Wenn der Staat immer mehr darf – wer schützt eigentlich die Bürger vor staatlicher Übergriffigkeit?

Die Bundesregierung will BKA und Bundespolizei weitreichende neue Befugnisse zur aktiven Cyberabwehr einräumen. Künftig sollen Sicherheitsbehörden unter bestimmten Voraussetzungen in fremde IT-Systeme eindringen, Daten auslesen, verändern oder löschen und Datenverkehr umleiten können.

Was als notwendige Antwort auf zunehmende Cyberangriffe begründet wird, wirft grundsätzliche Fragen auf: Wie weit darf staatliche Macht reichen? Und wer kontrolliert diejenigen, die künftig über solche Eingriffsmöglichkeiten verfügen?

Es klingt zunächst nach einer Selbstverständlichkeit: Ein Staat muss seine Bürger, seine Unternehmen und seine kritische Infrastruktur vor Cyberangriffen schützen können. Krankenhäuser, Energieversorger, Behörden und wirtschaftliche Einrichtungen sind längst Ziele professioneller Hackerangriffe. Die Bedrohung ist real und verlangt wirksame Antworten.

Doch zwischen dem Schutz vor Cyberkriminalität und einer erheblichen Ausweitung staatlicher Eingriffsbefugnisse liegt ein Unterschied, der nicht übersehen werden darf. Die Bundesregierung will diesen Unterschied mit einem neuen Gesetz zur Stärkung der Cybersicherheit neu definieren.

Am heutigen 12. November 2026 wird der Bundestag über den Gesetzentwurf mit seiner Regierungsmehrheit entscheiden. Es geht dabei nicht nur um technische Sicherheitsfragen. Es geht um die Grenzen staatlicher Macht in einer zunehmend digitalisierten Gesellschaft.

1. Der Staat will nicht mehr nur ermitteln – er will selbst eingreifen

Der Gesetzentwurf der Bundesregierung (Bundestagsdrucksache 21/6585)
betrifft drei zentrale Einrichtungen:

• Bundeskriminalamt (BKA)
• Bundespolizei
• Bundesamt für Sicherheit in der Informationstechnik (BSI)

Dabei ist hier eine wichtige Unterscheidung notwendig: Die neuen polizeilichen Eingriffsbefugnisse betreffen insbesondere BKA und Bundespolizei. Das BSI erhält andere, auf IT-Sicherheit und die Bundesverwaltung ausgerichtete Aufgaben und Befugnisse. Was die beiden Polizeibehörden künftig dürfen sollen, geht weit über klassische Ermittlungsarbeit hinaus.

Vorgesehen sind unter bestimmten gesetzlichen Voraussetzungen unter anderem:

• das Untersagen des Betriebs bestimmter informationstechnischer Systeme,
• das Umleiten, Einschränken oder Unterbinden von Datenverkehr,
• das Auslesen von Daten in betroffenen IT-Systemen,
• das Verändern oder Löschen gefahrbezogener Daten,
• technische Eingriffe, die unter bestimmten Voraussetzungen ohne vorherige Kenntnis der Betroffenen erfolgen können.

Damit verändert sich die Rolle der Sicherheitsbehörden grundlegend. Sie sollen nicht mehr ausschließlich feststellen, wer einen Angriff verübt hat. Sie sollen aktiv in die technische Infrastruktur eingreifen können, von der eine vermeintliche Gefahr ausgeht.

Das wird international häufig unter dem Begriff „Hackback“ diskutiert. Die Bundesregierung, das überrascht wenig, spricht von „aktiver“ Cyberabwehr. Die entscheidende Frage lautet allerdings: Wie wird verhindert, dass aus einer notwendigen Gefahrenabwehr ein Instrument staatlicher Übergriffigkeit wird?

2. Wenn der Bürger nicht einmal weiß, dass der Staat eingegriffen hat

Besonders sensibel sind die vorgesehenen verdeckten Maßnahmen. Denn wer nicht weiß, dass staatliche Stellen auf sein digitales Umfeld zugegriffen haben, kann sich zunächst auch nicht dagegen wehren. Der Gesetzentwurf sieht für besonders eingriffsintensive Maßnahmen bestimmte rechtliche Sicherungen vor. Dazu gehören Voraussetzungen hinsichtlich der Gefahrenlage und grundsätzlich auch richterliche Anordnungen.

Bei „Gefahr im Verzug“ kann zunächst die zuständige Behördenleitung entscheiden. Eine gerichtliche Bestätigung muss unverzüglich nachgeholt werden. Erfolgt sie nicht innerhalb von drei Tagen, verliert die Maßnahme ihre Wirksamkeit. Das sind durchaus relevante Sicherungen. Aber sie beantworten natürlich nicht sämtliche Fragen. Nicht jeder technische Eingriff unterliegt automatisch demselben Richtervorbehalt.

Auch die Möglichkeit, dass „unbeteiligte Dritte“ unvermeidbar mitbetroffen werden, ist im Entwurf ausdrücklich berücksichtigt. Was passiert beispielsweise, wenn ein Unternehmen einen Server betreibt, über den zahlreiche Kunden ihre Daten austauschen? Wenn eine staatliche Maßnahme gegen eine vermeintliche Angreiferinfrastruktur gleichzeitig andere Nutzer oder Geschäftsprozesse beeinträchtigt? Wer trägt die Verantwortung? Wer dokumentiert den Eingriff?

Wer überprüft unabhängig, ob die Maßnahme tatsächlich erforderlich und verhältnismäßig war? Und wie erfährt der Betroffene später davon? Das sind keine technischen Nebensächlichkeiten. Das sind Grundfragen rechtsstaatlicher Kontrolle.

3. Die Sachverständigen warnen vor erheblichen Kontrollproblemen

Wie berechtigt diese Fragen sind, zeigte die öffentliche Anhörung des Innenausschusses am 5. Oktober 2026. Die notwendige Verbesserung der deutschen Cyberabwehr wurde von den Sachverständigen grundsätzlich nicht infrage gestellt. Die konkrete Ausgestaltung der neuen Befugnisse stieß allerdings auf erhebliche Kritik.

Professor Dirk Heckmann von der Technischen Universität München begrüßte den grundsätzlichen Ansatz, verlangte aber dringend weitergehende verfassungsrechtliche Sicherungen. Insbesondere sollten Richtervorbehalt und qualifizierte Verfahrenssicherungen auch für verdeckte und manipulierende Zugriffe auf eigene IT-Systeme gelten.

Dr. Sven Herpig vom Thinktank ‚Interface‘ bemängelte fragmentierte Zuständigkeiten, unklare Eingriffsschwellen und fehlende Regeln für den Einsatz besonders invasiver technischer Werkzeuge.

Professor Dennis-Kenji Kipker kritisierte unter anderem die unzureichende unabhängige Kontrolle, zu weit gefasste Gefahrenschwellen und den nicht ausreichend abgesicherten Schutz unbeteiligter Dritter.

Besonders deutlich äußerte sich Constanze Kurz vom Chaos Computer Club. Sie warnte davor, dass aktive Cyberabwehr durch staatliches Zurückhacken die IT-Sicherheit sogar verschlechtern könne. Die möglichen Kollateralschäden würden unterschätzt.

Auf der anderen Seite verteidigte BKA-Präsident Holger Münch natürlich die neuen Befugnisse. Das BKA benötige diese Möglichkeiten, um angesichts der veränderten Bedrohungslage schneller und effektiver reagieren zu können.

Die Anhörung zeigt damit ein bemerkenswertes Bild: Selbst unter denjenigen, die eine wirksamere Cyberabwehr ausdrücklich unterstützen, besteht erheblicher Nachbesserungsbedarf bei Kontrolle, Zuständigkeit und Begrenzung staatlicher Eingriffe.

4. Corona: Wie schnell staatliche Eingriffe zur Normalität werden können

Wer die heutige Diskussion ausschließlich als technische Sicherheitsdebatte betrachtet, übersieht einen wichtigen gesellschaftlichen Zusammenhang. Die vergangenen Jahre haben gezeigt, wie weitreichend staatliche Eingriffe in das persönliche Leben werden können, wenn eine außergewöhnliche Gefahrenlage zur Begründung herangezogen wird.

Während der Corona-Pandemie beispielsweise wurden Kontaktmöglichkeiten, Bewegungsfreiheit, Versammlungen und persönliche Lebensgestaltung erheblich eingeschränkt.

Die rechtliche Grundlage bildeten insbesondere Änderungen des Infektionsschutzgesetzes und darauf gestützte Verordnungen. Das Grundgesetz wurde dadurch nicht generell außer Kraft gesetzt. Auch die Gerichte überprüften die Maßnahmen und bestätigten einzelne Eingriffe unter bestimmten Voraussetzungen.

Dennoch bleibt eine gesellschaftliche Erfahrung: In einer Krise können staatliche Eingriffsmöglichkeiten innerhalb kurzer Zeit erheblich ausgeweitet werden. Die entscheidende Frage ist, was danach geschieht. Welche Befugnisse verschwinden wieder? Welche bleiben bestehen? Welche neuen Eingriffsmöglichkeiten kommen hinzu?

Diese Fragen sind heute wieder aktuell – diesmal im Bereich der inneren Sicherheit und der digitalen Infrastruktur.

Die Bedrohungslage ist eine andere. Das grundsätzliche Problem bleibt vergleichbar: Wie verhindert eine Demokratie, dass die Ausweitung staatlicher Macht schneller voranschreitet als die Entwicklung wirksamer Kontrollmechanismen?

5. Die schleichende Ausweitung staatlicher Eingriffsmöglichkeiten

Es wäre zu billig, aus jeder neuen Sicherheitsbefugnis unmittelbar einen Polizeistaat abzuleiten und herbei zu fabulieren. Ein demokratischer Rechtsstaat braucht handlungsfähige Sicherheitsbehörden. Er muss in heutigen Zeiten besonders auf Terrorismus, organisierte Kriminalität, Cyberangriffe und andere konkrete Gefahren schnell reagieren können.

Aber genau deshalb muss die Grenze staatlicher Befugnisse besonders klar gezogen werden. Denn die technische Entwicklung eröffnet dem Staat Möglichkeiten, die noch vor wenigen Jahren so kaum vorstellbar waren.

Digitale Kommunikation, persönliche Daten, geschäftliche Informationen und große Teile des wirtschaftlichen Lebens sind inzwischen miteinander vernetzt. Ein Eingriff in ein IT-System kann deshalb weit über den ursprünglichen Anlass hinausreichen.

Die entscheidende Herausforderung für uns alle besteht darin, dass technische Eingriffsmöglichkeiten nicht automatisch mit einer ebenso wirksamen „Kontrolle“ einhergehen und als „Präventivmaßnahmen“ verharmlost werden.

Wer darf eine Maßnahme anordnen? Wer prüft ihre technische Durchführung? Welche unabhängige Stelle kontrolliert mögliche Fehler? Und welche Rechte hat ein Bürger, dessen digitale Infrastruktur betroffen war?

Wenn diese Fragen nicht ausreichend beantwortet werden, entsteht ein strukturelles Problem: Der Staat erhält immer weitergehende Möglichkeiten, während die Betroffenen unter Umständen erst im Nachhinein erfahren, dass überhaupt eingegriffen wurde. Das ist der Punkt, an dem eine demokratische Gesellschaft besonders aufmerksam sein muss.

6. Die Frage lautet: Wer kontrolliert eigentlich die Kontrolleure?

Der Gesetzentwurf ist deshalb weit mehr als eine Modernisierung der Cyberabwehr. Er berührt das Verhältnis zwischen Bürger und Staat. Drei Fragen müssen vor einer solchen Erweiterung staatlicher Befugnisse überzeugend beantwortet werden:

Erstens: Wie wird Willkür verhindert?

Gesetzliche Eingriffsschwellen müssen eindeutig sein. Eine bloße Vermutung oder eine unzureichend überprüfte Gefahreneinschätzung darf nie zur Grundlage weitreichender Eingriffe werden!

Zweitens: Wie werden Unbeteiligte geschützt?

Wenn technische Maßnahmen auch Dritte treffen können, müssen Verantwortlichkeiten, Dokumentationspflichten und Möglichkeiten zur Schadensregulierung klar geregelt sein.

Drittens: Wie funktioniert unabhängige Kontrolle?

Richterliche Anordnungen sind wichtig! Sie ersetzen aber nicht automatisch eine wirksame Kontrolle der technischen Durchführung und eine spätere Überprüfung der gesamten Maßnahme. Gerade bei verdeckten Eingriffen braucht es nachvollziehbare Verfahren, damit staatliche Macht nicht allein durch interne Entscheidungen begrenzt wird.

7. Sicherheit braucht klare Grenzen – auch für den Staat

Am heutigen 12. November 2026 steht also eine Entscheidung an, die weit über die technische Abwehr von Cyberangriffen hinausreicht.

Die Bundesregierung begründet den Gesetzentwurf mit einer „realen“ Bedrohung. Das ist nachvollziehbar. Niemand kann ernsthaft verlangen, dass Sicherheitsbehörden bei Angriffen auf lebenswichtige Infrastruktur tatenlos zusehen.

Aber ebenso wenig darf die notwendige Sicherheit zum Argument werden, immer weitergehende staatliche Eingriffsmöglichkeiten ohne ausreichende Kontrolle zu schaffen. Die Erfahrungen der vergangenen Jahre sollten Anlass genug sein, bei jeder neuen staatlichen Befugnis genau hinzusehen.

Ein Rechtsstaat zeichnet sich nicht dadurch aus, dass seine Behörden möglichst viel dürfen. Er zeichnet sich dadurch aus, dass ihre Macht begrenzt, überprüfbar und an Recht und Gesetz gebunden bleibt. Die eigentliche Frage lautet deshalb nicht, ob wir „mehr Sicherheit“ brauchen eher, wie viel staatliche Macht wir dafür übertragen – und welche wirksamen Grenzen wir ihr setzen.

Denn Bürger brauchen Schutz vor Cyberkriminalität. Sie brauchen aber ebenso Schutz vor einem Staat, dessen Eingriffsmöglichkeiten schneller wachsen als die Kontrolle seiner Macht.