Sicherheitsbehörden dürfen künftig bei Cyberangriffen zurückschlagen

Gegenangriff statt nur Vorbeugung: Im Kampf gegen Cyberkriminelle dürfen die deutschen Sicherheitsbehörden künftig zurückschlagen. Der Bundestag votierte am Donnerstag mit den Stimmen von Union und SPD für ein entsprechendes Gesetz der Bundesregierung. "Es geht darum, dass Angreifer uns nicht mehr attackieren. Deswegen müssen wir sie entwaffnen", sagte Bundesinnenminister Alexander Dobrindt (CSU). Die Opposition kritisierte insbesondere, dass die Befugnisse der einzelnen Behörden nicht eindeutig geklärt seien.

Deutschland stehe als führende Wirtschaftsnation in Europa verstärkt im Fokus "hochprofessioneller Cyberangriffe mit großem Wirkpotential", heißt es im Gesetzentwurf der Bundesregierung. Auch hybride Bedrohungen gewännen zunehmend an Bedeutung. Vorbeugende Maßnahmen in den eigenen IT-Systemen allein böten keinen hinreichenden Schutz. Die Polizeibehörden des Bundes und das Bundesamt für Sicherheit in der Informationstechnik (BSI) brauchten daher ergänzende Befugnisse, um solche Attacken zu unterbinden und gravierende Folgeschäden abwenden zu können.

Bundespolizei, Bundeskriminalamt (BKA) und das BSI sollen solche Attacken daher künftig nicht nur erkennen, sondern auch aktiv gegen Angreifer vorgehen dürfen. BKA und Bundespolizei sollen Datenverkehr umleiten oder blockieren, IT-Systeme stilllegen und in schweren Fällen Daten löschen oder verändern können. Das BSI soll leichter Daten sammeln, speichern und analysieren können. Telekommunikationsunternehmen und Digitalkonzerne werden zur Mitwirkung verpflichtet.

Die "aktive Cyberabwehr" werde "ein zentraler Baustein unserer Sicherheitsarchitektur", sagte Innenminister Dobrindt im Bundestag. Er verwies dabei auf die jüngsten Angriffe auf die Kühlsysteme von Supermärkten und weitere Attacken gegen Einrichtungen ziviler Infrastruktur. "Wer mit Cyberangriffen unsere Infrastruktur angreift, wer mit Cyberangriffen unsere Lebensmittelversorgung angreift, wer mit Cyberangriffen unsere Blutbanken angreift, der muss wissen, wir schlagen zurück, wir zerstören seine digitale Infrastruktur und wir nehmen ihn digital aus dem Spiel."

Der CDU-Innenpolitiker Marc Henrichmann nannte das Cybersicherheitsstärkungsgesetz einen "zentralen Baustein für eine digital souveräne und technisch handlungsfähige Bundesrepublik Deutschland". Mit dem Gesetz würden "rechtssichere, klar geregelte Gefahrenabwehrkompetenzen" geschaffen.

Politiker von Grünen, Linken und AfD stellten dies in Frage. Der Grünen-Innenexperte Konstantin von Notz kritisierte "kontraproduktive Doppelstrukturen" bei den Sicherheitsbehörden. Die Behörden in den Ländern und im Bund würden sich "gegenseitig belagern und belauern" und wollten auch selbst zuständig sein. "Alle für alles - das erzeugt keine Schlagfähigkeit, sondern das erzeugt Chaos", kritisierte der Grünen-Fraktionsvize.

"Sie schaffen mehr Befugnisse, aber eben keine klaren Verantwortlichkeiten", bemängelte auch der Linken-Abgeordnete Jan Krampe. Für die AfD forderte Steffen Janich die Bündelung der Abwehrkompetenzen etwa beim Bundesamt für Sicherheit in der Informationstechnik.

Der SPD-Innenexperte Daniel Baldy wies die Vorwürfe fehlender Abstimmung zurück. Die Behörden müssten sich gegenseitig über Abwehrmaßnahmen informieren, "damit eben es genau nicht passiert, dass plötzlich ganz, ganz viele Akteure unterwegs sind".

Der Digitalverband Bitkom nannte es "folgerichtig", dass die deutsche Sicherheitsarchitektur grundlegend verändert werde. Defensive IT-Sicherheit werde "um proaktive Gegenmaßnahmen ergänzt", erklärte Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung. Die geplanten Maßnahmen erlaubten allerdings "tiefe Eingriffe in IT-Systeme und Zugriffe auf Daten".

Dadurch könnten für unbeteiligte Unternehmen "zusätzliche Sicherheitsrisiken und erhebliche Belastungen" entstehen. Die neuen Befugnisse sollten daher "allenfalls in enger Zusammenarbeit mit der Wirtschaft eingesetzt werden", forderte der Verband.