Eine Vorladung trifft wegen eines Nutzers ein: was ein Betreiber von Kleinanzeigen in den USA wirklich herausgeben muss
Der Anruf, der keine Vorladung ist
Eine E-Mail einer Polizeidienststelle trifft ein und fragt nach dem Konto eines Inserenten: Name, IP-Adresse, die mit einer Anzeige verknüpften Nachrichten. In der Nachricht steht nicht, welches Gesetz eine Antwort verlangt, nur dass der Absender Ermittler ist und der Fall echt sei. Die meisten Betreiber tun an diesem Punkt eines von zwei Dingen, und beides ist ein Fehler. Sie geben alles heraus, was das Dashboard zeigt, weil eine Weigerung das Unternehmen wie einen Komplizen wirken lässt, oder sie verweigern alles, weil jede Herausgabe wie ein Risiko ohne Vorteil erscheint. Keine der beiden Reaktionen hängt davon ab, was das Gesetz tatsächlich verlangt, und genau in dieser Lücke gerät ein sonst gut geführtes Verzeichnis in Schwierigkeiten.
Eine Dienstmarke, ein Anruf und eine E-Mail von einer Behördenadresse sind für sich genommen kein rechtliches Verfahren. Kein US-Gesetz verpflichtet einen Anbieter, die Daten eines Nutzers herauszugeben, nur weil ein Beamter danach gefragt hat, und jede Anfrage automatisch als gültig zu behandeln, ist genau der Reflex, der dazu führt, mehr preiszugeben, als ein Gericht tatsächlich genehmigt hat. Was die Herausgabe erzwingt, ist ein bestimmtes Instrument: eine Vorladung, eine gerichtliche Anordnung nach einer bestimmten Vorschrift des Bundesrechts, oder ein Durchsuchungsbeschluss. Jedes erreicht einen anderen, genau definierten Ausschnitt dessen, was ein Verzeichnis speichert, und keines ist mit den anderen austauschbar.
Der einzige Fall, in dem die Herausgabe von Daten ohne eines dieser Instrumente rechtmäßig ist, ist eng gefasst, und es lohnt sich, ihn genau zu kennen, weil Betreiber entweder vergessen, dass er existiert, oder ihn auf Fälle ausdehnen, für die er nie gedacht war. Nach 18 U.S.C. § 2702(b) darf ein Anbieter Daten, sogar den Inhalt von Kommunikation, freiwillig an eine Behörde weitergeben, wenn er in gutem Glauben annimmt, dass ein Notfall mit Todesgefahr oder schwerer körperlicher Verletzung eine unverzügliche Offenlegung erfordert. Das ist eine Ausnahme für echte Notfälle: eine Anzeige, die wie eine unmittelbare Bedrohung für die Sicherheit einer Person liest, keine Ermittlung, die genauso gut eine Woche auf den Papierkram warten könnte.
Außerhalb dieses einen Falls ist der richtige erste Schritt immer derselbe, egal wer fragt: die Anfrage schriftlich verlangen, prüfen, dass sie das tatsächliche Rechtsinstrument dahinter benennt, und sie an eine einzige Person im Unternehmen weiterleiten, idealerweise dieselbe Person oder denselben Rechtsbeistand, der bereits die übrigen Compliance-Pflichten der Plattform betreut, statt an wen auch immer die E-Mail zufällig geöffnet hat. Alles Weitere hängt davon ab, zu wissen, welches Instrument man in der Hand hat, bevor man entscheidet, wozu es den Anfragenden tatsächlich berechtigt.
Was eine bloße Vorladung erreichen kann, und was nicht
Eine Vorladung ist das schwächste Instrument in dieser Hierarchie, und es ist auch dasjenige, bei dem Betreiber am häufigsten mehr liefern, als nötig wäre. Nach 18 U.S.C. § 2703(c)(2) kann eine Vorladung die Offenlegung dessen erzwingen, was das Gesetz grundlegende Abonnenteninformationen nennt: Name, Adresse, Sitzungs- und Verbindungsdaten oder deren Dauer, Dauer und Art der genutzten Dienste, jede Abonnenten- oder Gerätekennung einschließlich einer vorübergehend zugewiesenen Netzwerkadresse, sowie das Zahlungsmittel oder die Zahlungsquelle für den Dienst, einschließlich Kreditkarten- oder Kontonummer. Das ist die vollständige Liste. Sie umfasst nicht den Inhalt einer Nachricht, eine Anzeigenbeschreibung oder ein Foto, egal wie die Anfrage formuliert ist.
Das zählt, weil eine Vorladung vergleichsweise leicht zu bekommen ist: Sie verlangt nicht, dass ein Richter Beweise abwägt, wie es ein Durchsuchungsbeschluss tut, und sie ist das Instrument, das im gewöhnlichen Verlauf einer Ermittlung am häufigsten auftaucht, nicht nur bei den schwersten Fällen. Ein Verzeichnis, das eine Vorladung als Erlaubnis behandelt, Nachrichtenprotokolle oder Verifizierungsunterlagen herauszugeben, gibt mehr her, als das Gesetz verlangt hat, und jedes zusätzlich herausgegebene Dokument ist eine Sache mehr, für die das Unternehmen später geradestehen muss, falls ein Nutzer, eine Aufsichtsbehörde oder ein Gericht jemals fragt, warum es die Archive verlassen hat.
Inhalt, also der eigentliche Text dessen, was ein Nutzer tatsächlich geschrieben oder gesendet hat, und nicht nur die bloße Tatsache, dass ein Konto existiert, liegt hinter einer deutlich höheren Schwelle. Nach § 2703(a) kann Inhalt, der 180 Tage oder weniger gespeichert ist, nur mit einem Durchsuchungsbeschluss erzwungen werden, ausgestellt nach demselben Standard des hinreichenden Tatverdachts, der in jedem anderen Strafverfahren gilt. Der Gesetzestext behandelt länger gespeicherten Inhalt anders und erlaubt theoretisch eine Vorladung oder eine geringere gerichtliche Anordnung nach vorheriger Benachrichtigung, aber diese Lücke auf dem Papier spiegelt nicht wider, wie eine solche Anfrage tatsächlich ankommt.
Nach einem Urteil eines Bundesberufungsgerichts im Jahr 2010 und einer darauffolgenden Änderung der Praxis haben US-Bundesstaatsanwälte landesweit die Praxis übernommen, für Inhalte unabhängig von der Speicherdauer einen Durchsuchungsbeschluss einzuholen, und behandeln die im Gesetz vorgesehene 180-Tage-Unterscheidung faktisch als überholt, auch wenn der Text selbst nie neu gefasst wurde. In der Praxis ist eine Anfrage nach etwas, das nach Nachrichteninhalt aussieht, ohne beigefügten Durchsuchungsbeschluss das Signal, zuerst zu fragen, welches Instrument tatsächlich dahintersteckt, bevor irgendetwas herausgegeben wird, statt anzunehmen, der Absender habe das bereits geprüft.
Zwischen Vorladung und Durchsuchungsbeschluss steht noch ein weiteres Instrument, eine gerichtliche Anordnung nach § 2703(d), die ein Richter auf einer niedrigeren Schwelle als hinreichendem Tatverdacht erlassen kann: konkrete, darlegbare Tatsachen, die vernünftige Gründe für die Annahme zeigen, dass die gesuchten Daten für eine laufende Ermittlung relevant und erheblich sind. Sie erfordert weiterhin den Gang vor einen Richter, was sie von einer ohne gerichtliche Prüfung ausgestellten Vorladung unterscheidet, erreicht aber nicht den Inhalt, den nur ein Durchsuchungsbeschluss erzwingen kann. Zu wissen, welches der drei Instrumente auf dem Tisch liegt, Vorladung, Anordnung oder Durchsuchungsbeschluss, entscheidet, was ein Verzeichnis herausgeben muss und was nicht.
Der Sicherungsbrief, der zuerst eintrifft
Vor jeder Vorladung oder jedem Durchsuchungsbeschluss beginnen die meisten Ermittlungen, die ein Verzeichnis betreffen, mit etwas Leiserem: einer Sicherungsanordnung nach 18 U.S.C. § 2703(f). Kein Gericht ist beteiligt. Eine Behörde bittet den Anbieter, bestimmte Daten zu sichern, und der Anbieter muss einfrieren, was er besitzt, damit es nicht überschrieben, gelöscht oder durch den eigenen Löschplan der Plattform entfernt wird, während die Regierung entscheidet, ob sie eine Vorladung, eine Anordnung oder einen Durchsuchungsbeschluss dafür beantragt.
Die Anfrage selbst erzwingt keine Offenlegung: Sicherung und Herausgabe sind zwei getrennte Schritte, und ein Verzeichnis, das einen Sicherungsbrief als Aufforderung liest, die Daten sofort herauszugeben, tut mehr, als das Gesetz verlangt hat, in dieselbe Richtung wie übertriebene Kooperation bei einer bloßen Vorladung. Was die Anfrage tatsächlich erzwingt, ist die Aufbewahrung: Das Gesetz setzt die Sperrfrist auf 90 Tage, einmal verlängerbar um weitere 90 Tage, wenn die Regierung die Anfrage vor Ablauf der ersten Frist erneuert.
Das ist der Moment, in dem die eigenen Datenpraktiken eines Verzeichnisses die Anfrage entweder einfach machen oder in Hektik verwandeln. Im Voraus zu entscheiden, wie lange Identitätsprüfungsunterlagen, Zahlungsdaten und Kontoprotokolle aufbewahrt werden, bestimmt, ob eine 90-Tage-Sperre trivial ist, weil die Daten ohnehin noch vorhanden gewesen wären, oder unmöglich, weil der normale Löschplan der Plattform sie schon vor Eintreffen des Briefs gelöscht hat. Eine Sicherungsanfrage kann keine Daten wiederbeleben, die eine Aufbewahrungsrichtlinie bereits vernichtet hat, und ein Anbieter, der eine Sperre wegen seiner eigenen Löschgewohnheiten nicht einhalten kann, hat sich selbst ein Problem geschaffen, unabhängig davon, was die Regierung getan hat.
Die praktische Antwort ist, einen dokumentierten Prozess bereit zu haben, bevor der erste Brief eintrifft: ein einziges Postfach oder ein Kontakt, an den Sicherungsanfragen gehen, eine Person, die prüft, ob die Anfrage wirklich von einer Behörde stammt, und eine Möglichkeit, das genannte Konto zu markieren, damit normale Löschroutinen es während der Sperrfrist auslassen. Nichts davon erfordert einen Anwalt zur Ausführung, sobald es einmal entworfen ist, aber es ohne jemals eine echte Anfrage bearbeitet zu haben zu entwerfen, ist weit einfacher, als es unter Zeitdruck zu improvisieren.
Die Pflicht, die nichts mit einer Anfrage zu tun hat
Alles bisher Gesagte betrifft, was passiert, wenn die Regierung fragt. Eine Pflicht läuft in die andere Richtung: eine Meldepflicht, ausgelöst durch das, was die Plattform selbst entdeckt, ohne dass überhaupt eine Anfrage im Spiel ist. Nach 18 U.S.C. § 2258A muss ein Anbieter, der tatsächliche Kenntnis von mutmaßlichem Material sexuellen Kindesmissbrauchs auf seiner Plattform erlangt, dies so bald wie vernünftigerweise möglich an die CyberTipline melden, die vom National Center for Missing & Exploited Children betrieben wird.
Das Gesetz legt genau fest, was die Pflicht auslöst und was nicht: Es verlangt eine Meldung, sobald der Anbieter tatsächliche Kenntnis hat, nicht eine allgemeine Pflicht, Anzeigen zu durchsuchen, zu scannen oder zu überwachen, um solches Material zu finden. Ein Verzeichnis muss kein eigenes Erkennungsprogramm betreiben, um dieses Gesetz einzuhalten, aber wenn ein Moderator, ein Support-Ticket oder eine Meldung eines Zahlungs- oder Verifizierungsanbieters etwas zutage fördert, das danach aussieht, beginnt die Frist „so bald wie vernünftigerweise möglich“ sofort, nicht erst, wenn das Team Zeit findet, es zu prüfen.
Die Konsequenz eines Fehlers an dieser Stelle hat sich 2024 wesentlich geändert. Der REPORT Act hob die erforderliche Aufbewahrungsfrist für eine Meldung und das zugehörige Material von den bisherigen 90 Tagen auf ein volles Jahr an und erhöhte die zivilrechtlichen Strafen für eine wissentliche und vorsätzliche Nichtmeldung auf bis zu 600.000 Dollar für einen ersten Verstoß und 850.000 Dollar für einen weiteren, für Anbieter mit weniger als 100 Millionen monatlichen Nutzern, eine Kategorie, die praktisch jedes Kleinanzeigenverzeichnis abdeckt. Ältere Compliance-Hinweise, die noch eine 90-Tage-Sperre oder die Strafbeträge von vor 2024 zitieren, beschreiben ein Gesetz, das in dieser Form nicht mehr existiert.
Diese Pflicht steht neben der, ist rechtlich aber getrennt von, der Frage der Plattformhaftung, die bestimmt, ob ein Betreiber strafrechtlich dafür verantwortlich gemacht werden kann, Menschenhandel über seine Anzeigen begünstigt zu haben. Ein Verzeichnis kann bei der ersten Pflicht sorgfältig sein und trotzdem bei der zweiten versagen, wenn es keinen funktionierenden, getesteten Weg von der Person, die etwas entdeckt, zu der Person hat, die die Meldung tatsächlich einreicht, und dieser Weg lohnt es sich zu testen, bevor er gebraucht wird, statt mitten in einem echten Fall festzustellen, dass er nicht funktioniert.
Was zu tun ist, der Reihe nach
Übertragt einer einzigen Person oder Rolle jeden Kontakt mit Strafverfolgungsbehörden, genauso wie ein Verzeichnis eine einzige Person für die Chargeback-Warteschlange oder den Löschplan der Daten benennen würde. Wer auch immer den ersten Anruf entgegennimmt, sollte einen direkten Weg haben, ihn an diese Person weiterzuleiten, statt sofort zu antworten.
Verlangt das Instrument schriftlich, bevor irgendetwas über die Bestätigung hinaus produziert wird, dass ein Konto existiert, und lest es für das, was es wirklich ist: eine Vorladung, eine Sicherungsanfrage, eine Anordnung nach § 2703(d), oder ein Durchsuchungsbeschluss, jedes davon berechtigt zu einem anderen, sich nicht überschneidenden Datenausschnitt. Kommt eine Anfrage nach Nachrichteninhalt oder Verifizierungsunterlagen ohne beigefügten Durchsuchungsbeschluss, ist das der Anlass zu fragen, was dahintersteckt, statt anzunehmen, der Absender habe bereits die richtigen Unterlagen.
Führt Protokoll über jede eingehende Anfrage, unabhängig davon, ob am Ende etwas herausgegeben wird: Datum, anfragende Behörde, beigefügtes Instrument, was gesichert oder herausgegeben wurde, und wer zugestimmt hat. Das ist dieselbe Disziplin, die einen Zahlungsstreit oder eine Beschwerde über Datenzugriff von einer vagen Erinnerung in einen Nachweis verwandelt, auf den sich das Unternehmen später wirklich stützen kann.
Bringt den Meldeweg zur CyberTipline in Ordnung, bevor er wirklich gebraucht wird: wisst, wer im Unternehmen tatsächlich die Befugnis und den Zugang hat, eine Meldung einzureichen, und bestätigt, dass die Aufbewahrungsfrist, mit der das Team arbeitet, die aktuelle ist, ein volles Jahr, und nicht die inzwischen überholten 90 Tage aus einem alten Richtliniendokument.
Klärt den Kontakt zu einem Anwalt, bevor der Tag kommt, an dem eine Vorladung eintrifft, nicht danach. Nichts in diesem Beitrag ersetzt rechtlichen Rat zu einer tatsächlichen Anfrage, und der Wert des Vorstehenden liegt darin, diesem Anwalt und dem Betreiber zu sagen, welches dieser Instrumente vor ihnen liegt, bevor einer von beiden raten muss.
