Was bedeutet „aktive Cyberabwehr“ im Sinne des neuen BSI-Sicherheitsgesetzes?

Das Bundeskabinett hat vor Kurzem einen weitreichenden Gesetzentwurf zur Stärkung der Cybersicherheit beschlossen. Angesichts rasant steigender Hackerangriffe und Ransomware-Attacken, die in Deutschland mittlerweile Schäden in Milliardenhöhe verursachen, soll die digitale Gefahrenabwehr auf ein neues Fundament gestellt werden. Doch was beinhaltet die Gesetzesinitiative genau und welche Auswirkungen hat sie auf die Praxis?

Was regelt der neue Gesetzentwurf zur Cybersicherheit?

Der vom Bundesinnenministerium vorgelegte Entwurf gibt den deutschen Sicherheitsbehörden – namentlich dem Bundeskriminalamt (BKA) und der Bundespolizei – erweiterte Befugnisse, um aktiv gegen Cyberangriffe vorzugehen. Bisher durften Behörden Angriffe im Wesentlichen nur passiv abwehren oder im Nachgang strafrechtlich verfolgen.

Zukünftig ist eine sogenannte „aktive Cyberabwehr“ zulässig. Das bedeutet: Wenn IT-Systeme oder Netzwerke attackiert werden, dürfen Bundesbehörden in die Systemserver und Software der Angreifer eingreifen, den schädlichen Datenverkehr umleiten oder IT-Infrastrukturen unschädlich machen. Selbst dann, wenn sich diese Server im Ausland befinden. Ziel ist es, die Angreifer gezielt zu stören und ihre Handlungsfähigkeit dauerhaft zu unterbinden.

Ist die aktive Cyberabwehr ein „Hackback“?

Die Bundesregierung betont ausdrücklich, dass es sich hierbei nicht um einen sogenannten „Hackback“ (also einen digitalen Vergeltungsschlag oder Racheakt) handelt. Innenminister Alexander Dobrindt stellte klar, dass die Maßnahmen ausschließlich der präventiven Gefahrenabwehr dienen. Es geht darum, eine laufende oder unmittelbar bevorstehende Bedrohung zu stoppen, vergleichbar mit der Sicherung eines herrenlosen Koffers im öffentlichen Raum. Eine Änderung des Grundgesetzes sei laut Ministerium für diese rein gefahrenabwehrenden Befugnisse nicht erforderlich.

Welche Kontroversen gibt es um das Gesetz?

Obwohl der Schutz der Wirtschaft vor Spionage, Sabotage und Erpressung im Vordergrund steht, stößt der Entwurf auf erhebliche Kritik aus Justiz, Politik und Wirtschaft. Denn Cyberkriminelle nutzen selten eigene Server, sondern kapern oft die IT-Infrastrukturen unschuldiger Dritter oder mieten legitime Cloud-Dienste an. Der Bitkom warnt, dass behördliche Gegenangriffe unbeabsichtigt auch die Systeme von Unternehmen treffen könnten, die selbst Opfer eines Cyberangriffs geworden sind.

Inwiefern betrifft das Unternehmen in der Praxis?

Auch wenn die aktive Cyberabwehr durch den Staat erfolgt, zeigt die Gesetzesinitiative, wie akut die Bedrohungslage für den deutschen Mittelstand und die Kritische Infrastruktur (KRITIS) eingestuft wird. Der Bundesverband der Deutschen Industrie (BDI) fordert jedoch deutliche Nachbesserungen am aktuellen Gesetzentwurf. Nach Ansicht des Verbandes setzt die Bundesregierung derzeit zu einseitig auf staatliche Durchgriffsrechte, anstatt die essenzielle Zusammenarbeit mit den Unternehmen zu stärken.