Regierungsentwurf zur Stärkung der Cybersicherheit beraten

Das Parlament hat am Donnerstag, 25. Juni 2026, den von der Bundesregierung eingebrachten Gesetzentwurf „zur Stärkung der Cybersicherheit“ (21/6585(Dokument, öffnet ein neues Fenster)) in erster Lesung beraten. Im Anschluss an die Debatte wurde der Entwurf gemeinsam mit einem Antrag der Fraktion Die Linke „gegen die Einführung von Hackbacks“ (21/6653(Dokument, öffnet ein neues Fenster)) in die Ausschüsse überwiesen. Federführend bei den weiteren Beratungen wird der Innenausschuss sein. 

Minister: Wir legen den Schalter um

Von einem „Meilenstein der Sicherheitsarchitektur in Deutschland“ sprach Bundesinnenminister Alexander Dobrindt (CSU) zu Beginn der Debatte. „Mit diesem Gesetzesentwurf legen wir den Schalter um: Von der Aufklärung, hin zur Abwehr“, sagte Dobrindt. 

Indem die Grundlagen für eine aktive Cyberabwehr gelegt würden, mache man unmissverständlich klar: Deutschland handle entschlossen, wenn es um die Verteidigung im Cyberraum geht. „Wer uns zukünftig im Cyberraum angreift, der muss wissen: Wir schlagen zurück und sind in der Lage, die Angreifer in ihrer Infrastruktur zu stören und zu zerstören“, sagte der Innenminister. 

AfD sieht weiteren Handlungsbedarf

Steffen Janich (AfD) teilt die Problemanalyse im Gesetzentwurf, die „erfrischend ehrlich und schonungslos“ sei. Deutschland stehe in der Tat im Fokus hochprofessioneller Cyberangriffe. Auch sei es richtig, dass Deutschlands wirtschaftlicher Erfolg und seine nationale Sicherheit mit Cybersicherheit untrennbar verbunden sind.

Gleichwohl gebe es noch Handlungsbedarf, so Janich. Wenn etwa die Bundespolizei dem Betreiber eines IT-Systems dessen Nutzung untersagt, müsse dies befristet sein. Unternehmen sei nicht geholfen, wenn die Insolvenz wegen eines Cyberangriffes verhindert wird, sie dann aber aufgrund einer Nutzungsuntersagung eintritt. Hier müsse nachjustiert werden, forderte der AfD-Abgeordnete, der dem Innenminister vorwarf, beim Thema Hackbacks vollständig eingeknickt zu sein. Man müsse bei Cyberangriffen von „Schurkenstaaten“ mit Vergeltungsschlägen gegen deren IT-Struktur reagieren dürfen, sagte Janich. 

SPD: Schaden so gering wie möglich halten

Deutschland müsse bei der Abwehr von Angriffen im Cyberraum gut aufgestellt sein, betonte Daniel Baldy (SPD). Die Sicherheitsbehörden dürften nicht nur am Rand stehen, Cyberangriffe beobachten „und danach erklären, was alles hätte besser laufen können“. Sie müssten nicht nur aufklären, sondern auch abwehren können. Baldy verwies auf die Heterogenität der Angreifer, die mal privat, mal halb-staatlich und mal staatlich seien. „Deshalb stärken wir mit diesem Gesetz nicht nur eine Sicherheitsbehörde, sondern wir geben BSI, BKA und Bundespolizei die richtigen Werkzeuge an die Hand, damit sie zukünftig angemessen auf Cyberangriffe reagieren können“, sagte der SPD-Abgeordnete. 

Ziel müsse es nicht nur sein, laufende Angriffe zu stoppen, sondern den entstandenen Schaden so gering wie möglich zu halten. Deshalb sei es richtig, dass BKA und Bundespolizei in Zukunft auch die Möglichkeit haben, durch Cyberangriffe abgeflossene Daten zu löschen oder zu verändern. Es gehe nicht um Harakiri und nicht um Hackbacks. „Es geht darum, nicht tatenlos zuzusehen, wie die Verbrecher mit der Beute davonlaufen“, sagte Baldy.

Grüne: Wer hat im Ernstfall das Sagen?

Das Innenministerium lasse mit dem Gesetzentwurf ganz zentrale Fragen unbeantwortet, befand Marcel Emmerich (Bündnis 90/Die Grünen). Deutschland brauche dringend mehr Cybersicherheit, machte er deutlich. „Wir müssen unsere Freiheit und Demokratie schützen, wir müssen wehrhaft sein.“ Bei Gesetzen an der Schnittstelle von Innen- und Digitalpolitik zeigt sich laut Emmerich aber immer wieder dasselbe Problem. „Das Innenministerium fremdelt einfach allein schon mit der digitalen Bedrohungslage.“ 

Künftig solle der Staat nicht nur verteidigen, sondern selbst aktiv in fremde IT-Systeme eindringen, Daten verändern und löschen oder den Datenverkehr umleiten können. „Das ist eine neue Qualität und die steht mit diesem Entwurf nicht auf rechtssicheren Füßen“ sagte der Grünenabgeordnete. Der Entwurf gebe zudem mehreren Behörden weitreichende Eingriffsbefugnisse, beantworte aber nicht die Frage, wer im Ernstfall das Sagen hat und wer die Verantwortung trägt, wenn aufgrund einer fehlerhaften Zuschreibung nicht der Angreifer, sondern der Server einer eigenen KRITIS-Anlage getroffen wird.

Linke: Illegal und unsicher

Aus Sicht von Donata Vogtschmidt (Die Linke) versucht Bundesinnenminister Dobrindt den Begriff der aktiven Cyberabwehr so zu framen, „dass man den Begriff Hackback, um den es hier heute eigentlich geht, vergisst“. Der Minister stehe aber mit seiner Auffassung allein. Von der Zivilgesellschaft über die Wissenschaft bis hin zu Wirtschaftsverbänden sei man sich einig: Was hier als aktive Cyberabwehr verkauft werde, seien schlicht und ergreifend Hackbacks, die keine Verteidigungshandlung darstellten. 

Bei einem Hackback, so Vogtschmidt, gehe es um einen aktiven Gegenangriff auf eine Cyberattacke, bei dem in das System des Angreifernetzes eingedrungen werde, um es zu zerstören oder auszuschalten. Das Problem dabei sei, das für einen erfolgreichen Gegenangriff das Umfeld des Angreifers aufgeklärt werden müsse - etwa durch erbeutete Zugangsdaten oder IT-Schwachstellen. Dies benötige eine Menge Vorlauf und bedeute schlicht das „Hacken auf Verdacht“ bei fremden IT-Systemen, um im Falle eines Angriffs einen erfolgversprechenden Hackback durchführen zu können. „Das klingt nicht nur illegal und unsicher. Das ist es auch“, urteilte die Linken-Abgeordnete.

CDU/CSU: Deutschland setzt auf Prävention

Deutschland setze auf einen präventiven Ansatz, sagte Christina Stumpp (CDU/CSU) unter Verweis auf die 2025 erfolgte Umsetzung der europäischen NIS2-Richtlinie. Man müsse aber auch der Realität ins Auge schauen. „Gegen gezielte staatliche Cyberoperationen, hochprofessionelle Kampagnen mit großem Schadenspotenzial reichen präventive Maßnahmen in den eigenen IT-Systemen allein nicht mehr aus“, betonte sie. Deshalb werde mit dem vorliegenden Gesetzentwurf nachgeschärft. 

„Wir müssen uns doch ehrlich machen“, forderte die Unionsabgeordnete. Bislang seien den Sicherheitsbehörden angesichts der Vielzahl komplexer Bedrohungen viel zu oft rechtlich die Hände gebunden. Laufe ein Cyberangriff fehlten oft die nötigen Befugnisse, um schnell eingreifen und den Angriff wirksam stoppen zu können, sagte Stumpp.  

Gesetzentwurf der Bundesregierung

Die Regelung sieht mehr Befugnisse für das Bundesamt für Sicherheit in der Informationstechnik, das Bundeskriminalamt sowie die Bundespolizei vor. Die Sicherheit und Handlungsfähigkeit von Staat, Wirtschaft und Gesellschaft in einem modernen, hoch technologisierten und digitalisierten Industrieland wie Deutschland beruhten in hohem Maße auf funktionierenden digitalen Prozessen und Infrastrukturen, schreibt die Regierung. Seit Jahren steige jedoch die Zahl von Cyberangriffen durch staatliche und nichtstaatliche Akteure.

Deutschland sei als führende Wirtschaftsnation in Europa verstärkt im Fokus hochprofessioneller Cyberangriffe mit großem Schadenspotenzial. Angesichts der geopolitischen Lage würden zudem auch hybride Bedrohungen zunehmend an Bedeutung gewinnen. „Dieser sicherheitspolitischen Herausforderung begegnet die Bundesregierung, indem sie die Erkennung und Abwehr von Cyberangriffen ausbaut und hierzu wirksame, angemessene und rechtssichere gesetzliche Grundlagen schafft“, heißt es.

Aufklärung und Erkennung konkreter Angriffe

Mit der Regelung soll die Aufklärung und die Erkennung konkreter Angriffe und langfristig laufender Angriffskampagnen verbessert werden. Zudem soll die Entdeckung konkreter Vorbereitungshandlungen durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) ausgebaut werden.

Insbesondere gegen groß angelegte Cyberangriffe mit hohem Schadenspotenzial böten präventive Maßnahmen in den eigenen IT-Systemen allein keinen hinreichenden Schutz, schreibt die Bundesregierung. Es müssten daher für die Polizeien des Bundes und das BSI ergänzend Möglichkeiten zur Unterbindung solcher Cyberangriffe geschaffen werden, um gravierende Folgeschäden abwenden oder minimieren zu können. 

Antrag der Linken

Gegen die Einführung von Hackbacks und offensiver Cyberabwehr„ wendet sich die Fraktion Die Linke in iihrem Antrag (21/6653(Dokument, öffnet ein neues Fenster)). Darin fordert die Fraktion die Bundesregierung auf, laufende Gesetzesvorhaben nicht weiter zu betreiben, “die Hackbacks oder vergleichbare Maßnahmen der offensiven Cyberabwehr„ gesetzlich verankern würden. Auch soll die Bundesregierung nach dem Willen der Fraktion keine Gesetzesvorhaben weiter betreiben, die dem Bundeskriminalamt (BKA) und der Bundespolizei ermöglichen, zur Abwehr von Cybergefahren ohne Wissen der Betroffenen in IT-Systeme einzudringen und diese auszulesen, zu verändern oder zu löschen. 

Ebenso sollen dem Antrag zufolge von der Bundesregierung keine Gesetzesvorhaben weiter betrieben werden, “die DNS-Anbieter und Digitale Dienste zur Umleitung von Datenverkehr an das BKA und die Bundespolizei verpflichten könnten„. Dagegen soll die Bundesregierung laut Vorlage einen Gesetzentwurf vorlegen, der die defensive IT-Sicherheit mit den notwendigen Ressourcen insbesondere für das Bundesamt für Sicherheit in der Informationstechnik (BSI) stärkt.

“Verfassungsrechtliche Grenzen werden überschritten„

In dem Antrag schreibt die Fraktion, dass mit dem Koalitionsvertrag vom Mai 2025 ein Ausbau aktiver Cyberabwehr angekündigt worden sei. Mit dem Gesetzentwurf der Bundesregierung “zur Stärkung der Cybersicherheit„ (21/6585(Dokument, öffnet ein neues Fenster)) solle dieses Vorhaben umgesetzt werden, doch würden die Grenzen des “verfassungsrechtlich Möglichen„ dabei “klar überschritten„. 

Mit dem Entwurf solle für BKA und Bundespolizei die Fähigkeit geschaffen werden, zur Abwehr von Cybergefahren Daten in IT-Systemen auszulesen, zu verändern und zu löschen, sowie Datenverkehr umzulenken und mitzulesen, führt die Fraktion weiter aus. Dies bedeute einen massiven Eingriff in informationstechnische Systeme, dem weder ein Richtervorbehalt noch ausreichende parlamentarische Kontrolle als grundrechtssichernde Mechanismen zur Seite gestellt würden. Auch ignoriere der Gesetzentwurf die Möglichkeit, dass Maßnahmen einer “aktiven Cyberabwehr„ auf Eingriffe in fremde staatliche IT-Infrastruktur hinauslaufen könnten. (hau/25.06.2026)