Reuters: Bundestag beschließt Gesetz für aktive Cyberabwehr

Nach Angaben von Reuters hat der Bundestag am Donnerstag den Gesetzentwurf der Bundesregierung zur Stärkung der Cybersicherheit mit den Stimmen von CDU/CSU und SPD angenommen. Laut dpa stimmten AfD, Linke und Grüne dagegen. Eine amtliche Veröffentlichung des Plenarergebnisses lag am Abend nicht vor. Das Gesetz bedarf der Zustimmung des Bundesrates.

Der Gesetzentwurf (Drucksache 21/6585) gibt dem Bundeskriminalamt und der Bundespolizei die Befugnis, den Betrieb eines informationstechnischen Systems, von dem eine Gefahr ausgeht, zu untersagen sowie Datenverkehr einzuschränken, zu unterbinden oder umzuleiten, auch ohne Wissen der Betroffenen. Gefahrgegenständliche Daten in dem System dürfen sie auslesen, löschen oder verändern, auch durch Eingriff mit technischen Mitteln und ohne Wissen des Betroffenen. Anpassungen im BSI-Gesetz sollen dem Bundesamt für Sicherheit in der Informationstechnik erlauben, die Widerstandsfähigkeit der Informationstechnik der Bundesverwaltung zu erhöhen. Das Gesetz tritt am Tag nach der Verkündung in Kraft.

Der Innenausschuss empfahl die Vorlage am 11. November in geänderter Fassung zur Annahme. Ein neuer § 53a im Bundeskriminalamtgesetz erstreckt die cyberspezifischen Befugnisse auf Gefahren, die nicht zugleich Gefahren für die IT-Sicherheit sind. Die Begründung nennt Steuerungsgeräte von Drohnen und unkonventionelle Spreng- und Brandvorrichtungen, die über das Internet gesteuert werden; die Behörde soll etwa die Verbindung unterbrechen oder Steuerungsdaten löschen können. Der Bericht des Haushaltsausschusses bestätigt die Erweiterung auf realweltliche Gefahren, etwa Drohnen.

Das Auslesen, Löschen oder Verändern von Daten ist nach der Ausschussfassung nur zulässig, wenn die Abwehr mit der Betriebsuntersagung oder der Umleitung des Datenverkehrs nicht oder nicht gleichwertig möglich und sonst aussichtslos oder wesentlich erschwert wäre. Bei begründeten Zweifeln, ob ein System privat genutzt wird, ist es als privat zu betrachten. Eingriffe in private Systeme, die eine Datenerhebung ermöglichen, darf nur ein Gericht anordnen; bei Gefahr im Verzug muss die Anordnung binnen drei Tagen bestätigt werden, sonst tritt sie außer Kraft. Das Bundesministerium des Innern soll die neuen Regelungen spätestens bis zum 1. Januar 2029 evaluieren.

Eine vom Innenausschuss empfohlene Entschließung beschreibt den Eingriff in Systeme der Angreifer als „letztes Mittel“ und fordert die Bundesregierung auf, die Cybersicherheitsstrategie weiterzuentwickeln und das Nationale Cyberabwehrzentrum als behördenübergreifende Plattform auszubauen. Die SPD-Bundestagsfraktion teilt mit, der Bundestag habe die Entschließung ebenfalls angenommen.

Bundesinnenminister Alexander Dobrindt (CSU) sagte in der Debatte laut Reuters vom 12. November: „Wer mit Cyberangriffen unsere Infrastruktur angreift, wer mit Cyberangriffen unsere Lebensmittelversorgung angreift, wer mit Cyberangriffen unsere Blutbanken angreift, der muss wissen: Wir schlagen zurück, wir zerstören seine digitale Infrastruktur, und wir nehmen ihn digital aus dem Spiel.“ Die Opposition kritisierte demnach unklare Zuständigkeiten, zu weit reichende Befugnisse und mangelnde Kontrolle. Dobrindt erwiderte, es gehe darum, die Angreifer zu entwaffnen.

Laut dpa vom 12. November warf der Grünen-Abgeordnete Konstantin von Notz dem Vorhaben „kontraproduktive Doppelstrukturen“ vor; der Entwurf komme zu spät und sei unterkomplex. Jan Krampe (Linke) sagte, Union und SPD verteilten „neue Eingriffsbefugnisse mit der Gießkanne“. Der AfD-Abgeordnete Steffen Janich kritisierte eine Zersplitterung der Kompetenzen zwischen Bundespolizei, BKA und BSI. Daniel Baldy (SPD) verwies laut dpa auf den Grundsatz der Verhältnismäßigkeit; in der Mitteilung der SPD-Fraktion nannte er die Angriffe auf Gefrier- und Kühlanlagen sowie auf das Berliner Landesnetz als Beleg für die Notwendigkeit des Gesetzes.

Der Bundesrat hat in seiner Stellungnahme vom 10. Juli gebeten, zu prüfen, ob die Belastungen für die betroffenen Unternehmen angemessen sind, und gefordert, Sanktionen für Verstöße gegen Mitwirkungs- und Informationspflichten sowie Offenbarungsverbote verhältnismäßig auszugestalten. Die Bundesregierung hält die Belastungen in ihrer Gegenäußerung für angemessen; sie seien „ins Verhältnis zu setzen zu einem deutlichen Gewinn an Sicherheit“. Wann die Länderkammer im zweiten Durchgang entscheidet, ist offen.

Der Digitalverband Bitkom erklärte am Abstimmungstag, der deutschen Wirtschaft entstehe durch Cyberangriffe ein jährlicher Schaden von mehr als 160 Milliarden Euro. Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung, nannte es besonders problematisch, dass Eingriffe in fremde IT-Systeme „nicht durchgängig von einem Gericht geprüft werden“. Am Freitag entscheidet der Bundestag über die Reform der Nachrichtendienste.