Wirtschaft kritisiert unklare Regeln Kabinett will Nachrichtendiensten aktive Cyberabwehr erlauben

Anbieter zum Thema

cidaas by Widas ID GmbH

FTAPI Software GmbH

Angesichts wachsender Spionage- und Sabotagegefahr soll der BND fremde IT-Infrastrukturen aktiv manipulieren dürfen. Der VATM kritisiert unklare Mitwirkungspflichten für Telekommunikationsunternehmen.

Die deutschen Nachrichtendienste sollen deutlich erweiterte Befugnisse für die Aufklärung von Terrorismus, Extremismus und geheimdienstlichen Aktivitäten anderer Staaten erhalten. Dazu gehört erstmals die Möglichkeit in klar begrenzten Fällen aktiv einzugreifen, zum Beispiel, indem der Bundesnachrichtendienst (BND) die IT-Infrastruktur einer fremden Macht während einer laufenden Cyber- oder Desinformationsattacke auf Deutschland manipuliert. Ein ent­spre­chen­der Gesetzentwurf, den das Bundeskabinett am 12. August 2026 beschlossen hat, sieht neben neuen Befugnissen aber auch mehr Kontrolle und in einigen Bereichen neue Leitplanken für die Dienste vor.

Schutz vor Reputationsschäden und Sabotage

So bedroht Desinformation Unternehmen

Keine dauerhafte Beobachtung als extremistischer Verdachtsfall

Zu diesen zählt etwa die Beschränkung der Beobachtung einer Vereinigung als extremistischer Verdachtsfall auf maximal fünf Jahre. Hat sich der Verdacht in diesem Zeitraum nicht erhärtet, muss die Beobachtung demnach in der Regel beendet werden. Eine Verlängerung um jeweils zwei Jahre soll zwar möglich sein. Allerdings soll das Bundesamt für Verfassungsschutz (BfV) darüber nicht alleine entscheiden können, sondern das Bundesinnenministerium müsste in so einem Fall zustimmen.

Aktuell gibt es für die Verdachtsfall-Beobachtung, die mehr beinhalten kann als nur die Aus­wer­tung öffentlich verfügbarer Quellen, auf Bundesebene keine zeitliche Beschränkung. Die AfD wird vom Verfassungsschutz seit März 2022 als Verdachtsfall bearbeitet. Das Ober­ver­wal­tungs­ge­richt Münster bestätigte 2024 die Rechtmäßigkeit dieser Einstufung. Im Mai 2025 stufte das BfV die Partei auf Bundesebene auf „gesichert rechtsextremistisch“ hoch. Diese Einstufung wird derzeit gerichtlich überprüft. Ein Eilverfahren ging zugunsten der AfD aus. Das Haupt­sache­ver­fahren steht noch aus.

Russische Hackergruppe APT28

Verfassungsschutz warnt vor Angriffen auf TP-Link-Router

Umfassende Reform

Der Entwurf war Anfang Juli veröffentlicht worden. Er umfasst rund 700 Seiten und sieht zahlreiche Änderungen vor. Das Kanzleramt, das für den BND die Verantwortung trägt, hat ihn gemeinsam mit dem Innenministerium unter Abstimmung mit dem Justizressort erarbeitet. Bundesinnenminister Alexander Dobrindt (CSU) war es dem Vernehmen nach wichtig, dass die Regeln für den Verfassungsschutz zusammen mit der Reform des BND-Gesetzes auf den Weg gebracht werden.

Tatsächlich geht es in beiden Fällen teils um ähnliche Fragen, wie etwa den Abgleich biometrischer Daten mit Daten aus dem Internet und die Befugnis zur Online-Durchsuchung. Das ist eine verdeckte Maßnahme, bei der sich eine Sicherheitsbehörde heimlich Zugriff auf ein Smartphone oder ein anderes Gerät verschafft, um darin gespeicherte Daten zu durchsuchen. Was den BND angeht, dessen Aufgabenbereich eigentlich nur das Ausland umfasst, soll es künftig in begründeten Ausnahmefällen möglich sein, diese Durchsuchung auch im Inland fortzusetzen. Das wäre etwa denkbar, wenn sich ein bereits in anderen Staaten beobachteter ausländischer Agent vorübergehend auch in Deutschland aufhält.

Update: Beschluss des Bundeskabinetts

Eco-Verband kritisiert Entwurf zur Vorratsdatenspeicherung

Warum kommt die Reform jetzt?

Die Reform ist schon länger geplant. Die Zeit drängt wegen der nach Einschätzung der Sicher­heits­behörden deutlich gewachsenen Bedrohung durch Spionage und Sabotage, vor allem durch Russland, und einer steigenden Zahl politisch motivierter Straftaten. Was den BND angeht, hat das Bundesverfassungsgericht zudem eine Frist bis Ende dieses Jahres gesetzt. Bis dahin muss der für Dienst bei seinen Regeln für die Inland-Ausland-Fernmeldeaufklärung nachbessern.

Die sei zwar grundsätzlich erlaubt, entschied das Gericht, bedürfe aber einer verhältnismäßigen Ausgestaltung. Auch die Kontrolle solcher Maßnahmen müsse effektiver gestaltet werden. Es fehle eine hinreichende Regelung zur Aussonderung von Daten aus rein inländischer Te­le­kom­mu­ni­ka­ti­on, und der Schutz des Kernbereichs privater Lebensgestaltung für ausländische Personen im Ausland sei unzureichend.

Zentrale Kontrollinstanz soll künftig der neu aufgestellte Unabhängige Kontrollrat sein, der aus Juristinnen und Juristen mit langjähriger Erfahrung besteht. Er übernimmt sowohl die Vor­ab­kon­trol­le intensiver Überwachungsmaßnahmen als auch die laufende Datenschutzkontrolle.

Kleine Nachbesserungen

Die Notwendigkeit der Reform wird von den meisten Experten nicht grundsätzlich in Zweifel gezogen. Die Entdeckung einer mit Sprengstoff bestückten Drohne auf dem Flughafen Leipzig / Halle in der vergangenen Woche ist nur ein Beleg für die gewachsene Bedrohung, mit der es die deutschen Sicherheitsbehörden zu tun haben. Nach Angaben aus Regierungskreisen enthält der Entwurf, der nun das Kabinett erreichen soll, jedoch noch einige „technische Klar­stel­lungen“. Beispielsweise was den Schutz von Informationen betrifft, zu denen Berufs­geheimnis­träger, dazu zählen etwa Journalisten und Anwälte, durch ihre Tätigkeit Zugang haben.

Bitkom-Umfrage

87 Prozent der Unternehmen erwarten Krise durch hybride Angriffe

Kritik und Forderung nach präziseren Regeln

Der Verband der Anbieter im Digital- und Telekommunikationsmarkt (VATM) hat in einer Stellungnahme zwar betont, eine leistungsfähige Abwehr von Cyberangriffen, Spionage, Sabotage und hybriden Bedrohungen liege auch im unmittelbaren Interesse der Te­le­kom­mu­ni­ka­ti­ons­bran­che. Gleichzeitig kritisiert er, „unklar bleibt insbesondere, welche Unternehmen konkret verpflichtet werden, welche Datenarten von den vorgesehenen Auskunfts- und Mitwirkungspflichten erfasst sind, wie weit die rechtliche Verfügungsbefugnis eines Unternehmens reicht und wie mit Daten umzugehen ist, die lediglich im Auftrag Dritter verarbeitet werden“.

Auch der Eco-Verband der Internetwirtschaft kritisiert die Reform: „Nachrichtendienste brauchen angesichts der veränderten Sicherheitslage moderne technische Fähigkeiten. Aber die Grenze ist dort erreicht, wo der Staat für seine eigenen Zugriffe ein Interesse daran entwickelt, Sicherheitslücken offenzuhalten. Schwachstellen müssen geschlossen werden und dürfen nicht zum Werkzeug für nachrichtendienstliche Zugriffe werden“, sagt Klaus Landefeld, Vorstandsmitglied. Besonders kritisch bewertet der Verband die vorgesehene Rolle des BSI. Unternehmen müssten darauf vertrauen können, dass Informationen über Sicherheitslücken beim BSI in erster Linie dazu dienen, diese schnellstmöglich zu schließen und betroffene Systeme abzusichern. Eine grundsätzliche Pflicht zur Informationsweitergabe an den BND schaffe hier einen problematischen Zielkonflikt. „Das BSI darf nicht zum Zulieferer für nachrichtendienstlich nutzbare Schwachstellen werden. Wer eine Sicherheitslücke meldet, muss darauf vertrauen können, dass der Staat alles daransetzt, sie zu schließen und nicht prüft, wie sie sich zunächst noch für eigene Zugriffe nutzen lässt.“

Gerade das kurze Zeitfenster bei neu bekannt gewordenen Schwachstellen zeigt aus Sicht von Eco, wo die Priorität liegen muss. Wenn zwischen Bekanntwerden und Behebung teilweise nur wenige Stunden liegen, müssten staatliche Ressourcen auf Absicherung und schnelles Patchen konzentriert werden.

„Wenn nur wenige Stunden bleiben, muss die Antwort des Staates lauten: patchen, nicht zugreifen. Denn jede Schwachstelle, die für den BND nutzbar ist, kann grundsätzlich auch von Cyberkriminellen oder ausländischen Nachrichtendiensten entdeckt und ausgenutzt werden.“

Zudem warnt der Verband davor, dass der Auslandsnachrichtendienst in bestimmten Kon­s­tel­la­ti­onen künftig auch im Inland tätig werden kann. „Ein Auslandsnachrichtendienst darf nicht durch die Hintertür zum Inlandsakteur werden. Wenn der BND künftig auch in Deutschland in IT-Systeme eingreifen kann, braucht es dafür besonders hohe Hürden und eine wirksame unabhängige Kontrolle. Das betrifft die Internetwirtschaft ganz unmittelbar.“ Deshalb fordert Eco den Bundestag auf, die Reform insbesondere beim Umgang mit Schwachstellen, bei der Rolle des BSI, bei BND-Maßnahmen im Inland sowie bei der unabhängigen Vorabkontrolle und Begrenzung der neuen Befugnisse nachzuschärfen.

Update: Gesetzgebungsverfahren geht weiter

Die Debatte um die Chatkontrolle ist zurück

(ID:50928522)