Cyber-Abwehr: Kabinett gibt BSI und BKA Vollmacht für Auslandsangriffe

Neue Gesetze erlauben deutschen Behörden digitale Gegenangriffe auf ausländische Hacker. Wirtschaftsverbände kritisieren die Pläne.

Deutsche Sicherheitsbehörden dürfen künftig auch Angreifer im Ausland digital angreifen.

Neue Befugnisse für BSI, BKA und Bundespolizei

Der am Mittwoch vom Kabinett gebilligte Entwurf gibt dem Bundesamt für Sicherheit in der Informationstechnik (BSI), dem Bundeskriminalamt (BKA) und der Bundespolizei weitreichende neue Vollmachten. Die Behörden können künftig proaktiv gegen digitale Bedrohungen vorgehen – auch wenn die Angreifer ihre Infrastruktur im Ausland betreiben.

Konkret dürfen die Sicherheitsbehörden Schadsoftware und Server von Angreifern stören, Datenverkehr umleiten und unter bestimmten Voraussetzungen Daten lesen, löschen oder verändern. Das BSI darf zudem IT-Systeme auf Anzeichen von Angriffsvorbereitungen durchsuchen. Telekommunikationsanbieter werden verpflichtet, Warnungen der Behörden an ihre Kunden weiterzuleiten. Für die Umsetzung der Maßnahmen hat die Regierung 37 zusätzliche Stellen in den betroffenen Sicherheitsbehörden vorgesehen.

Anzeige

Angesichts der neuen gesetzlichen Befugnisse und der verschärften Bedrohungslage müssen Unternehmen ihre eigene IT-Sicherheit ohne hohe Investitionen zukunftssicher aufstellen. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und gleichzeitig neue rechtliche Anforderungen erfüllen. IT-Sicherheit stärken und gesetzliche Vorgaben erfüllen

Wirtschaft kritisiert staatliche Eingriffe

Innenminister Alexander Dobrindt bezeichnete den Schritt als notwendig, um digitale Bedrohungen wirksam zu bekämpfen. „Wir müssen zurückschlagen können", so der Minister.

Doch der Vorstoß stößt auf erheblichen Widerstand aus der Privatwirtschaft. Der Digitalverband Bitkom kritisierte die Ermächtigung zu Gegenangriffen auf IT-Systeme. Der Bundesverband der Deutschen Industrie (BDI) bemängelte fehlende Kooperationsmechanismen zwischen Staat und Wirtschaft. Die Industrie sieht den Entwurf zu stark auf staatliche Eingriffe ausgerichtet, anstatt auf gemeinsame Sicherheitsstrategien zu setzen.

Kritis-Dachgesetz: Neue Pflichten für Betreiber

Der Kabinettsbeschluss fällt in eine Zeit verschärfter Regulierung für kritische Infrastrukturen. Bereits am 16. März 2026 trat das KRITIS-Dachgesetz in Kraft. Es betrifft rund 1.300 Betreiber in elf kritischen Sektoren. Sie müssen sich bis zum 17. Juli 2026 beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren.

Die Anforderungen sind hoch: Innerhalb von neun Monaten nach Registrierung müssen Risikoanalysen vorliegen, innerhalb von zehn Monaten konkrete Resilienzpläne. Diese müssen unter anderem die Personalsicherheit berücksichtigen. Bei Verstößen drohen Bußgelder von bis zu 500.000 Euro. Noch härter sind die Strafen bei Verstößen gegen die NIS-2-Richtlinie: Hier sind bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes fällig.

Cyber Resilience Act: Erste Meldepflichten ab September

Auch auf europäischer Ebene wird der Druck größer. Der Cyber Resilience Act (CRA) ist seit Dezember 2024 in Kraft. Am 11. September 2026 treten die ersten verpflichtenden Meldepflichten in Kraft. Zwar stellt die EU mit dem SECURE-Programm 16,5 Millionen Euro für kleine und mittlere Unternehmen bereit. Experten betonen jedoch, dass Firmen eigenständig „Security by Design"-Prozesse etablieren und Software-Stücklisten (SBOM) erstellen müssen.

Souveräne Digitalplattformen als Antwort auf geopolitische Spannungen

Parallel dazu treibt die Bundesregierung den Aufbau souveräner Digitalinfrastrukturen voran. Ziel ist es, die Abhängigkeit von ausländischen Anbietern zu reduzieren.

• KI für die Verwaltung: Deutsche Telekom und SAP haben den Zuschlag für eine souveräne KI-Plattform für die öffentliche Verwaltung erhalten. Der erste Anwendungsfall wird ein KI-Assistent für Verwaltungsaufgaben sein.
• Souveräne Cloud: Thales und Google Cloud haben eine strategische Partnerschaft geschlossen. Sie bieten eine souveräne Cloud für den öffentlichen Sektor und regulierte Industrien an. Die Infrastruktur steht unter deutscher Kontrolle über Thales. Die allgemeine Verfügbarkeit ist für Ende 2026 geplant.
• Bundescloud: Seit dem 22. Mai ist Telefonicas T Cloud Public in den Bundesrahmenvertrag für Cloud-Dienste aufgenommen.

Anzeige

Da staatliche Abwehrmaßnahmen allein nicht ausreichen, müssen Firmen ihre Mitarbeiter aktiv gegen psychologische Manipulationstaktiken der Hacker wappnen. Dieser Gratis-Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt, wie Sie Phishing-Angriffe in vier Schritten stoppen. Anti-Phishing-Paket für Unternehmen jetzt kostenlos anfordern

Diese Entwicklungen sind vor dem Hintergrund zunehmender geopolitischer Spannungen zu sehen. Erst in den letzten Monaten warf die Bundesregierung Russland Signal-Phishing-Angriffe auf rund 300 Politiker vor. Daten aus dem Jahr 2025 zeigten zudem, dass GPS-Störungen über der Ostsee Spitzenwerte von bis zu 160 Störungen pro Monat erreichten. Die Notwendigkeit für die nun beschlossenen proaktiven Abwehrmaßnahmen ist damit eindrucksvoll belegt.