Gesetz zur Stärkung der Cybersicherheit
Der Bund will Cyberangriffe aktiv stoppen. Umstritten sind Eingriffe in fremde Computer und der Schutz unbeteiligter Menschen.
Auf dieser Seite · 15
In 60 Sekunden
- Worum geht es?
- Der Bund will Angriffe auf Computer und Netze schneller erkennen und stoppen. Dafür sollen Bundesbehörden weitere Befugnisse bekommen. Das Gesetz ist noch nicht beschlossen.
- Wichtigste Änderung
- Bundeskriminalamt und Bundespolizei sollen unter Voraussetzungen auch bestimmte angriffsbezogene Daten in Computersystemen lesen, löschen oder verändern dürfen, von denen ein Angriff ausgeht. Ob die geplanten Schutzregeln dafür reichen, ist umstritten.
- Wer ist betroffen?
- Betroffen sind vor allem Behörden, Internetdienste und Betreiber wichtiger Versorgungsanlagen. Auch Menschen, deren Geräte oder persönliche Daten dabei erfasst werden, können betroffen sein.
Die Zusammenfassung
Wichtig vorweg: Das Gesetz gilt nicht. Es ist ein Regierungsentwurf (BT-Drs. 21/6585), den der Bundestag am 25. Juni 2026 zum ersten Mal beraten und an die Ausschüsse überwiesen hat. Federführend ist der Innenausschuss; die öffentliche Anhörung fand am 5. Oktober 2026 statt. Eine Beschlussempfehlung, eine zweite und dritte Beratung und eine Verkündung sind nach den ausgewerteten Unterlagen nicht verzeichnet. Es ist ein Artikelgesetz: Artikel 1 ändert das Bundespolizeigesetz, Artikel 2 das BSI-Gesetz, Artikel 3 das Bundeskriminalamtgesetz, Artikel 4 das TDDDG und Artikel 5 das Energiewirtschaftsgesetz. Es soll laut Entwurf am Tag nach der Verkündung in Kraft treten und ist laut Entwurf zustimmungsbedürftig; der Bundesrat müsste also im zweiten Durchgang zustimmen. [1][2][4][5]
Die Bundesregierung begründet das Vorhaben mit der Notwendigkeit, laufende Cyberangriffe zu unterbinden und Schäden zu begrenzen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI), das Bundeskriminalamt (BKA) und die Bundespolizei sollen dafür unterschiedliche Aufgaben und Instrumente erhalten. Die Begründung, vorbeugender Schutz allein genüge nicht, ist die sicherheitspolitische Einschätzung der Regierung; sie beweist noch keinen messbaren Nutzen jeder einzelnen Befugnis. [6][27]
Die Polizeibefugnisse sollen unter anderem Betriebsuntersagungen, das Umleiten und Aufzeichnen von Datenverkehr sowie technische Eingriffe in Systeme ermöglichen. Das BKA erhält zusätzlich eine besondere Cyberabwehraufgabe für gesetzlich beschriebene Konstellationen. Die Bundespolizei darf ihre neuen Instrumente nur innerhalb ihrer gefahrenabwehrrechtlichen Aufgaben nutzen. Das begründet keine allgemeine Zuständigkeit des Bundes für jeden Cyberangriff. [17][18]
Ein zentraler Streit betrifft den Schutz privat genutzter Systeme. Der Entwurf verlangt hierfür bei bestimmten Eingriffen eine dringende Gefahr und eine gerichtliche Anordnung. Der Bundesrat verlangt einen Richtervorbehalt auch für andere Systeme und verweist auf gemischte private und berufliche Nutzung. Die Bundesregierung lehnt eine solche generelle Erweiterung ab. Sie kündigt aber einen Vorschlag zur Ergänzung der gerichtlichen Zuständigkeit im BKAG an. Diese Ankündigung ist keine Gesetzesänderung; ein Text liegt nicht vor. [3]
Das BSI soll früher nach vorbereiteten Angriffen suchen können und zusätzliche technische Informationen erhalten. Domain-Dienste werden stärker einbezogen. Betreiber kritischer Anlagen sollen bestimmte Sicherheits- und Verfügbarkeitsinformationen automatisiert übermitteln. Das soll die Erkennung verbessern. Die Gesellschaft für Informatik warnt hingegen vor zusätzlicher Datensammlung und neuen Angriffszielen. Ob die neue Anbindung insgesamt mehr Sicherheit schafft, ist nicht empirisch abschließend belegt. [19][22]
Auch die Bezeichnung „Hackback“ ist strittig. Innenminister Dobrindt verwendet sie für einen vergeltenden Gegenschlag gegen andere Infrastruktur und grenzt sein Vorhaben davon ab. Der Chaos Computer Club zählt technische Gegenangriffe auf fremde Systeme dagegen zum problematischen Zurückhacken. Die Begriffsentscheidung ersetzt nicht die Prüfung der konkreten Befugnisse, Eingriffsschwellen und Kontrollen. Das Vorhaben ist von der NIS-2-Richtlinie und der Cyberresilienz-Verordnung (CRA) zu trennen: Der Bundestag hat am 15. Oktober 2026 ein Gesetz zur Durchführung der Cyberresilienz-Verordnung beschlossen. Das ist ein anderes Vorhaben und kein Beschluss über diesen Entwurf. [27][20][12][13][5]
Noch offen und ohne amtliches Datum sind: der Abschluss der Ausschussberatung, die zweite und dritte Beratung im Bundestag, der zweite Durchgang im Bundesrat, die Verkündung und damit das Inkrafttreten. Ein fester Beginn der neuen Pflichten, etwa für den Schutz vor gefährlichen Domains oder die Übermittlung aus kritischen Anlagen, lässt sich deshalb nicht angeben. [1][2][5]
Was steht wirklich drin?
Neue Aufgabe des BKA [1]
Geplant: Das BKA soll in bestimmten Fällen selbst Cybergefahren abwehren. Erfasst sind schwere Gefahren, die nur gemeinsam mit ausländischen Stellen abgewehrt werden können, Gefahren gegen Bundesbehörden und Gefahren mit möglicher außen- oder verteidigungspolitischer Wirkung (Art. 3 Nr. 3, § 3a Abs. 1–2 BKAG-E, S. 16–17).
Gezielter Zugriff auf gefährliche Daten [1]
Geplant: Die Polizeien sollen gefährlichen Datenverkehr stoppen und bestimmte angriffsbezogene („gefahrgegenständliche“) Daten in dem System lesen, löschen oder verändern dürfen, von dem die Gefahr ausgeht. Auch unbeteiligte Menschen dürfen unvermeidbar mitbetroffen sein (Art. 1 Nr. 2, § 41a Abs. 1–4 BPolG-E; Art. 3 Nr. 9, §§ 68b–68d BKAG-E).
Zusätzlicher Schutz privater Computer [1][3]
Geplant: Bei bestimmten Zugriffen auf privat genutzte Systeme soll eine dringende Gefahr nötig sein. Ein Gericht muss zustimmen. Im Eilfall ist die gerichtliche Bestätigung innerhalb von drei Tagen nachzuholen. Die Regel gilt nicht pauschal für jeden Eingriff (§ 41a Abs. 5–8 BPolG-E; § 68e Abs. 1–7 BKAG-E). Der Bundesrat verlangt mehr Richtervorbehalt; die Bundesregierung lehnt das ab.
Mitarbeit von Internetdiensten [1]
Geplant: Telekommunikationsanbieter und digitale Dienste sollen auf Anordnung mitwirken und Auskunft geben. Behörden können ihnen unter Voraussetzungen verbieten, Betroffene über die Maßnahme zu informieren (§ 41a Abs. 9–11 BPolG-E; § 68c Abs. 2, § 68d Abs. 4, § 68f BKAG-E).
Früher nach Angriffen suchen [1]
Geplant: Das BSI soll in herausgehobenen Fällen auf Ersuchen nach einer Beeinträchtigung suchen dürfen, auch wenn dafür zunächst tatsächliche Anhaltspunkte vorliegen. Es soll zusätzliche sicherheitsrelevante technische Informationen von Diensteanbietern verlangen können (Art. 2 Nr. 4–5, § 11 Abs. 1, 3 und § 15 Abs. 6 BSIG-E).
Schädliche Internetadressen bekämpfen [1][19]
Geplant: Das BSI soll Änderungen und Umleitungen bei Domain-Einträgen anordnen können. Eine Domain ist ein lesbarer Internetname. Größere DNS-Anbieter sollen einen Schutz vor gefährlichen Domains anbieten; die Nutzung soll optional sein (Art. 2 Nr. 6–7, § 16 Abs. 6–7, §§ 16a, 17 Abs. 2 BSIG-E).
Daten kritischer Anlagen übermitteln [1]
Geplant: Betreiber wichtiger Versorgungsanlagen sollen bestimmte Informationen über Verfügbarkeit, Angriffe und Schwachstellen automatisch ans BSI melden. Technische Anforderungen sollen nach Beteiligung der Betroffenen festgelegt werden. Für den Energiebereich sieht der Entwurf eine eigene Regel vor (Art. 2 Nr. 8, § 31 Abs. 3–6 BSIG-E; Art. 5 Nr. 1, § 5c Abs. 7–11 EnWG-E).
Menschen vor Gefahren warnen [1]
Geplant: Digitale Dienste sollen bekannte Nutzer über bestimmte Störungen sowie vom BSI gemeldete konkrete Gefahren unverzüglich informieren. „Unverzüglich“ bedeutet ohne vermeidbare Verzögerung (Art. 4, § 19 Abs. 5–6 TDDDG-E, S. 22–23).
Schwellen und Kontrolle im Überblick [18][1]
Geplant, aber nicht einheitlich: Es gibt keine einheitliche Schwelle „nur bei schwersten Angriffen“ für alle Maßnahmen. Die Grundbefugnisse knüpfen an die im Entwurf aufgezählten Computerstraftaten an; erhöhte Anforderungen gelten für die besonders beschriebenen privaten Systeme. Deren Definition betrifft die Möglichkeit eines aussagekräftigen Einblicks in die persönliche Lebensgestaltung, nicht allein das Eigentum am Gerät (§ 3a Abs. 2, § 68a Abs. 2, § 68e Abs. 2 BKAG-E; § 41a Abs. 1, 5 BPolG-E).
Kontrollbaustein: Technische Begrenzung [1]
Geplant: Zugriff auf gefahrgegenständliche Daten; technische Vorkehrungen soweit möglich; Rückgängigmachen von Änderungen soweit technisch möglich und dem Zweck vereinbar; Schutz eingesetzter Mittel. Der Entwurf garantiert nicht, dass alle Nebenfolgen rückgängig werden (§ 41a Abs. 4 BPolG-E; § 68d Abs. 3 BKAG-E).
Kontrollbaustein: Kernbereichsschutz [1]
Geplant: Schutz besonders persönlicher Lebensbereiche durch Verweise für die einschlägigen privaten Eingriffe (§ 41a Abs. 5 Satz 3 BPolG-E; § 68e Abs. 7 BKAG-E).
Kontrollbaustein: Benachrichtigung und Datenschutzkontrolle [1][16]
Geplant: Einbeziehung bestimmter neuer Maßnahmen in bestehende Vorschriften (Art. 1 Nr. 3–6; Art. 3 Nr. 10–13). Herpig bewertet dies als Verbesserung gegenüber dem Referentenentwurf, fordert aber weitergehende Transparenz.
Kontrollbaustein: Geheimhaltung gegenüber Betroffenen [1][18]
Geplant: Für die Bundespolizei ist gerichtliche Zustimmung bei Fortdauer über zwölf Monate nach Maßnahmeende vorgesehen (§ 41a Abs. 11 BPolG-E). Beim BKA lautet die Zeitanknüpfung des § 68f Abs. 2 nur „binnen zwölf Monaten“; ein identischer Beginn darf nicht unterstellt werden.
Kontrollbaustein: Informationsfluss zur Bundeswehr [1][16]
Geplant: Neue Übermittlungsvorschriften bei Anhaltspunkten für einen Verteidigungsbezug (§ 41a Abs. 13 BPolG-E; § 68a Abs. 4 BKAG-E). Daraus folgt keine eigenständige militärische Hackback-Befugnis.
Betroffene Gruppen
BSI, BKA, Bundespolizei
stark betroffenSie sollen zusätzliche Aufgaben oder Befugnisse ausüben und dafür Personal, Technik und Verfahren aufbauen. [17][19]
Telekommunikationsanbieter und digitale Dienste
stark betroffenSie können Adressaten von Auskunfts-, Umleitungs- und Mitwirkungsanordnungen werden; hinzu kommen Nutzerwarnungen. [23][1]
Domain-Registries, Registrare und DNS-Dienste
stark betroffenGeplante Eingriffe betreffen Internetnamen und ihre technische Auflösung. Die einzelnen Anbietergruppen haben unterschiedliche Pflichten. [19][23]
Betreiber kritischer Anlagen einschließlich Energieversorgung
stark betroffenAutomatische Übermittlungen könnten neue Schnittstellen und Sicherheitsvorkehrungen erfordern. Die technischen Details sind besonders umstritten. [22][26]
KMU und Start-ups
mittel betroffenEntscheidend sind Tätigkeit und konkrete Anordnung. Eine pauschale Ausnahme für alle kleinen digitalen Dienste ist nicht belegt. Die besondere Pflicht zum Angebot eines DNS-Schutzes hat eigene Größenschwellen. [23][1]
Bürgerinnen und Bürger als Nutzer
mittel betroffenSie könnten Warnungen und zusätzlichen Schutz erhalten. Eigene Geräte und personenbezogene Daten könnten aber auch bei Abwehrmaßnahmen betroffen sein. [19][20]
Ärztinnen, Ärzte, Psychotherapie und deren Patientinnen und Patienten
stark betroffenDie KBV warnt, dass Zugriffe auf kompromittierte Praxissysteme sensible Gesundheitsdaten erfassen können. Sie fordert ausdrücklichen Schutz von Berufsgeheimnissen. Das ist keine Feststellung, dass alle Gesundheitsdaten staatlich erfasst würden. [24]
Unbeteiligte Betreiber gemeinsam genutzter oder übernommener Systeme
stark betroffenAuch Opfer eines Angriffs können technische Ausgangspunkte weiterer Angriffe sein. Ein Eingriff kann deshalb Menschen treffen, die den Angriff nicht verantworten. [20][21]
Länder, Kommunen und kommunale Unternehmen
mittel betroffenBehördenzuständigkeiten müssen abgestimmt werden. Kommunale Unternehmen können als Betreiber oder Dienst unmittelbar betroffen sein. Eine allgemeine neue Pflicht für jede Gemeinde ergibt sich daraus nicht. [16][11]
Vorher / Nachher
Polizeiliche Cyberabwehr [8][17]
Das BKAG enthält bestehende Aufgaben und Eingriffsbefugnisse, etwa gegen internationalen Terrorismus. Der neue Abschnitt 8a ist im abgerufenen geltenden Text nicht enthalten.
Geplant: Zusätzliche BKA-Aufgabe und ausdrückliche Cyberabwehrinstrumente; keine voraussetzungslose Zuständigkeit.
Bundespolizei [9][1][17]
Der abgerufene geltende Text ist das bisherige BPolG. Die geplante Vorschrift § 41a setzt nach dem Entwurf eine parallele Neufassung voraus. Alte und geplante Paragraphennummern sind deshalb nicht direkt gleichzusetzen. Eine parallel beschlossene Neufassung des Bundespolizeigesetzes ist noch nicht verkündet; der Entwurf setzt sie voraus.
Geplant: Besondere technische Abwehrbefugnisse innerhalb der gesetzlichen Aufgaben.
BSI-Abwehr [7][1][19]
Bereits heute bestehen Abwehr- und Umleitungsbefugnisse. Für umgeleitete Daten nennt § 16 Abs. 5 eine Höchstfrist von drei Monaten.
Geplant: Ausweitung auf weitere Dienste und Domain-Infrastruktur; die Höchstfrist dieser umgeleiteten Daten steigt auf 24 Monate. Das gilt nur für die genannte Datenkategorie, nicht für alle BSI-Daten.
Angriffserkennung kritischer Anlagen [7][22]
Systeme zur Angriffserkennung und kontinuierliche interne Auswertung sind bereits vorgeschrieben. § 31 hat im geltenden Text zwei Absätze.
Geplant: Hinzu kommt die automatische externe Übermittlung bestimmter Indikatoren; keine neu eingeführte Erstpflicht zum Einsatz von Angriffserkennung überhaupt.
Energieanlagen [11][1]
§ 5c EnWG enthält bereits Sicherheitsanforderungen und sechs Absätze.
Geplant: Ergänzung um spezielle Übermittlungspflichten und eine unidirektionale, rückwirkungsfreie Übertragung: Daten sollen nur nach außen fließen, ohne Steuerungswirkung zurück ins System.
Nutzerwarnungen [10][1]
§ 19 TDDDG enthält im abgerufenen Text technische und organisatorische Schutzvorgaben in vier Absätzen. Andere bestehende Warnpflichten werden damit nicht ausgeschlossen.
Geplant: Ergänzende Absätze verpflichten Dienste zur Weitergabe bestimmter Warnungen und Informationen an bekannte Nutzer.
Auswirkungen
Direkte Folgen
- Wenn der Entwurf Gesetz wird, erhalten die Bundespolizeien ausdrückliche Instrumente zur Abwehr von Cybergefahren. Die rechtliche Erweiterung ist vorgesehen; ihr tatsächlicher Erfolg hängt vom Einzelfall und von der Ausstattung ab. [17]
Wahrscheinliche Folgen
- Betroffene Dienste und Betreiber müssten voraussichtlich Abläufe und technische Schnittstellen anpassen. Bitkom sieht erhebliche offene Praxisfragen. Erfüllungsaufwand der Wirtschaft laut Schätzung der Bundesregierung: ca. 10 Mio. € jährlich, ca. 4,4 Mio. € einmalig (Vorblatt E.2). Das ist eine ex-ante-Schätzung der Regierung, keine gemessenen Kosten und nicht die Gesamtkosten des Vorhabens; das Vorblatt nennt daneben weitere Aufwände für Verwaltung und Personal, die hier nicht beziffert sind. Die Höhe des Aufwands für ein einzelnes Unternehmen ist nicht belegt. Kosten sind nicht mit Schäden durch Cyberangriffe zu verwechseln. [1][23]
Umstrittene Folgen
Langfristige Folgen
- Der Aufbau entsprechender staatlicher Werkzeuge könnte die Sicherheitsarchitektur dauerhaft verändern. Herpig fordert dafür Regeln zu Beschaffung, Kontrolle und Schwachstellen. Ob ohne solche Regeln Sicherheit verloren geht, ist eine begründete Risikoeinschätzung, kein nachgewiesener künftiger Verlauf. [16]
Pro & Contra
Dafür
Der Staat braucht rechtssichere Mittel, um laufende Angriffe an ihrer technischen Quelle zu stoppen. Schutz allein auf Opferseite kann unzureichend sein. [27][19][20]
Position von: Bundesregierung; Wissenschaft – Haya Schulmann. · mittel belegt
Gegenargument: Die Quelle eines Datenstroms kann ein fremdes Opfersystem sein. Eingriffe können deshalb zusätzliche Schäden verursachen; ein allgemeiner Sicherheitsgewinn ist nicht gemessen.
Ausdrückliche Befugnisse passen besser zu digitalen Angriffen als allein klassische polizeiliche Mittel. Die GdP unterstützt insbesondere die internationale Cyberabwehraufgabe des BKA. [17][16]
Position von: Gewerkschaft – Gewerkschaft der Polizei, Interessenvertretung der Polizeibeschäftigten. · mittel belegt
Gegenargument: Neue Befugnisse lösen nach Herpig nicht die unklaren Zuständigkeiten und Koordinationsprobleme; auch die GdP verlangt bessere Kooperation und Ausstattung.
Die defensiven Erweiterungen des BSI können das frühzeitige Erkennen und Unterbinden von Angriffen verbessern. Heckmann bewertet wesentliche BSI-Regeln unter den Schutzvorkehrungen als tragfähig. [21][22][26]
Position von: Wissenschaft – Dirk Heckmann und Mitverfassende; fachliche Unterstützung defensiver Ansätze auch durch die Gesellschaft für Informatik. · mittel belegt
Gegenargument: Aus der Unterstützung einzelner BSI-Befugnisse folgt keine Zustimmung zur dauerhaften Datenanbindung kritischer Anlagen. Diese lehnt die GI gerade ab.
Dagegen
Der Richtervorbehalt ist zu eng. Mischsysteme lassen sich nicht zuverlässig in private und kommerzielle Nutzung aufteilen; auch Unternehmen benötigen wirksamen Schutz. [3][23][18]
Position von: Bundesrat; Wirtschaft – Bitkom; Wissenschaft – Dennis-Kenji Kipker. · stark belegt
Gegenargument: Die Bundesregierung verweist auf die besondere verfassungsrechtliche Schutzstellung privat genutzter Systeme. Sie hält die Differenzierung für gerechtfertigt. Eine gerichtliche Entscheidung über die Verfassungsmäßigkeit dieses Gesetzes ist damit nicht belegt.
Fehlzuordnung und Eingriffe in fremde Opfersysteme können unbeteiligte Menschen schädigen. Staatliche Angriffswerkzeuge können zudem Anreize schaffen, Sicherheitslücken offenzuhalten. [20][25][19][16]
Position von: Zivilgesellschaft – Chaos Computer Club; AG KRITIS, deren verlinkte frühe Position den Referentenentwurf betrifft. · mittel belegt
Gegenargument: Der Regierungsentwurf begrenzt die Eingriffe auf bestimmte Daten und Systeme. Befürworter verlangen Eingriffe als letztes Mittel und zusätzliche Sicherungen; sie befürworten keinen allgemeinen Vergeltungsangriff.
Die kontinuierliche Übermittlung aus kritischen Anlagen kann sensible Architekturinformationen konzentrieren und neue Angriffsflächen schaffen. Ihr Nutzen ist nicht hinreichend belegt. [22][26][23][3]
Position von: Wissenschaft/Fachgesellschaft – Gesellschaft für Informatik; Wirtschaft – Bitkom. · mittel belegt
Gegenargument: Die Bundesregierung erwartet einen Sicherheitsgewinn und verweist auf bereits vorhandene Angriffserkennung sowie wegfallende Nachweise. Sie bestreitet unnötige Doppelmeldungen. Die technische Umsetzung bleibt entscheidend.
Arztgeheimnisse und besonders sensible Patientendaten brauchen bei verdeckten Zugriffen ausdrückliche Sicherungen, auch wenn der Zweck Gefahrenabwehr ist. [24][21]
Position von: Selbstverwaltung/Betroffenenvertretung – Kassenärztliche Bundesvereinigung; mittelbar Patientinnen und Patienten. · stark belegt
Gegenargument: Der Entwurf sieht Datenbegrenzung und Schutzvorschriften vor; ob sie in Gesundheits- und sonstigen Opfersystemen ausreichen, ist gerade die offene Rechtsfrage. Die KBV lehnt das Sicherheitsziel nicht ab.
Zeitlicher Verlauf
Kabinettsbeschluss [6]
Die Bundesregierung beschließt den Gesetzentwurf.
Zuleitung an den Bundesrat [1]
Besonders eilbedürftige Zuleitung laut Übermittlungsschreiben.
Einbringung in den Bundestag [1]
Regierungsentwurf als BT-Drs. 21/6585.
Gegenantrag der Linken [14]
BT-Drs. 21/6653 fordert, Hackbacks und vergleichbare offensive Vorhaben nicht weiterzuverfolgen. Kein paralleler Gesetzentwurf.
Erste Beratung und Überweisung [4]
Überweisung des Entwurfs und des Gegenantrags; beim Gesetzentwurf ist der Innenausschuss federführend. Keine Schlussabstimmung.
Änderung der Ausschussüberweisung [28]
Zusätzlich mitberatend ist der Ausschuss für Recht und Verbraucherschutz; federführend bleibt der Innenausschuss.
Veröffentlichung der Gegenäußerung [3]
Unterrichtung auf BT-Drs. 21/7406; dies ist das Dokumentdatum, kein nachgewiesenes Datum des Kabinettsbeschlusses zur Gegenäußerung.
Öffentliche Anhörung [5]
Sachverständige beraten im Innenausschuss Nutzen, Grenzen und Risiken der neuen Instrumente.
Häufige Fragen
Gilt das schon für mich?
Nein. Die hier beschriebenen neuen Regeln sind ein Gesetzentwurf und noch nicht beschlossen. Bestehende Sicherheitsregeln gelten weiter. [5][7]
Darf der Staat dann einfach auf jeden Computer zugreifen?
Nein. Der Entwurf nennt Aufgaben, Gefahren und weitere Bedingungen. Für bestimmte Zugriffe auf privat genutzte Systeme sind die Anforderungen höher. Ob dieser Schutz ausreicht, ist umstritten. [18][3]
Kann auch mein gehackter Computer betroffen sein?
Ja, das wäre möglich. Angreifer können fremde Geräte für weitere Angriffe missbrauchen. Fachleute warnen deshalb vor Schäden bei unbeteiligten Menschen. [20]
Muss ich künftig einen Schutzfilter nutzen?
Geplant ist, dass bestimmte Anbieter einen Schutz vor gefährlichen Internetnamen anbieten. Daraus folgt keine allgemeine Pflicht für Nutzer, diesen Schutz einzuschalten. [19][1]
Wer prüft einen Eingriff?
Bei bestimmten Zugriffen auf private Systeme soll ein Gericht entscheiden. Der Entwurf enthält weitere Schutzregeln. Der Bundesrat fordert eine breitere gerichtliche Kontrolle; die Regierung lehnt das ab. [3]
Was bedeutet das für meine Gesundheitsdaten?
Die Ärztevertretung warnt, dass staatliche Zugriffe auf gehackte Praxissysteme auch Patientendaten betreffen können. Sie fordert dafür ausdrücklich stärkere Schutzregeln. [24]
Was droht Unternehmen bei Verstößen?
Der Entwurf sieht je nach verletzter Pflicht Geldbußen vor. Es gibt keinen einheitlichen Betrag für alle Verstöße. Neue Sanktionen dürften erst nach dem maßgeblichen Inkrafttreten angewandt werden. [1]
Ist das dasselbe wie NIS-2 oder der Cyber Resilience Act?
Nein. NIS-2 behandelt vor allem die Sicherheit bestimmter Einrichtungen. Der Cyber Resilience Act regelt digitale Produkte. Hier geht es zusätzlich um staatliche Abwehrinstrumente und die Mitwirkung bestimmter Dienste und Betreiber. [13][12][17]
Quellen
- [1]Entwurf eines Gesetzes zur Stärkung der Cybersicherheit — Bundesregierung / Deutscher Bundestag, BT-Drs. 21/6585; Vorblatt S. 1–3, Übersendung S. 5, Normtext S. 7–24, Begründung ab S. 25 ↩
- [2]Gesetz zur Stärkung der Cybersicherheit – Vorgang 335476 — Deutscher Bundestag, DIP, DIP-Vorgang 335476; Initiative Bundesregierung, Beratungsstand Überwiesen; Verfahrenspositionen zusätzlich über die DIP-API (vorgang/335476) am 2026-10-18 ausgelesen ↩
- [3]Stellungnahme des Bundesrates und Gegenäußerung der Bundesregierung — Bundesrat / Bundesregierung / Deutscher Bundestag, BT-Drs. 21/7406; Bundesratsstellungnahme vom 2026-07-10, S. 1–3; Gegenäußerung S. 4–5 ↩
- [4]Stenografischer Bericht, 86. Sitzung — Deutscher Bundestag, Plenarprotokoll 21/86, TOP 24a und 24b, S. 10417–10428; Überweisung S. 10428 ↩
- [5]Lob und Kritik zum Cyberabwehr-Gesetzentwurf – amtlicher Anhörungsbericht mit verknüpften Beratungsabschnitten — Deutscher Bundestag, Internetredaktion, Abschnitt Anhörung vom 2026-10-05; dieselbe Sammeldarstellung enthält 1. Lesung und 2./3. Lesung zum CRA; Abschnitt vom 2026-10-15 nennt 21/6134, 21/6512 und 21/8622 ↩
- [6]Regierungspressekonferenz vom 27. Mai 2026 — Bundesregierung / Bundespresseamt, Einleitende Ausführungen zu den Kabinettsbeschlüssen; Passage zum Entwurf eines Gesetzes zur Stärkung der Cybersicherheit ↩
- [7]BSI-Gesetz – konsolidierte Gesamtausgabe — Bundesministerium der Justiz und Bundesamt für Justiz, Gesetze im Internet, BGBl. 2025 I Nr. 301, S. 2; §§ 8, 11, 15–17, 31, 39, 65; Vollzitat zuletzt Art. 8 Abs. 1 G vom 2026-07-23, BGBl. 2026 I Nr. 226; Hinweis auf noch nicht abschließend dokumentarisch bearbeitete Änderung vom 2026-07-21 ↩
- [8]Bundeskriminalamtgesetz – konsolidierte Gesamtausgabe — Bundesministerium der Justiz und Bundesamt für Justiz, Gesetze im Internet, BGBl. 2017 I S. 1354; 2019 I S. 400; §§ 3–8, 49, 69, 74, 79, 82; Vollzitat Art. 6 G vom 2026-07-03, BGBl. 2026 I Nr. 199, textlich nachgewiesen, dokumentarisch noch nicht abschließend bearbeitet ↩
- [9]Bundespolizeigesetz – konsolidierte Gesamtausgabe — Bundesministerium der Justiz und Bundesamt für Justiz, Gesetze im Internet, BGBl. 1994 I S. 2978, 2979; Vollzitat zuletzt Art. 8 G vom 2026-02-10, BGBl. 2026 I Nr. 39; Aufgaben und Befugnisse der bisherigen Gesetzesstruktur ↩
- [10]§ 19 TDDDG – Technische und organisatorische Vorkehrungen — Bundesministerium der Justiz und Bundesamt für Justiz, Gesetze im Internet, § 19 Abs. 1–4 TDDDG; geltende Einzelnorm, kein eigenes Veröffentlichungsdatum auf der Einzelseite ↩
- [11]Energiewirtschaftsgesetz – konsolidierte Gesamtausgabe — Bundesministerium der Justiz und Bundesamt für Justiz, Gesetze im Internet, BGBl. 2005 I S. 1970, 3621; § 5c Abs. 1–6; Vollzitat zuletzt Art. 8 Abs. 6 G vom 2026-07-23, BGBl. 2026 I Nr. 226 ↩
- [12]Verordnung (EU) 2024/2847 – Cyberresilienz-Verordnung — Europäisches Parlament und Rat / EUR-Lex, ABl. L, 2024/2847 vom 2024-11-20; Art. 1, 2, 71 ↩
- [13]Richtlinie (EU) 2022/2555 – NIS-2-Richtlinie — Europäisches Parlament und Rat / EUR-Lex, ABl. L 333 vom 2022-12-27, S. 80–152; Art. 21 und 23 ↩
- [14]Gegen die Einführung von Hackbacks und offensiver Cyberabwehr — Fraktion Die Linke / Deutscher Bundestag, BT-Drs. 21/6653, Antrag, S. 1–4 ↩
- [15]Startseite des Deutschen Bundestages – Link zum Petitionsportal — Deutscher Bundestag, Bereich Petitionen mit Links zum amtlichen Petitionsportal ↩
- [16]Schriftliche Stellungnahme von Dr. Sven Herpig, interface — Sven Herpig / interface; veröffentlicht durch den Innenausschuss, Ausschuss-Drs. 21(4)221 A vom 2026-09-30; Stellungnahme vom 2026-09-28; Zusammenfassung S. 2, Abschnitte 2.1 ff. und Empfehlungen ↩
- [17]Stellungnahme der Gewerkschaft der Polizei – Alexander Poitz — Gewerkschaft der Polizei; veröffentlicht durch den Innenausschuss, Ausschuss-Drs. 21(4)221 B; Deckblatt Übermittlung 2026-10-01, Stellungnahme datiert 2026-10-05; S. 2–6 ↩
- [18]Schriftliche Stellungnahme von Prof. Dr. Dennis-Kenji Kipker — Dennis-Kenji Kipker / cyberintelligence.institute; veröffentlicht durch den Innenausschuss, Ausschuss-Drs. 21(4)221 C vom 2026-10-02; Zusammenfassung S. 1–2; Abschnitte gerichtliche Kontrolle, Drittbetroffenheit, Offenbarungsverbote, Auslandsbezug und BSI-Speicherbefugnisse ↩
- [19]Schriftliche Stellungnahme von Prof. Dr. Haya Schulmann — Haya Schulmann / Goethe-Universität Frankfurt; veröffentlicht durch den Innenausschuss, Ausschuss-Drs. 21(4)221 E vom 2026-10-02; Stellungnahme S. 1–14, insbesondere S. 1–5 und 7–14 ↩
- [20]Stellungnahme von Constanze Kurz und Dirk Engling — Chaos Computer Club; veröffentlicht durch den Innenausschuss, Ausschuss-Drs. 21(4)221 F vom 2026-10-05; Stellungnahme vom 2026-10-04, insbesondere S. 2–4 ↩
- [21]Gutachterliche Stellungnahme von Prof. Dr. Dirk Heckmann und Mitverfassenden — Dirk Heckmann, Nicolas Ziegler und Joanna Klauser / TUM-CDPS; veröffentlicht durch den Innenausschuss, Ausschuss-Drs. 21(4)221 G; im Dokument ausdrücklich BT-Drs. 21/6585 und 21/7406; Zusammenfassung S. 2–3 und Ausführungen zu eigengenutzten Opfersystemen ↩
- [22]Stellungnahme des Fachbereichs Sicherheit der Gesellschaft für Informatik — Gesellschaft für Informatik; veröffentlicht durch den Innenausschuss, Ausschuss-Drs. 21(4)222 vom 2026-09-30; Stellungnahme S. 1–8, insbesondere S. 2 und Abschnitt Übermittlung aus Angriffserkennung ↩
- [23]Gesetz zur Stärkung der Cybersicherheit – Stellungnahme zum Regierungsentwurf — Bitkom e. V., Veröffentlichung laut Downloadseite Juli 2026, kein sicherer Tag; S. 2–4 und Einzelabschnitte zu Domain-Infrastruktur und § 31 BSIG ↩
- [24]Stellungnahme zum Gesetzentwurf der Bundesregierung vom 27. Mai 2026 — Kassenärztliche Bundesvereinigung, Stellungnahme vom 2026-06-19, S. 3–4, Kommentierung Art. 1 und 3 ↩
- [25]Stellungnahme zum Entwurf eines Gesetzes zur Stärkung der Cybersicherheit — AG KRITIS, Beitrag vom 2026-03-12, einleitende Bewertung; betrifft die frühe Referentenfassung ↩
- [26]Gesetz zur Stärkung der Cybersicherheit: GI warnt vor neuen Angriffszielen bei kritischen Infrastrukturen — Gesellschaft für Informatik, Pressemitteilung vom 2026-10-05; Absätze zur Verfügbarkeitsübermittlung und zur gegenüber März verschärften Bewertung ↩
- [27]Rede des Bundesministers des Innern zur Stärkung der Cybersicherheit — Alexander Dobrindt / Bundesregierung, Bulletin 65-1 vom 2026-06-25; insbesondere Schlussabsätze zur Definition von Hackback und Abgrenzung von Vergeltung ↩
- [28]Stenografischer Bericht, 88. Sitzung — Deutscher Bundestag, Plenarprotokoll 21/88, S. 10744 D–10745 A, Beschluss S. 10750 A (Änderung der Ausschussüberweisung); DIP-Position 696294 ↩
Was kann ich tun?
Entwurf selbst lesen
Der amtliche Entwurf enthält die geplanten Regeln und ihre Begründung. Besonders relevant sind die neuen Polizeibefugnisse und die BSI-Vorschriften.
Beratung verfolgen
Im DIP und beim Innenausschuss nach neuen Ausschussunterlagen und weiteren Beratungen suchen. Die Anhörungsseite enthält gegensätzliche Sachverständigenpositionen.
Geltende Sicherheitsregeln nachlesen
Die konsolidierte Fassung des BSI-Gesetzes zeigt, was bereits gilt. So lassen sich Entwurfsregeln von heute schon bestehenden Pflichten unterscheiden.
Unterschiedliche Bewertungen vergleichen
Die amtlich veröffentlichten Stellungnahmen erklären Nutzen und Risiken aus Wissenschaft, Polizeipraxis und Zivilgesellschaft. Daraus kann eine eigene Position entstehen.
Parlamentarische Beteiligung nutzen
Der Bundestag verlinkt sein Petitionsportal. Eine Petition ist ein allgemeiner Beteiligungsweg; eine aktuell offene Konsultation zu genau diesem Entwurf ist nicht nachgewiesen.
Glossar
- Aktive Cyberabwehr
- Staatliche technische Maßnahmen, die einen digitalen Angriff verhindern, stoppen oder begrenzen sollen. Der Begriff kann unterschiedlich weit verstanden werden.
- Hackback
- Umstrittener Debattenbegriff für digitales Zurückschlagen. Die Regierung meint damit vor allem Vergeltung; Kritiker zählen auch Eingriffe in fremde Angriffssysteme dazu.
- Attribution
- Zuordnung eines Angriffs zu einer technischen Quelle oder verantwortlichen Person. Eine gefundene Internetadresse beweist nicht automatisch, wer das Gerät steuert.
- BSI
- Bundesamt für Sicherheit in der Informationstechnik. Es hat gesetzliche Aufgaben zum Schutz der IT-Sicherheit und ist eine andere Behörde als BKA und Bundespolizei.
- BKA
- Bundeskriminalamt. Eine Polizeibehörde des Bundes mit gesetzlich begrenzten Aufgaben.
- KRITIS
- Kritische Infrastrukturen: Einrichtungen, deren Ausfall die Versorgung oder Sicherheit stark treffen kann. Für konkrete Pflichten zählt die gesetzliche Einstufung als Betreiber kritischer Anlagen.
- Gefahrgegenständliche Daten
- Die im Entwurf beschriebenen Angriffs-, Steuerungs- und Spurdaten sowie Daten, die selbst Gegenstand eines Angriffs sind, etwa gestohlene Daten. Es sind nicht sämtliche Daten eines Servers.
- DNS
- Domain Name System: die Technik, die lesbare Internetnamen technischen Adressen zuordnet. Eingriffe können diese Zuordnung verändern.
- Richtervorbehalt
- Für eine bestimmte Maßnahme muss grundsätzlich vorher ein Gericht entscheiden. Der Entwurf enthält Eilausnahmen und unterscheidet nach Eingriff und System.
- Prepositioning
- Angreifer richten schon vor dem eigentlichen Schaden versteckte Zugänge oder Werkzeuge ein. Der Entwurf will die Suche danach erleichtern.
- Opfersystem
- Ein gehacktes Gerät oder Netz, das Angreifer missbrauchen. Seine Eigentümer müssen nicht die Täter sein.
- Sinkhole
- Eine kontrollierte Zieladresse, zu der schädlicher Datenverkehr umgeleitet wird, etwa um Verbindungen von Schadprogrammen zu erkennen.
- Resilienz
- Widerstandsfähigkeit: Systeme schützen, Ausfälle begrenzen und nach Störungen wieder funktionsfähig werden.
Korrekturen & Aktualisierungen
Bisher keine Korrekturen oder Aktualisierungen an diesem Dossier.
Fehler melden
Etwas falsch, veraltet oder unklar? Sag uns Bescheid — am besten mit Quelle oder Beleg, damit wir die Korrektur prüfen können. Belegte Korrekturen halten wir im Dossier sichtbar fest.
Hinweis per E-Mail senden