Das Bundeskabinett hat einen Gesetzentwurf zur Stärkung der Cybersicherheit beschlossen, der den deutschen Sicherheitsbehörden erstmals umfassende Befugnisse zum aktiven Eingreifen bei Cyberangriffen einräumt. Bundeskriminalamt (BKA), Bundespolizei und das Bundesamt für Sicherheit in der Informationstechnik (BSI) sollen Attacken nicht mehr nur erkennen, sondern auch technisch unterbinden können.

Zur Begründung heißt es im Entwurf aus dem Bundesinnenministerium, dass insbesondere bei „groß angelegten Cyberangriffen mit großem Schadenspotenzial“ vorbeugende Maßnahmen in den eigenen IT-Systemen „keinen hinreichenden Schutz“ böten. Für die Bundespolizeibehörden und das BSI müssten daher „ergänzend Möglichkeiten zur Unterbindung solcher Cyberangriffe geschaffen werden“, um schwere Folgeschäden abzuwenden oder einzudämmen.

Konkret sollen BKA und Bundespolizei laut Gesetzentwurf „klare Befugnisse“ erhalten, um „eine zukunftsfähige Cyberabwehr aufzubauen“. Dazu zählt, dass die Behörden Datenverkehr umleiten oder blockieren, IT-Systeme stilllegen und in schweren Fällen Daten löschen oder verändern dürfen. Bislang war dem BKA ein aktives Eingreifen ausschließlich zur Abwehr des internationalen Terrorismus erlaubt; in allen übrigen Fällen blieb die Behörde auf die Strafverfolgung beschränkt.

BSI bekommt weitreichende Befugnisse zur Datenanalyse

Die Bundespolizei erhält die neuen Befugnisse nach Angaben des Ministeriums „für alle ihre gefahrenabwehrrechtlichen Aufgaben“, nicht jedoch im Rahmen der Strafverfolgung. Zusammen mit bereits bestehenden polizeilichen Instrumenten wie der Sicherstellung von Servern solle so „eine wirksame Gefahrenabwehr gegen Cyberangriffe“ gewährleistet werden.

Auch das BSI wird durch das Gesetz deutlich gestärkt. Die Behörde soll laut Entwurf erheblich erweiterte Kompetenzen zum Sammeln, Speichern und Analysieren von Daten erhalten. Eingeschlossen ist die gezielte Suche nach Aktivitäten, die der Vorbereitung eines Angriffs dienen könnten.

Hinzu kommt eine neue Pflicht für Telekommunikationsunternehmen und Digitalkonzerne: Sie sollen künftig „Informationen des BSI über konkrete Gefahren“ verpflichtend an ihre Nutzer weiterleiten.