Gesetz für mehr Cybersicherheit beschlossen: Mehr Befugnisse für Polizei und BSI

Zur Abwehr von Cyberattacken sollen die deutschen Sicherheitsbehörden neue Befugnisse erhalten und dabei auch aktiv gegen Angreifer vorgehen dürfen. Das Bundeskabinett beschloss dazu am Mittwoch ein Gesetz zur Stärkung der Cybersicherheit, wonach Bundespolizei, Bundeskriminalamt (BKA) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) Angriffe künftig nicht nur erkennen, sondern auch technisch eingreifen können.

Insbesondere gegen "groß angelegte Cyberangriffe mit großem Schadenspotential" böten vorbeugende Maßnahmen in den eigenen IT-Systemen alleine "keinen hinreichenden Schutz", heißt es im Gesetzentwurf aus dem Bundesinnenministerium. Es müssten daher für die Polizeibehörden des Bundes und für das BSI "ergänzend Möglichkeiten zur Unterbindung solcher Cyberangriffe geschaffen werden, um gravierende Folgeschäden abwenden oder minimieren zu können".

Bundeskriminalamt (BKA) und Bundespolizei sollen "klare Befugnisse" bekommen, um "eine zukunftsfähige Cyberabwehr aufzubauen". So sollen sie Datenverkehr umleiten oder blockieren, IT-Systeme stilllegen und in schweren Fällen Daten löschen oder verändern können. Bislang war dem BKA ein aktives Eingreifen nur erlaubt, wenn es um die Abwehr von internationalem Terrorismus ging. In allen anderen Fällen war die Behörde auf die Strafverfolgung beschränkt.

Die Bundespolizei erhält diese Befugnisse "für alle ihre gefahrenabwehrrechtlichen Aufgaben", nicht jedoch für ihre Aufgaben zur Strafverfolgung. Auf diese Weise sollten die Polizeien des Bundes "zusammen mit den bereits bestehenden polizeilichen Befugnissen" wie der Sicherstellung von Servern "eine wirksame Gefahrenabwehr gegen Cyberangriffe" gewährleisten.

Das BSI soll laut dem Gesetzentwurf deutlich mehr Befugnisse zum Sammeln, Speichern und Analysieren von Daten erhalten. Dazu gehört die Suche nach Aktivitäten, die der Vorbereitung eines Angriffs dienen können.

Telekommunikationsunternehmen und Digitalkonzerne sollen verpflichtet werden, "Informationen des BSI über konkrete Gefahren" an ihre Nutzer weiterzugeben.