Allgemein

Mit dem Entwurf zur Stärkung der Cybersicherheit reagiert die Bundesregierung auf die zunehmende Bedrohung durch Cyberangriffe, die aufgrund ihres erheblichen Schadenspotentials zentrale Rechtsgüter wie die öffentliche Sicherheit, staatliche Funktionsfähigkeit und wirtschaftliche Stabilität beeinträchtigen können. Aus strafrechtlicher Sicht werden solche Angriffe als deliktische Handlungen mit Bezug zu Datenmanipulation, Computersabotage und Ausspähen von Daten eingeordnet, wobei auch vorbereitende Aktivitäten krimineller Akteure an Bedeutung gewinnen. Im Fokus steht die Stärkung präventiver Eingriffsbefugnisse staatlicher Behörden. Die dem Bundeskriminalamt und der Bundespolizei eingeräumten Maßnahmen – etwa das Untersagen des Betriebs informationstechnischer Systeme, die Umleitung oder Unterbindung von Datenverkehr sowie das Auslesen, Verändern oder Löschen von Daten – dienen der Gefahrenabwehr und greifen bereits im Vorfeld konkreter Straftaten ein. Damit wird die Schnittstelle zwischen Gefahrenabwehrrecht und Strafrecht besonders relevant. Zudem sollen ausdrücklich Vorbereitungshandlungen wie das „Prepositioning“ einbezogen werden, um eine frühzeitige Intervention zu ermöglichen. Insgesamt verlagert der Entwurf den Schwerpunkt auf die präventive Verhinderung cyberkrimineller Straftaten, ohne neue Straftatbestände zu schaffen, jedoch unter Erweiterung staatlicher Eingriffsbefugnisse mit strafrechtlichem Bezug.

Am 10. Juli 2026 beschäftigte sich der Bundesrat mit dem Regierungsentwurf und nahm entsprechend der Empfehlungen der Ausschüsse Stellung dazu. 

Der Innenausschuss des Bundestages hat am 5. Oktober 2026 über den Gesetzentwurf der Bundesregierung zur Stärkung der Cybersicherheit beraten. Eine Liste der Expert:innen und deren Stellungnahmen finden Sie hier. Die Sachverständigen unterstützten grundsätzlich eine stärkere staatliche Cyberabwehr, verwiesen jedoch auf zahlreiche offene rechtliche und organisatorische Fragen. Prof. Dr. Dirk Heckmann von der Technischen Universität München begrüßte den Entwurf grundsätzlich und forderte zugleich eine stärkere verfassungsrechtliche Absicherung der neuen Befugnisse. Richtervorbehalt und Verfahrenssicherungen müssten insbesondere bei verdeckten oder datenerhebenden Zugriffen gelten. Dr. Sven Herpig vom Thinktank Interface und Prof. Dr. Dennis-Kenji Kipker vom Cyberintelligence Institute verwiesen unter anderem auf unklare Zuständigkeiten, unterschiedliche Eingriffsschwellen und Defizite bei Kontrolle und Governance. Kipker forderte zudem einen besseren Schutz unbeteiligter Dritter. Dr. Constanze Kurz vom Chaos-Computer-Club kritisierte insbesondere die geplanten Maßnahmen der aktiven Cyberabwehr. Das sogenannte „Hackback“ sei zu invasiv und könne Risiken und Kollateralschäden verursachen. Das aktive Verändern fremder IT-Systeme durch staatliche Stellen verbessere die IT-Sicherheit nicht. BKA-Präsident Holger Münch begrüßte dagegen die vorgesehenen neuen Zuständigkeiten und Befugnisse für das Bundeskriminalamt. Die Bündelung von Gefahrenabwehr und Strafverfolgung könne eine schnellere Reaktion auf Cyberangriffe ermöglichen. Zugleich verwies Münch auf eine weitere mögliche Regelungslücke: Der Entwurf erfasse Angriffe auf IT-Systeme, nicht aber Gefahren, die durch IT-Systeme für die reale Welt entstehen könnten, etwa beim Einsatz von Drohnen. Auch Alexander Poitz von der Gewerkschaft der Polizei begrüßte die cyberspezifischen BKA-Befugnisse. Prof. Dr. Haya Schulmann von der Goethe-Universität Frankfurt am Main sprach sich ebenfalls für den Entwurf aus, regte jedoch unter anderem einen ausdrücklichen gesetzlichen Auftrag zur Erstellung eines Cyberlagebilds durch das Bundesamt für Sicherheit in der Informationstechnik sowie zusätzliche Sicherungen beim Eindringen in fremde Systeme an.

Der Bundestag hat am 15. Oktober 2026 den Gesetzentwurf der Bundesregierung zur Durchführung der EU-Cyberresilienz-Verordnung (BT-Drs. 21/6134, 21/6512) in der vom Innenausschuss geänderten Fassung (BT-Drs. 21/8622) angenommen. Für den Entwurf stimmten CDU/CSU, SPD und Bündnis 90/Die Grünen, dagegen die AfD-Fraktion. Die Linksfraktion enthielt sich. Zudem verabschiedete der Bundestag mit den Stimmen von Union und SPD eine Entschließung zur Umsetzung der Verordnung. Die AfD stimmte dagegen, Grüne und Linksfraktion enthielten sich. Die EU-Verordnung legt verbindliche Mindestanforderungen an die Cybersicherheit von Produkten mit digitalen Elementen fest, die auf dem europäischen Binnenmarkt in Verkehr gebracht werden. Das Durchführungsgesetz schafft die nationalen Voraussetzungen für die Umsetzung der Vorgaben und enthält unter anderem Regelungen zum Bußgeldverfahren. Außerdem erhält das Bundesamt für Sicherheit in der Informationstechnik (BSI) die erforderliche Rechtsgrundlage, um als Marktüberwachungsbehörde und notifizierende Behörde tätig zu werden. Hierzu werden das BSI-Gesetz, das Telekommunikationsgesetz und das Energiewirtschaftsgesetz geändert. Der Bundesrat hatte in seiner Stellungnahme keine Einwände gegen den Gesetzentwurf erhoben. Der Innenausschuss hatte am 14. Oktober 2026 auf Antrag der Koalitionsfraktionen Änderungen am Regierungsentwurf beschlossen. Diese betreffen den Zeitpunkt des Inkrafttretens bestimmter Regelungen. Der Haushaltsausschuss legte zudem einen Bericht zur Finanzierbarkeit nach Paragraf 96 der Geschäftsordnung des Bundestages vor (BT-Drs. 21/8623). Mit der angenommenen Entschließung wird die Bundesregierung aufgefordert, Router bei der Marktüberwachung durch das BSI vorrangig zu prüfen und den bestehenden Rechtsrahmen auszuschöpfen. Darüber hinaus soll sie sich auf europäischer Ebene und bei künftigen Gesetzesvorhaben dafür einsetzen, Abhängigkeiten kritischer Infrastrukturen von nicht vertrauenswürdigen Herstellern zu verringern und kritische Lieferketten stärker zu diversifizieren. Bei den Verhandlungen zum europäischen Cybersecurity Act 2 soll die Bundesregierung außerdem auf eine stärkere Regulierung netz- und systemkritischer Komponenten nicht vertrauenswürdiger Anbieter sowie auf einen gemeinsamen risikobasierten Ansatz zur Sicherheit kritischer Informations- und Kommunikationstechnologie-Lieferketten hinwirken. Weitere Ziele sind die Stärkung der digitalen Souveränität und die Berücksichtigung von Herstellerabhängigkeiten, Lieferketten, Update- und Wartungsmöglichkeiten sowie der Austauschbarkeit von Komponenten bei der Beschaffung kritischer digitaler Produkte. Der Abbau bestehender Abhängigkeiten soll zugleich deutsche und europäische Hersteller stärken, insbesondere bei Heimroutern und Energieanlagen.