Oracle Cloud Law Enforcement Data Request: Leitfaden für Behörden

Dieser Leitfaden bietet eine allgemeine, praktische Orientierung für Strafverfolgungsbehörden, Staatsanwälte und staatliche Ermittler, die Daten benötigen, die von oder über Oracle Cloud Infrastructure (OCI) gespeichert werden. Dies stellt keine Rechtsberatung dar. Ein rechtmäßiges Verfahren muss immer unter der rechtlichen Autorität Ihrer eigenen Gerichtsbarkeit eingeholt und zugestellt werden. Die folgenden Schritte sind als Ausgangsrahmen zu verstehen und kein Ersatz für den Rechtsbeistand Ihrer Behörde oder die aktuellen Richtlinien von Oracle.

Die Unterscheidung zwischen Auftragsverarbeiter und Verantwortlichem

Wie AWS, Microsoft Azure und Google Cloud ist Oracle Cloud Infrastructure eine Enterprise-Infrastructure-as-a-Service-Plattform. Der Unternehmenskunde, der die OCI-Tenancy betreibt, ist der Datenverantwortliche: Er entscheidet, welche Daten erhoben werden, wie sie verarbeitet werden und in welcher Region sie gespeichert sind. Oracle ist der Datenverarbeiter, der diese Daten gemäß den Anweisungen des Kunden hostet. Oracle erklärt, dass es als Cloud-Anbieter im Allgemeinen keinen Einblick in die Inhalte hat, die Kunden in ihren Cloud-Diensten speichern.

Die praktische Konsequenz für Ermittler: Wenn Sie auf die Inhalte abzielen, die eine Kundenorganisation in OCI speichert (Datenbanken, Anwendungsdaten, Dateien, Postfächer, die auf ihren Instanzen gehostet werden), ist der Kunde fast immer das richtige und bessere Ziel. Die erklärte Richtlinie von Oracle besteht darin, angemessene Anstrengungen zu unternehmen, um die anfragende Behörde an den Kunden zu verweisen, da der Kunde am besten in der Lage ist, seine eigenen Daten zu identifizieren und herauszugeben. Wenn es sich bei dem Verdächtigen um eine Einzelperson oder Organisation handelt, die selbst Oracle-Kunde ist, stellen Sie die Anfrage direkt an diesen Kunden.

Was Oracle direkt speichert

Oracle speichert die Datensätze, die durch die Geschäftsbeziehung mit dem Kontoinhaber entstehen, nicht die gespeicherten Inhalte des Kunden. Im Allgemeinen bedeutet das:

• Cloud-Konto / Identität des Abonnenten: die registrierte Organisation oder Person, Kontakte und Administrator-Details.
• Abrechnungs- und Zahlungsunterlagen sowie die Historie von Abonnements / Dienstleistungsaufträgen.
• Bestimmte Dienst- und Betriebsprotokolle, die mit der Tenancy verknüpft sind und die Oracle als Anbieter generiert (Verfügbarkeit und Aufbewahrung variieren je nach Dienst).

Oracle veröffentlicht kein detailliertes, feldweises Dateninventar für die Strafverfolgung, und das öffentliche Material zur Strafverfolgung ist vergleichsweise dünn. Betrachten Sie die oben genannten Kategorien als den realistischen Rahmen dessen, was Oracle selbst bereitstellen kann, und seien Sie in Ihrer Anfrage spezifisch bezüglich der Kontokennungen (Tenancy-OCID, Konto-E-Mail, Bestellnummer), die Sie angeben können.

US-rechtliche Schwellenwerte

Oracle ist ein US-Unternehmen, daher wird die Offenlegung von Unterlagen gegenüber Strafverfolgungsbehörden im Allgemeinen gemäß dem US Stored Communications Act (SCA) analysiert. Als Arbeitsgrundlage skaliert der SCA das Rechtsinstrument an die Sensibilität der Daten:

• Subpoena (verwaltungsrechtlich oder durch eine Grand Jury): wird im Allgemeinen für grundlegende Abonnenten- und Abrechnungsdaten verwendet.
• Gerichtsbeschluss (oft ein "2703(d)"-Beschluss): für transaktionsbezogene Daten und Protokolle, die keine Inhalte darstellen.
• Durchsuchungsbeschluss basierend auf hinreichendem Tatverdacht (probable cause): für gespeicherte Inhalte. In der Praxis wird Oracle Inhaltsanfragen normalerweise ohnehin an den Kunden weiterleiten.

Oracle gibt an, jede Anfrage von Fall zu Fall zu prüfen, um sicherzustellen, dass sie rechtlich gültig und bindend ist, und wird Anfragen, die dies nicht sind, ablehnen oder anfechten. Inländische US-Behörden sollten ein gültiges Verfahren einleiten; das genaue Instrument ist eine Angelegenheit für Ihren Staatsanwalt.

Sicherung vs. Herausgabe

Sicherung (Preservation) und Herausgabe (Production) sind unterschiedliche Schritte. Ein Sicherungsersuchen bittet Oracle, bestehende Datensätze aufzubewahren, damit sie bei routinemäßigen Löschungen nicht verloren gehen, während Sie ein rechtliches Verfahren einleiten; es erzwingt selbst keine Offenlegung. Herausgabe ist die erzwungene Übergabe von Unterlagen gemäß einer Subpoena, einem Beschluss oder einem Durchsuchungsbeschluss. Der Transparenzbericht von Oracle erkennt Sicherungsersuchen als Kategorie an. Senden Sie ein Sicherungsersuchen frühzeitig mit präzisen Kontokennungen und einem klaren Umfang und folgen Sie dann mit dem entsprechenden Zwangsinstrument.

Richtlinie zur Benachrichtigung des Kunden

Die erklärte Richtlinie von Oracle besteht darin, den betroffenen Kunden unverzüglich über eine Anfrage zu informieren und bei Inhalten die Behörde an diesen Kunden zu verweisen, es sei denn, Oracle ist gesetzlich daran gehindert, eine Benachrichtigung zu erteilen. Wenn Sie zur Wahrung einer strafrechtlichen Ermittlung eine Nichtoffenlegung benötigen, müssen Sie das entsprechende gesetzliche Verbot erwirken (z. B. eine Anordnung zur Nichtoffenlegung, die Ihrem Verfahren beigefügt ist). Oracle hat erklärt, dass es die anfragende Behörde auffordern wird, auf dieses Verbot zu verzichten, falls es daran gehindert ist, den Kunden zu benachrichtigen. Bauen Sie daher die rechtliche Grundlage für die Geheimhaltung in Ihre Anfrage ein, anstatt standardmäßig von Vertraulichkeit auszugehen.

Ausländische Strafverfolgungsbehörden und MLAT

Da Oracle seinen Sitz in den USA hat, können Behörden außerhalb der Vereinigten Staaten Oracle im Allgemeinen nicht direkt zwingen. Der traditionelle Weg ist ein Ersuchen um Rechtshilfe (Mutual Legal Assistance Treaty, MLAT) oder ein Rechtshilfeersuchen (Letter Rogatory), das über das US-Justizministerium geleitet und von einem US-Gericht geprüft wird. Eine schnellere Alternative besteht nur dort, wo ein qualifizierendes bilaterales CLOUD Act-Abkommen in Kraft ist (z. B. das US-UK-Abkommen, in Kraft seit Oktober 2022). Oracle hat erklärt, dass der CLOUD Act nichts an der Art und Weise ändert, wie es mit Offenlegungsanfragen umgeht. Für europäische Bereitstellungen verfügt die EU Sovereign Cloud von Oracle über dedizierte EU-Rechtsteams, die jede Zugriffsanfrage nach geltendem EU-Recht prüfen. Ausländische Ermittler sollten dennoch prüfen, ob die relevante Kundenorganisation in ihrer eigenen Gerichtsbarkeit die Daten direkt bereitstellen kann, was die MLAT-Verzögerung oft vollständig vermeidet.

Vorgeschlagener Arbeitsablauf

1. Identifizieren Sie, ob Sie Datensätze auf Kontoebene (Oracle) oder gespeicherte Inhalte (fast immer der Kunde) benötigen. Stellen Sie die Anfrage nach Möglichkeit direkt an die Kundenorganisation.
2. Sammeln Sie präzise Kennungen: Tenancy-/Konto-OCID, registrierte E-Mail-Adresse, Organisationsname, Bestell- oder Rechnungsnummern sowie die genauen Daten und den gesuchten Zeitraum.
3. Senden Sie sofort ein Sicherungsersuchen, um routinemäßige Löschungen zu stoppen, während Sie das Verfahren einleiten.
4. Beschaffen Sie das korrekte Rechtsinstrument für die Datenkategorie (Subpoena, Gerichtsbeschluss oder Durchsuchungsbeschluss) sowie eine Anordnung zur Nichtoffenlegung, falls Geheimhaltung erforderlich ist.
5. Stellen Sie das gültige Rechtsverfahren über die rechtlichen Kanäle von Oracle zu; ausländische Behörden leiten dies über MLAT oder ein qualifizierendes CLOUD Act-Abkommen weiter.
6. Erwarten Sie, dass Oracle die Anfrage validiert, den Kunden benachrichtigt (sofern nicht gesetzlich untersagt) und Sie bei Inhalten an den Kunden verweist.

Wer speichert was und wie man es bekommt

Häufig gestellte Fragen

Kann ich Kundendaten direkt von Oracle erhalten? Normalerweise nicht für gespeicherte Inhalte. Oracle betrachtet diese Inhalte als Eigentum des Kunden und wird Sie im Allgemeinen an den Kunden verweisen, der diese kontrolliert und darauf zugreifen kann. Oracle wird Konto-, Abrechnungs- und Abonnementunterlagen, die es direkt hält, bei einem gültigen Verfahren herausgeben.

Wird Oracle den Kunden über meine Anfrage informieren? Ja, standardmäßig. Die Richtlinie von Oracle sieht vor, den betroffenen Kunden zu benachrichtigen, sofern dies nicht gesetzlich untersagt ist. Wenn Sie Vertraulichkeit benötigen, erwirken Sie eine Geheimhaltungsanordnung und legen Sie diese Ihrem Verfahren bei.

Ich befinde mich außerhalb der Vereinigten Staaten. Wie kann ich Oracle zur Herausgabe zwingen? Im Allgemeinen durch ein MLAT-Ersuchen oder ein Rechtshilfeersuchen über das US-Justizministerium oder ein qualifizierendes CLOUD Act-Abkommen, sofern ein solches in Kraft ist. Oft ist der schnellste Weg, die betreffende Kundenorganisation in Ihrer eigenen Gerichtsbarkeit zu kontaktieren.

Bedeutet eine Aufbewahrungsanfrage, dass ich die Daten erhalten werde? Nein. Die Aufbewahrung verhindert lediglich, dass Datensätze gelöscht werden. Sie benötigen weiterhin eine Vorladung, einen Gerichtsbeschluss oder einen Haftbefehl, um die Herausgabe zu erzwingen.

Verwandte Leitfäden

• Cloud-Beweismittel: Daten von AWS, Azure und Google Cloud erhalten
• Microsoft 365 und Google Workspace: Ein Leitfaden für Ermittler zu SaaS-Audit-Protokollen
• Cloudflare-Datenanfragen durch Strafverfolgungsbehörden: Leitfaden für Polizei & Regierung

Das vollständige Verzeichnis der Portale für Anfragen von Strafverfolgungsbehörden finden Sie in unserem LERS-Portal-Hub.

Hero-Bild: Ein großes Unternehmensrechenzentrum. · Bildnachweis: Hugovanmeijeren · Wikimedia Commons · CC BY-SA 3.0 · Quelle