Aktive Cyberabwehr: Bundestag erlaubt Löschen auf Hacker-Servern

Die aktive Cyberabwehr ist beschlossen: Der Bundestag hat am 12. November 2026 das Gesetz zur Stärkung der Cybersicherheit verabschiedet und erlaubt BKA und Bundespolizei erstmals Eingriffe in die Server von Angreifern. Als letztes Mittel dürfen die Behörden dort Daten auslesen, löschen oder verändern, auch ohne Wissen der Betroffenen. Online-Marktplätze und andere Anbieter digitaler Dienste müssen künftig Warnungen des BSI an ihre Kunden weitergeben. CDU/CSU und SPD stimmten dafür, AfD, Grüne und Linke dagegen. Der Bundesrat muss noch zustimmen.

Aktive Cyberabwehr: BKA darf Angreifer-Server vom Netz nehmen

Kern des Gesetzes sind neue Befugnisse für das Bundeskriminalamt (BKA) und die Bundespolizei. Laut Parlamentsnachrichtendienst des Bundestags dürfen beide Behörden die Abschaltung von IT-Systemen anordnen und Datenverkehr umleiten, beschränken oder blockieren. Außerdem dürfen sie „gefahrgegenständliche Daten“ in fremden IT-Systemen auslesen, löschen oder verändern.

Wie Reuters berichtet , dürfen die Behörden auch Server im Ausland vom Netz nehmen. Der Zugriff auf Systeme der Angreifer ist als letztes Mittel vorgesehen. Die Bundespolizei darf die Befugnisse nur zur Gefahrenabwehr nutzen, nicht zur Strafverfolgung. Bundesinnenminister Alexander Dobrindt (CSU) bestreitet, dass es sich um einen klassischen Hackback (digitaler Gegenangriff) handelt. Ziel seien nur die Server, von denen Angriffe ausgehen.

Im parlamentarischen Verfahren hat die Koalition nachgeschärft. Das BKA darf die Werkzeuge nun auch gegen Gefahren außerhalb des Netzes einsetzen, etwa um die Verbindung zu Steuergeräten von Drohnen zu kappen. Die Regeln zur Verhältnismäßigkeit und zum Schutz privater IT-Systeme wurden verschärft. Ist unklar, ob ein System privat oder gewerblich genutzt wird, gilt der höhere Schutz für private Systeme.

Umleiten, sperren, nachfragen: Das BSI bekommt neue Hebel

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) darf schädlichen Datenverkehr umleiten und schneller gegen bösartige Domains vorgehen, über die Schadsoftware verbreitet wird. Seine Incident-Response-Teams (Einsatzteams nach Cyberangriffen) erhalten eine Rechtsgrundlage, um Systeme wiederherzustellen. Das gilt auch, wenn Angreifer vorab Hintertüren platziert haben („Prepositioning“).

Für die neuen Aufgaben sah der Kabinettsentwurf laut 37 zusätzliche Stellen vor. Unternehmen können DNS-Sperrlisten (Listen gesperrter Internetadressen) freiwillig nutzen. Das Gesetz gibt ihnen dafür Rechtssicherheit, schreibt der Digitalverband Bitkom . Endnutzer erhalten einen optionalen Schutz vor bösartigen Domains, eine Pflicht ist das nicht.

Marktplätze werden zum Warnkanal des BSI

Telekommunikationsanbieter müssen Warnungen des BSI vor konkreten Gefahren bereits heute an ihre Kunden weitergeben. Das Gesetz weitet diese Pflicht auf Anbieter digitaler Dienste aus. Darunter fallen im BSI-Gesetz unter anderem Online-Marktplätze und Online-Suchmaschinen . Zusätzlich kann das BSI von diesen Anbietern technische Auskünfte verlangen, um Angriffe früher zu erkennen.

Händler auf Plattformen wie Amazon, eBay oder Otto können BSI-Warnungen damit künftig über ihren Marktplatz erhalten. Wer selbst einen Marktplatz betreibt, braucht Abläufe für die Weitergabe von Warnungen und für Auskunftsersuchen des BSI. Wie hoch Sanktionen bei Verstößen ausfallen, ist Sache des weiteren Verfahrens. Der Bundesrat hat bereits gefordert, Sanktionen bei Verstößen gegen Mitwirkungs- und Informationspflichten verhältnismäßig auszugestalten, berichtet dpa . Die Bundesregierung hält die Belastungen für angemessen.

Dein Server als Zwischenstation: Das Risiko für Unbeteiligte

Angreifer nutzen häufig gekaperte Server unbeteiligter Unternehmen als Zwischenstation. Bitkom weist darauf hin, dass sich Angriffe oft schwer zuordnen lassen und Angreifer falsche Spuren legen. Der Verband warnt deshalb, staatliche Gegenmaßnahmen könnten Unbeteiligte treffen. Bei der Anhörung im Innenausschuss bemängelte der Jurist Dennis-Kenji Kipker einen unzureichenden Schutz unbeteiligter Dritter. Constanze Kurz vom Chaos Computer Club warnte vor Kollateralschäden.

Wer haftet, wenn ein behördlicher Eingriff fremde Systeme beschädigt, blieb im Entwurf offen. Betreibst du eigene Server, prüfe, ob deine Systeme unbemerkt für fremde Angriffe missbraucht werden: Updates einspielen, ungewöhnliche ausgehende Verbindungen kontrollieren, offene Dienste schließen. Liegt dein Shop bei einem Hoster, kläre, wie er mit Anordnungen von Behörden umgeht und wie er dich informiert.

Bundesrat am Zug: Kritik von AfD bis Chaos Computer Club

Steffen Janich (AfD) kritisierte in der Debatte zersplitterte Zuständigkeiten zwischen Bundespolizei, BKA und BSI. Unternehmen könne man nicht zumuten, IT-Systeme auf Anordnung längere Zeit abzuschalten. Konstantin von Notz (Grüne) sprach von unnötigen Doppelstrukturen. Jan Krampe (Linke) kritisierte den Umgang mit Sicherheitslücken in Software, die auch Kriminellen und fremden Geheimdiensten nützten. Die Linke hatte zudem einen Antrag gegen Hackbacks eingebracht.

SPD-Berichterstatter Daniel Baldy entgegnete, eine langfristige Abschaltung sei nicht vorgesehen und es gelte der Grundsatz der Verhältnismäßigkeit. Mit einem begleitenden Entschließungsantrag fordert der Bundestag die Regierung laut SPD-Fraktion auf, das Nationale Cyberabwehrzentrum zur zentralen Plattform der Cyberabwehr auszubauen. Bitkom schätzt den Schaden durch Cyberangriffe für die deutsche Wirtschaft auf 160,4 bis 205,8 Milliarden Euro innerhalb eines Jahres.

Als Nächstes stimmt der Bundesrat ab, ein Termin steht noch nicht fest. Trifft ein staatlicher Gegenschlag einen gekaperten Server, steht am anderen Ende kein Hacker, sondern ein Unternehmen, das selbst Opfer ist.