DigitalOcean Leitfaden für Behördenanfragen: Polizei & Regierung

Dieser Leitfaden bietet allgemeine, praktische Hinweise für Strafverfolgungsbehörden, Staatsanwälte und Ermittler im Bereich Cyberkriminalität, die Daten von DigitalOcean benötigen, einem in den USA ansässigen Cloud-Hosting-Anbieter. Dies stellt keine Rechtsberatung dar. Jede hier beschriebene Anfrage setzt voraus, dass Sie unter der entsprechenden rechtlichen Befugnis in Ihrer Gerichtsbarkeit handeln und die Gesetze und Verfahren befolgen, die die erzwungene Offenlegung an Ihrem Einsatzort regeln. DigitalOcean veröffentlicht eigene Law Enforcement Guidelines und betreibt eine Trust Platform; dieser Artikel fasst dieses öffentliche Material zusammen und erklärt, wie man es anwendet, aber die aktuell veröffentlichten Bedingungen des Anbieters sind stets maßgeblich.

Was DigitalOcean speichert

DigitalOcean verkauft Infrastructure-as-a-Service: Droplets (virtuelle Maschinen), Spaces (Objektspeicher), App Platform, verwaltete Datenbanken und Snapshots. Da das Unternehmen die zugrunde liegenden Server tatsächlich betreibt, gehen die Daten, die es speichern kann, weit über das hinaus, was ein Front-End-Proxy bieten kann. Die realistischen Kategorien sind:

• Konto- und Registrierungsdaten: Vor- und Nachname des Kunden, E-Mail-Adresse, Telefonnummer, physische Adresse sowie die mit Datum und Uhrzeit versehene IP-Adresse, von der aus das Konto oder die Ressource erstellt wurde.
• Abrechnungs- und Zahlungsdaten: Transaktionsdatensätze, die mit Zahlungsdienstleistern wie PayPal oder Stripe verknüpft sind, was eine starke Verbindung zu einer realen Identität darstellen kann.
• Serverinhalte und Snapshots: Die Inhalte eines Droplets, Objektspeichers sowie Backups oder Snapshots eines Kunden. Dies sind Inhaltsdaten, für die die höchste rechtliche Schwelle gilt.
• Zugriffs- und Authentifizierungsprotokolle: Sicherheits- und Zugriffsprotokolle, die die Aktivitäten und Bewegungen eines Benutzers über einen bestimmten Zeitraum sowie Konto- oder Ressourceneinstellungen offenlegen können.
• IP-Zuweisungen: Welchem Kunden eine bestimmte IP-Adresse zu einem bestimmten Datum, einer bestimmten Uhrzeit und Zeitzone zugewiesen wurde.

Missbrauchsmeldungen vs. rechtliche Schritte

Es gibt zwei unterschiedliche Kanäle, und die Wahl des richtigen ist wichtig.

• Missbrauchsmeldungen (Abuse reports) gehen an [email protected] (oder über das Webformular unter digitalocean.com/company/contact). Nutzen Sie dies, um Phishing, Malware-Command-and-Control, Betrugsseiten, Botnet-Knoten oder andere Verstöße gegen die Nutzungsbedingungen (Acceptable Use Policy), die bei DigitalOcean gehostet werden, zu melden. Fügen Sie die IP-Adresse, URLs, Zeitstempel mit Zeitzone und unterstützende Protokolle bei. Dieser Weg kann dazu führen, dass eine bösartige Seite oder ein Droplet abgeschaltet wird, aber Sie erhalten dadurch keine Teilnehmerdaten.
• Rechtliche Schritte sind der Weg, um Kundendaten, Protokolle oder Inhalte zu erhalten. Diese müssen über das Law Enforcement Request Portal von DigitalOcean eingereicht werden, das auf Kodex gehostet wird, wo Sie ein verifiziertes Konto für Strafverfolgungsbehörden erstellen.

Viele missbräuchliche Operationen nutzen günstige Cloud-VMs gerade deshalb, weil sie schnell erstellt und wieder gelöscht werden können, was DigitalOcean zu einem häufigen Ziel sowohl für Abschaltungen als auch für Datenanfragen macht. Das Einreichen einer Missbrauchsmeldung und das Einleiten rechtlicher Schritte schließen sich nicht gegenseitig aus; Ermittler tun oft beides.

Rechtliche Verfahren und Schwellenwerte

DigitalOcean unterliegt dem US Electronic Communications Privacy Act (ECPA / Stored Communications Act), der eine gestaffelte Struktur vorgibt: Je sensibler die Daten, desto höher der rechtliche Standard. Außer in Notfällen legt DigitalOcean geschützte Informationen nur aufgrund eines gültigen Verfahrens offen.

Sicherung vs. Herausgabe

Eine Sicherungsanfrage (Preservation request) bittet DigitalOcean, Teilnehmer- und/oder Inhaltsdaten in Erwartung eines zukünftigen rechtlichen Verfahrens zu kopieren und sicher zu speichern. Es ist keine Aufforderung zur Herausgabe. Bei einer gültigen Sicherungsanfrage speichert DigitalOcean die verfügbaren Kontoinformationen bis zu 90 Tage lang in einer Offline-Datei und verlängert diese auf eine erneute Anfrage um einen weiteren 90-Tage-Zeitraum. Nutzen Sie die Sicherung als ersten Schritt, sobald Sie eine relevante IP oder ein Konto identifizieren, und erstellen und übermitteln Sie dann die entsprechende Vorladung, den Beschluss oder den Haftbefehl, um die Daten tatsächlich zu erhalten.

Notfall-Offenlegung

Wenn eine unmittelbare Gefahr von Tod oder schwerer körperlicher Schädigung für ein identifizierbares Opfer besteht, kann DigitalOcean Benutzerinformationen ohne Vorladung oder Durchsuchungsbeschluss offenlegen. Diese Notfallanfragen werden über das Law Enforcement Request Portal gestellt und sollten die Art des Notfalls, den spezifischen Schaden, den Grund für die dringende Datenanforderung und die eng gefassten gesuchten Informationen klar erläutern. Die Notfall-Offenlegung ist für echte Notsituationen gedacht, nicht als Abkürzung für Routineverfahren.

Ausländische Strafverfolgungsbehörden und MLAT

DigitalOcean ist ein US-Unternehmen, daher gilt für die erzwungene Offenlegung US-Recht. Behörden außerhalb der Vereinigten Staaten können die Herausgabe von Inhalten in der Regel nicht direkt erzwingen. Die anerkannten Wege sind ein US-Gerichtsbeschluss, eine Anfrage über einen anwendbaren Rechtshilfevertrag (MLAT) oder eine Anordnung einer ausländischen Regierung, die unter einen grenzüberschreitenden Rahmen wie 18 U.S.C. 2523 fällt (z. B. ein CLOUD Act-Abkommen). MLAT-Verfahren können langsam sein, daher sollten ausländische Ermittler frühzeitig eine Sicherungsanfrage senden, um die Daten zu erhalten, während der formale Kanal läuft. Einige Anfragen zu grundlegenden Teilnehmerdaten (ohne Inhalte) können möglicherweise schneller bearbeitet werden, aber für Inhalte ist fast immer der formale, in den USA anerkannte Weg erforderlich.

Der praktische Arbeitsablauf

1. Das Ziel zuordnen. Ermitteln Sie die IP-Adresse des missbräuchlich genutzten Droplet, der Website oder des Speicher-Endpunkts und bestätigen Sie über WHOIS / RDAP, dass die IP in den Bereich von DigitalOcean fällt. Protokollieren Sie Datum, Uhrzeit und Zeitzone der Aktivität.
2. Sofortige Sicherung. Reichen Sie über das Kodex Law Enforcement Request Portal einen Sicherungsantrag ein, damit Serverinhalte, Snapshots und Protokolle nicht gelöscht werden, bevor Ihr Verfahren eingeleitet wird.
3. Missbrauchsmeldung einreichen, falls eine Entfernung erforderlich ist. Senden Sie bei akuter Gefährdung parallel die IP, URLs, Zeitstempel und Protokolle an [email protected].
4. Das Rechtsinstrument auf die Daten abstimmen. Vorladung für Teilnehmer-/Abrechnungsdaten, 2703(d)-Anordnung für Protokolle, Durchsuchungsbeschluss für Inhalte. Halten Sie jede Anfrage präzise und beziehen Sie sich auf die gesicherte IP und den Datumsbereich.
5. Zustellung über das Portal. Reichen Sie die Anfrage über Ihr verifiziertes Kodex-Konto ein, dem Kanal, den DigitalOcean für den Empfang und die Bearbeitung von Rechtsverfahren nutzt.
6. Kundenbenachrichtigung einplanen. Gehen Sie davon aus, dass der Kunde informiert wird, sofern Sie keine Geheimhaltungsanordnung erwirken; planen Sie dies in Ihren Zeitrahmen ein (siehe FAQ).
7. Überprüfung. Behandeln Sie übermittelte Konto- und Zahlungsdaten als Hinweis und bestätigen Sie die Identität unabhängig, bevor Sie Maßnahmen ergreifen.

Häufig gestellte Fragen

Wird DigitalOcean den Kunden über meine Anfrage informieren? Ja, standardmäßig. DigitalOcean benachrichtigt betroffene Kontoinhaber per E-Mail an ihre verifizierte Adresse und stellt eine Kopie des Rechtsverfahrens zur Verfügung. In den meisten Fällen erhält der Nutzer 7 Kalendertage Zeit, um bei Gericht Einspruch einzulegen. Um eine Benachrichtigung zu verhindern, benötigen Sie eine gerichtlich erlassene Geheimhaltungs- oder Versiegelungsanordnung, die Ihrer Anfrage beigefügt ist.

Kann DigitalOcean mir tatsächlich die Inhalte eines Servers aushändigen? Ja, sofern sie dort gespeichert sind. Da DigitalOcean die eigentlichen VMs und den Speicher hostet, kann ein gültiger Durchsuchungsbeschluss die Herausgabe der Inhalte eines Droplet, von Snapshots und Objektspeichern eines Kunden erzwingen. Dies ist ein wesentlicher Unterschied zu einem Proxy oder CDN, die in der Regel nur Metadaten und Protokolle speichern.

Was ist, wenn der Kunde einen anderen Anbieter hinter DigitalOcean genutzt hat oder umgekehrt? Folgen Sie der Infrastruktur. Wenn eine Website ein CDN vor einem DigitalOcean Droplet verwendet, müssen Sie möglicherweise das CDN auffordern, die Ursprungs-IP offenzulegen, und dann DigitalOcean für die Host-Daten in Anspruch nehmen. Umgekehrt kann sich die Zuordnung auf einen Zahlungsabwickler oder einen separat betriebenen Dienst erstrecken.

Wie lange speichert DigitalOcean Protokolle? DigitalOcean veröffentlicht keine feste, universelle Aufbewahrungsfrist für alle Daten, und Protokolle können überschrieben werden. Gehen Sie nicht davon aus, dass Daten noch vorhanden sind; senden Sie eine Sicherungsanfrage, sobald Sie über eine IP und einen Datumsbereich verfügen.

Verwandte Leitfäden

• Cloud-Beweise: Daten von AWS, Azure und Google Cloud abrufen
• Cloudflare-Datenanfragen durch Strafverfolgungsbehörden: Leitfaden für Polizei und Regierung
• IP- und Domain-Zuordnung: Eine Adresse in einen Verdächtigen verwandeln

Das vollständige Verzeichnis der Portale für Anfragen von Strafverfolgungsbehörden finden Sie in unserem LERS-Portal-Hub.

Titelbild: Serververkabelung in einem Rechenzentrum. · Bildnachweis: Victor Grigas (VGrigas, WMF) · Wikimedia Commons · CC BY-SA 3.0 · Quelle