Bundestag beschließt Gesetz für aktive Cyber-Gegenwehr deutscher Sicherheitsbehörden

Bundestag billigt aktive Cyber-Verteidigung

Der Bundestag hat ein Gesetz verabschiedet, das deutschen Sicherheitsbehörden erstmals erlaubt, aktiv auf Angriffe aus dem Internet zu reagieren. CDU/CSU und SPD stimmten dafür, AfD, Die Linke und die Grünen dagegen. Der Entwurf gibt dem Bundesamt für Sicherheit in der Informationstechnik (BSI), der Bundespolizei und dem Bundeskriminalamt (BKA) zusätzliche Instrumente zur Abwehr von Cyberangriffen. BKA und Bundespolizei dürfen den Betrieb von IT-Systemen einschränken, Datenverkehr umleiten und Server im Ausland abschalten, von denen Angriffe ausgehen. Als letztes Mittel dürfen sie auf die Systeme der Angreifer zugreifen, um Daten zu lesen, zu löschen oder zu verändern – auch mit technischen Mitteln und ohne Wissen der Betroffenen. Der Entwurf verbietet zudem den Betrieb von IT-Systemen, die Datenverkehr umleiten und Daten lesen, löschen oder verändern können.

Die Maßnahmen sind keine klassischen Hackbacks, also keine Vergeltung um ihrer selbst willen. Ziel sind ausschließlich die Server, von denen die Angriffe ausgehen.

Begründung der Regierung und Kosten für die Wirtschaft

Die Regierung argumentiert, Deutschland stehe als führende Wirtschaftsnation Europas zunehmend im Fokus von Cyberangriffen, die große Auswirkungen haben könnten. Der Branchenverband Bitkom bezifferte den Schaden für die deutsche Wirtschaft durch Cyberangriffe innerhalb eines Jahres zuletzt auf 160,4 bis 205,8 Milliarden Euro (eine von ihm genannte Spanne, keine Einzelzahl). In der Schlussdebatte sagte Bundesinnenminister Alexander Dobrindt (CSU):

„Wir rüsten im Cyberraum auf.“

Unteres Ende der Bitkom-Schätzung160,4

Oberes Ende der Bitkom-Schätzung205,8

Unteres Ende der Bitkom-Schätzung

160.4 Mrd. Euro

Oberes Ende der Bitkom-Schätzung

205.8 Mrd. Euro

Daten aus dem Artikeltext

Dobrindt verknüpfte die Befugnisse mit einer breiteren Bedrohungslage und nannte Angriffe auf Infrastruktur, Lebensmittelversorgung und Blutbanken. Im Plenum sagte er:

„Wir schlagen zurück, wir zerstören seine digitale Infrastruktur, und wir nehmen ihn digital aus dem Spiel.“

Änderungen im parlamentarischen Verfahren

Das Parlament ergänzte den Regierungsentwurf um weitere Punkte. Das BKA darf die neuen Instrumente nun auch gegen Gefahren in der realen Welt einsetzen, etwa indem es die Verbindung zu Steuereinheiten von Drohnen oder internetgesteuerten Sprengsätzen kappt. Die Anforderungen an die Verhältnismäßigkeit und der Schutz privater IT-Systeme wurden verschärft. Bestehen Zweifel, ob ein System privat oder gewerblich genutzt wird, gilt es als privat und genießt höhere Schutzstandards.

Kritik der Opposition

Kritiker aus der Opposition bemängelten, die Zuständigkeiten der Behörden seien bei einem Gegenschlag unklar und die neuen Befugnisse gingen zu weit bei zu geringer Kontrolle. Der AfD-Abgeordnete Steffen Janich plädierte für eine ausschließliche Zuständigkeit des BSI und sagte, Unternehmen könnten nicht verlangt werden, ihre IT-Systeme auf Anordnung einer Sicherheitsbehörde lange abzuschalten, da auch die Interessen der Kunden zählten. Der SPD-Abgeordnete Daniel Baldy entgegnete, der Entwurf sehe keine langfristige Abschaltung vor und der Grundsatz der Verhältnismäßigkeit gelte. Cybersicherheit betreffe alle, da Hacker inzwischen sogar Kühlschränke in Supermärkten angriffen. Der Grünen-Geheimdienstexperte Konstantin von Notz nannte den Plan der Koalition kontraproduktiv, sprach von "Doppelstrukturen" und sagte, der Entwurf komme zu spät und sei unausgereift. Dobrindt wies die Kritik zurück und sagte, Ziel sei es, Angreifer zu entwaffnen; wer keine Entwaffnung wolle, provoziere den nächsten Angriff.

Wie es weitergeht

Bevor das Gesetz in Kraft treten kann, fehlt noch die Zustimmung des Bundesrates. Unabhängig davon regelt ein Entwurf Dobrindts die Nachrichtendienste: BND und Verfassungsschutz sollen mehr Befugnisse erhalten, darunter auch zum Durchsuchen und zum Zurückschlagen.