BND darf zurückhacken: Zeitenwende im Geheimdienst

Wenn der BND künftig einen Cyberangriff auf deutsche Infrastruktur registriert, soll er zurückschlagen dürfen: in die Angreiferinfrastruktur eindringen, sie sabotieren, im Zweifelsfall Desinformation in feindliche Netzwerke einspeisen. Was in den Niederlanden, den USA, Großbritannien und Frankreich seit Jahren erlaubt ist, will Deutschland mit einem rund 700 Seiten starken Gesetzentwurf aus dem Bundesinnenministerium nachholen. Bundesinnenminister Alexander Dobrindt (CSU) nennt das die „Zeitenwende bei Geheimdiensten“. Der Bundesbeauftragte für Datenschutz und Informationsfreiheit nennt den Entwurf maßlos, unkontrolliert und intransparent.

Was der Entwurf konkret vorsieht

Das Gesetz zur Reform des Nachrichtendienstrechts, wie das Vorhaben offiziell heißt, erweitert die Befugnisse beider Dienste in mehrere Richtungen. Der BND, bisher zuständig für Auslandsaufklärung, soll Hackbacks durchführen dürfen: Wenn ein Cyberangriff auf deutsche Infrastruktur läuft, darf der Dienst in die Angreiferinfrastruktur eindringen, sie übernehmen oder stören. Das schließt auch das gezielte Verbreiten von Desinformation in feindlichen Netzwerken ein.

Für den Verfassungsschutz (BfV), der bisher auf Inlandsbeobachtung beschränkt war, sieht der Entwurf ebenfalls operative Befugnisse vor. Beide Dienste sollen künftig IT-Systeme penetrieren und bei Cyberangriffen gegenhacken dürfen. Am Internetknoten DE-CIX in Frankfurt, über den ein erheblicher Teil des deutschen Internetverkehrs läuft, soll der BND den ein- und ausgehenden Datenverkehr umfassend überwachen dürfen.

Die Kontrollarchitektur wird gleichzeitig umgebaut. Die bisherige G10-Kommission, die BND-Maßnahmen mit Grundrechtsbezug genehmigt, soll aufgelöst werden. Ihre Aufgaben übernimmt der Unabhängige Kontrollrat (UKRat), der bisher nur für den BND zuständig war und nun auch den Verfassungsschutz kontrollieren soll. Der erste öffentliche Bericht des UKRat über diese erweiterten Befugnisse ist für 2031 geplant, er würde dann den Zeitraum 2028 bis 2030 abdecken. Fünf Jahre nach Inkrafttreten des Gesetzes wäre damit die erste öffentliche Rechenschaft fällig.

Warum jetzt und warum so umfassend

Die unmittelbare Begründung ist der russische Angriffskrieg gegen die Ukraine. Seit 2022 hat die Zahl hybrider Angriffe auf deutsche Infrastruktur erheblich zugenommen: Sabotageakte an Unterwasserkabeln und Energieinfrastruktur, staatlich gelenkte Cyberoperationen, koordinierte Desinformationskampagnen. Das Bundesamt für Sicherheit in der Informationstechnik registrierte allein im ersten Halbjahr 2026 mehr als 950 Ransomware-Angriffe auf Unternehmen und Behörden.

Dobrindt begründete den Entwurf im Februar mit einem internationalen Vergleich: Die Niederlande, die USA, Großbritannien und Frankreich hätten seit Jahren operative Befugnisse für ihre Geheimdienste, während Deutschland auf Beobachtung beschränkt geblieben sei. Auch setzt das Bundesverfassungsgericht die Regierung unter Druck: Das Gericht hatte frühere BND-Befugnisse in Teilen für grundrechtswidrig erklärt und eine Frist bis Ende 2026 gesetzt, um das Gesetz verfassungskonform zu überarbeiten. Der aktuelle Entwurf geht deutlich über diese Minimalanforderung hinaus.

Was Kritiker sagen

Die Reaktionen aus der Zivilgesellschaft und von Datenschutzbehörden sind eindeutig. Der Bundesbeauftragte für Datenschutz und Informationsfreiheit charakterisiert den Entwurf in seiner Stellungnahme als maßlos, unkontrolliert und intransparent. Der Deutschen Gesellschaft für Datenschutz und mehreren zivilgesellschaftlichen Organisationen ist der Entwurf ebenfalls zu weit gegangen; sie warnen vor einem erheblichen Überwachungsdruck für die Gesellschaft, wenn Geheimdienste auf der Grundlage dieses Gesetzes agieren.

Die taz fasst die Kritik unter dem Begriff „Dobrindts Schnüffeloffensive“ zusammen. Der Kern der Einwände: Hackbacks und Sabotageaktionen im Cyberraum eskalieren tendenziell; sie können Unbeteiligte treffen, wenn Angreiferinfrastruktur in neutralen Ländern steht. Desinformationskampagnen im Auftrag des Staates verschieben die Grenze zwischen nachrichtendienstlicher Tätigkeit und aktivem Eingriff in den öffentlichen Diskurs. Und die geplante Auflösung der G10-Kommission, kombiniert mit einem UKRat-Bericht erst 2031, ist für Bürgerrechtsorganisationen keine ausreichende Kontrolle für diese neuen Befugnisse.

Das Bundesinnenministerium weist die Kritik zurück und betont, alle Maßnahmen seien an enge rechtliche Bedingungen und Genehmigungspflichten gebunden. Details dazu stehen im Entwurf, der noch nicht final ist.

Was der Bundestag im Herbst entscheidet

Ein abgestimmter Gesetzentwurf liegt dem Bundestag noch nicht vor. Die Bundesregierung plant, die Ressortabstimmung zwischen Innenministerium, Verteidigungsministerium und Justizministerium vor der parlamentarischen Sommerpause abzuschließen, sodass das Gesetz im Herbst 2026 in den Bundestag eingebracht werden kann. Die Verfassungsgerichtsfrist Ende 2026 setzt einen harten Zeitplan.

Im Parlament ist die Grundrichtung des Vorhabens nicht unumstritten. SPD und CDU/CSU stützen grundsätzlich die Ausweitung der Befugnisse; Streit gibt es über den Umfang und die Kontrollarchitektur. Die Grünen und die Linken lehnen zentrale Teile ab. Was am Ende beschlossen wird, hängt davon ab, wie viel die Koalition von der Ursprungsversion bereit ist zu verhandeln. Die Zivilgesellschaft nutzt die Zeit bis zum Herbst für eine weitere Debatte über das, was ein demokratischer Rechtsstaat seinen Diensten erlauben darf.