a) Erste Beratung des von der Bundesregierung eingebrachten Entwurfs eines Gesetzes zur Stärkung der Cybersicherheit b) Beratung des Antrags der Abgeordneten Donata Vogtschmidt, Clara Bünger, Anne-Mieke Bremer, weiterer Abgeordneter und der Fraktion Die Linke Gegen die Einführung von Hackbacks und offensiver Cyberabwehr

Sehr geehrter Herr Präsident! Verehrte Kolleginnen und Kollegen! Heute bereiten wir einem Meilenstein der Sicherheitsarchitektur in Deutschland den Weg. Mit diesem Gesetzentwurf legen wir schlichtweg den Schalter um: von der Aufklärung hin zur Abwehr. Wir legen die Grundlagen für die aktive Cyberabwehr. Wir machen damit unmissverständlich deutlich: Deutschland handelt entschlossen, wenn es um die Verteidigung im Cyberraum geht. Cyberangriffe, meine Damen und Herren, sind nicht neu. Aber wir verändern den Umgang mit den Urhebern, mit den Tätern dieser Cyberattacken. Wer uns zukünftig im Cyberraum angreift, der muss wissen: Wir schlagen zurück und sind in der Lage, die Angreifer in ihrer Infrastruktur zu stören und zu zerstören. Ich will mich ausdrücklich bei den Kolleginnen und Kollegen in der Koalition für die Beratungen in den vergangenen Monaten und bei allen, die mitgewirkt haben, bedanken, im Besonderen bei der Bundesjustizministerin Stefanie Hubig für die exzellente und konstruktive Zusammenarbeit. Wir zeigen wieder einmal, dass wir hier gemeinsam die Voraussetzungen schaffen, damit unsere Sicherheitsbehörden technisch und rechtlich in der Lage sind, den Bedrohungen standhalten zu können. Dieses Gesetz zur aktiven Cyberabwehr ist eine neue Säule in unserer Sicherheitsarchitektur. Es stärkt das BSI, das BKA und die Bundespolizei. Und es ist zwingend notwendig, um gegen die immer weiter steigende hybride Bedrohung vorzugehen. Wir sind täglich Zielscheibe digitaler Angriffe, weil wir als starke Wirtschaftsnation in der Welt unterwegs sind, weil wir ein innovativer Industriestandort sind, weil wir das Zentrum der europäischen Verteidigungsarchitektur darstellen, weil wir ein Wissenschaftszentrum sind. Wir stehen eben im Fokus von professionellen und perfiden Angreifern. Es geht um Spionage, Sabotage und Destabilisierung. Es geht um Einflussnahme und Manipulation. Es geht um die hybride Bedrohung. Das, was wir täglich erleben, ist der Schattenkrieg des 21. Jahrhunderts. Es ist kein heißer Krieg, aber eine dunkle Bedrohung, die versucht, sich manipulativ über unser Land zu legen. Wir sagen deutlich: Kriminelle Netzwerke, staatliche oder halbstaatliche Akteure, fremde Mächte lassen wir nicht zu. Die Schattenkrieger kriegen heute ein deutliches Signal von uns: Wer uns angreift, der kann darauf vertrauen, dass wir nicht einfach zusehen, sondern zurückschlagen, meine Damen und Herren. Wir stärken unsere Fähigkeiten. Wir stoppen unsere Angreifer. Wir stören ihre Möglichkeiten. Dabei geht es natürlich auch um Prävention; die bleibt unverzichtbar. Wir haben das NIS-2-Gesetz verabschiedet. Wir bauen das BSI weiter auf. Wir bauen resiliente IT-Strukturen auf. Ja, Prävention ist nach wie vor zwingend notwendig, aber sie allein genügt eben nicht. Aktive Cyberabwehr muss ein Bestandteil der deutschen Sicherheitsarchitektur sein. Ich habe in den vergangenen Tagen immer wieder Vorwürfe gelesen, wir würden einen Hackback initiieren wollen. Meine Damen und Herren, das, was wir tun, hat mit einem Hackback beileibe überhaupt nichts zu tun. Ein Hackback bedeutet nämlich, dass man, wenn ein Angreifer seine Attacken beispielsweise gegen unsere Krankenhausinfrastruktur richtet, um diese lahmzulegen, aus Rachegelüsten beispielsweise gegen seine Energieinfrastruktur einen Gegenschlag richtet. Darum geht es schlichtweg nicht. Uns geht es darum: Wer meint, er könnte unsere Infrastruktur, beispielsweise unsere Krankenhausinfrastruktur, aktiv angreifen, der muss einfach damit rechnen, dass wir seine Angriffsarchitektur stören und zerstören. Das ist kein Hackback, meine Damen und Herren. Das ist eine angemessene Antwort auf hybride Bedrohungen. Das ist aktive Cyberabwehr. Herzlichen Dank. Vielen Dank, Herr Minister. – Für die nächste Rede erteile ich das Wort Steffen Janich für die AfD-Fraktion.

Herr Präsident! Meine Damen und Herren! Es gibt sie noch, diese Momente, in denen die Bundesregierung etwas sagt und man das Gefühl hat, nicht komplett an der Nase herumgeführt zu werden. Denn das, was der Gesetzentwurf zur Stärkung der Cybersicherheit als Problemanalyse benennt, ist erfrischend ehrlich und schonungslos. So heißt es dort, dass Deutschland im Fokus hochprofessioneller Cyberangriffe stehe; Deutschlands wirtschaftlicher Erfolg und nationale Sicherheit seien mit Cybersicherheit untrennbar verbunden. Ich muss Ihnen sagen: Diese Analyse ist zutreffend. Die hätte glatt von uns kommen können. Laut dem Microsoft Digital Defense Report für das Jahr 2025 lag Deutschland als Ziel von Cyberangriffen weltweit auf Platz vier. In der Europäischen Union ist Deutschland gar das am meisten von Cyberattacken betroffene Land. Selbst mit begrenzten technischen Kenntnissen können Cyberkriminelle mittlerweile dank einfach verfügbarer Standardtools und digitaler Automatisierung ihre Aktivitäten erheblich ausweiten. 80 Prozent der Cybervorfälle waren laut diesem Bericht Datendiebstähle. Finanzielle Gewinne stehen im Vordergrund. Bei mehr als der Hälfte der Cyberangriffe ging es um Erpressung oder Ransomware. Deshalb: Eine verantwortungsvolle Politik darf die Gefahren der Zukunft nicht verschlafen, indem sie bei Sicherheitsbefugnissen des Staates nicht mit der Zeit geht. Der Preis der politischen Untätigkeit wären massive Unternehmensinsolvenzen durch Cyberangriffe in Deutschland, und das wollen wir gerade nicht. Dieses Gesetz schafft mit neuen Befugnissen für Bundespolizei, BKA und BSI die Möglichkeit, eine verbesserte Cyberabwehr aufzubauen. Aus staatspolitischer Verantwortung möchte ich Ihnen jedoch ein paar Dinge benennen, wo wir noch Handlungsbedarf sehen: Erstens. Wenn die Bundespolizei dem Betreiber eines IT-Systems dessen Nutzung untersagt, sollte dies befristet sein. Unternehmen ist nicht geholfen, wenn die Insolvenz aufgrund eines Cyberangriffs verhindert wird, aber die Unternehmenspleite aufgrund einer Nutzungsuntersagung eintritt. Hier muss nachjustiert werden. Zweitens. Wenn das Auslesen, Löschen oder Verändern gefahrengegenständlicher Daten mit technischen Mitteln unter Richtervorbehalt gestellt wird, wie es der Gesetzentwurf vorsieht, ist das richtig. Allerdings sind Rechtspflege und Justiz im Allgemeinen keine Träger technologischer Innovationen; ich nenne da beispielsweise nur das elektronische Anwaltspostfach oder die E-Akte. Darum sollten die Amtsgerichte über die Voraussetzungen und den Inhalt solcher Abwehrmaßnahmen vorab aufgeklärt werden. Und drittens. Entgegen früheren Verlautbarungen sind Sie, Herr Innenminister Dobrindt, beim Thema Hackbacks offenbar vollständig eingeknickt. Spätestens wenn sich Grüne, Linke und SPD gegen Hackbacks im Ausland aussprechen, ist das der beste Beleg dafür, dass wir genau solche Hackbacks brauchen. Wenn Schurkenstaaten nach sicherer Erkenntnis unsere deutsche Souveränität im Cyberraum angreifen, dann sollten wir in Deutschland diesen Staaten ein gemeinsames Zeichen deutscher Souveränität senden, indem wir mit einem Vergeltungsangriff auf die IT-Struktur dieser Schurkenstaaten reagieren können. Wir stehen für deutsche Unabhängigkeit und Souveränität. Und das gilt auch und insbesondere im Cyberraum. Denn wir lieben Deutschland. Vielen Dank. Vielen Dank. – Der nächste Redner ist Daniel Baldy für die SPD-Fraktion.

Vielen Dank, Herr Präsident. – Liebe Kolleginnen, liebe Kollegen! Es ist Fußball-WM, unsere Jungs spielen heute Abend gegen Ecuador. Ob unsere Nationalmannschaft dabei so erfolgreich sein wird wie der FC Bundestag bei der Europameisterschaft, wird sich dann zeigen. Klar ist aber: Wenn man ein Spiel gewinnen will, dann ist es zumindest schon mal die halbe Miete, wenn man hinten in der Abwehr gut steht, wenn man zu null spielt. Als Innenverteidiger des FC Bundestags weiß ich natürlich absolut, wovon ich spreche. Und so, wie das auf dem Platz ist, ist das eben auch im digitalen Raum. Deutschland muss bei der Abwehr von Gefahren im Cyberraum gut aufgestellt sein. Unsere Sicherheitsbehörden dürfen nicht am Spielfeldrand stehen, Cyberangriffe nur beobachten und danach erklären, was alles hätte besser laufen können. Nein, sie müssen auch selbst mit auf dem Platz stehen. Sie müssen nicht nur aufklären, sie müssen auch abwehren können, liebe Kolleginnen und Kollegen. Denn unsere Gegner – der Innenminister hat es eben schon angesprochen – sind leider hochpotent. Das sehen wir an der hohen und stetig steigenden Zahl von Cyberangriffen. Und sie sind heterogen. Mal sind es private, mal halbstaatliche, mal staatliche Akteure, die uns angreifen. Und wenn wir dem etwas entgegenstellen wollen, dann brauchen wir nicht weniger als die beste Mannschaft auf dem Platz. Und deshalb, liebe Kolleginnen, liebe Kollegen, stärken wir mit diesem Gesetz nicht nur eine Sicherheitsbehörde, sondern wir geben BSI, BKA und Bundespolizei die richtigen Werkzeuge an die Hand, damit sie auf Cyberangriffe zukünftig angemessen reagieren können. So wie das Bundeskriminalamt und die Bundespolizei heute schon im analogen Raum im Bereich der Gefahrenabwehr zuständig sind, so schaffen wir diese Befugnis im Rahmen dieses Gesetzes jetzt auch für den digitalen Raum. Was bedeutet das konkret? Bundespolizei und BKA sollen zukünftig beispielsweise Datenverkehre, von denen eine Gefahr ausgeht, umleiten dürfen oder den Betrieb informationstechnischer Systeme stoppen können. Es geht aber in diesem Gesetz nicht nur darum, laufende Gefahren zu stoppen. Unser Ziel muss es auch sein, den entstandenen Schaden so gering wie möglich zu halten. Und deshalb ist es nur richtig, dass BKA und Bundespolizei in Zukunft auch die Möglichkeit haben, durch Cyberangriffe abgeflossene Daten zu löschen oder zu verändern. Lassen Sie mich bitte dazu eins klarstellen, auch noch mal bestärkend in Richtung des Innenministers, der es schon gesagt hat: Es geht hier nicht um Harakiri, es geht hier nicht um Hackbacks. Es geht schlichtweg darum, nicht tatenlos zuzusehen, wie Verbrecher mit der Beute davonlaufen. Das lassen wir im analogen Raum nicht zu, und wir dürfen es auch im digitalen Raum nicht zulassen, liebe Kolleginnen und Kollegen. Wir wollen aber nicht nur auf Angriffe reagieren. Nein, wir wollen sie zukünftig auch besser verhindern. Deshalb stärken wir das BSI, das Bundesamt für Sicherheit in der Informationstechnik, und seine Fähigkeiten, Angriffsvektoren zu identifizieren und somit mögliche Angriffe auch tatsächlich zu verhindern. Für eine gute Spielvorbereitung braucht es eben eine solide Gegneranalyse. Mit diesem Gesetz schaffen wir die Grundlage dafür, dass das BSI zukünftig noch besser vor solchen Angriffskampagnen warnen kann. Denn das Mobile Incident Response Team des BSI, quasi die „schnelle Eingreifgruppe“, kann von KRITIS-Betreibern zukünftig schon beim Verdacht eines Cyberangriffs angefordert werden. Das hilft insbesondere den Einrichtungen, die aufgrund ihrer Größe vielleicht keine großen IT-Abteilungen haben. Wir machen damit klar: Diese Bundesregierung, diese Koalition unterstützt sensible Einrichtungen gerade im Mittelstand und in kleineren Unternehmen bei der Abwehr von Cybergefahren. Worauf kommt es jetzt bei den anstehenden Beratungen im Parlament an? Bei so vielen Akteuren dürfen wir es nicht zu einem Kompetenzwirrwarr kommen lassen. BKA und Bundespolizei dürfen im Ernstfall nicht über Zuständigkeiten streiten. Deshalb braucht es hier von Anfang an klare Maßstäbe und Regeln, wer wann zuständig ist. Fakt ist aber schon heute: Diese Koalition macht den digitalen Raum sicherer: mit der Umsetzung der NIS-2-Richtlinie, mit dem Cyber Resilience Act, der hier gerade im Parlament beraten wird, mit den digitalen Ermittlungsbefugnissen, mit dem jetzt vorliegenden Cybersicherheitsgesetz und vielen weiteren Planungen dieser Koalition und des Innenministeriums. Diese Koalition handelt. Sie macht Deutschland sicherer. Und das ist auch gut so, liebe Kolleginnen und Kollegen. Aber aus aktuellem Anlass – wie uns der Dienstagabend bei der Deutschen Bahn gezeigt hat – will ich auch sagen: Starke Sicherheitsbehörden allein werden uns nicht beschützen können. Es geht auch darum, mit dem aktuellen Stand der Technik mitzugehen. Die Zeiten, in denen wir auf 25 Jahre alte Standards in kritischer Infrastruktur vertrauen konnten, sind nun mal vorbei. Auch hier müssen wir, um unsere Cybersicherheit zu stärken, investieren. Und deshalb will ich betonen: Zum Glück haben Union, Grüne und SPD im letzten Jahr die Bereichsausnahme der Schuldenbremse auch für die Cybersicherheit beschlossen, haben wir das Sondervermögen zur Modernisierung unseres Landes, unserer Infrastruktur beschlossen. Das müssen wir jetzt im wahrsten Sinne des Wortes auch auf die Schiene bringen; nicht nur bei der Bahn, auch anderswo. Diese Koalition tut das. Wir handeln. Wir machen Deutschland sicherer. Wir stärken uns im Cyberraum. Wir drücken unseren Jungs heute Abend die Daumen. Und um mit einem Fußballzitat zu enden: „Ich habe fertig!“ Herzlichen Dank. Vielen Dank. – Der nächste Redner ist Marcel Emmerich für die Fraktion Bündnis 90/Die Grünen.

Sehr geehrter Herr Präsident! Liebe Kolleginnen und Kollegen! Meine Damen und Herren! Zunächst einmal: Lieber Kollege Baldy – wir duzen uns ja eigentlich –, du hast das mit den Fußballvergleichen hier sehr auf die Spitze getrieben. Das gibt mir aber die Gelegenheit, darüber zu reden, dass ich versucht hatte, Deniz Undav hier in die Rede einzubauen. Und dank deiner Steilvorlage habe ich es hiermit geschafft. Aber nun zum Thema. Sehr gute Sicherheit – gerade im Cyberraum – ist sehr entscheidend. Und vor allem entscheidet sie darüber, ob im Krankenhaus die Geräte laufen, ob der Notruf erreichbar ist, ob die Bahn fährt, ob die Stromversorgung auch wirklich stabil bleibt. Doch das Innenministerium lässt mit diesem Gesetzentwurf leider ganz zentrale Fragen unbeantwortet. Das ist nicht gut genug. Deutschland braucht dringend mehr Cybersicherheit. Wir müssen unsere Freiheit und Demokratie schützen. Wir müssen wehrhaft sein. Doch bei Gesetzen an der Schnittstelle von Innen- und Digitalpolitik zeigt sich immer wieder dasselbe Problem: Das Innenministerium fremdelt allein schon mit der digitalen Bedrohungslage. Bislang war der Staat im Cyberraum vor allem Verteidiger. Künftig soll er selbst aktiv in fremde IT-Systeme eindringen, Daten verändern, löschen oder den Datenverkehr umleiten. Das ist einfach eine völlig neue Qualität, und die steht mit diesem Entwurf nicht auf rechtssicheren Füßen. Stellen wir uns vor, morgen wird ein schwerer Cyberangriff in Europa verübt. Betroffen sind eine Bundesbehörde, zum Beispiel das BAMF, ein großer Flughafen, vielleicht in München, und Teile der kritischen Infrastruktur, vielleicht die Deutsche Bahn. Und dann heißt es, es muss sofort gehandelt werden: Datenverkehr umleiten, Server abschalten, in Systeme eingreifen. So will es der Gesetzentwurf. Doch wer macht das dann eigentlich: das BKA, die Bundespolizei, das BSI? Dieser Gesetzentwurf gibt mehreren Behörden weitreichende Eingriffsbefugnisse. Aber die entscheidenden Fragen beantwortet er nicht. Wer hat im Ernstfall das Sagen? Wer entscheidet? Wer trägt die Verantwortung, wenn aufgrund einer fehlerhaften Zuschreibung – und das ist nicht unwahrscheinlich – nicht der Angreifer, sondern der Server eines Krankenhauses oder einer anderen KRITIS-Anlage getroffen wird? All das ist offen, weil Sie mit dem Gesetz für doppelte Arbeit sorgen. Diese unklaren Zuständigkeiten sorgen für Koordinationsprobleme, kosten in einer Krisensituation Zeit, und obendrein entsteht eine Konkurrenz beim Angriff von Zielsystemen. Wie darf man sich das in der Praxis vorstellen, wenn BKA und Bundespolizei gleichzeitig auf demselben fremden Server landen? Begrüßen sie sich dann einfach: „Ach, Sie sind auch schon hier?“ – Da muss die Frage nach der Zuständigkeit geklärt werden, und Sie schaffen hiermit ein ernstzunehmendes Sicherheitsrisiko. Es ist einfach nicht klar, wer was macht. Die Befugnisse müssen bei dieser Tragweite aber eindeutig sein: Welche Behörde führt? Welche Behörde entscheidet? Welche Behörde trägt die Verantwortung? Bevor neue Knöpfe verteilt werden, muss eindeutig geregelt sein, wer sie überhaupt drücken darf. Diese Fragen werden schon seit Jahren im Land diskutiert. Der vorliegende Gesetzentwurf vermag es aber nicht, genau diese wichtigen Fragen zu beantworten, und das ist fatal. Das ist eine Gesetzgebung im Risikoflug. Sie lässt erhebliche Gefahren offen, scheitert in der Praxis und landet möglicherweise vor Gericht. Ich weiß, Herr Dobrindt, mit Ihrer Grenzpolitik haben Sie es sich ja schon zum Hobby gemacht, vor Gerichten zu scheitern, aber vielleicht fangen Sie einmal an, beim Thema Cybersicherheit auf Rechtstaatlichkeit zu achten und auch solche Themen ernst zu nehmen. Das wäre mein Ratschlag an dieser Stelle. Also: Es gibt viel zu tun im Bereich der hybriden Bedrohung. Man kann sich auch wundern, warum die Bundesregierung in diesem Bereich die Mittel im europäischen Haushalt kürzen möchte. All das ist offen. Auch die Nachrichtendienstreform wird vom Bundesinnenminister höchstpersönlich ausgebremst. Das heißt, das Thema Sicherheit ist in seinen guten Händen, – Vielen Dank. – aber vielleicht macht er in der Innenpolitik ja noch ein paar Treffer wie Deniz Undav. Vielen Dank. – Die nächste Rednerin ist Donata Vogtschmidt für die Fraktion Die Linke.

Sehr geehrter Herr Präsident! „Irgendwelche Hacker mögen immer irgendwas hacken können“, sagte einmal Thomas de Maizière und überzeugte damals mit mehr fachlicher Digitalexpertise als unser heutiger Innenminister anscheinend gewillt ist, sich anzueignen. Herr Dobrindt scheint nämlich vollends damit ausgelastet zu sein, den Begriff der aktiven Cyberabwehr so zu framen, dass man den Begriff Hackback, um den es hier heute eigentlich geht, vergisst. Für Herrn Dobrindt ist ein Hackback reine Verteidigung, genauso wie ein Konterschlag beim Boxen nur eine besonders aktive Form des Ausweichens darstellt. Und wie so oft steht der Innenminister mit seiner Auffassung jedoch ziemlich alleine da; denn von der Zivilgesellschaft über die Wissenschaft bis hin zu Wirtschaftsverbänden ist die Meinung einhellig: Was Sie uns hier versuchen als sogenannte „aktive Cyberabwehr“ zu verkaufen, sind schlicht und ergreifend Hackbacks. Vielleicht hofft man im Innenministerium ja noch darauf, dass Richterinnen und Richter künftig Wörterbücher statt Gesetzesbücher konsultieren. Aus einem Hackback wird durch Umbenennung schließlich genauso wenig eine Verteidigungshandlung wie aus Dobrindts Pkw-Maut ein rechtmäßiges Gesetz wurde. Daher noch einmal für alle und vor allem für Alexander den Ausgebremsten: Ein Hackback bezeichnet einen aktiven Gegenangriff auf eine Cyberattacke, bei dem in das System des Angreifernetzes eingedrungen wird, um es zu zerstören oder auszuschalten. Das Problem ist, dass ein erfolgreicher Gegenangriff beinhalten würde, dass im Vorfeld das Umfeld des eigentlichen Angreifers aufgeklärt werden muss. Möglich wäre dies durch erbeutete Zugangsdaten und auch durch IT-Schwachstellen, mit denen fremde IT-Systeme infiltriert werden könnten. In einem realen Angriffsszenario lässt sich das jedoch nicht wirklich umsetzen; denn dies benötigt eine Menge Vorlauf und bedeutet schlicht das Hacken auf Verdacht von fremden IT-Systemen, um im Falle eines Angriffs einen erfolgversprechenden Hackback durchführen zu können. Das klingt nicht nur illegal und unsicher, sondern ist es auch. Das wäre Ihnen, Herr Dobrindt, vielleicht auch aufgefallen, wenn Ihnen der Begriff Schwachstellenmanagement geläufig wäre. Dass er das jedoch nicht ist, zeigt sich in vielen Punkten; denn sonst hätten Sie Ihre politische Laufbahn bereits vor einigen Jahren beendet und eine eklatante Schwachstelle in Reihen der Union geschlossen. Die Umsetzung von sogenannten Hackbacks durch Polizeibehörden soll in etwa 60 Millionen Euro jährlich kosten, wovon jedoch nur ein kleiner Teil, also etwa 5 Prozent, in den Bereich der klassischen IT-Sicherheit beim BSI fließt, der Großteil natürlich eher in offensive Cyberfähigkeiten. Sehr geehrte Bundesregierung, wenn schon nicht auf mich, dann hören Sie doch bitte auf die Wissenschaftlichen Dienste des Bundestages. Deren aktuelles Gutachten zu aktiver Cyberabwehr finden Sie übrigens verlinkt in unserem Antrag, dem der Linksfraktion. Darin wird festgestellt, dass Maßnahmen der aktiven Cyberabwehr grundsätzlich am Völkerrecht zu messen sind. Das Problem der Hackbacks ist, dass man ebendiese Fragen bei einem Cyberangriff nicht so einfach und vor allem nicht so schnell beantworten kann. Noch einmal: Ihre Idee dazu ist, einen Cyberangriff durch einen Cyberrückschlag abzuwehren. Dafür müsste aber auch direkt klar sein, wer der Angreifer eigentlich ist und welche völkerrechtlichen und verfassungsrechtlichen Belange sich eröffnen oder ob dabei lebensnotwendige Einrichtungen getroffen werden könnten. Ich finde es unerklärlich, dass in Ihrem Gesetzentwurf diese Fragen weder gestellt noch beantwortet werden, obwohl die Wissenschaftlichen Dienste bereits 2019 vor der Gefahr einer unberechenbaren Eskalationsspirale und einem verstärkten Rüstungswettlauf gewarnt haben. Die Logik von Hackbacks ist das genaue Gegenteil von Deeskalation; denn sie ersetzt die Frage „Wie schützen wir uns?“ durch die Frage „Wie schlagen wir zurück?“. Und wir als Linksfraktion lehnen diese Logik entschieden ab. Ganz zu schweigen vom Zustimmungsvorbehalt des Parlaments, sollte sich herausstellen, dass es sich formal um einen bewaffneten Angriff handelt. Die Wissenschaftlichen Dienste stellen ausdrücklich dar, dass dies bei aktiver Cyberabwehr ein realistisches Szenario ist, das mitgedacht werden muss. Aber nichts davon lese ich in dem Gesetzentwurf und auch nichts lese ich in der Antwort der Bundesregierung auf meine parlamentarische Frage danach. Ich habe Sie letzte Woche gefragt, ob im Falle der Zerstörung von feindlicher IT-Infrastruktur im Ausland durch Cyberangriffe der Zustimmungsvorbehalt des Parlaments greifen müsste. Ihre Antwort – ich zitiere –: „Zu hypothetischen Fragen äußert sich die Bundesregierung grundsätzlich nicht.“ Hypothetisch? Ist diese erste Lesung des Gesetzentwurfes, in der es um das Stören und Zerstören feindlicher IT-Infrastruktur geht, wie Herr Dobrindt selbst ausführte, etwa hypothetisch? Sind die Einhaltung und wahrheitsgemäße Beantwortung des parlamentarischen Fragerechts für Sie hypothetisch? Und: Ist der jüngst durch Frau Klöckner versendete Brief an das Kanzleramt, in dem sie die Bundesregierung rügte, gerade dieses Fragerecht ordnungsgemäß einzuhalten, für Sie hypothetisch? Ich finde Ihre Antwort eine bodenlose Frechheit und möchte Ihnen sagen, dass das nicht den demokratischen Ansprüchen genügt, denen Sie sich hier verpflichtet haben. Da wir vorher schon bei den begrifflichen Definitionsschwierigkeiten von Herrn Dobrindt waren: Hypothetisch hätten wir heute auch eine Pkw-Maut, praktisch haben wir ungefähr 270 Millionen Euro in den Asphalt gesetzt. 270 Millionen Euro Steuergeld oder umgerechnet in etwas, das auch Ihnen etwas bedeutet, circa 17 Millionen Maß auf dem Oktoberfest 2026. Cybersicherheit ist nur global und gemeinsam erreichbar und kann nicht gegen andere, sondern nur mit anderen Staaten umgesetzt werden. Das gilt vor allem in der digital vernetzten Welt umso mehr. Schade, dass die Bundesregierung so weit am Ziel vorbeischießt. Der Gesetzentwurf muss dringend von den Hackbacks befreit werden, so wie es unser Antrag von der Linksfraktion erfordert. Solange dies nicht der Fall ist, wird es von unserer Seite heißen: Wir werden uns widersetzen. Danke schön. Vielen Dank. – Die nächste Rednerin ist Christina Stumpp für die Unionsfraktion.

Sehr geehrter Herr Präsident! Liebe Kolleginnen und Kollegen! Wir erleben tagtäglich, dass Deutschland massiv im Fokus hochprofessioneller Cyberangriffe steht. Kriminelle Aktivitäten, Operationen staatlicher Akteure bewegen sich auf einem anhaltend hohen Niveau und bedrohen unsere Infrastrukturen. Spätestens der Krieg in der Ukraine hat uns allen schmerzhaft verdeutlicht, wie existenziell die Cybersicherheit für das Funktionieren eines modernen Staates, unserer kritischen Infrastruktur und unseres Gemeinwesens ist. Rund 200 Milliarden Euro Schaden allein im Jahr 2025 – so beziffert der Branchenverband Bitkom die wirtschaftlichen Schäden durch Cyberangriffe. Wir als Union machen uns seit Langem dafür stark, dass wir dieser Bedrohung nicht schutzlos zusehen dürfen. Ja, wir setzen in Deutschland zuerst auf einen präventiven Ansatz, und wir haben Ende 2025 mit der Umsetzung der europäischen NIS-2-Richtlinie diesen präventiven Rahmen nochmals gestärkt. Aber wir müssen auch der Realität ins Auge schauen. Gegen gezielte staatliche Cyberoperationen, hochprofessionelle Kampagnen mit großem Schadenspotenzial, reichen präventive Maßnahmen in den eigenen IT-Systemen allein nicht mehr aus. Wir müssen deshalb nachschärfen. Genau das tun wir mit dem vorliegenden Gesetzentwurf. Schauen wir uns an, was er konkret bringt. Das Bundesamt für Sicherheit in der Informationstechnik wird deutlich gestärkt. Zum Beispiel kann das BSI künftig durch mobile Teams schon dann bei den Betroffenen direkt eingreifen, wenn der Verdacht besteht, dass Angreifer Vorbereitungshandlungen in den IT-System vorgenommen haben. Wir warten also nicht mehr, bis der Schaden da ist, sondern ermöglichen die systematische Suche nach Angriffsspuren. Zudem geben wir dem BSI die nötigen Anordnungsbefugnisse, etwa um bösartige Domains konsequent aus dem Netz zu nehmen und den Datenverkehr umzuleiten. Auch Bundeskriminalamt und Bundespolizei erhalten neue Befugnisse. Liebe Kolleginnen und Kollegen, wir müssen uns doch ehrlich machen. Bislang sind unseren Sicherheitsbehörden im Angesicht der Vielzahl komplexer Bedrohungen viel zu oft rechtlich die Hände gebunden. Wenn ein Cyberangriff bereits läuft, fehlen ihnen häufig die benötigten Befugnisse, um schnell eingreifen zu können und wirksam zu stoppen. Stellen Sie sich vor, Kriminelle nutzen einen Botnetz, ein Netzwerk aus tausend gehackten Rechnern, um kritische Ziele in Deutschland anzugreifen. Unsere Sicherheitsbehörden leisten hervorragende Arbeit und identifizieren diesen Steuerungsserver der Angreifer. Und was können sie bislang tun? Sie können dem Provider eine Meldung schicken und ihn höflich darum bitten, den Server doch bitte abzuschalten. Der Angriff läuft aber stattdessen weiter, und der Staat muss machtlos zusehen. Das können wir uns sicherheitspolitisch schlicht und ergreifend nicht mehr leisten, meine Damen und Herren. Deshalb legen wir genau diese Fesseln ab. Zukünftig können unsere Behörden die Anbieter digitaler Dienste gezielt verpflichten, den Betrieb solcher Systeme zu untersagen, und auch aktiv zur Gefahrenabwehr tätig werden. Das heißt, Attacken können umgeleitet werden, die Infrastruktur der Angreifer kann lahmgelegt werden. Um uns wirksam schützen zu können, ist eine rechtssichere Regelung für diese aktiven Schutzmaßnahmen unumgänglich. Genau darum geht es nämlich: um Schutz, nicht um Vergeltungsmaßnahmen, wie gelegentlich kolportiert wird. Meine sehr geehrten Damen und Herren, Deutschlands nationale Sicherheit muss auch im digitalen Raum verteidigt werden. Wir dürfen unsere Sicherheitsbehörden in der digitalen Welt nicht entwaffnen und darauf hoffen, dass verbündete Staaten uns schützen. Ein moderner Staat muss im Cyberraum handlungsfähig sein, um sich selbst, die Bürgerinnen und Bürger sowie unsere Wirtschaft zu schützen. Das Gesetz zur Stärkung der Cybersicherheit leistet dazu einen wichtigen Beitrag. Vielen Dank. Vielen Dank. – Der nächste Redner ist Robin Jünger für die AfD-Fraktion.

Herr Präsident! Meine sehr verehrten Damen und Herren! Liebe Kollegen! Schön, dass unserer Bundesregierung zur Mitte des Jahres 2026 aufgefallen ist, was Frau Plattner vom BSI nun seit fast drei Jahren regelmäßig anmahnt: Wir brauchen eine Strategie in Sachen Cybersicherheit. Bei dieser Reaktionsgeschwindigkeit lässt sich allerdings befürchten, dass der Herbst der Reformen nicht vor 2030 stattfinden wird. Das ist nicht schlimm, dann findet er eben mit uns statt. Trotz eines Umfangs von 80 Seiten entsteht der Eindruck von einem mit heißer Nadel gestrickten Gesetzentwurf, der zwar in seiner Grundrichtung zustimmungsfähig ist, dennoch aber enorme Lücken bei der Rechtssicherheit und der Rechtsstaatlichkeit aufweist. Zweifelsfrei mehren sich die Sicherheits- und Cyberbedrohungen täglich, und sie werden immer kreativer, schneller und gravierender. Dabei sind sich gut 97 Prozent der Sicherheitsbeauftragten im DACH-Raum einig, dass die Kluft bei der Cyberresilienz immer größer wird und kritische Sektoren, besonders bei den kleinen und mittelständischen Unternehmen, immer angreifbarer werden. Allein in 2024 betrug der Schaden für die deutsche Wirtschaft durch Cyberkriminalität rund 180 Milliarden Euro – ein Zuwachs um 20 Prozent gegenüber dem Vorjahr. Die teilweise existenzbedrohenden Auswirkungen dieser Angriffe durch die Quasistilllegung des operativen Geschäfts der betroffenen Unternehmen bekommen viele von uns gar nicht mit. Der Schaden geht schnell in die Millionenhöhe. Die Versicherungen können zwar die ausgefallenen Geschäfte kompensieren, das verlorene Vertrauen und die enttäuschten Kunden aber nicht. Zu den größten Angriffstrends zählen neue Angriffsvektoren durch KI, Multichannel-Angriffe, Schwachstellen in den Lieferketten und der Diebstahl persönlicher Identitäten. Ein Beispiel dafür ist der erfolgreiche Signal-Hack, von dem auch Vertreter unseres Hauses betroffen waren. Niemand bestreitet also die wachsende Gefahr durch Cyberangriffe. Aber eine reale Gefahr ist kein Freibrief für grenzenlose Befugnisse. Dieser Gesetzentwurf erlaubt es staatlichen Stellen, Datenverkehr umzuleiten, aufzuzeichnen, in IT-Systeme einzudringen und dort Daten auszulesen, zu verändern oder zu löschen. Betroffen sein können ausdrücklich auch Geschädigte und unbeteiligte Dritte. Und trotzdem bleibt die richterliche Vorabkontrolle auf bestimmte Fälle beschränkt. Und obwohl diese Befugnisse tief in die Grundrechte eingreifen, lehnt die Bundesregierung eine verbindliche Evaluation ab. So geht es nicht, liebe Kollegen! Sie wollen maximale Befugnisse, aber zeigen minimale Bereitschaft, deren Folgen später ehrlich zu überprüfen. Das kennen wir nur zu gut von Ihrer Coronapolitik, und das brauchen wir nie wieder. Natürlich wollen wir einen Staat, der Cyberangriffe wirksam abwehrt. Aber wir wollen keinen Staat, der zur Verteidigung des Rechtsstaats dessen eigene Sicherungen abschaltet. Deshalb brauchen wir definitiv einen Richtervorbehalt, klare Haftungs- und Entschädigungsregeln, strenge Vorgaben für den Umgang mit Sicherheitslücken und eine verpflichtende Evaluation. Cybersicherheit und Bürgerrechte sollten nicht gegeneinander ausgespielt werden. Ein wirklich gutes Gesetz hätte beides geschützt. Daher, liebe Kollegen, sollten Sie sich dazu angehalten sehen, noch einmal da nachzubessern, wo es angemessen ist, um ein wirklich gutes Gesetz zu schaffen, das den Bürgern unseres Landes auch dient. Und geben Sie mir zum Schluss meiner Rede noch einmal die Gelegenheit, auf etwas hinzuweisen, auf einen Cybersicherheitsvorfall, wenn Sie so wollen: In den Reden der vergangenen Wochen haben Vertreter der Linken immer wieder zum Kampf gegen unseren Bundesparteitag aufgerufen. Die gleichen Linken haben selbst am vergangenen Wochenende unbescholten und ungestört ihren Parteitag abhalten können. Sie konnten dort ihre SED-Lieder singen, Unions- und AfD-Politiker als Faschisten diffamieren und ihrem tiefsitzenden Antisemitismus frönen. Dass sie nun unseren Parteitag am kommenden Wochenende gewaltsam verhindern wollen und dazu auch noch Werbevideos hier im Deutschen Bundestag drehen und diese über die Netzwerke des Deutschen Bundestages hochladen, das ist eine Schande für unsere Demokratie und eine Schande für unseren Rechtsstaat. Schämen Sie sich! Gehen Sie diesem Sicherheitsvorfall mal auf den Grund! Herzlichen Dank. Vielen Dank. – Der nächste Redner ist Johannes Schätzl für die SPD-Fraktion.

Sehr geehrter Herr Präsident! Liebe Kolleginnen. Liebe Kollegen! Herr Jünger, Sie haben es tatsächlich geschafft, exakt das zu sagen, was das Gegenteil der Rede Ihres Kollegen ist. Das muss man erst mal schaffen, in zwei Reden exakt gegenteilige Positionen zu vertreten. Ein Satz noch zu Frau Vogtschmidt: Sie sprechen sechs Minuten an diesem Pult und sagen keinen einzigen Satz dazu, wie wir die Cybersicherheit in unserem Land tatsächlich stärken wollen. Herr Dobrindt, ich gebe Ihnen recht: Wir werden angegriffen, jeden Tag – nicht sichtbar, nicht mit Panzern, nicht mit Raketen, sondern mit Schadsoftware, mit Erpressungsangriffen, mit digitalen Attacken auf Unternehmen, auf Behörden, auf unsere Infrastrukturen. Ja, die Schäden belaufen sich mittlerweile auf fast 200 Milliarden Euro pro Jahr. Das sind 200 Milliarden Euro, die unserer Wirtschaft fehlen, 200 Milliarden Euro, die wir nicht investieren können, 200 Milliarden Euro, weil ein Cyberangriff erfolgreich war. Ich glaube, es ist unsere Aufgabe, zu sagen, dass dies nicht nur abstrakte Zahlen sind. Es geht um stillstehende Produktionsanlagen, gesperrte Rathäuser, es geht um geschlossene Krankenhäuser und am Ende um ganz viel Verunsicherung. Deswegen wird es die politische Aufgabe sein, noch mal klarzustellen: Cybersicherheit ist kein Nischenthema. Sie ist die zentrale Frage unserer wirtschaftlichen Stärke, unserer staatlichen Handlungsfähigkeit und am Ende auch eine Frage unserer nationalen Sicherheit. Deswegen begrüße ich es ausdrücklich, dass die Bundesregierung diesen Gesetzentwurf vorlegt. Herr Dobrindt, Sie haben als BMI Cybersicherheit als absolute Priorität erkannt und auch benannt. Dafür bin ich Ihnen dankbar. Ein großer Pluspunkt Ihres Entwurfs ist insbesondere die Stärkung des Bundesamts für Sicherheit in der Informationstechnik. Wir brauchen ein starkes BSI. Wir brauchen auch die Fähigkeit, Angriffe zu erkennen, sie abzuwehren und am Ende auch auszuwerten. Auch das angelegte Lagebild, um Bedrohungen zum richtigen Zeitpunkt mit den richtigen Schritten zu erkennen, ist ein sehr großer Pluspunkt. Ich glaube, die letzten Jahre haben eines gezeigt: Wer Angriffe wirksam abwehren will, der muss die Bedrohungen erkennen, bevor sie einen Schaden anrichten. Liebe Kolleginnen, liebe Kollegen, lassen Sie mich noch zwei Gedanken in diese Diskussion einbringen; denn ja, Befugnisse alleine schaffen keine Cybersicherheit. Cybersicherheit entsteht nicht automatisch dadurch, dass möglichst viele Behörden möglichst viele Befugnisse erhalten. Wir haben heute schon eine hochkomplexe Cybersicherheitsinfrastruktur. Wir haben den Bund, wir haben die Länder, wir haben Kommunen, Polizei, Verfassungsschutz, wir haben das BKA, Bundespolizei, BSI und im Fall der Fälle natürlich auch die Bundeswehr. Dazu kommen europäische Behörden und europäische Vorgaben. Ich versuche seit Monaten, mir ein Bild der Zuständigkeiten in diesem Bereich zu zeichnen, und immer wenn ich glaube, fertig zu sein, kommt ein neuer Pfad hinzu. Wer dieses Bild kennt, der versteht, glaube ich, sehr schnell, dass es uns nicht an Akteuren mangelt. Unser Problem ist ganz oft die Übersicht, unser Problem ist ganz oft eine fehlende Koordination. Deswegen müssen wir neben der Debatte um Befugnisse, die wir aus meiner Sicht vollkommen zu Recht führen, auch die Debatte führen, wie wir in vielen Bereichen die Koordination nachschärfen können. Wir müssen die Fragen klären: Wer macht eigentlich was? Wer ist verantwortlich? Wie werden Informationen in der Realität zusammengeführt? Das Problem eines Cyberangriffs ist: Er ist deutlich komplexer als jedes Organigramm, das wir zeichnen können. Ich bleibe bei Ihrem Beispiel eines Krankenhauses, Herr Dobrindt. Stellen wir uns vor – fiktiv, aber leider nicht unrealistisch –, dass ein deutsches Krankenhaus Opfer eines Cyberangriffs wird. Die Angreifer verschlüsseln die Daten, aber natürlich nicht direkt vom eigenen Rechner aus. Sie nutzen dafür beispielsweise einen Server eines Krankenhauses in den USA. Von dort aus leiten sie die Daten um auf das deutsche Krankenhaus. Natürlich stellen sich jetzt Fragen, die wir klären müssen: Welches System greifen wir an? Den Server im deutschen Krankenhaus, den im US-Krankenhaus? Ich glaube, wir müssen gerade feststellen, dass im Cyberraum viele, wenn nicht alle Computer, gegen die wir vorgehen wollen, am Ende oft nicht zum Täter gehören, sondern zum nächsten Opfer. Und dennoch, Herr Dobrindt, ist die Diskussion richtig. Wir müssen sie gerade in diesen Bereichen führen. Ich glaube, wir werden in diesem Verfahren einen guten Weg finden, um genau die Abwägungen und am Ende auch Nachschärfungen zu treffen, die wir wollen. Abschließend richte ich hier ein großes Dankeschön an Frau Ludwig, die sich der Diskussion schon im Vorfeld gestellt hat und uns bereits seit Wochen und Monaten immer wieder sehr fachkundig antwortet. Deswegen bin ich mir sicher, dass wir aus diesem Entwurf am Ende ein Gesetz machen werden, das die aktuelle Bedrohungslage klar adressiert und das Schutzziel des BMI, das es vollkommen richtigerweise adressiert, in einer sehr guten Weise erreicht. Deswegen noch mal danke für den Entwurf an das BMI und danke für die gute Zusammenarbeit. Vielen Dank. – Die nächste Rede hält Jeanne Dillschneider für die Fraktion Bündnis 90/Die Grünen.

Sehr geehrter Herr Präsident! Liebe Kolleginnen und Kollegen! Deutschland wird angegriffen – jeden Tag tausendfach, oft im Verborgenen. Als drittgrößte Volkswirtschaft der Welt sind wir eines der beliebtesten Ziele für Cyberattacken. In meinem Bundesland, im Saarland, gab es erst kürzlich einen Angriff auf die Lernplattform Moodle der Universität des Saarlandes, bei dem sich Angreifer Zugriff auf die Daten von Tausenden Studierenden verschafft haben. Davor traf es den Arbeiter-Samariter-Bund und viele weitere. Es ist daher folgerichtig, dass die Bundesregierung dieses Problem in den Griff bekommen will. Dieser Gesetzentwurf erscheint auf den ersten Blick wie eine Lösung. Die aktive Cyberabwehr ist in diesem Fall aber ein Paradigmenwechsel. Es geht nicht mehr nur um Schutz, Prävention oder Widerstandsfähigkeit. Und Sie nennen das nicht „Hackback“, sondern „aktive Cyberabwehr“. Auch hat das Gesetz einen irreführenden Namen; denn um die Stärkung der Cybersicherheit geht es eigentlich nicht. Das Gesetz beinhaltet stattdessen eine massive Ausweitung der Befugnisse von BKA, BSI und Bundespolizei. Diese sollen künftig in IT-Systeme eingreifen, Daten löschen oder verändern können. Richtig ist, dass wir unsere Fähigkeiten im Cyberraum massiv ausbauen müssen. Richtig ist auch, dass wir wirksame Befugnisse brauchen, um dieser Bedrohungslage gerecht zu werden. Aktive Cyberabwehr muss aber besonders sorgfältig abgewogen werden. Sie muss angemessen, wirksam und rechtsstaatlich sein, und daran habe ich, wenn ich diesen Gesetzentwurf anschaue, massive Zweifel. Die aktive Cyberabwehr ist nicht ohne Grund hochumstritten. Der Gesetzentwurf erlaubt unter anderem Angriffe auf die Opfersysteme; denn viele Angreifer nutzen schlecht geschützte Geräte als Proxy. Oft ist der Angreifer gar nicht so leicht auszumachen, weil er seine Spuren gut verwischt hat. Wer da einfach zurückschlägt, trifft im Zweifel nicht den Drahtzieher, sondern Unschuldige. Das bedeutet, dass ein Heimrouter, der von Hackern gekapert wurde, im Zweifel auch Ziel von staatlichen Eingriffen wird. Aber was, wenn es sich um einen Server im Krankenhaus handelt oder um einen Server in den kommunalen Stadtwerken? Was passiert in einem solchen Fall? Wer übernimmt dann die Verantwortung? Welche Kollateralschäden können dabei entstehen? Das lässt der Entwurf offen. Wir schlagen zurück – das ist das Motto von Ihnen, Herr Minister Dobrindt. Aber wer zum Gegenschlag aufruft, der muss aufpassen, dass er sich damit nicht selbst schädigt. Ich bin keine Expertin für Fußball; aber ich bleibe mal bei den Metaphern des Tages: Das nennt man ein klassisches Eigentor. Um in fremde Systeme eindringen zu können, braucht es Schwachstellen. Und genau hier offenbart der Gesetzentwurf seine nächste Leerstelle: Es gibt kein verbindliches Verfahren dafür, wann der Staat entdeckte Schwachstellen melden und schließen muss. – Stattdessen schafft er Befugnisse, die voraussetzen, dass diese Schwachstellen offenbleiben. Jede offene Schwachstelle ist zugleich auch eine Einladung an Kriminelle, diese zu nutzen. Das macht unsere Infrastruktur nicht sicherer, nicht resilienter, sondern vulnerabler. Dazu kommt, dass dieser Entwurf verfassungsrechtlich höchst bedenklich ist. Gefahrenabwehr ist Sache der Länder. Und jetzt soll das BKA für Cyberangriffe zuständig sein? Ich zitiere hier aus einem juristischen Fachartikel: „So erlauben die genannten Kompetenztitel dem Bund – metaphorisch gesprochen – jenseits der Erneuerung und Stabilisierung eines Burgwalls gerade keinen gezielten Rettungsschuss aus der Burg, um einen Fremdbeschuss mit eigenen Mitteln hoheitlich zu beenden.“ Der Autor dieses Artikels, Herr Staatssekretär Philipp Amthor, weiß, wovon er spricht. Liebe Bundesregierung, statt sich einer notwendigen politischen und verfassungsrechtlichen Diskussion über die Abwehr von Cyberangriffen zu stellen, verkaufen Sie uns eine rechtliche Mogelpackung. Aktive Cyberabwehr schließt keine einzige Schutzlücke, – Vielen Dank. – sie erhöht nicht das Schutzniveau von Unternehmen und Verwaltung. Sie kann nicht als Ablenkung dafür herhalten, – Vielen Dank, Frau Kollegin. – dass Sie Ihre Hausaufgaben im Bereich der IT-Sicherheit machen müssen. Vielen Dank. – Sebastian Schmidt ist der nächste Redner für die Unionsfraktion.

Sehr geehrter Herr Präsident! Meine Damen und Herren! Deutschland wird täglich angegriffen; Cyberangriffe nehmen in Qualität und Quantität zu – professioneller, staatlich gesteuert, international vernetzt. Sie richten sich gegen unsere Krankenhäuser, gegen unsere Energieversorgung, gegen unsere Verwaltung. Die Frage ist längst nicht mehr, ob ein Angriff kommt, sondern ob wir darauf vorbereitet sind und ob wir zurückschlagen können. Mit diesem Gesetzentwurf zur Stärkung der Cybersicherheit gibt die Bundesregierung darauf eine klare Antwort: Deutschland verteidigt sich aktiv, entschlossen und künftig auch mit dem richtigen rechtlichen Rüstzeug. – Auch dafür, liebe Kolleginnen und Kollegen, steht diese Sicherheitskoalition. Die Fähigkeiten zur Erkennung und Abwehr von Cyberangriffen werden ausgebaut und auf eine moderne rechtliche Grundlage gestellt. Ziel dieses Gesetzentwurfs ist es, die Kompetenz und insbesondere die Befugnisse unserer Sicherheitsbehörden auf ein zeitgemäßes Niveau zu heben. Dafür modernisieren wir das BSI-Gesetz, das Bundeskriminalamtgesetz, das Bundespolizeigesetz und das Energiewirtschaftsgesetz. Das Bundesamt für Sicherheit in der Informationstechnik wird als zentrale Cybersicherheitsbehörde unseres Landes gestärkt. Es erhält bessere Möglichkeiten zur Detektion und zur Gefahrenabwehr. Zugleich verbessern wir das Lagebild: Betreiber kritischer Infrastrukturen werden verpflichtet, relevante Informationen automatisiert an das BSI zu übermitteln. – Das schafft ein echtes Lagebild in Echtzeit, was wir dringend brauchen. Das Bundeskriminalamt und die Bundespolizei erhalten erstmals klare Befugnisse zur aktiven Cyberabwehr: das Unterbrechen gefährlicher Datenströme, Maßnahmen gegen Schadsoftware und das Untersagen des Betriebs gefährlicher IT-Systeme; denn von ihnen gehen erhebliche Gefahren für unser Gemeinwesen aus. Meine Damen und Herren, all das ist nicht Science-Fiction, das ist längst operative Realität unserer internationalen Partner. Deshalb ist es höchste Zeit, dass auch unsere Sicherheitsbehörden dafür eine klare, rechtssichere Grundlage erhalten. Dieses Gesetz stärkt aber nicht nur die IT-Sicherheit, es stärkt auch die Resilienz unseres Landes insgesamt; denn wo Energieversorgung, Kommunikation oder Verwaltung digital angegriffen werden, geht es auch immer um Bevölkerungsschutz, wirtschaftliche Stabilität und staatliche Handlungsfähigkeit. Bessere Lagebilder helfen, Störungen künftig schneller zu erkennen, Betroffene früher zu warnen und Angriffe auf Kommunikationssysteme rascher zu isolieren. Die bessere Datenweitergabe zwischen BSI, Polizeien, Bevölkerungsschutz, Verfassungsschutz und Bundeswehr macht uns schneller und vor allen Dingen handlungsfähiger, gerade in den ersten Minuten und Stunden einer Krise. Damit setzt die Bundesregierung ein zentrales Vorhaben des Koalitionsvertrages konsequent um. Der Gesetzentwurf schafft Fähigkeiten zur aktiven Cyberabwehr, er stärkt das BSI als Zentralstelle und macht Deutschland gegen hybride Bedrohungen noch resilienter. Meine Damen und Herren, Cyberabwehr, Cybersicherheit ist heute Daseinsvorsorge und so unverzichtbar wie Strom, Wasser oder funktionierende Verwaltung. Wer unsere digitale Infrastruktur angreift, greift das Fundament unseres Gemeinwesens an. Deshalb darf Deutschland im Cyberraum weder blind noch handlungsunfähig sein. Dieses Gesetz erhöht die Widerstandsfähigkeit kritischer Infrastrukturen und sichert die Handlungsfähigkeit unseres Staates auch in Kriegen und hybriden Bedrohungslagen. Meine Damen und Herren, Deutschland braucht im Cyberraum Klarheit statt Kontrollverlust, Handlungsfähigkeit statt Hilflosigkeit und Schutz statt Schwachstellen. Geben wir Deutschland heute das rechtliche und operative Rüstzeug, das es braucht, um sich im Cyberraum wirksam verteidigen zu können. Vielen Dank. – Der nächste Redner ist Arne Raue für die AfD-Fraktion.

Sehr geehrter Herr Präsident! Meine Damen und Herren Kollegen! Hochgeschätzter Herr Minister! Ich habe gute Nachrichten für Cyberkriminelle. Diese Bundesregierung hat einen Gesetzentwurf zur Stärkung der Cybersicherheit vorgelegt, der sie freuen dürfte. 3 Uhr morgens, ein Krankenhaus in Deutschland: IT-Ausfall, betroffen sind Beatmungsgeräte, Operationssäle, Patientendaten – ein Hackerangriff mittels eines Botnetzes, das diese Bundesregierung hätte zerschlagen können. Doch hier stand ihr eigenes Gesetz im Wege. Aber konkret: Ein Botnetz, 100 000 infizierte Geräte, Rechner in Krankenhäusern, Laptops von Unternehmern oder Smartphones unserer Bürger, und mit einem einzigen Knopfdruck können Kriminelle dieses Netz gegen unsere kritische Infrastruktur richten. Die Bundespolizei soll das zerschlagen, Schadsoftware auslesen, verändern oder gar löschen dürfen. Das klingt mutig. Aber dann lese ich diesen Entwurf, und mich verlässt der Mut. Dieser Entwurf verlangt für jeden Eingriff eine richterliche Anordnung mit Angabe des betroffenen Systems, des Inhabers, wenn möglich, für jeden einzelnen Bot. Was bedeutet das bei einem Botnetz mit gar mehreren Millionen infizierten Geräten? Da braucht unsere Bundespolizei entsprechend viele richterliche Entscheidungen. Das ist absurd – eben typisch deutscher Bürokratiewahn. In den Vereinigten Staaten hat man das Problem längst verstanden. Dort beziehen sich gerichtliche Anordnungen auf eine Operation, um Schadsoftware auf einer Vielzahl infizierter Systeme automatisiert zu entfernen – schnell, rechtssicher und wirksam. Warum soll das in unserem Land nicht möglich sein? Weil am Ende wieder ein halbfertiges Gesetz verabschiedet wird, das den Behörden die Hände bindet, während Kriminelle ihre Freiheiten leben! Wir von der Alternative für Deutschland sagen ganz klar: Deutschland braucht ein Gesetz, das Cyberkriminelle tatsächlich trifft – hart, konsequent, entschlossen, schnell. Wir fordern klare Befugnisse für die Bundespolizei ohne bürokratische Fesseln. Wir fordern rechtssichere Regelungen für den Umgang mit Botnetzen, nicht Formulierungen, die Juristen beschäftigen und Angreifer schützen. Irgendwo in Deutschland sitzt gerade jemand, dessen Endgerät Teil eines solchen Botnetzes ist. Er weiß es nicht, er ist Opfer. Er verdient Schutz durch uns, durch einen mutigen und schlagkräftigen Staat – kein Graubereich, kein Juristenpingpong. Dieser Entwurf lässt ihn dabei leider im Stich. Wir werden diesem Entwurf in seiner jetzigen Form nicht zustimmen. Wir nehmen Cybersicherheit als AfD außerordentlich ernst. Die Alternative für Deutschland wird dies sehr bald in Regierungsverantwortung beweisen können. Herzlichen Dank. Vielen Dank. – Der nächste Redner ist Henri Schmidt für die CDU/CSU-Fraktion.

Sehr geehrter Herr Präsident! Liebe Kolleginnen und Kollegen! Cyberangriffe sind längst keine abstrakte Gefahr mehr. Sie passieren nicht irgendwo im Verborgenen. Stattdessen treffen sie Krankenhäuser, Verkehrssysteme, Unternehmen, Verwaltungen und damit letztlich den Alltag von Ihnen, den Menschen in Deutschland. Wir haben erst vor wenigen Wochen wieder gesehen, was das bedeuten kann. Bei einem Cyberangriff auf einen Dienstleister von Krankenhäusern wurden Daten von Patientinnen und Patienten gestohlen: Namen, Anschriften, Geburtsdaten, teilweise sogar Informationen über Krankheiten. Das sind nicht einfach nur Datensätze, das sind höchstpersönliche und vertrauliche Informationen. Und die Menschen in unserem Land müssen darauf vertrauen können, dass diese Daten sicher sind. Täglich gibt es ähnliche Fälle. Und Deutschlands Sicherheitsbehörden besitzen aktuell eben noch nicht die gesetzliche Grundlage, um unser Land wirksam gegen diese Angriffe zu schützen. Lassen Sie es mich mit einem Beispiel aus der analogen Welt illustrieren: Wenn Sie sehen, wie ein Einbrecher sich an Ihrem Ersparten bedient, dann wollen Sie, liebe Bürgerinnen und Bürger, doch nicht sehen, dass die Polizei kommt und mit Ihnen gemeinsam zuschaut und wartet, bis der Einbrecher endlich fertig ist, sondern Sie erwarten doch zu Recht, dass die Polizei eingreift, oder nicht? Und genau darum geht es hier. Wir sehen jeden Tag, wie verwundbar auch zentrale Dienste unseres Alltags sind. Bei der Deutschen Bahn wurden im Februar Auskunfts- und Buchungssysteme durch einen Cyberangriff gestört. Verbindungen konnten zeitweise nicht gesucht, Tickets nicht angezeigt oder Buchungen nicht abgeschlossen werden. Auch das zeigt: Cyberangriffe betreffen eben nicht nur Serverräume. Sie betreffen Menschen – Menschen, die zur Arbeit müssen, Familien, die reisen wollen, und Unternehmen, die auf funktionierende Infrastruktur angewiesen sind. Die Bundesregierung gibt deshalb mit dem Gesetz zur Stärkung der Cybersicherheit jetzt konkrete Antworten auf genau diese Probleme. Und dafür danke ich Ihnen, Herr Dobrindt! Der Gesetzentwurf bringt vor allem drei wichtige Fortschritte: Erstens wird der Staat endlich handlungsfähig. Bundespolizei und Bundeskriminalamt erhalten klare Rechtsgrundlagen, um schwere Cyberangriffe abwehren zu können. Dazu gehören Maßnahmen gegen Botnetze, schädlichen Datenverkehr und kompromittierte Systeme. Wenn Angriffe laufen, darf der Staat eben nicht nur zusehen; er muss Schäden aktiv verhindern, Angriffe eindämmen und die Funktionsfähigkeit unseres Landes sicherstellen können. Zweitens wird das Bundesamt für Sicherheit in der Informationstechnik gestärkt. Das BSI soll Angriffe früher erkennen, Schadsoftware besser auswerten und betroffene Einrichtungen schneller unterstützen können. Wichtig ist: Hilfe soll nicht erst dann kommen, wenn der Schaden bereits eingetreten ist, sondern bereits dann, wenn es Hinweise auf ein Eindringen gibt oder die Vorbereitung eines Angriffs sichtbar ist. Drittens verbessert das Gesetz den Informationsaustausch. Auch das ist wichtig. Telekommunikationsanbieter, digitale Dienste, Betreiber kritischer Anlagen – sie alle können dazu beitragen, dass das Lagebild über Cyberbedrohungen besser und transparenter wird. Und genau deshalb halte ich den Antrag der Linken auch für falsch. Er lehnt Gegenmaßnahmen im Cyberraum und notwendige Befugnisse für die Sicherheitsbehörden ab. Damit bliebe der Staat im Ernstfall eben handlungsunfähig, und genau das wollen wir verhindern. Denn ein passiver Staat schützt eben weder Kliniken noch Reisende noch Unternehmen – und viel, viel schlimmer: auch nicht sich selbst. Hinweise aus der Praxis werden wir im Gesetzgebungsverfahren selbstverständlich aufnehmen. Eingriffe müssen klar begrenzt sein und rechtsstaatlicher Kontrolle unterliegen. Aber eines darf uns eben nicht passieren, nämlich dass der Staat im digitalen Raum zu spät kommt. Dieses Gesetz sorgt für bessere Erkennung, schnellere Reaktion und die dringend erforderliche Handlungsfähigkeit. Meine Damen und Herren, wer Deutschland digitalisieren will, muss Deutschland auch digital schützen. Vielen Dank. Vielen Dank. – Der letzte Redner in dieser Aussprache ist Ruben Rupp für die AfD-Fraktion.

Herr Präsident! Geehrte Kollegen Abgeordnete! Ein Ausfall im Zugfunk, und plötzlich stehen die Züge im ganzen Land still. Pendler kommen nicht weiter, Familien stranden auf Bahnhöfen, Geschäftsreisen platzen, und Millionen Bürger fragen sich: Wie kann das eigentlich sein? Wie kann es sein, dass in Deutschland im Jahr 2026 ein einzelnes technisches Problem derart weitreichende Folgen haben kann? Ich sage es Ihnen: weil die Bundesregierungen – besonders von der Ampel bis hin zum Kabinett Merz – nicht mehr langfristige, weitsichtige Politik machen, sondern mit Brandmauer, Anti-AfD-Politik und dem Dauerstreit untereinander beschäftigt sind, statt die Sicherheit Deutschlands zu garantieren, was eigentlich ihre Aufgabe wäre. Von Dienstag auf Mittwoch wurde für alle sichtbar offengelegt, wie stark wir in unserer digitalen Infrastruktur verwundbar sein können, wenn wir nicht gut vorbereitet sind. Heute wissen wir: Der Bahnausfall war kein Angriff von außen, sondern ein interner Fehler, wahrscheinlich ein fehlerhaftes Update des GSM-R-Bahnfunks. Die Ursache hätte aber auch ein Cyberangriff sein können. Und wer hat eigentlich für diesen Vorfall eines in Staatseigentum befindlichen Unternehmens Verantwortung übernommen? Niemand, alle haben sich weggeduckt! Aber so geht das nicht. Man stelle sich vor, so etwas passiert in Form eines Cyberangriffs in anderen kritischen Bereichen: bei unseren Stromnetzen, in Krankenhäusern, bei der Trinkwasserversorgung oder der Lebensmittelproduktion. Da wäre die Folge weit größer als Hunderttausende Passagiere, die Stunden an Bahnhöfen warten müssen. Da würden wir im schlimmsten Fall von Toten sprechen. Es muss für alle klar sein: So etwas darf niemals vorkommen. Dagegen muss Deutschland gewappnet sein. Daher begrüßen wir, dass wir heute über den Gesetzentwurf zur Stärkung der Cybersicherheit sprechen. Wir bitten aber, die kritischen Bedenken aus den Verbänden ernst zu nehmen und einzuarbeiten. Unter anderem müssen wir sicherstellen, dass das Risiko, dass Täter falsche Spuren legen und unbeteiligte Dritte dadurch staatlichen Gegenangriffen ausgesetzt werden, ausgeschlossen oder zumindest auf ein Minimum reduziert wird. Der Änderungsantrag der Linkspartei dagegen ist abzulehnen, weil er offensive Cyberabwehr grundsätzlich blockieren will. Erlauben Sie eine Zwischenfrage? Nein, ich bin schon am Ende. – Liebe Kollegen, die Bürger erwarten zu Recht, dass Deutschland einen exzellenten Schutzstandard bei der kritischen Infrastruktur, auch der digitalen Infrastruktur, hat. Der Ausfall der Bahn war mehr als ein Warnschuss. Er muss dazu führen, dass wir dafür sorgen, dass so etwas nie wieder passiert, insbesondere nicht durch Cyberangriffe. Die Bürger müssen sich darauf verlassen können, dass die Infrastruktur in Deutschland sicher ist.