Mit dem neuen Cyberabwehr-Gesetz verschiebt die Bundesregierung die Grenze zwischen Verteidigung und Gegenangriff im digitalen Raum. Das Bundeskabinett hat am 27. Mai 2026 einen Gesetzentwurf zur Stärkung der Cybersicherheit beschlossen, der BSI, BKA und Bundespolizei deutlich weitergehende Befugnisse gibt. Künftig sollen die Behörden Angriffe nicht nur erkennen, sondern technisch eingreifen, bis hin zum Löschen von Daten auf fremden Servern.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügenDas Wichtigste in Kürze
- Das Kabinett beschloss am 27. Mai 2026 den Entwurf, der Bundestag muss noch zustimmen.
- BKA und Bundespolizei dürfen Daten mit technischen Mitteln verändern, auch auf ausländischen Systemen und ohne Kenntnis des Betroffenen.
- Das BSI darf schädlichen Datenverkehr umleiten, den Betrieb gefährlicher IT-Systeme untersagen und erhält Anordnungsbefugnisse gegenüber DNS- und Diensteanbietern.
- Bitkom, BDI und die Gesellschaft für Informatik warnen vor Kollateralschäden bei unbeteiligten Dritten.
Was dürfen die Behörden künftig konkret?
Der Kern des Entwurfs ist die aktive Cyberabwehr. Bislang versuchten die Behörden, einen laufenden Angriff in schadlose Bereiche des Netzes umzuleiten. Künftig sollen sie den Angreifer selbst ins Visier nehmen, also dessen Server, Software und Strategie. Dazu zählen das Untersagen des Betriebs gefährlicher IT-Systeme, das Umleiten von Datenverkehr sowie das Auslesen, Löschen oder Verändern von Daten.
Die BSI-Rolle wächst spürbar. Das Bundesamt erhält Anordnungsbefugnisse gegenüber DNS- und digitalen Diensteanbietern, die im Gegenzug sicherheitsrelevante Informationen liefern müssen. Im KRITIS-Bereich ist eine automatisierte Übermittlung aus den Systemen zur Angriffserkennung an das BSI vorgesehen. Bundesinnenminister Alexander Dobrindt nennt das einen notwendigen Schritt, um Angreifern etwas entgegenzusetzen, schließt einen formalen Hackback nach eigener Aussage aber aus.
Warum regt sich Widerstand aus der Wirtschaft?
Die Kritik setzt an den Risiken neuer Eingriffsbefugnisse an. Verbände wie Bitkom, BDI und die Gesellschaft für Informatik warnen, dass Gegenmaßnahmen auch unbeteiligte Dritte treffen können. Angreifer nutzen oft gekaperte Server arglose Unternehmen als Zwischenstation, und genau diese Infrastruktur geriete bei einem digitalen Gegenschlag ins Kreuzfeuer. Die Diskussion verläuft damit entlang einer alten Linie: mehr staatliche Schlagkraft gegen mehr Risiko für Unbeteiligte.
Die Einordnung für Unternehmen bleibt zweischneidig. Die Bedrohungslage steigt unvermindert, wie der BSI-Cybersicherheitsmonitor 2026 belegt, und parallel verschärft sich der Compliance-Druck etwa durch die NIS-2-Pflichten. Wer als Mittelständler ohnehin schon mit knappen Ressourcen gegen KI-gestützte Angriffe kämpft, gewinnt durch staatliche Gegenschläge nicht automatisch mehr Schutz für die eigene Infrastruktur.
Der Staat rüstet auf, doch die eigene Firewall ersetzt das nicht. Für den Mittelstand bleibt die Pflicht, die eigene Tür abzuschließen, völlig unberührt von dem, was Behörden künftig beim Angreifer anrichten dürfen.
— Michael Dobler, Herausgeber Dr. Web
Was sollten Unternehmen jetzt beobachten?
Verfolgen Sie das parlamentarische Verfahren, weil der Bundestag dem Entwurf noch zustimmen muss und Details sich verschieben können. Relevant wird vor allem, wie der Gesetzgeber die Haftung regelt, falls ein behördlicher Gegenschlag fremde Systeme beschädigt. Unternehmen mit eigener Server-Infrastruktur sollten prüfen, ob ihre Anlagen unbeabsichtigt als Zwischenstation für fremde Angriffe dienen könnten.
Unabhängig vom Gesetz bleibt die eigene Vorsorge entscheidend. Eine saubere Grundabsicherung, dokumentierte Prozesse und ein klarer Notfallplan zählen mehr als die Frage, was der Staat beim Angreifer tut. Welche Bausteine dazugehören, ordnet unser Cybersecurity-Grundlagen-Ratgeber für KMU ein.
Dazu:
Cybersecurity-Glossar 2026: 99 Begriffe von BSI bis Zero Trust für Entscheider
Cybersecurity Grundlagen: Was KMU 2026 können müssen
Mehr Newshunger?
