- Aktive Cyberabwehr muss Friedensgebot des Grundgesetzes beachten
- Gefahrenabwehr im Cyberraum ist grundsätzlich Laendersache
- Keine Bundesbehoerde hat umfassende Zuständigkeit für Cyberabwehr
Verfassungsrechtlicher Rahmen staatlicher Cyberabwehr
Der Wissenschaftliche Dienst des Deutschen Bundestages hat im Juli 2026 eine Analyse zum verfassungsrechtlichen Rahmen aktiver staatlicher Cyberabwehr vorgelegt. Anlass war der Gesetzentwurf der Bundesregierung zur Stärkung der Cybersicherheit (BT-Drs. 21/6585). Die Ausarbeitung beleuchtet zwei zentrale Fragenkomplexe: das grundgesetzliche Verbot friedensstorender Handlungen und die Kompetenzverteilung zwischen Bund und Laendern.
Artikel 26 GG als verfassungsrechtliche Schranke
Artikel 26 Absatz 1 Satz 1 GG verbietet Handlungen, die geeignet sind, das friedliche Zusammenleben der Voelker zu stoeren. Die Analyse stellt fest, dass grenzueberschreitende Cyberoperationen des Staates grundsätzlich gegen das voelkerrechtliche Gewaltverbot (Artikel 2 Nr. 4 UN-Charta) verstossen können – jedoch nur dann, wenn sie nach Ausmass und Wirkung mit konventioneller Gewaltanwendung vergleichbar sind und physische Zerstorungen erheblichen Umfangs verursachen. Reine Cyberoperationen ohne physische Folgen überschreiten diese Schwelle in der Regel nicht.
Eine voelkerrechtliche Rechtfertigung ist grundsätzlich über das Selbstverteidigungsrecht nach Artikel 51 UN-Charta möglich, setzt aber einen bewaffneten Angriff im konventionellen Sinne voraus. Diese Huerde wird selbst bei fortgeschrittenen Cyberangriffen nur in Ausnahmefaellen erreicht. Besonders problematisch ist laut Analyse die Frage der Attribution: Da Cyberangriffe häufig nicht zweifelsfrei einem Angreifer zugeordnet werden können, besteht das Risiko, dass Gegenmaßnahmen Unbeteiligte treffen und damit selbst voelkerrechtswidrig werden.
Kompetenzverteilung: Laender zuständig, Bund nur begrenzt
Die Gefahrenabwehr – und damit die Abwehr ziviler Cyberangriffe – ist nach der Systematik des Grundgesetzes grundsätzlich Sache der Laender. Der Bund darf nur tätig werden, soweit ihm bereichsspezifische Kompetenzen zukommen. Eine allgemeine Bundeszustaendigkeit kraft Natur der Sache wird von der überwiegenden Meinung abgelehnt.
Für das Bundeskriminalamt besteht eine Kompetenz nach Artikel 73 Absatz 1 Nr. 9a GG für die Abwehr von Gefahren des internationalen Terrorismus – auch im Cyberbereich denkbar. Für allgemeine Cyberangriffe unterhalb dieser Schwelle scheidet eine BKA-Zuständigkeit jedoch aus. Die Bundespolizei kann Cyberbedrohungen allenfalls in sachlichem Zusammenhang mit ihren spezifischen Schutzaufgaben – etwa Grenz-, Bahn- oder Luftsicherheit – abwehren; eine generelle Cyberabwehrzustaendigkeit laesst sich daraus nicht ableiten.
Bei den Nachrichtendiensten BND und BfV stellt die Analyse fest, dass deren Aufgaben bislang auf Informationsbeschaffung und -auswertung beschränkt sind. Ob ihnen darueber hinaus exekutive Befugnisse übertragen werden können, ist unter dem Stichwort des Trennungsgebots zwischen Nachrichtendiensten und Polizeibehoerden rechtlich ungeklaert. Für das BSI erscheint eine Kompetenz für aktive Gegenmaßnahmen angesichts der Residualkompetenz der Laender im Bereich der Gefahrenabwehr zu weitgehend.
Parlamentarische Kontrolle
Je nach zuständiger Behoerde ergeben sich unterschiedliche Anforderungen an die parlamentarische Kontrolle. Ein Streitkraefteeinsatz unterliegt dem Parlamentsvorbehalt und der Kontrolle durch Verteidigungsausschuss und Wehrbeauftragte. Maßnahmen der Nachrichtendienste unterliegen den besonderen Kontrollmechanismen des Parlamentarischen Kontrollgremiums. Bei anderen Bundesbehoerden bestehen keine vergleichbaren Besonderheiten.
➜ Vollständiges Dokument (PDF)
Weitere Beiträge
