BECKMANN UND NORDA - Rechtsanwälte Bielefeld

Das BMI hat den Entwurf eines Gesetzes zur Stärkung der Cybersicherheit - Stand 21.05.2026 vorgelegt.

Aus dem Entwurf:
A. Problem und Ziel
Cyberangriffe in Deutschland nehmen in Qualität und Quantität zu. Deutschland als führende Wirtschaftsnation in Europa ist verstärkt im Fokus auch hochprofessioneller Cyberangriffe mit großem Wirkpotential. Angesichts der geopolitischen Lage gewinnen auch hybride Bedrohungen zunehmend an Bedeutung.

Der Krieg in der Ukraine verdeutlicht, wie essentiell Cybersicherheit für einen modernen Staat wie Deutschland ist. Die Gewährleistung einer verlässlichen und sicheren Nutzung der Informationstechnologie und der zugrundeliegenden Kommunikationsinfrastruktur ist essentielle Voraussetzung für das Funktionieren des Gemeinwesens. Deutschlands wirtschaftlicher Erfolg und gesellschaftlicher Zusammenhalt sowie die nationale Sicherheit sind mit der Gewährleistung von Cybersicherheit untrennbar verbunden. Angriffe im Cyberraum überwinden mühelos Landes- oder Zuständigkeitsgrenzen und können sich dadurch auf sämtliche Lebensbereiche und Sektoren einschließlich der Kommunikationsinfrastruktur insgesamt auswirken. Gezielte Angriffe auf kritische Infrastrukturen und wichtige Unternehmen, Aktionen von Cyberkriminellen oder Angriffe auf bzw. Sabotage von staatlichen Strukturen sind geeignet, die Funktionsfähigkeit des Gemeinwesens, der Wirtschaft und des Staats- und Verwaltungswesens massiv und anhaltend zu beeinträchtigen.

Dieser sicherheitspolitischen Herausforderung kann nur begegnet werden, indem die Erkennung und Abwehr von Cyberangriffen ausgebaut wird und hierzu wirksame, angemessene und rechtsklare gesetzliche Grundlagen geschaffen werden. Die Aufklärung und die Detektion konkreter Angriffe und langfristig laufender Angriffskampagnen müssen verbessert und die Detektion konkreter Vorbereitungshandlungen durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) ausgebaut werden. Insbesondere gegen groß angelegte Cyberangriffe mit großem Schadenspotential bieten präventive Maßnahmen in den eigenen IT-Systemen alleine allerdings keinen hinreichenden Schutz. Es müssen daher für die Polizeien des Bundes und das BSI ergänzend Möglichkeiten zur Unterbindung solcher Cyberangriffe geschaffen werden, um gravierende Folgeschäden abwenden oder minimieren zu können.

B. Lösung
Mit Anpassungen im BSI-Gesetz (BSIG) wird dem BSI ermöglicht, die Resilienz der Informationstechnik der Bundesverwaltung im Cyberraum zu erhöhen und die Erkenntnislage zu verbessern. Des Weiteren erhalten die Polizeien des Bundes im Bundeskriminalamtsgesetz (BKAG) und im Bundespolizeigesetz (BPolG) die notwendigen Befugnisse, um eine zukunftsfähige Cyberabwehr aufzubauen.

Die bestehenden Möglichkeiten des BSI, schädlichen Datenverkehr umzuleiten, werden an die geänderten Nutzungsbedingungen angepasst, indem die bestehenden Anordnungsbefugnisse auf weitere zentrale Diensteanbieter erweitert werden. Zugleich werden die Möglichkeiten verbessert, auf maliziöse Domains, die die Bundesverwaltung tangieren, zu reagieren. Zudem wird der Einsatz von Incident Response Teams zur Wiederherstellung der Sicherheit oder Funktionsfähigkeit informationstechnischer Systeme auch in Fällen des so genannten Prepositionings (d.h. das vorbereitende Platzieren von Hintertüren und Angriffsstrukturen in IT-Systemen) klar geregelt. Ferner wird eine Rechtsgrundlage dafür geschaffen, die für den Betrieb von Angriffserkennungssystemen und die Einschätzung der aktuellen Bedrohungslage erforderliche Datengrundlage durch entsprechende Auskunftsersuchen zu technischen Informationen zu verbessern. Komplementär hierzu soll die Ausbreitung maliziöser Infrastruktur eingedämmt werden, indem Endnutzern ein optionaler Schutz vor maliziösen Domains bereitgestellt wird und, wie bisher bereits Telekommunikationsanbieter, auch Anbieter digitaler Dienste verpflichtet werden, Informationen des BSI über konkrete Gefahren, die ihre Kunden betreffen, an diese weiterzugeben.

Für das Bundeskriminalamt (BKA) und die Bundespolizei werden klare Befugnisse geschaffen, um Cyberangriffe abzuwehren. Dazu gehören insbesondere Befugnisse zur Untersagung des Betriebs informationstechnischer Systeme, zur Umleitung, Einschränkung oder Unterbindung von Datenverkehr sowie zum Auslesen, Löschen und Verändern von gefahrgegenständlichen Daten in informationstechnischen Systemen. Diese neu geschaffenen Befugnisse werden es den Polizeien des Bundes ermöglichen, zusammen mit den bereits bestehenden polizeilichen Befugnissen wie z.B. der Sicherstellung von Servern, eine wirksame Gefahrenabwehr gegen Cyberangriffe umzusetzen.

Die neugeschaffenen Befugnisse erhält das BKA für bereits bestehende gefahrenabwehrrechtliche Aufgaben sowie für die neuen Aufgaben im Bereich der Abwehr von Gefahren durch Angriffe auf die Sicherheit in der Informationstechnik.

Die Bundespolizei erhält diese Befugnisse für alle ihre gefahrenabwehrrechtlichen Aufgaben, nicht für ihre Strafverfolgungsaufgaben.

Das BMJV hat den Entwurf eines Gesetzes zur Einführung einer IP-Adressspeicherung und Weiterentwicklung der Befugnisse zur Datenerhebung im Strafverfahrenvorgelegt.

Aus dem Entwurf:
A. Problem und Ziel
Straftaten weisen häufig digitale Bezüge auf, zum Beispiel bei der Kommunikation von Tatverdächtigen über Messengerdienste, der Verbreitung von Kinderpornographie, bei kriminellen Handelsplattformen, die Betäubungsmittel oder Cybercrime-as-a-Service (CaaS) anbieten, sowie bei echt wirkenden Onlineshops, die Waren verkaufen, die gar nicht existieren (sogenannte Fakeshops). Die Täter hinterlassen dabei digitale Spuren, zum Beispiel die von ihnen verwendete Internetprotokoll-Adresse (IP-Adresse). Diese Spuren sind nicht selten flüchtig, da die Internetzugangsdiensteanbieter die IP-Adressen – wenn überhaupt – nur wenige Tage speichern. Eine Abfrage der Strafverfolgungsbehörden und Polizeibehörden bei den Internetzugangsdiensteanbietern hat deshalb nur dann Erfolg, wenn die abgefragten Daten noch gespeichert sind. Ferner ist nach einer Entscheidung des Bundesgerichtshofs eine Funkzellenabfrage nicht mehr bei Straftaten von erheblicher Bedeutung möglich. Ziel des Entwurfs ist, die Erfolgsaussichten der Abfragen der Strafverfolgungsbehörden und Polizeibehörden zu verbessern und der Strafverfolgungspraxis die Funkzellenabfrage im Umfang wie vor der Entscheidung des Bundesgerichtshofs zu ermöglichen.

B. Lösung
Es wird erstens eine Pflicht zur Speicherung von IP-Adressen eingeführt, um den Strafverfolgungsbehörden und Polizeibehörden die zuverlässige Identifikation eines Anschlussinhabers anhand einer IP-Adresse zu ermöglichen. Die Behörden können damit ein Instrument nutzen, das es ihnen erlaubt, dem häufig einzigen, aber nahezu immer effizientesten Ermittlungsansatz zu folgen. Zweitens wird im Bereich der Strafverfolgung für Verkehrsdaten das Instrument der Sicherungsanordnung geschaffen. Damit können die Strafverfolgungsbehörden die Sicherung von Verkehrsdaten veranlassen, sofern und solange die rechtlichen oder tatsächlichen Voraussetzungen einer Datenerhebung noch nicht vorliegen. Für den Bereich der Gefahrenabwehr sieht der Entwurf eine entsprechende Befugnis für das Bundeskriminalamt vor. Drittens wird der Strafverfolgungspraxis wieder ermöglicht, bei Straftaten von erheblicher Bedeutung, insbesondere solchen nach § 100a Absatz 2 der Strafprozessordnung, eine Funkzellenabfrage durchzuführen.

BVerfG
Beschluss vom 24.06.2025
1 BvR 180/23
Trojaner II

Das BVerfG hat entschieden, dass die Regelung zur Online-Durchsuchung und zur (Quellen-)Telekommunikationsüberwachung mittels Überwachungssoftware in § 20c PolG NW verfassungskonform ist.

Leitsätze des Bundesverfassungsgerichts:
1. Eine Befugnis zur Überwachung und Aufzeichnung laufender Telekommunikation in der Weise, dass mit technischen Mitteln in von Betroffenen eigengenutzte IT-Systeme eingegriffen wird (Quellen-Telekommunikationsüberwachung, vgl. § 100a Abs. 1 Satz 2 StPO), begründet einen sehr schwerwiegenden Eingriff sowohl in das IT-System-Grundrecht (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) als auch in das durch Art. 10 Abs. 1 GG geschützte Fernmeldegeheimnis.

2. a) Eine Befugnis zur Überwachung und Aufzeichnung der auf einem IT-System Betroffener gespeicherten Inhalte und Umstände der Kommunikation in der Weise, dass mit technischen Mitteln in ein IT-System eingegriffen wird (erweiterte Quellen-Telekommunikationsüberwachung, vgl. § 100a Abs. 1 Satz 3 StPO), ist allein am IT-System-Grundrecht zu messen.

b) Das Recht auf informationelle Selbstbestimmung schützt nicht nur vor einzelnen Datenerhebungen, sondern auch vor dem Zugriff auf große und dadurch typischerweise besonders aussagekräftige Datenbestände. Ermächtigt aber eine Norm zur Datenerhebung aus einem IT-System, auf das mit technischen Mitteln zugegriffen wird, wird das Recht auf informationelle Selbstbestimmung vom IT-System-Grundrecht verdrängt.

c) Von diesen beiden Ausprägungen des allgemeinen Persönlichkeitsrechts gewährleistet das IT-System-Grundrecht einen gegenüber dem Recht auf informationelle Selbstbestimmung spezifischen Schutz, der gerade die mit dem Zugriff auf eigengenutzte IT-Systeme verbundene Verletzung ihrer Integrität und Gefährdung der Vertraulichkeit in den Blick nimmt.

3. Eine Befugnisnorm, die dazu ermächtigt, heimlich mit technischen Mitteln in ein von Betroffenen genutztes IT-System einzugreifen und daraus Daten zu erheben, die auch solche der laufenden Fernkommunikation umfassen (Online-Durchsuchung), ermöglicht Eingriffe sowohl in das IT-System-Grundrecht als auch in Art. 10 Abs. 1 GG. Sind beide Grundrechte betroffen, ist die Befugnis zur Online-Durchsuchung an beiden Grundrechten zu messen.

Den Volltext der Entscheidung finden Sie hier:

BVerfG
Beschluss vom 24.06.2025
1 BvR 2466/19
Trojaner I

Das BVerfG hat entschieden, dass die Regelung zur Online-Durchsuchung und zur (Quellen-)Telekommunikationsüberwachung mittels Überwachungssoftware in § 20c PolG NW verfassungskonform ist.

Leitsätze des Bundesverfassungsgerichts:
1. Art. 10 Abs. 1 GG schützt vor den spezifischen Gefahren, die mit einer räumlich distanzierten Kommunikation einhergehen, und gewährleistet insoweit eine Privatheit auf Distanz. Diese Gefahren realisieren sich nicht nur bei einer Fernkommunikation zwischen zwei oder mehreren Menschen. Im Lichte seiner Entwicklungsoffenheit begegnet das Grundrecht auch neuen Gefährdungen, die sich aus der gestiegenen Bedeutung der Informationstechnik für die Entfaltung des Einzelnen ergeben, und erfasst insoweit grundsätzlich auch andere mithilfe von Telekommunikationstechniken über Distanz transportierte Daten.

2. Das allgemeine Persönlichkeitsrecht (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) in seiner Ausprägung als Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme (IT-System-Grundrecht) schützt insbesondere vor heimlichen Zugriffen durch eine Online-Durchsuchung, ist hierauf aber nicht beschränkt (Anschluss an BVerfGE 120, 274).

a) Schutzgegenstand sind IT-Systeme, die aufgrund ihrer technischen Funktionalität allein oder durch ihre technische Vernetzung Daten einer betroffenen Person in einem Umfang und einer Vielfalt vorhalten können, dass ein Zugriff auf das System es ermöglicht, einen Einblick in wesentliche Teile der Lebensgestaltung einer Person zu gewinnen oder gar ein aussagekräftiges Bild der Persönlichkeit zu erhalten.

b) Grundrechtlich gewährleistet ist die Vertraulichkeit und Integrität des vom Schutzbereich erfassten IT-Systems. Das IT-System-Grundrecht schützt nicht nur die Vertraulichkeit der Daten, die durch Datenerhebungsvorgänge verletzt wird, sondern verlagert diesen Schutz nach vorne. Denn bereits mit dem Zugriff auf ein IT-System entsteht eine besondere Gefährdungslage für die dort erzeugten, verarbeiteten und gespeicherten oder von dort aus zugänglichen Daten. Der Gewährleistungsgehalt des IT-System-Grundrechts geht dementsprechend über den Schutz personenbezogener Daten hinaus und vermittelt einen insoweit vorgelagerten Schutz der Persönlichkeit. Der Schutzbereich ist daher stets vom IT-System her zu definieren und auf ein auf dieses System insgesamt bezogenes Gefährdungspotenzial ausgelegt.

3. Darf die Überwachung und Aufzeichnung laufender Telekommunikation auch in der Weise erfolgen, dass mit technischen Mitteln in von Betroffenen genutzte IT-Systeme eingegriffen wird (Quellen-Telekommunikationsüberwachung), begründet dies sowohl einen Eingriff in das durch Art. 10 Abs. 1 GG geschützte Fernmeldegeheimnis als auch in das IT-System-Grundrecht. Solche Maßnahmen sind an beiden Grundrechten zu messen (Abweichung von BVerfGE 141, 220).

4. Den im präventiven Bereich erforderlichen Rechtsgüterschutz kann der Gesetzgeber auch in der Weise sicherstellen, dass er an hinreichend gewichtige Straftaten anknüpft. Er kann ihn aber auch unabhängig vom Gewicht der Straftat mit einer ergänzenden Rechtsgutbetrachtung oder jedenfalls dergestalt sicherstellen, dass er eine hinreichende Qualifizierung als terroristische Straftat im Einzelfall vorsieht.

Den Volltext der Entscheidung finden Sie hier:

BVerwG
Beschluss vom 02.05.2024
6 B 66.23

Das Bundesverwaltungsgericht hat entschieden, das Art. 79 Abs. 1 DSGVO einen öffentlich-rechtlichen Unterlassungsanspruch gegen die kommunale Videoüberwachung einer Grünfläche zur Gefahrenabwehr und Gefahrenvorsorge nicht ausschließt.

Leitsatz des Gerichts:
Art. 79 Abs. 1 DSGVO schließt die Geltendmachung eines öffentlich-rechtlichen Unterlassungsanspruchs gegen die Datenverarbeitung im Bereich der kommunalen Gefahrenabwehr und Gefahrenvorsorge - hier durch Videoüberwachung einer als öffentliche Einrichtung gewidmeten Grünfläche - nicht aus.

Den Volltext der Entscheidung finden Sie hier: