Bundestag beschließt Cybersicherheitsgesetz: BKA und Bundespolizei dürfen Angreifer-Server abschalten

Der Bundestag hat am 12. November 2026 das Gesetz zur Stärkung der Cybersicherheit beschlossen. Mit den Stimmen von Union und SPD erhalten das Bundesamt für Sicherheit in der Informationstechnik (BSI), das Bundeskriminalamt (BKA) und die Bundespolizei neue Befugnisse, um Cyberangriffe nicht nur abzuwehren, sondern aktiv zu stoppen. AfD, Grüne und Linke stimmten gegen den Gesetzentwurf der Bundesregierung. Bevor die neuen Regeln gelten, muss noch der Bundesrat zustimmen.

Das Gesetz markiert einen deutlichen Kurswechsel in der deutschen Sicherheitspolitik. Bislang durften die Behörden Angriffe im Netz vor allem beobachten, blockieren und im Nachhinein verfolgen. Künftig sollen sie bei einem laufenden Angriff auch in fremde IT-Systeme eingreifen, Datenverkehr umleiten und Daten löschen oder verändern dürfen. Innenminister Alexander Dobrindt (CSU) nannte die aktive Cyberabwehr in der Debatte einen zentralen Baustein der Sicherheitsarchitektur. Wer kritische Infrastruktur, die Lebensmittelversorgung oder Blutbanken angreife, müsse wissen, dass Deutschland zurückschlage, sagte Dobrindt laut Berichten aus der Debatte.

Was BKA und Bundespolizei künftig dürfen

Der Kern des Gesetzes steckt in neuen Vorschriften im BKA-Gesetz und im Bundespolizeigesetz. BKA und Bundespolizei erhalten drei Werkzeuge, die sie bisher so nicht hatten. Erstens dürfen sie den Betrieb eines IT-Systems untersagen, von dem eine Gefahr ausgeht. Zweitens dürfen sie Datenverkehr umleiten, aufzeichnen, einschränken oder unterbinden. Drittens dürfen sie Daten, die eine Gefahr darstellen, auslesen, löschen oder verändern, notfalls durch einen technischen Eingriff in das betroffene System.

Die Befugnisse gelten nur zur Gefahrenabwehr, also um einen laufenden oder unmittelbar drohenden Angriff zu stoppen. Für die Strafverfolgung, etwa die Suche nach Beweisen für ein späteres Verfahren, bleibt es bei den bisherigen Regeln der Strafprozessordnung. Das BKA darf die neuen Werkzeuge auch bei Gefahren in der realen Welt einsetzen, zum Beispiel um die Verbindung zu Steuerungsgeräten von Drohnen zu unterbrechen. Die Bundespolizei erhält die Befugnisse für ihre gefahrenabwehrrechtlichen Aufgaben.

Ein Eingriff in private Rechner soll nach den Berichten über das Gesetz nur mit richterlicher Anordnung möglich sein. Ziel der Maßnahmen sollen ausschließlich Server und Systeme sein, von denen Angriffe ausgehen. Kritiker sprechen trotzdem von einem Hackback-Gesetz, weil der Staat erstmals ausdrücklich erlaubt, in fremde Systeme einzugreifen, um einen Angriff zu beenden.

Mehr Aufgaben für das BSI

Auch das BSI bekommt neue Aufgaben. Die Behörde soll die Informationstechnik der Bundesverwaltung besser schützen und ihre Erkenntnislage zu drohenden Angriffen verbessern. Dazu kommen Befugnisse gegenüber Domain-Registries und ein DNS-Schutz für Endnutzer, der helfen soll, Nutzer vor manipulierten Internetadressen zu schützen. Das BSI darf außerdem eingreifen, wenn sich Angreifer erst für später in einem Netz einnisten, also schon bevor ein Schaden entsteht.

Berichten zufolge rechnet die Regierung mit 264 zusätzlichen Stellen beim BKA, 90 bei der Bundespolizei und 21 beim BSI, um die neuen Aufgaben zu erfüllen. Die Befugnisse sollen bis zum 1. Januar 2029 evaluiert werden. Der Innenausschuss des Bundestages hatte den Regierungsentwurf, den das Kabinett bereits am 27. Mai 2026 beschlossen hatte, an mehreren Stellen nachgeschärft, bevor er zur Abstimmung kam.

Begleitende Entschließung und offene Fragen

Zusammen mit dem Gesetz verabschiedete der Bundestag einen begleitenden Entschließungsantrag. Darin fordert das Parlament die Bundesregierung auf, die Cybersicherheitsstrategie des Bundes weiterzuentwickeln und das Nationale Cyberabwehrzentrum zu einer zentralen Plattform für alle beteiligten Behörden auszubauen. Die Strategie soll damit an die neue Lage angepasst werden, in der Angriffe aus dem Ausland und organisierte Kriminalität immer enger zusammenwirken.

Offen ist noch, wann das Gesetz in Kraft tritt. Es ist als Zustimmungsgesetz angelegt, der Bundesrat muss also zustimmen. Auf der Tagesordnung der Länderkammer vom 20. November steht es nach Berichten noch nicht, die nächste reguläre Sitzung ist am 18. Dezember. Der Bundesrat hatte bereits zuvor Änderungen gefordert, vor allem wegen der Belastungen, die das Gesetz für Unternehmen mit sich bringen könnte. Erst nach dem abgeschlossenen Verfahren und der Verkündung steht fest, welche Regelungen wann gelten.

Die Abstimmung selbst war umstritten. Die Opposition stimmte geschlossen dagegen, und auch in der Debatte gab es Kritik an der Reichweite der neuen Befugnisse. Befürworter verweisen dagegen auf die jüngsten Vorfälle: Bei der BKA-Herbsttagung in Berlin hatte BKA-Präsident Holger Münch erst am Vortag gewarnt, dass Kriminelle KI-Agenten nutzen, um Schwachstellen zu finden und Opfer gezielt anzugreifen, und dass Deutschland bei der Abwehr schneller werden müsse. Auch die Kühlanlagen-Angriffe in Frankreich, die Paris einer Einheit der iranischen Revolutionsgarden zuschreibt, und die Debatte über hybride Angriffe hatten die Diskussion in den vergangenen Tagen geprägt.

Was das Gesetz für Bürger und Unternehmen bedeutet

Für die meisten Bürger ändert sich im Alltag zunächst wenig. Das Gesetz richtet sich an Behörden und an die Abwehr von Angriffen auf staatliche und kritische Systeme, nicht an private Nutzer. Wer allerdings einen Server oder ein IT-System betreibt, von dem ein Angriff ausgeht, kann künftig damit rechnen, dass die Behörden den Betrieb untersagen oder Datenverkehr umleiten. Unternehmen, die kritische Infrastruktur betreiben, sollten die weiteren Schritte im Bundesrat und die Verkündung des Gesetzes im Blick behalten, weil dort die genauen Pflichten und Fristen stehen werden.

Das BSI soll mit seinen neuen Befugnissen auch Endnutzer besser schützen, etwa durch den geplanten DNS-Schutz. Wie genau dieser Schutz aussieht und wann er startet, ist noch nicht festgelegt. Klar ist dagegen schon jetzt: Deutschland stellt seine Cyberabwehr neu auf, weg von der reinen Beobachtung hin zu Eingriffen, die einen Angriff mitten im Geschehen stoppen sollen. Ob das in der Praxis funktioniert und wie oft die neuen Befugnisse genutzt werden, wird die Evaluation bis 2029 zeigen müssen.

Frequently Asked Questions

Was hat der Bundestag am 12. November 2026 beschlossen?

Der Bundestag hat mit den Stimmen von Union und SPD das Gesetz zur Stärkung der Cybersicherheit beschlossen. Es gibt BSI, BKA und Bundespolizei neue Befugnisse zur Abwehr von Cyberangriffen, darunter das Untersagen von IT-Systemen, das Umleiten von Datenverkehr und das Auslesen, Löschen oder Verändern von Daten, die eine Gefahr darstellen. AfD, Grüne und Linke stimmten dagegen.

Wann tritt das Cybersicherheitsgesetz in Kraft?

Das steht noch nicht fest. Der Bundesrat muss dem Gesetz noch zustimmen, weil es als Zustimmungsgesetz angelegt ist. Auf der Tagesordnung vom 20. November steht es Berichten zufolge noch nicht, die nächste reguläre Sitzung ist am 18. Dezember. Erst nach dem abgeschlossenen Verfahren und der Verkündung gelten die neuen Regeln.

Was bedeutet das Gesetz für normale Internetnutzer?

Im Alltag ändert sich für die meisten Menschen zunächst wenig. Das Gesetz richtet sich an Behörden und die Abwehr von Angriffen auf staatliche und kritische Systeme. Das BSI soll mit einem DNS-Schutz zusätzlich Endnutzer besser vor manipulierten Internetadressen schützen, Details dazu stehen aber noch aus.