A. Einleitung
Kurz vor der Sommerpause des Bundestags lancierte die Bundesregierung einen Gesetzentwurf „zur Stärkung der Cybersicherheit“ (nachfolgend: Entwurf),1 der noch im Juni 2026 im Plenum diskutiert wurde.2 Dieses Gesetz wäre ein wesentlicher Baustein der im Koalitionsvertrag angekündigten nationalen Cybersicherheitsstrategie.3 Der Entwurf sieht u.a. für die Polizeien des Bundes, konkret für das Bundeskriminalamt und die Bundespolizei, neue Befugnisse vor, um vor Cyberangriffen zu schützen. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) erhält danach neue Aufgaben. Dieser Beitrag beschäftigt sich allerdings nur mit der vorgesehenen Novellierung des BPolG. Diese sind verfassungs- und völkerrechtlich umstritten, worauf der Beitrag aber ebenfalls nicht vertieft eingehen kann.
B. Wesentliche Inhalte des Gesetzentwurfs
Unbestritten besteht eine Bedrohungslage durch Cyberangriffe, insbesondere auf kritische Infrastrukturen. Zu deren Abwehr können die eigenen Netzwerke geschützt, kann also die Cyberresilienz gestärkt werden. Das erfolgt etwa durch das Einrichten von Firewalls oder Betreiben von Anti-Viren-Programmen.
Zudem können Behörden als eine denkbare Gegenreaktion in fremde Netzwerke, von denen die Gefahr ausgeht, eingreifen, um die von ihnen ausgehenden Gefahren abzuwehren. Das ist freilich von höherer Grundrechtsintensität und nur eine der in dem Entwurf vorgesehenen neuen Befugnisse. Ob dieser Eingriff nun unter dem im Entwurf gewählten Schlagwort aktive Cyberabwehr oder „Hackback“ (Hacking Back, also zurück hacken) firmiert, ist mit Blick auf fehlende anerkannte definitorische Konturierung4 unerheblich.
I. Allgemeines zu den besonderen Abwehrmaßnahmen
Konkret erhält die Bundespolizei neue Befugnisse gemäß § 41a BPolG-E, um aus Cyberangriffen resultierende Gefahren im Rahmen ihrer Aufgaben abzuwehren. Zuständig ist die Bundespolizei etwa für Cyberangriffe auf Grenzkontrollsysteme, auf informationstechnische Systeme der Bahn oder des Luftverkehrs (vgl. die §§ 2 ff. BPolG). Umstritten ist allerdings, ob die Bundespolizei verfassungsrechtlich überhaupt für die aktive Cyberabwehr zuständig ist.5
1. Tatbestand
Tatbestandsvoraussetzung für alle vorgesehenen Maßnahmen ist zunächst eine konkrete Gefahr, dass ein „Angriff auf die Sicherheit in der Informationstechnik“ stattfindet, der Straftaten gemäß den §§ 202a, 202b, 202c, 202d, 263a, 303a, 303b StGB verwirklicht. Damit gemeint ist ausweislich der Gesetzesbegründung, dass bei „Verwirklichung des objektiven Tatbestandes ein solcher Angriff vorliegt.“ Dem liegt aber wohl ein falsches Verständnis des Gefahrenbegriffs zugrunde. Denn bereits im Vorfeld der objektiven Tatbestandsverwirklichung kann diese drohen und bereits ein Angriff stattfinden.
Ferner unklar ist, ob die Gefahr ausreicht, wenn feststeht, dass ein derartiges Delikt nur versucht wird. So könnte jemand etwa die Zugangssicherung umgehen, aber von vornherein ersichtlich sein, dass die Person nicht auf die Daten i.S.d. § 202a StGB zugreifen können wird. Nach tradiertem polizeirechtlichem Verständnis der Gefahr für die Rechtsordnung reicht auch der prognostizierte Versuch der benannten Delikte aus, um eine Gefahr zu begründen. Ohnehin dürften Konstellationen selten sein, in denen der bevorstehende Cyberangriff nach bundespolizeilicher Prognose im Versuchsstadium bleiben wird.
Gegenüber einer früheren Version des Entwurfs6 wurde die Gefahr eines Angriffs durch die Nennung einschlägiger Straftatbestände konkretisiert. Das mag vor dem Hintergrund des Bestimmtheitsgebots wünschenswert sein, zugleich entstehen aber zu monierende Lücken. Denn sofern, was beinahe immer der Fall sein wird, die Täter aus dem Ausland agieren und zugleich ein ausländischer Server angegriffen wird, besteht kein Anknüpfungspunkt für das deutsche Strafrecht gemäß den §§ 3 ff. StGB. § 7 Abs. 1 StGB erfasst nach herrschender Meinung lediglich natürliche, nicht aber juristische Personen.7 Wie viele potenziell betroffene juristische Personen ihre IT-Infrastruktur zumindest zum Teil nicht in Deutschland haben, wäre freilich zu evaluieren.
2. Betroffene Dritte
Den besonderen Abwehrmaßnahmen steht nicht entgegen, dass diese unvermeidbar auch Dritte betreffen, § 41a Abs. 3 BPolG-E. Unvermeidbar bedeutet, dass zu prüfen ist, ob sich die Maßnahme technisch nur auf den Betroffenen beschränken lässt. Dritte sind all jene, die nicht Betroffene sind. Betroffene sind zunächst naheliegenderweise die Angreifer. Daneben können aber auch jene betroffen sein, deren IT-Systeme infiziert sind. Denn auch von ihnen kann eine Gefahr ausgehen.8
Um dies anhand eines Beispiels zu illustrieren: Angenommen, ein Cyberangriff erfolgt über den Server eines Hosters. Besondere Abwehrmaßnahme wäre nun der bundespolizeiliche Zugriff auf den Server. Unerwünschte Nebenfolge dabei ist, dass etwa Daten anderer Kunden sich ebenfalls auf dem Server befinden. Diese Kunden sind Dritte. Auch Dritte sind etwa bei der Blockade einer IP-Adresse durch die Bundespolizei all jene, die ebenfalls vom Datenverkehr abgeschnitten werden. Im Rahmen der Verhältnismäßigkeit sind die Eingriffe in die Grundrechte der Dritten aber freilich zu berücksichtigen. Die Dritten können durchaus eine Vielzahl von Betroffenen sein, wobei nicht immer klar ist, ob sich diese auch alle bestimmen lassen können. Das ist verfassungsrechtlich problematisch, weil dies eine Angemessenheitsprüfung erschwert.
3. Offenbarungsverbot gegenüber dem Angreifer
Flankierend zu den besonderen Abwehrmaßnahmen kann die Bundespolizei gegenüber dem Betreiber gemäß § 41a Abs. 11 BPolG-E zeitlich begrenzt anordnen, dies nicht gegenüber dem Störer zu offenbaren. So könnte etwa dem Anbieter von Telekommunikationsdienstleistungen, dem der Betrieb eines informationstechnischen Systems untersagt wird, Adressat dieses Offenbarungsverbots sein. Hintergrund dieser Regelung ist wohl, dass dadurch der Angreifer/Störer nicht von den Maßnahmen gegen ihn erfährt. Das wiederum kann die Gefahrenabwehr oder Strafverfolgung erschweren, was folgerichtig tatbestandliche Voraussetzung für das Offenbarungsverbot ist.
II. Die neuen Befugnisse der Bundespolizei
Herzstück des Entwurfs in Bezug auf die Bundespolizei sind die drei möglichen besonderen Abwehrmaßnahmen, mithin die neuen Befugnisse. Diese sind in § 41a Abs. 1 Satz 1 Nr. 1-3 geregelt.
1. Betrieb des IT-Systems
Die Bundespolizei kann zunächst den Betrieb eines informationstechnischen Systems untersagen, von dem die Gefahr ausgeht. Das kann sich auf Infrastruktur des Störers beziehen, aber auch auf infizierte Systeme. Die Untersagungsanordnung wird sich regelmäßig gegen Anbieter von Telekommunikations- und digitalen Diensten richten.9
2. Datenverkehr
Ferner kann die Bundespolizei nach dem Entwurf den Datenverkehr, von dem die Gefahr ausgeht, an eine selbst definierte Zieladresse umleiten und diesen aufzeichnen. Die Umleitung kann durch die Bundespolizei selbst erfolgen, sie kann aber auch gewisse Anbieter von Telekommunikations- und digitalen Diensten dazu verpflichten, § 41a Abs. 9 Satz 1 BPolG-E. Hintergrund ist regelmäßig ein (teil-)identifiziertes Botnetz. Das sind viele infizierte Systeme, wobei neben PCs alle anderen Geräte mit Internet- oder Netzwerkzugang in Betracht kommen. Diese zentral dirigierten Bots versuchen nun, den „Command-and-Control-Server“ zu erreichen. Statt diesem sorgt die Umleitung aber dafür, dass die Zieladresse eine von der Bundespolizei kontrollierte ist. Diese Adresse wird als „Sinkhole“ bezeichnet.
Eine „Sinkhole“-Infrastruktur betreiben Dritte, aber bspw. auch das BSI.10 Dieses ist gemäß § 41a Abs. 10 BPolG-E auch zu informieren, sofern die Bundespolizei die Umleitung des Datenverkehrs anordnet. Dadurch soll das BSI weiterhin den Gesamtüberblick über Umleitungsmaßnahmen behalten.11
Das Umleiten unterbindet zuvorderst die Gefahr für das eigentliche Ziel. Ferner erlangt die Polizei (automatisiert) Informationen, insb. über die verwendete Schadsoftware und die Täterinfrastruktur. Das dient ebenfalls der weiteren Abwehr des Angriffs,12 aber ggf. auch der Strafverfolgung. Sofern der Angriff bereits umfangreich erfolgreich war oder abgewehrt wurde, erfolgt das Aufklären der Täterinfrastruktur schwerpunktmäßig zur Strafverfolgung. In diesem Fall kann die Informationserhebung nur nach Maßgabe von repressiven Bestimmungen erfolgen.
Weiteres Ziel des Umleitens auf ein „Sinkhole“ ist, den Angreifern gewissermaßen eine Falle zu stellen. Dabei präpariert die Polizei das Sinkhole gezielt so, dass es aus Angreifersicht als attraktives Ziel erscheint (sog. „Honeypot“). Deswegen setzt der Angreifer hochwertigere Schadsoftware ein, was insgesamt die Gefahr einer versteckten oder unbekannten Schadfunktion verringert. Schließlich kann die Bundespolizei weitere Gefährdete durch die Auswertung der aufgezeichneten Daten aus dem „Sinkhole“ identifizieren und ggf. informieren.13 Das stellt noch keinen aktiven Zugriff auf ein fremdes informationstechnisches System dar, kann aber damit im Zusammenhang stehen.
Ferner kann die Bundespolizei den Datenverkehr einschränken oder unterbinden. Dadurch sollen insb. die Infrastruktur des Angreifers und infizierte Systeme abgeschaltet werden.14 Der Angreifer kann dann u.a. keine weiteren Befehle an das System geben, ferner können keine Daten nach außen abfließen.
3. Zugriff auf das gefahrverursachende IT-System
a) Rechtsfolge und verfolgte Ziele
Die brisanteste neue Ermächtigungsgrundlage findet sich in § 41a Abs. 1 Satz 1 Nr. 3 BPolG-E. Danach kann die Bundespolizei auch in dem IT-System, von dem die Gefahr ausgeht, entsprechende Daten auslesen, löschen und verändern. Diese Daten sind gemäß § 41 Abs. 2 BPolG-E einerseits Daten, die den Angriff „tragen“ oder diesen dokumentieren. Ersteres ist etwa die Malware selbst, zweiteres sind bspw. Protokolldateien, also technische Aufzeichnungen über den Angriff. Andererseits sind gefahrgegenständliche Daten jene, die selbst Ziel oder Transportmittel des Angriffs sind. Das sind über Malware hinaus insb. jene, die ein Angreifer in das attackierte IT-System einschleust.
Das Auslesen von Daten und ihre Speicherung kann dazu dienen, die Funktionsweise der Angreifer zu analysieren und Schwächen in ihrer Infrastruktur zu finden.15 Ferner kann die Bundespolizei das IT-System des Angreifers verändern, um den Angriff abzuwehren. Bereits abgeschöpfte Daten kann die Bundespolizei außerdem löschen.16 Dies wurde im rechtspolitischen Diskurs durchaus kritisch bewertet. Denn die Gefahr verursachen nicht nur Angreifer, sondern auch infizierte Systeme, die der Gesetzentwurf als „Opfersysteme“ bezeichnet. Diese können auch Betreiber von Kritischen Infrastrukturen sein. Ein Eingriff in Opfersysteme kann bei diesen Betriebsstörungen auslösen.17 Auch die Attribution, wem also der Angriff zurechenbar ist, kann problembehaftet sein.18 Das birgt die Gefahr, die falschen Systeme zu treffen.19
Die Bundespolizei muss in das System eindringen. Das erfolgt ohne das Wissen der Betroffenen und durch Überwindung von Zugangsschranken, etwa Passwörtern. Diese Zugangsdaten können durch andere polizeiliche Maßnahmen erlangt worden sein. Allerdings kann die Polizei auch Schwachstellen ausnutzen. Dabei geht die Bundespolizei im Wesentlichen wie die Angreifer vor.20
An dieser Stelle setzt eine weitere in der rechtspolitischen Sphäre geäußerte Kritik an.21 Denn zwischen dem Ausnutzen von derartigen Schwachstellen und langfristiger IT-Sicherheit besteht ein Zielkonflikt. Der Staat muss Schwachstellen geheim halten, um sie für die Cyberangriffsabwehr zu nutzen und nicht die Betroffenen darüber informieren. Zugleich können aber auch andere Akteure diese Schwachstellen kennen oder von ihrer Existenz erfahren. Diese sind wiederum potenziell weitere Angreifer. Der Entwurf äußert sich nicht explizit dazu, ob und inwieweit Schwachstellen geschlossen werden. Anders ist dies in anderen Bereichen. So verpflichtet Art. 12 NIS2-Richtlinie zur koordinierten Offenlegung derartiger Schwachstellen. In Deutschland ist das BSI die entsprechende Meldestelle (Art. 5 BSIG). Auch die Hersteller i.S.d. CRA verpflichtet Art. 14 CRA, aktiv ausgenutzte Schwachstellen zu melden, wenn sie davon erfahren, etwa im Nachgang des Zugriffs durch die Bundespolizei.
Offen bleibt auch, wie die Bundespolizei sich das Schwachstellenwissen beschafft.22
b) Konkretisierungen des Verhältnismäßigkeitsgrundsatzes
§ 41a Abs. 4 BPOlG-E konkretisiert den Verhältnismäßigkeitsgrundsatz.23 Namentlich soll die Bundespolizei u.a. technische Vorkehrungen treffen, um keine Daten von Dritten zu löschen. Dies schafft allerdings kaum einen Mehrwert gegenüber § 41 Abs. 3 BPolG-E, welcher drittschädigende Abwehrmaßnahmen nur zulässt, wenn dies unvermeidbar ist.
Ferner muss die Bundespolizei eine vorgenommene Veränderung nach Abschluss der Maßnahme rückgängig machen, sofern dies möglich ist. Das System soll also in den Zustand vor dem staatlichen Eingriff versetzt werden, insb. soll die Bundespolizei die auf dem gefahrverursachenden System installierte Software löschen.24
Schließlich soll die Bundespolizei „eingesetzte Mittel nach dem Stand der Technik gegen unbefugte Nutzung“ schützen. Mithin sollen Dritte die Software nicht zweckentfremden können.25 Das lässt sich bspw. durch die Verschlüsselung und Zugriffsbeschränkungen gewährleisten.
c) Tatbestand
Der Entwurf sieht einen gestuften Tatbestand vor, wobei § 41a Abs. 1 Satz 2 BPolG-E die Scharnierbestimmung ist. Danach steht der Zugriff auf das gefahrverursachende IT-System unter höheren Voraussetzungen, wenn der Betroffene nicht einwilligt. Diese Einwilligung dürfte regelmäßig von Betroffenen gegeben werden, die selbst das Opfer von Cyberattacken sind. Wenn eingewilligt wurde, greift der Staat aber ohnehin nicht in Grundrechte ein, zumindest wenn keine Grundrechtspositionen Dritter betroffen sind. In diesem Falle ist also keine Ermächtigungsgrundlage vonnöten.
Sofern aber die Betreiber des gefahrverursachenden Systems nicht einwilligen, ist das Eindringen ein schwerer Grundrechtseingriff, der nach der Gesetzeskonzeption unter hohen tatbestandlichen Voraussetzungen steht. Diese finden sich in § 41a Abs. 5 Satz 1 BPolG-E. Das gilt aber nur für private IT-Systeme, die im Entwurf legaldefiniert werden.26 Der Gesetzgeber rekurriert diesbezüglich auf die Judikatur des BVerfG zu besonders erheblichen Eingriffen in das IT-System-Grundrecht (Art. 2 Abs. 1 GG, 1 Abs. 1 Satz 1 GG).27 Folgerichtig findet sich im Gesetzesentwurf ebenfalls ein Kernbereichsschutz.28 Das birgt freilich die Gefahr, dass findige Angreifer ihre IT-Systeme privat wirken lassen und mit unter den Kernbereichsschutz fallenden Daten präparieren. Das ist aber hinzunehmen.
Zunächst muss die Gefahr für nachfolgend behandelte Schutzgüter dringend sein. Diese Begrifflichkeit finden sich etwa auch in Art. 13 Abs. 4 Satz 1 GG; § 45 Abs. 4 BPolG. Nach den Gesetzesmaterialien zielt das auf eine zeitliche und qualitative Modifikation der konkreten Gefahr ab.29 Teils wird dies als Kombination der gegenwärtigen und erheblichen Gefahr verstanden.30 In der Literatur wird aber eine gesteigerte zeitliche Nähe, also die Gegenwärtigkeit der Gefahr, teils auch nicht in diesen Gefahrenbegriff interpretiert.31
Die dringende Gefahr kann zunächst für den Bestand oder die Sicherheit des Bundes oder eines Landes bestehen. Das dürfte ein seltener Anwendungsfall sein. Daneben dringend gefährdet sein können Behörden oder Einrichtungen, die von wesentlicher Bedeutung für das Gemeinwesen oder die Verteidigung sind. Die wesentliche Bedeutung ist dabei mit Blick auf die Grundrechtsintensität restriktiv auszulegen.
Des Weiteren soll die Bundespolizei Gefahren für IT-Systeme einer großen Anzahl von Personen abwehren können, wenn deren Verfügbarkeit, Vertraulichkeit oder Integrität gefährdet wird. Schließlich geschützt werden können soll vor dringenden Gefahren für „Leib, Leben oder Freiheit einer Person oder Sachen von bedeutendem Wert, deren Erhalt für das Gemeinwesen oder die Verteidigung von wesentlicher Bedeutung sind.“
d) Verfahrensvorgaben
Schließlich sieht der Entwurf grundsätzlich einen Richtervorbehalt für den Zugriff auf gefahrverursachende IT-Systeme vor.32 Dieser besteht aber nur für private IT-Systeme. Diese Differenzierung wird kritisiert.33
Antragsberechtigt sind nur im Einzelnen aufgelistete Beamte der Bundespolizei in hohen Führungspositionen. Diese können bei Gefahr im Verzug die Maßnahmen selbst anordnen. Gefahr im Verzug dürfte bei Cyberattacken freilich häufig bestehen. Das Einholen der gerichtlichen Entscheidung ist dann unverzüglich nachzuholen.
C. Fazit
Der Entwurf ist legistisch gelungen. Fraglich ist allerdings, ob er in seiner Gesamtheit mit verfassungs- und völkerrechtlichen Vorgaben vereinbar ist.34 Mit Spannung zu beobachten sein wird also die entsprechende juristische Fachliteratur und die parlamentarische Beratung, insb. in den Ausschüssen.
Bislang eine eher untergeordnete Rolle im Diskurs spielte auch die Haftung bei fehlgeleiteten Maßnahmen. Dafür muss noch eine Lösung gefunden werden. Das wiederum setzt aber eine grobe Abschätzung voraus, wie wahrscheinlich derartige Haftungsfälle sind.
D. Weiterführende Literatur
- •
- •
- •
Wissenschaftliche Dienste des Deutschen Bundestags, Verfassungsrechtlicher Rahmen staatlicher Cyberabwehr, WD 3 - 3000 - 056/26.
