OVHcloud Law Enforcement Data Request: Leitfaden für Behörden

Dieser Leitfaden bietet allgemeine professionelle Orientierungshilfen für Strafverfolgungsbehörden, Staatsanwälte und Cybercrime-Ermittler, die Daten von OVHcloud anfordern. Dies stellt keine Rechtsberatung dar. Es wird davon ausgegangen, dass Sie auf der Grundlage einer ordnungsgemäßen rechtlichen Befugnis in Ihrer eigenen Gerichtsbarkeit handeln und den für Ihren Fall geeigneten rechtmäßigen Kanal nutzen. Verfahren, Kontaktstellen und Aufbewahrungspraktiken ändern sich; bestätigen Sie daher immer die aktuellen Anforderungen direkt bei OVHcloud und Ihren eigenen Rechtsberatern, bevor Sie sich darauf verlassen.

Warum OVHcloud sich von US-Anbietern unterscheidet

OVHcloud ist eines der größten Cloud- und Hosting-Unternehmen Europas und bietet dedizierte Server, virtuelle private Server (VPS) sowie öffentliche und private Cloud-Infrastruktur (IaaS) an. Die Muttergesellschaft ist französisch und hat ihren Hauptsitz in Roubaix, mit Rechenzentren in ganz Frankreich, dem übrigen Europa und weltweit. Dies ist für Ermittler wichtig, da das rechtliche Regime, das Kundendaten schützt und regelt, primär französisches und EU-Recht ist: die Datenschutz-Grundverordnung (DSGVO), die französische Strafprozessordnung und damit verbundene französische Gesetze.

Bei den meisten großen US-Hosting-Anbietern sind ausländische Polizeibehörden an ein Self-Service-Portal für Strafverfolgungsbehörden und ein vertrautes Vokabular für Vorladungen, Gerichtsbeschlüsse oder Haftbefehle gewöhnt, die manchmal durch CLOUD-Act-Abkommen unterstützt werden. Die US-Tochtergesellschaft von OVHcloud arbeitet innerhalb dieses Rahmens für Daten, die sie in den Vereinigten Staaten kontrolliert. Für Kundendaten, die in der Europäischen Union gehostet werden, wendet OVHcloud jedoch EU- und französische Regeln an und hat sich öffentlich gegen die direkte Offenlegung gegenüber Behörden außerhalb der EU ohne formelle internationale Rechtswege ausgesprochen. Frankreich hat zudem ein Blockadegesetz (Loi 68-678), das französische Unternehmen daran hindert, sensible Daten an ausländische Behörden weiterzugeben, es sei denn, dies geschieht über anerkannte internationale Rechtshilfeverfahren. Die praktische Konsequenz: Sie können in der Regel nicht einfach Ihre inländische Anordnung an OVHcloud senden und eine Herausgabe erwarten. Sie benötigen normalerweise ein EU-Instrument oder ein Rechtshilfeersuchen.

Was OVHcloud speichert

Als Infrastrukturanbieter speichert OVHcloud Daten auf Konto- und Infrastrukturebene und nicht die Inhalte dessen, was Kunden auf ihren Servern betreiben. Was in einer Untersuchung tatsächlich nützlich ist, hängt vom Dienst und den Realitäten der Datenspeicherung ab.

Missbrauchskanal vs. rechtliche Anforderung

OVHcloud betreibt zwei unterschiedliche Wege, und die Nutzung des falschen Weges kostet Zeit.

• Missbrauchskanal (Abuse channel). OVHcloud veröffentlicht ein öffentliches Missbrauchsformular zur Meldung illegaler oder missbräuchlicher Aktivitäten, die in seinem Netzwerk gehostet werden: Phishing, Malware-Verbreitung, Betrug, Urheberrechtsbeschwerden und Material über sexuellen Missbrauch von Kindern. Dies ist der richtige Weg, um schädliche Inhalte entfernen zu lassen oder Maßnahmen zu ergreifen und einen Server für die Aufmerksamkeit des Anbieters zu markieren. Es ist kein Weg, um Teilnehmeridentitäten oder Protokolle zu erhalten, und informelle Daten, die auf diesem Weg gewonnen werden, erfüllen selten Beweisstandards.
• Formelle rechtliche Anforderung. Um Kundendaten als Beweismittel zu erhalten, benötigen Sie eine gültige, bindende rechtliche Anforderung, die über den ordnungsgemäßen Kanal zugestellt wird. Innerhalb Frankreichs ist dies typischerweise eine gerichtliche Anordnung (requisition judiciaire), die gemäß der Strafprozessordnung ausgestellt wurde. Die erklärte Praxis von OVHcloud besteht darin, Kundendaten nicht ohne eine ordnungsgemäß zugestellte, gültige und bindende rechtliche Anordnung herauszugeben.

Rechtliche Wege nach anfragendem Land

Das korrekte Instrument hängt davon ab, wo die ermittelnde Behörde ihren Sitz hat.

• Französische Behörden. Stellen Sie eine gerichtliche Anordnung (requisition judiciaire) oder einen entsprechenden Gerichtsbeschluss gemäß der französischen Strafprozessordnung direkt über den französischen Rechtsweg zu.
• Andere EU-Mitgliedstaaten. Nutzen Sie eine Europäische Ermittlungsanordnung (EIO) gemäß der Richtlinie 2014/41/EU, die über die zuständige französische Behörde ausgeführt wird. Das EU-e-Evidence-Paket führt zusätzlich die Europäische Herausgabeanordnung und die Europäische Sicherungsanordnung für grenzüberschreitende elektronische Beweismittel zwischen Mitgliedstaaten ein; prüfen Sie, was für Ihren Fall in Kraft und operativ ist.
• Behörden außerhalb der EU. Nutzen Sie ein Rechtshilfeersuchen (MLAT) oder ein Ersuchen um Rechtshilfe (letter rogatory), das an die französische Zentralbehörde gerichtet ist. Frankreich hat signalisiert, dass es ordnungsgemäß eingereichte MLAT-Anfragen beschleunigen wird. Das Senden einer inländischen Anordnung direkt an OVHcloud für in der EU gehostete Daten wird wahrscheinlich abgelehnt werden, und das französische Blockadegesetz entmutigt die direkte Offenlegung außerhalb dieser Kanäle.
• Daten, die von der US-Einheit kontrolliert werden. Wenn Daten tatsächlich von der US-Tochtergesellschaft von OVHcloud gehalten werden, gilt das US-Rechtsverfahren, wobei Nicht-Inhaltsdaten über eine US-Vorladung und Inhalte über einen US-Durchsuchungsbeschluss verfügbar sind; CLOUD-Act-Abkommen (die mit einer kleinen Anzahl von Ländern anerkannt sind) können ebenfalls gelten. Gehen Sie nicht davon aus, dass dies in der EU gehostete Daten abdeckt.

Sicherstellung und EU-Aufbewahrungsfristen

Die Verarbeitung personenbezogener Daten durch OVHcloud für Zwecke der Strafverfolgung unterliegt der DSGVO und dem breiteren EU-Datenschutzrahmen. Entscheidend ist, dass das EU-Recht keine anlasslose Vorratsdatenspeicherung von Verbindungsdaten mehr zulässt. Der Gerichtshof der Europäischen Union (EuGH) hat in den Urteilen Tele2 Sverige/Watson (2016) sowie La Quadrature du Net (2020 und 2024) entschieden, dass eine allgemeine und unterschiedslose Speicherung von Verkehrs- und Standortdaten rechtswidrig ist, mit engen Ausnahmen (z. B. eine echte Bedrohung der nationalen Sicherheit) und einer permissiveren Position zur Speicherung von IP-Adressen für den Zugriff durch Strafverfolgungsbehörden. Die praktische Auswirkung für Ermittler ist, dass Verbindungsprotokolle möglicherweise für kürzere Zeiträume oder unter engeren Bedingungen aufbewahrt werden, als Sie es von älteren Anbietern oder Rechtsordnungen außerhalb der EU erwarten könnten.

Notfallanfragen

OVHcloud erkennt Notfallsituationen an, wie etwa den begründeten Verdacht auf eine unmittelbare Gefahr für die körperliche Unversehrtheit oder eine Lebensgefahr. Kontaktieren Sie den Anbieter in echten Notfällen über dessen vorgesehenen Notfall- oder Missbrauchskanal, identifizieren Sie den Notfall, die Rechtsgrundlage und die benötigten spezifischen Daten eindeutig und reichen Sie das entsprechende förmliche Instrument nach. Eine Notfalloffenlegung ist eine Ausnahme, kein Ersatz für den korrekten Rechtsweg und sollte echten Szenarien mit Lebensgefahr vorbehalten bleiben.

Schritt-für-Schritt-Workflow

1. Bestätigen Sie, dass OVHcloud der richtige Anbieter ist. Überprüfen Sie WHOIS, RIPE/ARIN-Zuweisungen und Reverse-DNS, um sicherzustellen, dass die IP-Adresse, der IP-Bereich oder der Server bei OVHcloud liegt und nicht bei einem Wiederverkäufer oder Endkunden.
2. Bestimmen Sie die Identifikatoren. Notieren Sie die genaue IP-Adresse, gegebenenfalls den Port, den Server-Hostname oder die Service-Kennung sowie präzise Zeitstempel mit Zeitzone. Spezifität führt zu einer schnelleren und präziseren Antwort.
3. Unterscheiden Sie zwischen Inhalts- und Nicht-Inhaltsdaten. Trennen Sie Teilnehmer- und Kontodaten von gespeicherten Inhalten und prüfen Sie, ob die Inhalte überhaupt von OVHcloud oder vom Kunden auf einer selbstverwalteten Maschine gespeichert werden.
4. Senden Sie frühzeitig einen Sicherungsantrag. Angesichts der EU-Aufbewahrungsfristen sollten Sie OVHcloud bitten, die relevanten Daten zu sichern, während Sie Ihr förmliches Instrument vorbereiten.
5. Wählen Sie den korrekten Rechtsweg. Französische Behörde: gerichtliche Anforderung (réquisition). EU-Behörde: EIO oder Europäische Herausgabeanordnung. Nicht-EU-Behörde: MLAT oder Rechtshilfeersuchen. In den USA gespeicherte Daten: US-Verfahren.
6. Stellen Sie das Ersuchen über den korrekten Kanal zu und verfolgen Sie es. Leiten Sie das Instrument bei Bedarf an die zuständige französische oder EU-Behörde weiter, verweisen Sie auf Ihren Sicherungsantrag und dokumentieren Sie den Eingang sowie etwaige Referenznummern.
7. Planen Sie die Kundenbenachrichtigung ein. OVHcloud benachrichtigt den Kunden möglicherweise, sofern dies nicht gesetzlich untersagt ist; wenn Vertraulichkeit erforderlich ist, stellen Sie sicher, dass Ihre gerichtliche Anordnung eine durchsetzbare Geheimhaltungspflicht enthält.

Häufig gestellte Fragen

Kann ich einfach das Missbrauchsformular von OVHcloud verwenden, um die Identität des Kontoinhabers zu erfahren? Nein. Das Missbrauchsformular dient dazu, illegale oder missbräuchliche Inhalte zu melden und Maßnahmen einzuleiten. Die Identität des Teilnehmers, die IP-Zuweisung und Protokolle erfordern ein förmliches Rechtsersuchen über den korrekten gerichtlichen Weg.

Ich bin ein Ermittler außerhalb der EU. Kann ich meinen nationalen Haftbefehl direkt an OVHcloud senden? Im Allgemeinen nicht für in der EU gehostete Daten. Normalerweise benötigen Sie ein MLAT-Ersuchen oder ein Rechtshilfeersuchen, das über französische Rechtskanäle geleitet wird. Das französische Blockierungsstatut und EU-Vorschriften raten von einer direkten Offenlegung gegenüber ausländischen Behörden außerhalb dieser Kanäle ab.

Warum speichert OVHcloud möglicherweise weniger Verbindungsprotokolle als erwartet? EU-Recht, geprägt durch Urteile des EuGH, schränkt die allgemeine und anlasslose Vorratsspeicherung von Verkehrsdaten ein. Aufbewahrungsfristen können kürzer und enger gefasst sein als in einigen Nicht-EU-Rechtsordnungen, daher sollten Sie die Sicherung schnell beantragen.

Wird OVHcloud den Kunden über meine Anfrage informieren? Oft ja, sofern dies nicht gesetzlich untersagt ist. Wenn Ihre Ermittlung Vertraulichkeit erfordert, stellen Sie sicher, dass Ihr Rechtsinstrument eine durchsetzbare Geheimhaltungspflicht enthält.

Verwandte Leitfäden

• Cloud evidence: getting data from AWS, Azure and Google Cloud
• Cloudflare law enforcement data request: police and government guide
• MLAT vs LERS vs Interpol: which channel, when

Das vollständige Verzeichnis der Portale für Strafverfolgungsanfragen finden Sie in unserem LERS portal hub.

Titelbild: Ein Serverraum in einem Rechenzentrum. · Bildnachweis: Christopher Bowns · Wikimedia Commons · CC BY-SA 2.0 · Quelle