Cloudflare Law Enforcement Data Request: Leitfaden für Behörden
Wie Ermittler mit Cloudflare arbeiten: Warum wir auf Hosting-Provider verweisen, unsere Kanäle für Missbrauch und Rechtsverfahren sowie MLAT-Verfahren.
Dieser Leitfaden bietet allgemeine, professionelle Orientierungshilfen für Strafverfolgungsbehörden, Staatsanwälte und Ermittler im Bereich Cyberkriminalität, die Unterlagen zu einer Website benötigen, die Cloudflare nutzt. Dies stellt keine Rechtsberatung dar. Ermittler sollten im Rahmen ihrer jeweiligen gesetzlichen Befugnisse handeln und die aktuellen Verfahren direkt beim Anbieter bestätigen, bevor sie sich auf einen der hier beschriebenen Schritte verlassen.
- Cloudflare verweist Sie in der Regel an den Host, es ist nicht der Host. Bei den meisten Produkten fungiert es als Proxy für den Datenverkehr und speichert nicht den Inhalt der Website.
- Das Nützlichste, was Cloudflare Ihnen oft liefern kann, ist die Identität des Hosting-Anbieters hinter einer per Proxy geschützten Website sowie die Konto- und Abrechnungsdaten des Kunden.
- Cloudflare unterscheidet zwischen einer Missbrauchsmeldung und einem formellen rechtlichen Verfahren. Für Teilnehmerdaten ist in der Regel eine Vorladung erforderlich, für sensiblere Unterlagen meist ein Gerichtsbeschluss oder ein Durchsuchungsbefehl.
- Cloudflare benachrichtigt seine Kunden in der Regel über eine rechtliche Anfrage, sofern dies nicht gesetzlich untersagt ist, was bei der Planung einer Festnahme oder Beschlagnahmung wichtig ist.
- Cloudflare hat seinen Sitz in den USA, daher leiten nicht-US-Behörden formelle Anfragen in der Regel über ein US-Gericht weiter, oft im Rahmen eines Rechtshilfeabkommens (MLAT).
Was Cloudflare eigentlich ist
Cloudflare ist ein Content Delivery Network, DNS-Anbieter, Reverse Proxy und DDoS-Schutzdienst. Bei der großen Mehrheit der Websites, die es nutzen, schaltet sich Cloudflare vor eine Website, die an anderer Stelle gehostet wird. Der Besucher-Traffic erreicht zuerst die Edge von Cloudflare, und Cloudflare leitet ihn an den echten Server des Kunden weiter, den sogenannten Ursprung (Origin). Aufgrund dieses Durchleitungsmodells ist Cloudflare im Allgemeinen nicht der Host des Website-Inhalts und speichert diesen Inhalt nicht im herkömmlichen Sinne.
Es gibt eine wichtige Ausnahme. Wenn ein Kunde die eigenen Plattformprodukte von Cloudflare nutzt, um Inhalte an der Edge bereitzustellen, wie z. B. Pages, Workers, Workers KV, Stream, Images oder R2-Speicher, kann Cloudflare selbst der Ursprungs-Host für diesen spezifischen Inhalt sein. Bei diesen Produkten können inhaltsbezogene Anfragen an Cloudflare gerichtet werden. Bei gewöhnlichen per Proxy geschützten Websites ist dies nicht möglich.
Was Cloudflare speichert und was nicht
Cloudflare speichert begrenzte Kundenkontoinformationen. Gemäß seinen Richtlinien für die Strafverfolgung umfasst dies in der Regel den Kundennamen, die E-Mail-Adresse, die physische Adresse, die Telefonnummer und die Art oder Quelle der Zahlung sowie Details zur Kontoaktivität wie Anmeldezeiten und zugehörige IP-Adressen.
Was Cloudflare bei per Proxy geschützten Websites im Allgemeinen nicht besitzt, ist der Inhalt der Website, und es sammelt oder speichert nicht routinemäßig Daten über die Endnutzer, die Kunden-Websites besuchen. Es gibt an, dass es selten über Daten verfügt, die auf Anordnungen zu IP-Protokollen von Besuchern oder Zugriffsdaten reagieren können, da solche Informationen nur für einen begrenzten Zeitraum gespeichert werden. Planen Sie entsprechend: Gehen Sie nicht davon aus, dass Cloudflare rekonstruieren kann, wer eine Website besucht hat.
| Was Sie benötigen | Wer es tatsächlich besitzt | Wie Sie es erhalten |
|---|---|---|
| Inhalt oder Dateien der Website (per Proxy geschützte Seite) | Der Ursprungs-Hosting-Anbieter, nicht Cloudflare | Identifizieren Sie den Host über Cloudflare und stellen Sie dem Host dann das rechtliche Dokument zu |
| Konto-, Abrechnungs- und Kontaktdaten des Kunden | Cloudflare | Vorladung (grundlegende Teilnehmerdaten) an Cloudflare |
| Identität des Ursprungs-Hosts hinter einer per Proxy geschützten Domain | Cloudflare | Rechtliches Verfahren an Cloudflare oder in dringenden Fällen eine Notfallanfrage |
| Inhalte, die von Pages, Workers, Stream, Images oder R2 bereitgestellt werden | Cloudflare (hier ist es der Ursprung) | Gerichtsbeschluss oder Durchsuchungsbefehl an Cloudflare |
| IP-Protokolle und Zugriffszeiten von Besuchern | Oft speichert niemand diese langfristig; prüfen Sie den Ursprungs-Host | Gerichtsbeschluss, aber erwarten Sie nur begrenzte oder keine Daten |
Warum Proxying den Ursprung verbirgt und warum Ermittler zu Cloudflare kommen
Wenn eine Domain per Proxy geschützt ist, lösen öffentliche Abfragen wie WHOIS und DNS auf die IP-Adressen von Cloudflare auf und nicht auf den echten Server des Kunden. Dies ist beabsichtigt und schützt den Ursprung vor direkten Angriffen. Der Nebeneffekt für Ermittler ist, dass der tatsächliche Hosting-Standort maskiert ist. Das ist der Hauptgrund, warum Strafverfolgungsbehörden Cloudflare kontaktieren: nicht um den Inhalt der Website zu erhalten, sondern um den Proxy zu durchdringen und zu erfahren, welcher Hosting-Anbieter dahintersteckt, damit der Inhalt und die Serverprotokolle beim echten Host verfolgt werden können.
Missbrauchsmeldung versus formelles rechtliches Verfahren
Dies sind zwei getrennte Kanäle, die zu sehr unterschiedlichen Ergebnissen führen.
- Missbrauchsmeldung. Cloudflare betreibt ein Formular für Missbrauchsmeldungen auf seiner Missbrauchsseite (der Abschnitt „Reporting Abuse“ im Trust Hub verlinkt auf das aktuelle Formular). Bei per Proxy geschützten Websites leitet Cloudflare die Beschwerde in der Regel an den Website-Betreiber und den verantwortlichen Hosting-Anbieter weiter und stellt dem Melder die Kontaktinformationen des Hosting-Anbieters zur Verfügung. Dies ist ein schneller Weg, um den Host zu identifizieren und eine Beschwerde an die Partei zu richten, die tatsächlich gegen den Inhalt vorgehen kann. Es ist kein Ersatz für ein rechtliches Verfahren und führt nicht zur Herausgabe von Teilnehmerdatensätzen.
- Formelles rechtliches Verfahren. Um Kundendaten zu erzwingen, stellen Sie ein gültiges rechtliches Dokument zu. Die Richtlinien von Cloudflare geben an, dass für grundlegende Teilnehmerdaten in der Regel eine Vorladung erforderlich ist, während für sensiblere oder zusätzliche Informationen meist ein gerichtlicher Durchsuchungsbefehl oder eine andere gerichtliche Anordnung erforderlich ist. Beamte kontaktieren den Kanal für Strafverfolgungsbehörden von Cloudflare ([email protected]) und sollten identifizierende Details wie Dienstausweis- und Aktenzeichen, Dienstgrad, Behörde und Einheit angeben.
Der praktische Arbeitsablauf
- Bestätigen Sie, dass die Website tatsächlich hinter Cloudflare liegt (WHOIS oder DNS-Auflösung auf Cloudflare-Bereiche, Antwort-Header).
- Entscheiden Sie, was Sie benötigen. Wenn Sie Inhalte oder serverseitige Protokolle wünschen, ist Ihr eigentliches Ziel der Ursprungs-Host, nicht Cloudflare.
- Nutzen Sie Cloudflare, um den Ursprung zu identifizieren. Reichen Sie eine Missbrauchsmeldung ein, um die Kontaktdaten des Hosting-Anbieters zu erhalten, oder stellen Sie ein rechtliches Dokument zu, um die Konto- und Ursprungsinformationen des Kunden zu erzwingen.
- Stellen Sie dem Ursprungs-Host das Dokument zu. Sobald Sie den Hosting-Anbieter kennen, richten Sie Ihre Vorladung, Ihren Gerichtsbeschluss oder Ihren Durchsuchungsbefehl für Inhalte und Protokolle an diesen Host.
- Stellen Sie parallel dazu Cloudflare das Dokument für die Unterlagen zu, die es tatsächlich besitzt, nämlich die Konto-, Abrechnungs- und Kontaktinformationen des Kunden.
- Senden Sie frühzeitig eine Aufbewahrungsanfrage an die relevanten Parteien, damit keine Daten verloren gehen, während das rechtliche Verfahren vorbereitet wird.
Aufbewahrung, Notfalloffenlegung und Kundenbenachrichtigung
Aufbewahrung versus Herausgabe. Eine Aufbewahrungsanfrage bittet einen Anbieter, bestehende Unterlagen aufzubewahren, damit sie nicht gelöscht werden; sie legt von sich aus nichts offen. Die Herausgabe erfordert das entsprechende rechtliche Verfahren. Angesichts der kurzen Aufbewahrungsdauer von flüchtigen Daten bei Cloudflare sollten Sie Aufbewahrungsanfragen umgehend versenden.
Notfalloffenlegung. Wenn eine Anfrage eine unmittelbare Gefahr für Leib oder Leben einer Person beinhaltet, kann Cloudflare Informationen unverzüglich offenlegen, was von Fall zu Fall nach US-Recht bewertet wird. Nutzen Sie den Kanal für Strafverfolgungsbehörden und dokumentieren Sie den Notfall klar.
Nicht-US-Behörden und MLAT
Cloudflare ist ein in den USA ansässiges Unternehmen. Es erwartet von nicht-US-amerikanischen Regierungen, dass sie dieselben Anforderungen an ein ordnungsgemäßes Verfahren (Due Process) einhalten, und bevorzugt es im Allgemeinen, wenn Anfragen über ein US-Gericht im Wege eines diplomatischen Verfahrens, wie etwa eines Rechtshilfeersuchens (Mutual Legal Assistance Treaty), eingehen. Ermittlungsbehörden außerhalb der USA sollten diese Weiterleitung und die damit verbundene Zeitdauer bei ihren Planungen berücksichtigen, während sie gleichzeitig den Abuse-Kanal nutzen, um den Host in der Zwischenzeit zu identifizieren. Cloudflare veröffentlicht regelmäßig einen Transparenzbericht und unterhält öffentliche Richtlinien für Strafverfolgungsbehörden; überprüfen Sie die aktuellen Versionen, bevor Sie Anfragen einreichen.
Häufig gestellte Fragen
Kann Cloudflare mir den Inhalt der Website geben? Bei gewöhnlichen Proxy-Seiten nein. Cloudflare hostet diese Inhalte nicht; es leitet sie lediglich weiter. Sie erhalten die Inhalte vom ursprünglichen Hosting-Anbieter. Die Ausnahme bilden Inhalte, die über Cloudflares eigene Edge-Produkte wie Pages, Workers, Stream, Images und R2 bereitgestellt werden, bei denen Cloudflare der Host sein kann.
Wie finde ich den tatsächlichen Host hinter einer Cloudflare-Seite? Fragen Sie Cloudflare. Ein Abuse-Bericht liefert in der Regel die Kontaktinformationen des Hosting-Anbieters, und ein formelles rechtliches Verfahren kann die Herausgabe der Konto- und Ursprungsdaten des Kunden erzwingen. Wenden Sie sich dann direkt an diesen Host.
Welches rechtliche Verfahren benötige ich und wird der Kunde informiert? Für grundlegende Teilnehmerdaten ist in der Regel eine Vorladung (Subpoena) erforderlich; für sensiblere Datensätze sind meist ein Gerichtsbeschluss oder ein Durchsuchungsbefehl notwendig. Cloudflare benachrichtigt den Kunden im Allgemeinen, sofern dies nicht gesetzlich untersagt ist. Beantragen Sie daher eine Geheimhaltungsanordnung (Non-Disclosure Order), falls Vertraulichkeit erforderlich ist.
Ich befinde mich außerhalb der Vereinigten Staaten. Was soll ich tun? Nutzen Sie den Abuse-Kanal, um den Host schnell zu identifizieren, aber leiten Sie formelle Anträge auf erzwungene Offenlegung über das entsprechende US-Rechtsverfahren weiter, üblicherweise mittels eines MLAT-Ersuchens.
Weiterführende Leitfäden
- Cloud-Beweise: Daten von AWS, Azure und Google Cloud erhalten
- IP- und Domain-Attribution: Eine Adresse einem Verdächtigen zuordnen
- Beweise von Social-Media-Plattformen erhalten: Aufzeichnungen, Sicherung und rechtliches Verfahren
Das vollständige Verzeichnis der Portale für Anfragen von Strafverfolgungsbehörden finden Sie in unserem LERS-Portal-Hub.
Titelbild: Ein Glasfasernetzwerkkabel. · Bildnachweis: Bidgee · Wikimedia Commons · CC BY-SA 3.0 AU · Quelle