- BKA und Bundespolizei erhalten neue Befugnisse zur aktiven Cyberabwehr
- Jährliche Mehrkosten für Bund: rund 35 Mio. Euro für Verwaltung
- 264 neue Stellen bei BKA, BSI und Bundespolizei geplant
Hintergrund
Cyberangriffe auf deutsche Behörden, Unternehmen und kritische Infrastrukturen haben nach Angaben der Bundesregierung in Qualität und Quantität zugenommen. Der Krieg in der Ukraine hat die strategische Bedeutung von Cybersicherheit für staatliche Handlungsfähigkeit verdeutlicht. Bislang fehlen dem Bundeskriminalamt (BKA) und der Bundespolizei klare gesetzliche Grundlagen für aktive Cyberabwehrmaßnahmen jenseits klassischer polizeilicher Mittel wie Serverpfändungen. Das BSI-Gesetz wurde zuletzt im Dezember 2025 grundlegend reformiert (BGBl. 2025 I Nr. 301); das vorliegende Gesetz baut darauf auf und ergänzt es um operative Eingriffsbefugnisse.
- 33,94 Mio. Euro/Jahr — Jährlicher Personalbedarf allein für das BKA durch die neuen Cyberabwehr-Aufgaben (264 neue Stellen: 49 höherer Dienst, 215 gehobener Dienst).
- 35 Mio. Euro/Jahr — Gesamter laufender Erfüllungsaufwand der Bundesverwaltung (BKA, BSI, Bundespolizei zusammen).
- 19,61 Mio. Euro einmalig — Einmaliger Investitionsbedarf des Bundes, davon 19,4 Mio. Euro allein für technische Ausstattung der Bundespolizei.
- 10 Mio. Euro/Jahr — Laufender Erfüllungsaufwand für die Wirtschaft durch neue Mitwirkungs- und Meldepflichten.
- 18 Monate — Neue maximale Speicherdauer für URL-Daten beim BSI; für Sinkhole-Daten wird die Frist von 3 auf 24 Monate verlängert.
Im Detail
Dieser sicherheitspolitischen Herausforderung kann nur begegnet werden, indem die Erkennung und Abwehr von Cyberangriffen ausgebaut wird und hierzu wirksame, angemessene und rechtsklare gesetzliche Grundlagen geschaffen werden.
— Begründung BT-Drs. 21/6585, Abschnitt A. Problem und Ziel
Cyberangriffe auf deutsche Behörden, Unternehmen und Krankenhäuser nehmen in Häufigkeit und Professionalität zu. Die Bundesregierung hat am 22. Juni 2026 mit dem Entwurf eines Gesetzes zur Stärkung der Cybersicherheit (BT-Drs. 21/6585) reagiert. Das Gesetz schafft erstmals klare gesetzliche Grundlagen für eine aktive Cyberabwehr durch das Bundeskriminalamt (BKA), die Bundespolizei und das Bundesamt für Sicherheit in der Informationstechnik (BSI). Der Gesamtaufwand für die Bundesverwaltung beläuft sich laut Drucksache auf rund 35 Millionen Euro jährlich sowie einen einmaligen Investitionsbedarf von rund 19,61 Millionen Euro.
Neue Befugnisse für BKA und Bundespolizei
Das Herzstück des Cybersicherheitsgesetzes sind neue Eingriffsbefugnisse für die Bundespolizei (§ 41a BPolG-E) und das BKA (§§ 68a–68f BKAG-E). Beide Behörden erhalten künftig das Recht, den Betrieb gefährlicher IT-Systeme zu untersagen, Datenverkehr umzuleiten oder zu blockieren sowie Schadprogramm-Daten in fremden IT-Systemen auszulesen, zu löschen oder zu verändern – auch ohne Wissen der Betroffenen und auch ohne Einwilligung, sofern ein Gericht dies anordnet.
Die Bundespolizei erhält diese Befugnisse für alle ihre gefahrenabwehrrechtlichen Aufgaben, also etwa den Schutz von Bahninfrastruktur, Grenzanlagen und Bundesorganen. Das BKA wird zusätzlich für international koordinierte Cyberabwehroperationen und Angriffe gegen Bundesbehörden zuständig. Für Eingriffe in private IT-Systeme gilt ein Richtervorbehalt: Solche Maßnahmen sind nur bei dringenden Gefahren für den Staatsbestand, kritische Einrichtungen oder Leib und Leben zulässig und müssen gerichtlich angeordnet werden. Bei Gefahr im Verzug kann die Behördenleitung vorläufig entscheiden; das Gericht muss binnen drei Tagen bestätigen.
Was gilt aktuell?
Bislang fehlen BKA und Bundespolizei spezifische gesetzliche Grundlagen für aktive Cyberabwehrmaßnahmen. Behörden konnten lediglich Server sicherstellen oder Anbieter auf freiwilliger Basis um Abschaltung bitten. Das BSI durfte zwar schädlichen Datenverkehr umleiten, hatte aber keine Befugnisse gegenüber Domain-Registraren oder digitalen Diensteanbietern. Kritische-Infrastruktur-Betreiber mussten Angrifferkennungssysteme einsetzen, diese aber nicht an das BSI anschließen.
Cybersicherheitsgesetz: Neue Pflichten für Unternehmen
Das Gesetz erweitert auch die Pflichten privater Unternehmen. Betreiber kritischer Anlagen – darunter Energieversorger, Krankenhäuser und Wasserwerke – müssen ihre Angrifferkennungssysteme binnen zwölf Monaten an das BSI anbinden und kontinuierlich Verfügbarkeitsdaten sowie Angriffsindikatoren übermitteln. Der damit verbundene laufende Aufwand für die Wirtschaft beträgt nach Schätzung des Normenkontrollrats rund 4,4 Millionen Euro jährlich allein für die rund 2.100 betroffenen kritischen Anlagen. Telekommunikationsanbieter und digitale Dienste wie Hosting-Provider werden verpflichtet, Nutzer unverzüglich über Sicherheitsvorfälle zu informieren und BSI-Warnungen weiterzuleiten. Verstöße können mit Bußgeldern bis zu 500.000 Euro geahndet werden.
BSI erhält erweiterte Anordnungsbefugnisse
Das BSI darf künftig auch gegenüber Top-Level-Domain-Registries (z. B. Verwaltern der .de-Domain) und Domain-Registraren anordnen, Nameserver-Einträge für maliziöse Domains zu ändern oder diese vollständig zu dekonnektieren. Zusätzlich veröffentlicht das BSI eine öffentlich einsehbare Liste gefährlicher Domains. DNS-Anbieter mit mehr als 50 Mitarbeitern oder einem Jahresumsatz über 10 Millionen Euro müssen ihren Kunden auf Basis dieser Liste einen optionalen Schutz vor sicherheitsriskanten Domains anbieten. Die maximale Speicherdauer für Sinkhole-Daten wird von drei auf 24 Monate verlängert, weil komplexe Angriffsmuster häufig erst nach über einem Jahr vollständig analysiert werden können.
Personalaufbau und Kosten
Für den Aufbau der neuen Cyberabwehrkapazitäten sind laut Drucksache insgesamt 375 neue Planstellen vorgesehen: 264 beim BKA (49 höherer Dienst, 215 gehobener Dienst), 21 beim BSI und 90 bei der Bundespolizei. Der jährliche Personalkostenbedarf allein für das BKA wächst bis 2031 auf rund 33,94 Millionen Euro an; dazu kommen jährlich 5 Millionen Euro für Hardware, Lizenzen und Wartung. Der Nationale Normenkontrollrat hat die Kostendarstellung als methodisch korrekt bestätigt, kritisiert aber das Fehlen einer Evaluierungsklausel im Gesetzentwurf – die Bundesregierung verzichtet auf eine formale Wirkungsprüfung.
Das Gesetz soll unmittelbar nach der Verkündung in Kraft treten. Es schränkt laut Artikel 6 das Fernmeldegeheimnis (Art. 10 GG) in den betroffenen Bereichen ein, was ausdrücklich im Gesetzestext zitiert wird. Die Stellungnahme des Bundesrates sowie die Auffassung der Bundesregierung dazu werden laut Begleitschreiben von Bundeskanzler Friedrich Merz unverzüglich nachgereicht.
Für weitere Hintergründe zur Sicherheitspolitik des Bundes lohnt sich auch der Blick auf den Bericht zu den Bundeswehr-Bauinvestitionen in Hamburg sowie auf die Debatte über den deutschen Marineeinsatz in der Straße von Hormus, die ebenfalls sicherheitspolitische Abwägungen beleuchten.
Weiterlesen:
- Verteidigungsministerium muss Kritik des Bundesrechnungshofs ernst nehmen
- Neonazi-Partei III. Weg: 257 PMK-Datensätze und 26 Stützpunkte
Unmittelbar betroffen sind Betreiber kritischer Infrastrukturen in den Sektoren Energie, Gesundheit, Wasser und Verkehr, die neue Meldepflichten gegenüber dem BSI erhalten. Telekommunikationsanbieter und Anbieter digitaler Dienste wie Hosting-Provider und Cloud-Dienste werden verpflichtet, bei Behördenmaßnahmen mitzuwirken und Nutzer über Sicherheitsvorfälle zu informieren. Mittelbar betroffen sind alle Bürgerinnen und Bürger als Nutzer digitaler Dienste und Infrastrukturen.
Der Gesetzentwurf wurde am 22. Juni 2026 dem Bundestag zugeleitet (BT-Drs. 21/6585). Er wurde dem Bundesrat bereits am 29. Mai 2026 als besonders eilbedürftig zugeleitet; die Stellungnahme des Bundesrates steht laut Begleitschreiben noch aus. Als nächste Schritte folgen die parlamentarische Beratung im Bundestag, die Ausschussüberweisung – federführend ist das Bundesministerium des Innern – sowie die abschließende Lesung und Abstimmung im Plenum. Das Gesetz soll laut Artikel 7 am Tag nach der Verkündung in Kraft treten.
- Prepositioning
- Das vorbereitende Einschleusen von Hintertüren und Angriffsstrukturen in IT-Systeme durch Angreifer, bevor ein aktiver Angriff stattfindet. Das BSI erhält Befugnisse, auch in dieser Vorbereitungsphase tätig zu werden (sog. Threat Hunting).
- Sinkholing
- Eine Technik, bei der der Datenverkehr von Schadsoftware-infizierten Systemen auf einen polizeilich kontrollierten Server umgeleitet wird, um Angriffe zu stoppen und Opfer zu identifizieren.
- Kritische Anlage
- Infrastrukturen, deren Ausfall oder Beeinträchtigung erhebliche Auswirkungen auf die öffentliche Sicherheit hätte, z. B. Kraftwerke, Wasserwerke oder Krankenhäuser. Ihre Betreiber unterliegen besonderen IT-Sicherheitspflichten.
Was darf das BKA nach dem neuen Gesetz konkret tun?
Das BKA erhält Befugnisse zur Untersagung des Betriebs von IT-Systemen, zur Umleitung und Unterbindung von Datenverkehr sowie zum Auslesen, Löschen und Verändern von Schadprogramm-Daten in IT-Systemen – auch ohne Wissen der Betroffenen, wenn dringende Cybergefahren vorliegen.
Wer trägt die Kosten des neuen Gesetzes?
Laut Drucksache entsteht beim Bund ein jährlicher Erfüllungsaufwand von rund 35 Millionen Euro sowie ein einmaliger Aufwand von rund 19,61 Millionen Euro. Die Wirtschaft wird mit rund 10 Millionen Euro jährlich belastet.
Was ändert sich für Betreiber kritischer Infrastrukturen?
Betreiber kritischer Anlagen werden verpflichtet, Systeme zur Angriffserkennung einzusetzen und diese innerhalb von zwölf Monaten an das BSI anzubinden, um Echtzeitdaten zur Bedrohungslage zu übermitteln.
Dieser Beitrag bezieht sich auf BT-Drs. 21/6585 und gibt den Inhalt der Drucksache zusammenfassend wieder. Die inhaltliche Verantwortung liegt beim jeweiligen Verfasser der Drucksache. Der Beitrag spiegelt nicht notwendigerweise die Meinung des Seitenbetreibers wider.
Weitere Beiträge
