Drittland nur dort anerkennbar macht, wo eine internationale Übereinkunft sie stützt.
4. Die Aufzeichnung muss existieren. Kein Vertrag zwingt ein Unternehmen, etwas herauszugeben, das es nicht besitzt, und kein Gericht ordnet an, es zu rekonstruieren.

Der vierte Filter ist der einzige, auf den ein Kunde überhaupt Einfluss hat, und deshalb der einzige, für den es sich lohnt, Geld auszugeben. Alles andere auf dieser Liste ist das Verfahren von jemand anderem. Was in den Aufzeichnungen steht, ist eine Entscheidung, die ein Anbieter Jahre vor Eintreffen der Anfrage getroffen hat, und die Sie treffen, wenn Sie festlegen, was Ihre eigene Anwendung protokolliert — das ist das Thema von was Ihre eigene Website über Leser aufzeichnet.

Warum es so lange dauert, wie es dauert

Jede Station in dieser Kette ist ein Schreibtisch mit einem Rückstau, und die Verzögerungen summieren sich, statt sich zu überlappen. Die üblicherweise für ein abgeschlossenes Rechtshilfeersuchen genannte Zahl liegt bei nahezu zehn Monaten, und sie stammt nicht aus dieser Branche: Die eigene Prüfgruppe der Vereinigten Staaten für Geheimdienst- und Kommunikationstechnologien berichtete das 2013, und die Europäische Kommission zitierte eine vergleichbare Zahl, als sie für das zwei Abschnitte weiter unten beschriebene Instrument warb. Seitdem hat nichts es merklich schneller gemacht.

Zehn Monate sind weder eine Formsache noch ein Grund zur Entspannung, und beides darin zu sehen, ist ein Fehler. Es ist eine strukturelle Tatsache über ein Verfahren mit sechs Warteschlangen darin, und deshalb gibt es die Aufbewahrungsanordnung: ein kurzes Instrument, am ersten Tag verschickt, das verlangt, dass heute existierende Aufzeichnungen nicht gelöscht werden, während die langsame Maschinerie läuft. Aufbewahrung ist der Teil, den Leute übersehen, wenn sie an Zeitrahmen denken. Eine Forderung, die ein Jahr lang nichts hervorbringt, kann trotzdem schon am ersten Nachmittag etwas eingefroren haben — sofern dort etwas zum Einfrieren vorhanden war.

Beim CLOUD Act geht es um das Unternehmen, nicht um das Land

2013 stellten die Vereinigten Staaten Microsoft eine Anordnung wegen in Dublin gespeicherter E-Mails zu. Microsoft argumentierte, eine inländische Anordnung reiche nicht bis nach Irland. Der Fall ging bis vor den Obersten Gerichtshof der Vereinigten Staaten, und im März 2018 machte der Kongress ihn gegenstandslos, indem er den CLOUD Act verabschiedete.

Was das Gesetz bewirkte, lässt sich in einem Satz sagen, und es ist der Satz, den dieser Markt hätte lesen sollen. Es änderte den Stored Communications Act — 18 U.S.C. §2703 — und verpflichtet seither einen der Jurisdiktion der Vereinigten Staaten unterliegenden Anbieter, Daten herauszugeben, die sich in seinem Besitz, Gewahrsam oder unter seiner Kontrolle befinden, unabhängig davon, ob diese Daten innerhalb der Vereinigten Staaten gespeichert sind oder nicht.

Nun lesen Sie es darauf hin, was es nicht sagt. Es sagt überhaupt nichts darüber, wo der Server steht. Der Standort der Festplatte hörte auf, die Frage zu sein; die einzige Frage, die das Gesetz stellt, ist, ob das Unternehmen, das sie hält, von einem Gericht der Vereinigten Staaten erreicht werden kann. Eine US-Gesellschaft mit einem Rechenzentrum in Frankfurt fällt darunter. Ein Unternehmen ohne US-Präsenz fällt nicht darunter, und daran würde auch eine Festplatte in Virginia nichts ändern — dafür stehen die Vereinigten Staaten wieder in der oben beschriebenen Warteschlange.

Das Gesetz eröffnete auch einen zweiten Weg: Exekutivvereinbarungen zwischen den Vereinigten Staaten und einer qualifizierten ausländischen Regierung, unter denen die Behörden jeder Seite Anordnungen direkt gegenüber Anbietern im jeweils anderen Land zustellen dürfen. Das Vereinigte Königreich unterzeichnete die erste 2019, sie trat 2022 in Kraft; Australien folgte. Diese erreichen Anbieter im Zugriffsbereich der unterzeichnenden Regierungen und niemanden sonst, was dasselbe Kriterium mit anderem Etikett ist.

Was sich in Europa im August 2026 geändert hat

Die Europäische Union hat ihre eigene Version des direkten Wegs geschaffen, und sie gilt seit dem 18. August 2026 — erst so kurz, dass die meisten Seiten in diesem Markt noch nicht nachgezogen haben. Die Verordnung (EU) 2023/1543 schafft die Europäische Herausgabeanordnung und die Europäische Sicherungsanordnung: Eine Behörde in einem Mitgliedstaat kann eine Anordnung erlassen und sie direkt einem Diensteanbieter zustellen, der Dienste in der Union anbietet, ohne dabei, wie bei der Rechtshilfe, über die Behörden des zweiten Staates zu gehen.

Ihr Begleitinstrument, die Richtlinie (EU) 2023/1544, ist der Teil, der das Ganze zum Laufen bringt. Anbieter, die Dienste in der Union anbieten, müssen eine Niederlassung oder einen gesetzlichen Vertreter in einem Mitgliedstaat benennen, um diese Anordnungen entgegenzunehmen. Diese Benennung ist der Anknüpfungspunkt, und sie ist das CLOUD-Act-Kriterium, nur europäisch gewendet: Das Instrument erreicht jeden, der durch seine Tätigkeit dort zugestimmt hat, erreichbar zu sein.

Die letzte Zeile ist die, die am häufigsten falsch zitiert wird. Die Budapest-Konvention über Computerkriminalität — Vertrag des Europarats ETS 185, zur Unterzeichnung aufgelegt 2001 und inzwischen weit über Europa hinaus ratifiziert — sieht in Artikel 29 die beschleunigte Sicherung vor, in Artikel 31 die Rechtshilfe bei gespeicherten Daten, und Artikel 35 verpflichtet jede Vertragspartei, eine rund um die Uhr erreichbare Kontaktstelle vorzuhalten. Artikel 32(b), der Artikel, den man als allgemeine Befugnis zum Fernzugriff zitiert, erlaubt diesen nur, wenn die Daten öffentlich zugänglich sind oder wenn die Person, die rechtmäßig zur Offenlegung befugt ist, zustimmt. Es ist eine schmale Tür, und keine Hintertür.

Die zwei Wege, die nie vor einen Richter kommen

Hier ist die unbequeme Hälfte der Antwort. Jeder Weg oben ist langsam, förmlich und zählbar — der Bericht am Ende dieser Seite zählt sie. Die Wege, die die meisten Websites tatsächlich beenden, sind nichts von alldem, und ein Leser, der der Vertragsmaschinerie bis hierhin gefolgt ist, macht sich meist über die falsche Sache Sorgen.

• Der Upstream. Ein Anbieter mietet Transit von Carriern und Stellfläche in einem Rechenzentrum. Eine Beschwerde, die an diese statt an den Anbieter geschickt wird, erreicht eine Partei, die keine Beziehung zu Ihnen hat und nichts zu verlieren hat, wenn sie darauf reagiert. Was dem entgegenwirkt, ist ein Anbieter, der die Beziehung selbst hält und schon einmal abgelehnt hat.
• Der Registrar. Eine Domain ist eine Lizenz einer Registry in ihrer eigenen Jurisdiktion, und eine Registry kann einen Namen sperren, ohne den Server auch nur zu berühren. Die Maschine liefert weiter aus; nichts löst noch auf. Das ist eine andere Angriffsfläche mit einem eigenen Leitfaden.
• Der Zahlungsweg. Ein Kartenprozessor kann ein Konto aufgrund einer Beschwerde einfrieren, nach Belieben, ohne ein Verfahren, das diesen Namen verdient, und ohne Widerspruchsmöglichkeit. Das ist der Hauptgrund, warum die Abwicklung hier ausschließlich on-chain erfolgt.
• Der Abuse-Desk. Eine Beschwerde wird von einer Person an einem anderen Schreibtisch gelesen, nach einer anderen Uhr, gegen eine Richtlinie statt gegen ein Gesetz. Wer eine Beschwerde über Sie liest beschreibt das von innen.

Keines davon ist eine grenzüberschreitende Datenanfrage, und genau deshalb gehören sie in einen Leitfaden über grenzüberschreitende Datenanfragen. Die Bedrohung, zu deren Lösung Menschen Offshore-Hosting kaufen, ist häufig nicht die Bedrohung, die sie tatsächlich trifft.

Die Struktur eines Hosts vor diesem Hintergrund lesen

Alles oben Gesagte läuft auf eine Handvoll überprüfbarer Tatsachen über ein Unternehmen hinaus, und jede einzelne davon lässt sich feststellen, bevor Sie auch nur etwas ausgeben.

1. Welche Gesellschaft auf der Rechnung steht und wo sie eingetragen ist. Nicht die Region, nicht die Flagge auf der Landkarte: das Unternehmen, mit dem Sie einen Vertrag schließen.
2. Eine einzige Gesellschaft, oder eine für jede Region. Ein einzelnes Unternehmen, das acht Länder betreibt, ist ein einziger Beklagter mit acht Adressen, und eine Anordnung dagegen erreicht sie alle.
3. Ob irgendetwas in der Unternehmensgruppe von der Jurisdiktion aus erreichbar ist, an die Sie denken. Eine Muttergesellschaft, eine Tochtergesellschaft, ein Büro, ein Bankkonto. Das ist das CLOUD-Act-Kriterium, und es gilt weit über das Gesetz selbst hinaus.
4. Was der Anbieter erklärt, im Umgang mit einer ausländischen Anordnung zu tun. Schriftlich, mit einem Zeitrahmen, veröffentlicht, bevor er einen brauchte.
5. Was er danach veröffentlicht. Eine Zählung dessen, was eingegangen ist, was die Hürde erreicht hat, und was tatsächlich herausgegeben wurde. Die dritte Zahl ist diejenige, die niemand überzeugend fälscht, weil sie diejenige ist, die peinlich wäre.
6. Was überhaupt existiert, um herausgegeben zu werden. Die letzte Frage, und am Ende die einzige, die irgendetwas entscheidet.

Die Struktur dieses Bestands sind acht Regionen und acht Unternehmen, jedes im Register seines eigenen Landes, und das ist der Grund, warum eine gegen eines erwirkte Anordnung gegen ein anderes nicht vollstreckbar ist, ohne den ganzen Prozess im zweiten Land von vorn zu beginnen. Das ist eine teure Art, ein Geschäft aufzuziehen, und es ist genau aus diesem einen Grund so aufgezogen; die Bedingungen sagen das in Klausel 1, und die Liste der Rechtsträger steht auf der Über-uns-Seite.

Wie es sich in den Zahlen zeigt

Dieser Bestand veröffentlicht, was eingeht, nach Quartal, und das seit seiner Eröffnung. Von 164 bislang eingegangenen Anfragen von Strafverfolgungsbehörden erreichten 54 die rechtliche Hürde — eine Anordnung eines Gerichts mit Zuständigkeit über die belangte Gesellschaft — und 31 brachten überhaupt etwas hervor.

Die Zahl, die es zu lesen lohnt, ist die Lücke. Einhundertzehn Anfragen, zwei Drittel von allem, was eingegangen ist, kamen nie über die Frage hinaus, um die es in diesem gesamten Leitfaden geht: ob dies von einem Gericht zugestellt wurde, das die Gesellschaft, der es zugestellt wurde, auch erreichen kann. Das ist keine Ablehnungsquote und kein Widerstand. Es ist die Gestalt des Problems, an einer Stichprobe von einem Unternehmen.

Die zweite Zahl steht am anderen Ende. Von den einunddreißig, die etwas hervorgebracht haben, war das, was hervorgebracht wurde, Inventar — eine gegen ein Konto gehaltene E-Mail-Adresse, ein On-Chain-Buchungseintrag — und niemals der Inhalt einer Festplatte. Nicht, weil heroisch eine Linie gehalten wurde, sondern weil eine Aufzeichnung, die nie erstellt wurde, niemandem ausgehändigt werden kann. Der vollständige Bericht steht im Transparenzbericht, und das Verfahren, das er zählt, ist ausgeschrieben im Leitfaden für Strafverfolgungsbehörden.

Fragen, die tatsächlich gestellt werden

Jeder Preis auf diesem Anwesen ist vollständig veröffentlicht, an einem Ort. Den gesamten Katalog ansehen