Cloud-Daten
Cloud-Daten darf die Polizei nach einer Hausdurchsuchung nicht grenzenlos auslesen. Ein Zugriff kann nach § 110 Abs. 3 StPO zulässig sein, wenn die Cloud über ein bei der Durchsuchung aufgefundenes Gerät erreichbar ist und andernfalls ein Verlust der gesuchten Daten droht. Der Durchsuchungsbeschluss, der Tatverdacht und die Verhältnismäßigkeit begrenzen jedoch Umfang und Dauer der Auswertung.
Das Smartphone öffnet mehr als die Wohnung
Bei meinem Mandanten wird wegen des Verdachts auf Betrug durchsucht. Die Beamten beschlagnahmen sein entsperrtes Smartphone. Darauf sind nicht nur E-Mails gespeichert. Das Gerät ist zugleich mit einer Cloud verbunden, die private Fotos, Geschäftsunterlagen und Dateien seiner Familie enthält.
Tage später stellt mein Mandant fest, dass sich jemand von einer unbekannten IP-Adresse in sein Cloud-Konto eingeloggt hat. Die Ermittler haben die auf dem Smartphone gespeicherten Zugangsdaten verwendet und den gesamten Datenbestand heruntergeladen. Durften sie das?
Wann darf die Polizei auf die Cloud zugreifen?
§ 110 Abs. 3 StPO erlaubt die Durchsicht elektronischer Speichermedien. Sie kann auf räumlich getrennte Speicher – insbesondere Server oder Cloud-Konten – ausgedehnt werden, wenn
- der Zugriff von dem untersuchten Gerät aus möglich ist,
- ein Verlust der gesuchten Daten zu befürchten ist,
- die Daten vom Durchsuchungszweck erfasst werden und
- die Maßnahme verhältnismäßig bleibt.
Beweiserhebliche Daten dürfen gesichert werden. Die Vorschrift ist aber keine Erlaubnis, vorsorglich alle verfügbaren Konten und Dateien zu kopieren.
Darf die Polizei gespeicherte Passwörter verwenden?
Das LG Koblenz hielt es für zulässig, bei einer Durchsuchung ausgelesene Zugangsdaten anschließend in eine forensische Software einzuspielen. Die Ermittler meldeten sich damit einige Tage später bei Google-, Facebook- und eBay-Konten des Beschuldigten an. Nach Auffassung des Gerichts war dies noch eine Durchsicht räumlich getrennter Speichermedien (LG Koblenz, Beschluss vom 24. August 2021 – 4 Qs 59/21).
Diese weite Auslegung ist umstritten. § 110 Abs. 3 StPO spricht von einem Zugriff „von dem elektronischen Speichermedium aus“. Ein späterer Login von einem Behördencomputer erfasst möglicherweise auch Dateien, die erst nach der Hausdurchsuchung entstanden sind. Außerdem stellt sich bei ausländischen Servern die Frage, ob ein Rechtshilfeverfahren erforderlich ist.
Das LG Berlin ließ einen Zugriff auf ausländische Cloud-Daten zu, wenn er während der laufenden Durchsuchung über vorhandene Logins erfolgte (LG Berlin, Beschluss vom 29. Dezember 2022 – 519 Qs 8/22). Dagegen hob das Bundesverwaltungsgericht in einem Disziplinarverfahren eine Durchsuchungsanordnung auf, soweit sie pauschal externe Cloud-Speicher erfasste (BVerwG, Beschluss vom 4. Dezember 2024 – 2 WDB 7.24). Eine abschließende höchstrichterliche Klärung für das Strafverfahren fehlt.
Neue Regeln für elektronische Beweismittel
Seit dem 18. August 2026 gilt die europäische E-Evidence-Verordnung. Sie ermöglicht europäischen Herausgabe- und Sicherungsanordnungen unmittelbar gegenüber Diensteanbietern. Für Inhalts- und bestimmte Verkehrsdaten ist grundsätzlich eine richterliche Anordnung oder Bestätigung erforderlich. Anbieter müssen Daten regelmäßig innerhalb von zehn Tagen, in Notfällen innerhalb von acht Stunden bereitstellen.
Die Verordnung schafft damit einen geregelten Weg zu grenzüberschreitenden Cloud-Daten. Sie erteilt deutschen Ermittlern aber keinen allgemeinen Freibrief, sich mit gefundenen Passwörtern selbst in ausländische Konten einzuloggen.
Welche Grenzen gelten bei der Auswertung?
Zu prüfen ist insbesondere:
- Welche Konten nennt oder umfasst der Durchsuchungsbeschluss?
- Wann und von welchem Gerät erfolgte der Zugriff?
- Wurden erst später entstandene Daten heruntergeladen?
- War tatsächlich ein Datenverlust zu befürchten?
- Wurden private und geschäftliche Konten vermischt?
- Sind Daten von Familienangehörigen oder unbeteiligten Dritten betroffen?
- Enthält die Cloud geschützte Verteidigerkorrespondenz?
Berufsgeheimnisse und Verteidigungsunterlagen können Beschlagnahme- und Verwertungsverboten unterliegen. Auch eine vollständige Spiegelung darf nicht an die Stelle einer tatbezogenen Auswahl treten.
Tipps für Betroffene
- Nennen Sie keine Passwörter und machen Sie keine Angaben zum Inhalt der Cloud.
- Leisten Sie keinen Widerstand gegen die Durchsuchung.
- Löschen oder verändern Sie keine Daten und veranlassen Sie kein Fernlöschen.
- Verlangen Sie Durchsuchungsbeschluss und Sicherstellungsverzeichnis.
- Dokumentieren Sie Warnmeldungen über fremde Anmeldungen.
- Lassen Sie Zugriffszeitpunkt, IP-Adresse und Umfang der Sicherung feststellen.
Beantragen Sie gegebenenfalls eine gerichtliche Entscheidung nach § 110 Abs. 4 in Verbindung mit § 98 Abs. 2 StPO.
Ich prüfe bei Cloud-Auswertungen nicht nur den Inhalt der gefundenen Dateien, sondern vor allem, ob der technische Zugriff gesetzlich erlaubt und auf den konkreten Tatvorwurf begrenzt war.
Rechtsanwalt Marson im September 2026.