Microsoft Law Enforcement Data Request: Leitfaden für Behörden

Microsoft Corporation betreibt einige der am weitesten verbreiteten Verbraucherdienste im Internet: die E-Mail-Dienste Outlook.com, Hotmail, Live und MSN, den Cloud-Speicherdienst OneDrive, das Gaming-Netzwerk Xbox und Xbox Live sowie historisch gesehen Skype (Microsoft hat den Skype-Verbraucherdienst im Jahr 2025 eingestellt und die Nutzer auf die Verbraucherversion von Microsoft Teams migriert, wobei Altdaten weiterhin Gegenstand rechtlicher Verfahren sein können). Diese Dienste umfassen weltweit Hunderte Millionen aktiver Verbraucherkonten, weshalb sie in strafrechtlichen Ermittlungen so häufig eine Rolle spielen. Beamte stoßen auf Microsoft-Verbraucherkonten bei Betrugsfällen wie Business-Email-Compromise (BEC) und Rechnungsbetrug, die über Outlook.com-Posteingänge abgewickelt werden, bei Fällen von Kontoübernahmen, bei der Speicherung und Verbreitung von Material über sexuellen Kindesmissbrauch (CSAM) via OneDrive und Chat sowie bei Fällen von Grooming und Belästigung auf Xbox Live. Microsoft ist ein Unternehmen mit Sitz in den Vereinigten Staaten in Redmond, Washington, daher unterliegt die Offenlegung von Verbraucherkontodaten in erster Linie dem föderalen Stored Communications Act (18 U.S.C. § 2701 et seq.). Microsoft hat auch die moderne grenzüberschreitende Landschaft geprägt: Der Rechtsstreit in United States v. Microsoft Corp. (der Fall „Microsoft Ireland”) über im Ausland gespeicherte E-Mails wurde erst hinfällig, als der Kongress 2018 den CLOUD Act verabschiedete, der nun den Rahmen dafür bildet, wie US-Anbieter auf Datenanforderungen aus dem Ausland reagieren.

Sie können sich nicht beim Microsoft Law Enforcement Portal anmelden?

• Sie melden sich mit einem persönlichen Microsoft-Konto (Outlook oder Hotmail) an, nicht mit Ihrer behördlichen E-Mail-Adresse. Dies ist die häufigste Ursache für fehlgeschlagene Anmeldungen. Ihre behördliche E-Mail-Adresse wird nur einmal verwendet, um einen 7-stelligen Verifizierungscode zu erhalten.
• Portal: v2.leportal.microsoft.com. Verwenden Sie eine aktuelle Version eines unterstützten Browsers, erlauben Sie Cookies von *.live.com und bitten Sie Ihre IT-Abteilung, leportal.microsoft.com, login.live.com und login.microsoftonline.com zuzulassen.
• Zu viele falsche Verifizierungscodes führen zu einer vorübergehenden Sperrung des Kontos.
• Immer noch Probleme? Login-Support von Microsoft: [email protected] (USA), [email protected] (EU), [email protected] (Brasilien), [email protected] (andere Länder) oder +1 425-722-1299, Option 2.

Identifikatoren für eine Datenanfrage

Bevor Microsoft Datensätze sichern oder offenlegen kann, müssen Strafverfolgungsbehörden das Zielkonto präzise identifizieren. Der primäre Identifikator ist das Microsoft-Konto (oft als MSA abgekürzt): die E-Mail-Adresse, mit der sich ein Benutzer anmeldet, was bei Verbraucherdiensten typischerweise eine @outlook.com-, @hotmail.com-, @live.com- oder @msn.com-Adresse ist. Ein Microsoft-Konto kann auch mit einer E-Mail-Adresse eines Drittanbieters oder einer Telefonnummer registriert sein; geben Sie daher den Anmelde-Identifikator an, der Ihnen vorliegt. Bei Gaming-Angelegenheiten ist der Xbox-Gamertag ein anerkannter Identifikator, den Microsoft als Teilnehmerdaten ohne Inhalt behandelt. Bei einem alten Skype-Fall ist der Skype-Name (das eindeutige Kürzel, nicht der änderbare Anzeigename) der lokalisierende Identifikator.

Zusätzliche Identifikatoren helfen Microsoft, ein Konto zu bestätigen: die IP-Adresse der Registrierung oder der letzten Anmeldung mit genauem Datum und Uhrzeit, die im Konto hinterlegte Telefonnummer (mit internationaler Vorwahl bei Nicht-US-Nummern) und jegliche Abrechnungsdaten. Geben Sie den Zielzeitraum klar an, schreiben Sie den Monat aus und beachten Sie, dass Microsoft Protokolldaten in koordinierter Weltzeit (UTC) zurückgibt. Verlassen Sie sich nicht allein auf einen Anzeigenamen oder Vornamen, da diese nicht eindeutig sind und nicht zur Lokalisierung eines Kontos dienen können.

Welche Daten Microsoft bereitstellt

Microsoft betreibt ein gestuftes Offenlegungsmodell, das sich an den Standards des US Stored Communications Act für rechtliche Verfahren orientiert. Je höher das Datenschutzinteresse an den Daten, desto höher ist der rechtliche Standard, der erforderlich ist, um diese zu erzwingen:

Rechtliches Verfahren	Standard	Bereitgestellte Daten
Vorladung (Subpoena) (einschließlich Grand Jury)	Relevanz	Grundlegende Teilnehmerinformationen: Name, E-Mail-Adresse, Bundesstaat, Land und Postleitzahl bei der Registrierung, Datum der Kontoerstellung, IP-Adresse der Registrierung sowie Kontodaten ohne Inhalt wie IP-Verbindungsverlauf, Xbox-Gamertag und Kreditkarten- oder andere Abrechnungsdaten, die in den Akten geführt werden
Gerichtliche Anordnung (18 U.S.C. § 2703(d))	Spezifische & artikulierbare Fakten	Alle Teilnehmerinformationen auf Vorladungsebene sowie transaktionale Daten ohne Inhalt: detaillierte Anmelde- und Verbindungsprotokolle, E-Mail-Header und Routing-Metadaten (Absender, Empfänger, Datum und Uhrzeit, ohne den Textkörper) sowie andere Aufzeichnungen über die Nutzung der Dienste durch das Konto
Durchsuchungsbeschluss (hinreichender Tatverdacht)	Hinreichender Tatverdacht (Probable cause)	Alles oben Genannte plus gespeicherte Inhalte: E-Mail-Texte, in OneDrive gespeicherte Dateien und Fotos sowie andere vom Benutzer erstellte Inhalte, die auf oder über die Dienste gehalten werden. Microsoft legt keine Inhalte als Reaktion auf eine bloße Vorladung offen

Inhalte erfordern einen Durchsuchungsbeschluss. Microsoft zieht eine klare Grenze zwischen Inhalten und Nicht-Inhalten. Nach der Entscheidung des Sixth Circuit in United States v. Warshak, die feststellte, dass E-Mail-Nutzer eine berechtigte Erwartung auf Privatsphäre bezüglich des Inhalts ihrer Nachrichten haben, verlangt Microsoft einen Durchsuchungsbeschluss (oder ein lokales Äquivalent), bevor es den Inhalt von Kommunikationen oder gespeicherten Dateien herausgibt. Vorladungen, die auf Inhalte abzielen, werden abgelehnt.

Was nicht von Microsoft erhältlich ist. Unternehmens- und kommerzielle Daten sind die entscheidende Ausnahme. Wenn ein Zielobjekt einen Microsoft 365-, Azure- oder Dynamics 365-Dienst nutzt, der über eine Organisation bereitgestellt wird, ist diese Organisation — nicht Microsoft — im Allgemeinen der Verantwortliche für die Daten. Die erklärte Praxis von Microsoft besteht darin, Strafverfolgungsbehörden darauf zu verweisen, die Informationen direkt vom Unternehmenskunden einzuholen, und diesen Kunden über die Forderung zu benachrichtigen, sofern dies nicht gesetzlich untersagt ist. Planen Sie, die Organisation, die den Mandanten verwaltet, und nicht Microsoft zu bedienen. Zwei weitere Dienste im Besitz von Microsoft führen völlig separate Prozesse durch: LinkedIn veröffentlicht seine eigenen Richtlinien für Datenanfragen von Strafverfolgungsbehörden (Law Enforcement Data Request Guidelines) und GitHub veröffentlicht separate Richtlinien für rechtliche Anfragen zu Benutzerdaten (Guidelines for Legal Requests of User Data). Richten Sie Anfragen an LinkedIn oder GitHub direkt an diese Dienste, nicht über das Microsoft-Verbraucherportal.

Aufbewahrung. Microsoft bewahrt Verbraucherdatensätze nicht unbegrenzt auf; die Verfügbarkeit älterer Protokolle und Inhalte variiert je nach Dienst und Art der Kontonutzung, und einige Daten könnten gelöscht oder veraltet sein, bevor eine Anfrage eintrifft. Da die Aufbewahrung nicht garantiert ist, ist eine frühzeitig eingereichte Sicherungsanfrage (Preservation Request) der einzige zuverlässige Weg, um zu verhindern, dass relevante Datensätze verloren gehen, während das rechtliche Verfahren vorbereitet wird.

Benachrichtigung der Benutzer. Die Standardrichtlinie von Microsoft besteht darin, Verbraucher, deren Daten von einer Strafverfolgungsbehörde angefordert werden, vorab zu benachrichtigen, es sei denn, dies ist durch Gesetz oder Gerichtsbeschluss untersagt oder die Benachrichtigung wäre kontraproduktiv — zum Beispiel in Fällen von Kindesmissbrauch, einer unmittelbaren Gefahr für Leib und Leben oder einem kompromittierten (gehackten) Konto. Wenn Sie eine Unterdrückung der Benachrichtigung benötigen, erwirken Sie eine Geheimhaltungsanordnung (gemäß 18 U.S.C. § 2705(b) für US-Verfahren) und stellen Sie diese zusammen mit Ihrer Forderung zu. Bei Unternehmensdaten benachrichtigt Microsoft die betroffene Organisation, sofern dies nicht untersagt ist.

So reichen Sie eine Anfrage ein

1. Registrieren Sie sich auf dem Portal. Erstellen Sie ein Konto auf dem Microsoft Law Enforcement Request Portal unter leportal.microsoft.com unter Verwendung einer offiziellen E-Mail-Domain einer Regierungs- oder Strafverfolgungsbehörde. Microsoft überprüft die Registrierenden, bevor der Zugriff gewährt wird, und sowohl die Anfrage als auch die Antwort von Microsoft werden über diesen sicheren Kanal ausgetauscht.
2. Reichen Sie zuerst eine Sicherungsanfrage ein. Reichen Sie so früh wie möglich eine Sicherungsanfrage gemäß 18 U.S.C. § 2703(f) ein, bevor Ihr formelles rechtliches Verfahren bereit ist. Eine 2703(f)-Anfrage weist Microsoft an, einen Schnappschuss der vorhandenen Datensätze für 90 Tage zu speichern, verlängerbar um einen weiteren 90-Tage-Zeitraum auf eine deutlich gekennzeichnete Verlängerungsanfrage hin. Die Sicherung friert die Beweise ein, während ein Haftbefehl oder Gerichtsbeschluss erwirkt wird.
3. Reichen Sie Ihr rechtliches Verfahren ein. Laden Sie die Vorladung, den 2703(d)-Gerichtsbeschluss oder den Durchsuchungsbeschluss als unterzeichnetes, datiertes Dokument hoch, das die Microsoft Corporation als Verwahrer der Datensätze benennt, das Zielkonto durch eine gültige Kennung identifiziert und die präzisen angeforderten Daten sowie den Zeitraum spezifiziert. Das Compliance-Team von Microsoft lehnt Verfahren ab, die ungültig, unsachgemäß zugestellt, gerichtlich zu weit gefasst oder nicht unterzeichnet sind; seien Sie daher präzise und genau.
4. Angelegenheiten zu CSAM und NCMEC. Microsoft meldet offensichtlichen sexuellen Missbrauch von Kindern an die CyberTipline des National Center for Missing & Exploited Children (NCMEC) und hat die PhotoDNA-Erkennungstechnologie entwickelt. Wenn Ihre Untersuchung von einem CyberTipline-Bericht ausging, geben Sie die Berichtsnummer an, damit Microsoft die Bereitstellung genau eingrenzen kann, und markieren Sie die Angelegenheit als Kindesmissbrauch, damit die entsprechende Ausnahme für die Benutzerbenachrichtigung gilt.

Notfallanfragen zur Offenlegung

Wenn ein Notfall in gutem Glauben vorliegt, der eine unmittelbare Gefahr von Tod oder schwerer körperlicher Verletzung beinhaltet, kann Microsoft Kontodatensätze ohne formelles rechtliches Verfahren freiwillig offenlegen, im Einklang mit 18 U.S.C. § 2702(b)(8) für Inhalte und 2702(c)(4) für Nicht-Inhaltsdatensätze. Microsoft prüft Notfallanfragen von Strafverfolgungsbehörden weltweit; häufige Beispiele sind Suiziddrohungen, Entführungen und andere Drohungen unmittelbarer Gewalt.

Eine Notfallanfrage muss von einem vereidigten Strafverfolgungsbeamten unter Verwendung einer offiziellen E-Mail-Domain einer Strafverfolgungsbehörde stammen, sollte auf offiziellem Briefpapier eingereicht und unterzeichnet sein und sollte:

• das Zielkonto durch eine gültige Kennung identifizieren (die E-Mail-Adresse des Microsoft-Kontos, der Xbox-Gamertag oder der Skype-Name), zusammen mit jeder zugehörigen Telefonnummer;
• die Art und Aktualität des Notfalls so spezifisch wie möglich beschreiben, einschließlich der gefährdeten Person;
• die angeforderten Informationen spezifizieren und erklären, wie diese dazu beitragen, den Notfall zu verhindern oder zu lösen.

Microsoft legt nur die begrenzten Daten offen, die zur Bewältigung des Notfalls erforderlich sind; alles darüber hinaus erfordert das entsprechende rechtliche Verfahren. Die Identitätsfälschung eines Strafverfolgungsbeamten, um Daten zu erhalten, ist in den Vereinigten Staaten und anderswo eine Straftat.

Für Indien: Rechtsgrundlage und Verfahren

Microsoft ist ein US-Unternehmen, daher können indische Behörden keine US-Rechtsverfahren direkt an Microsoft zustellen. Inländische Instrumente begründen die Befugnis, Daten anzufordern; der grenzüberschreitende Mechanismus bestimmt, ob Microsoft diese bereitstellt.

• IT Act, 2000 — Section 69: Ermächtigt die Zentral- oder Landesregierung, die Abhörung, Überwachung oder Entschlüsselung von Informationen im Interesse der Souveränität, Sicherheit, öffentlichen Ordnung oder der Verhinderung von Straftaten anzuordnen. Solche Anweisungen binden in Indien tätige Vermittler; die Einhaltung für in den USA gespeicherte Inhalte unterliegt weiterhin dem grenzüberschreitenden Weg.
• IT Rules, 2021 — Rule 3 (Intermediary Guidelines): Bedeutende Social-Media-Vermittler müssen eine Knotenpunkt-Kontaktperson benennen, die rund um die Uhr für die Koordination mit Strafverfolgungsbehörden zur Verfügung steht, und bestimmte Datensätze für mindestens 180 Tage aufbewahren. Nutzen Sie diesen Kanal für die Koordination auf erster Ebene und eskalieren Sie für Abonnentendaten und in den USA gespeicherte Inhalte auf den Vertragsweg.
• BNSS, 2023 — Section 94: Ermächtigt ein Gericht oder einen leitenden Beamten einer Polizeistation, eine Vorladung (auch in elektronischer Form) zur Vorlage von Dokumenten und elektronischen Datensätzen auszustellen. Dies ist der inländische Bereitstellungsmechanismus, auf den in einer Vertragsanfrage an einen US-Anbieter verwiesen wird.
• Rechtshilfeabkommen (MLAT): Für Abonnentendaten und Inhalte lautet der Weg: Der ermittelnde Beamte entwirft die Anfrage, die Zentralbehörde des Innenministeriums (MHA) prüft und übermittelt sie, und das Office of International Affairs (OIA) des US-Justizministeriums zwingt Microsoft durch ein US-Gerichtsverfahren zur Herausgabe. Ein CLOUD Act-Abkommen oder Rechtshilfeersuchen (Letters Rogatory) können gegebenenfalls als Alternativen zur Verfügung stehen.

Indische Ermittler sollten sofort eine Sicherungsanfrage über das Portal einreichen, bevor der langsamere Vertragsprozess abläuft, und können bei unmittelbarer Lebensgefahr direkt eine Notfallanfrage zur Offenlegung einreichen.

Was Sie benötigen

• Eine offizielle E-Mail-Domain einer Regierungs- oder Strafverfolgungsbehörde zur Registrierung auf dem Microsoft Law Enforcement Request Portal (private Domains werden abgelehnt);
• Mindestens eine gültige Kennung: die E-Mail-Adresse des Microsoft-Kontos (Outlook.com, Hotmail, Live oder MSN), der Xbox-Gamertag oder ein Skype-Name — niemals nur ein Anzeigename;
• Den Zielzeitraum, klar angegeben mit ausgeschriebenem Monat, und das Bewusstsein, dass Protokolldatensätze in UTC zurückgegeben werden;
• Das entsprechende rechtliche Instrument — eine Vorladung für Abonnenteninformationen, ein 2703(d)-Gerichtsbeschluss für Transaktionsdatensätze oder ein Durchsuchungsbeschluss für Inhalte;
• Eine zuerst eingereichte Sicherungsanfrage gemäß 18 U.S.C. § 2703(f), bevor Datensätze veralten oder gelöscht werden;
• Für Unternehmensziele: Verfahren, die an die Organisation zugestellt werden, die den Microsoft 365- oder Azure-Mandanten verwaltet, nicht an Microsoft; für LinkedIn oder GitHub: eine Anfrage über die separaten Kanäle für Strafverfolgungsbehörden dieser Dienste;
• Für CSAM-Fälle: die Referenznummer der NCMEC CyberTipline;
• Für indische Behörden, die Inhalte suchen: eine MLAT-Anfrage über die Zentralbehörde des MHA sowie eine parallel sofort eingereichte Sicherungsanfrage.

Für ein vollständiges Verzeichnis der Portale für Strafverfolgungsanfragen auf großen Plattformen besuchen Sie unser LERS-Portal-Hub oder den plattformübergreifenden LERS-Leitfaden.

Siehe auch: Microsoft Preservation and Emergency Requests: Police Template.