Bitkom zu Gesetzentwürfen für neue deutsche Sicherheitsarchitektur
Berlin, 12. November 2026 – Der Bundestag stimmt heute über das Gesetz zur Stärkung der Cybersicherheit ab. BKA, Bundespolizei und BSI sollen damit im Cyberraum deutlich mehr Befugnisse erhalten. Sie dürfen künftig zum Beispiel Datenverkehr umleiten oder unterbinden und Daten auf den Servern von Angreifern auslesen, verändern oder löschen, auch im Ausland. Am Freitag folgt die Reform des Nachrichtendienstrechts. Sie ordnet die Kontrolle von Bundesamt für Verfassungsschutz und BND neu und gibt den Diensten erstmals operative Befugnisse, vor allem im Cyberraum. Dazu erklärt Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung:
„Die Politik verändert die deutsche Sicherheitsarchitektur grundlegend. Das ist erstmal folgerichtig, der Staat muss angesichts der aktuellen Bedrohungslage handlungsfähiger werden. Der deutschen Wirtschaft entsteht allein durch Cyberattacken ein jährlicher Schaden von mehr als 160 Milliarden Euro. Mit dem Gesetz zur Stärkung der Cybersicherheit und der Reform des Nachrichtendienstrechts wird defensive IT-Sicherheit um proaktive Gegenmaßnahmen ergänzt. Die vorgesehenen Maßnahmen erlauben allerdings tiefe Eingriffe in IT-Systeme und Zugriffe auf Daten, wodurch zusätzliche Sicherheitsrisiken und erhebliche Belastungen für unbeteiligte Unternehmen entstehen können. Die neuen Befugnisse sollten deshalb allenfalls in enger Zusammenarbeit mit der Wirtschaft eingesetzt werden.
Positiv ist, dass das Gesetz zur Stärkung der Cybersicherheit dem BSI erlaubt, mit seinen Mobile Incident Response Teams künftig schon bei Verdachtsfällen zu helfen. Der geplante Personalaufbau bei BSI, BKA und Bundespolizei schließt lange bestehende Lücken. Kritisch sehen wir dagegen Risiken durch die aktive Cyberabwehr von BKA und Bundespolizei. Beim Eingriff in fremde IT-Systeme können auch Daten unbeteiligter Dritter betroffen sein. Besonders problematisch ist, dass solche Eingriffe nicht durchgängig von einem Gericht geprüft werden. Auch beim Zugriff auf Betriebsdaten kritischer Anlagen wurden keine klaren Grenzen gezogen. Die neuen Übermittlungspflichten dürfen nicht dazu führen, dass sensible Betriebsdaten dauerhaft und ohne konkreten Anlass an das BSI übermittelt werden.
Mit der Reform des Nachrichtendienstrechts wurde die Kontrolle der Dienste beim Unabhängigen Kontrollrat gebündelt. Dabei gehen die neuen Auskunfts- und Mitwirkungspflichten der Unternehmen zu weit. Sie erlauben weitreichende Zugriffe auf sensible Daten und IT-Systeme privater Anbieter. Ein Änderungsantrag weitet den Anwendungsbereich zusätzlich aus: Nun können auch Gesprächsinhalte von Messengerdiensten, E-Mail-Diensten, Videokonferenz-Systemen, Onlineshops, Verkaufsportalen, Dating-Apps und Onlinespielen betroffen sein. Damit wächst das Risiko für die Sicherheit digitaler Systeme. Das gilt zudem bei Schwachstellen und Sicherheitsvorfällen, die Unternehmen dem BSI melden. Sie sind nicht ausreichend davor geschützt, an die Nachrichtendienste weitergegeben zu werden. Wer dem BSI eine Schwachstelle meldet, darf nicht befürchten müssen, dass sie für nachrichtendienstliche Zwecke genutzt wird.“
