Eine ausländische Datenanfrage landet bei einem US-VPN-Anbieter

Ein Schreiben von Ermittlern eines anderen Landes trifft ein und fragt nach einem Kunden, und die Frage auf dem Tisch ist, wozu es irgendjemanden verpflichtet. Die ehrliche Antwort ist: Es hängt von drei Dingen ab – wer es erhalten hat, welche Datensätze es nennt und welche Befugnis es beansprucht. Der Standort eines einzelnen VPN-Servers beantwortet nichts davon. Auch nicht die allgemeine Kooperationsbereitschaft des Anbieters, denn das ist eine geschäftliche Haltung und keine rechtliche Analyse.

Behandeln Sie das Schreiben als Beginn einer Prüfung, nicht als Schlussfolgerung mit Stempel.

Das Schreiben nennt einen Dienst, kein System

Beginnen Sie damit, die juristische Person zu bestimmen, die die Anfrage erhalten hat, und den Dienst, um den es geht. Eine Marke, eine App und das Unternehmen, das einen bestimmten Ausgangsserver betreibt, können drei verschiedene Parteien sein, und nur eine davon hält die verlangten Datensätze. Ordnen Sie die Anfrage dann einem System zu, denn Kontodaten, Verbindungsmetadaten, Tunneladressen, Support-Tickets und Zahlungsdetails liegen an verschiedenen Orten mit unterschiedlicher Aufbewahrung.

Zwang, Erlaubnis und Pflicht trennen

Eine freiwillige Anfrage, ein über einen innerstaatlichen Rechtsmechanismus erlangtes Verfahren und eine von einem internationalen Abkommen erfasste Anordnung sind verschiedene Instrumente. Sie tragen unterschiedliche Pflichten und unterschiedliche Widerspruchsgründe.

Das US-Justizministerium beschreibt qualifizierte Exekutivabkommen als Weg, bestimmte ausländische Anordnungen unter den Bedingungen des Abkommens an Anbieter zu richten. Das ist ein konkreter Mechanismus, keine Regel, dass jede Polizei überall jeden VPN-Datensatz verlangen kann. Für erfasste US-Dienste regelt 18 USC 2702 die freiwillige Offenlegung gesondert, unterscheidet Kommunikationsinhalte von anderen Kundeninformationen und listet die geltenden Ausnahmen auf.

Hilfsbereitschaft, rechtliche Erlaubnis zu helfen und rechtliche Pflicht zu helfen sind drei getrennte Fragen, und ein Blogbeitrag eines Anbieters beantwortet meist nur die erste.

Definieren Sie, was die IP des Kunden bedeutet

Eine Anfrage nach der IP-Adresse des Kunden braucht eine Definition, bevor sie eine Antwort braucht. Gemeint sein kann die bei der Verbindung beobachtete Quelladresse, ein gemeinsam genutzter öffentlicher Ausgang vieler Kunden, die einer Sitzung zugewiesene Tunneladresse oder eine bei einer Abrechnungsinteraktion erfasste Adresse. Fragen Sie, welches Ereignis und welchen Zeitraum die Anfrage abdeckt, denn die Antwort entscheidet, welches System abgefragt wird.

Ein Anbieter kann Kontodaten haben, ohne einen Browserverlauf zu haben, und das sind verschiedene Antworten auf denselben Satz im Schreiben.

Erst sichern, dann entscheiden

Wenn Sie den Dienst betreiben, bewahren Sie die ursprüngliche Anfrage auf und leiten Sie sie zügig an die für die rechtliche Prüfung zuständige Stelle weiter. Überprüfen Sie Absender, verlangte Handlung, Umfang, Fristen und etwaige Vertraulichkeitsanforderungen über einen Kanal, dem Sie bereits vertrauen. Entscheiden Sie über Rechtsgrundlage und Antwort, bevor Sie etwas offenlegen oder eine Aufbewahrungseinstellung ändern. Eine eilig vorgenommene Änderung der Aufbewahrung wird selbst zum Beweis dafür, wie der Dienst mit Datensätzen umgeht.

Worauf Sie als Kunde achten sollten

Lesen Sie die Beschreibung des Anbieters zum Umgang mit rechtlichen Anfragen neben seiner kategoriespezifischen Datenrichtlinie. Achten Sie auf eine identifizierbare verantwortliche Stelle und einen beschriebenen Prüfprozess.

Eine Gründung in einem Land mit Ausgangsservern in einem anderen macht nicht alle ausländischen Anfragen gleich und auch nicht alle ungültig. Die nützliche Frage ist, welche Datensätze existieren, wer sie erreichen kann und welcher Prozess zwischen Anfrage und Offenlegung steht. Ein Anbieter, der das klar beantworten kann, ist leichter zu bewerten als einer, der mit einem Slogan antwortet, und die Antwort ist mehr wert als das Ausgangsland im Verzeichnis.