Sehr geehrter Herr Präsident! Liebe Kolleginnen und Kollegen! Wir erleben tagtäglich, dass Deutschland massiv im Fokus hochprofessioneller Cyberangriffe steht. Kriminelle Aktivitäten, Operationen staatlicher Akteure bewegen sich auf einem anhaltend hohen Niveau und bedrohen unsere Infrastrukturen. Spätestens der Krieg in der Ukraine hat uns allen schmerzhaft verdeutlicht, wie existenziell die Cybersicherheit für das Funktionieren eines modernen Staates, unserer kritischen Infrastruktur und unseres Gemeinwesens ist. Rund 200 Milliarden Euro Schaden allein im Jahr 2025 – so beziffert der Branchenverband Bitkom die wirtschaftlichen Schäden durch Cyberangriffe.
Wir als Union machen uns seit Langem dafür stark, dass wir dieser Bedrohung nicht schutzlos zusehen dürfen. Ja, wir setzen in Deutschland zuerst auf einen präventiven Ansatz, und wir haben Ende 2025 mit der Umsetzung der europäischen NIS-2-Richtlinie diesen präventiven Rahmen nochmals gestärkt. Aber wir müssen auch der Realität ins Auge schauen. Gegen gezielte staatliche Cyberoperationen, hochprofessionelle Kampagnen mit großem Schadenspotenzial, reichen präventive Maßnahmen in den eigenen IT-Systemen allein nicht mehr aus. Wir müssen deshalb nachschärfen. Genau das tun wir mit dem vorliegenden Gesetzentwurf. Schauen wir uns an, was er konkret bringt.
Das Bundesamt für Sicherheit in der Informationstechnik wird deutlich gestärkt. Zum Beispiel kann das BSI künftig durch mobile Teams schon dann bei den Betroffenen direkt eingreifen, wenn der Verdacht besteht, dass Angreifer Vorbereitungshandlungen in den IT-System vorgenommen haben. Wir warten also nicht mehr, bis der Schaden da ist, sondern ermöglichen die systematische Suche nach Angriffsspuren. Zudem geben wir dem BSI die nötigen Anordnungsbefugnisse, etwa um bösartige Domains konsequent aus dem Netz zu nehmen und den Datenverkehr umzuleiten. Auch Bundeskriminalamt und Bundespolizei erhalten neue Befugnisse.
Liebe Kolleginnen und Kollegen, wir müssen uns doch ehrlich machen. Bislang sind unseren Sicherheitsbehörden im Angesicht der Vielzahl komplexer Bedrohungen viel zu oft rechtlich die Hände gebunden. Wenn ein Cyberangriff bereits läuft, fehlen ihnen häufig die benötigten Befugnisse, um schnell eingreifen zu können und wirksam zu stoppen. Stellen Sie sich vor, Kriminelle nutzen einen Botnetz, ein Netzwerk aus tausend gehackten Rechnern, um kritische Ziele in Deutschland anzugreifen. Unsere Sicherheitsbehörden leisten hervorragende Arbeit und identifizieren diesen Steuerungsserver der Angreifer. Und was können sie bislang tun? Sie können dem Provider eine Meldung schicken und ihn höflich darum bitten, den Server doch bitte abzuschalten. Der Angriff läuft aber stattdessen weiter, und der Staat muss machtlos zusehen. Das können wir uns sicherheitspolitisch schlicht und ergreifend nicht mehr leisten, meine Damen und Herren.
Deshalb legen wir genau diese Fesseln ab. Zukünftig können unsere Behörden die Anbieter digitaler Dienste gezielt verpflichten, den Betrieb solcher Systeme zu untersagen, und auch aktiv zur Gefahrenabwehr tätig werden. Das heißt, Attacken können umgeleitet werden, die Infrastruktur der Angreifer kann lahmgelegt werden. Um uns wirksam schützen zu können, ist eine rechtssichere Regelung für diese aktiven Schutzmaßnahmen unumgänglich. Genau darum geht es nämlich: um Schutz, nicht um Vergeltungsmaßnahmen, wie gelegentlich kolportiert wird.
Meine sehr geehrten Damen und Herren, Deutschlands nationale Sicherheit muss auch im digitalen Raum verteidigt werden. Wir dürfen unsere Sicherheitsbehörden in der digitalen Welt nicht entwaffnen und darauf hoffen, dass verbündete Staaten uns schützen. Ein moderner Staat muss im Cyberraum handlungsfähig sein, um sich selbst, die Bürgerinnen und Bürger sowie unsere Wirtschaft zu schützen. Das Gesetz zur Stärkung der Cybersicherheit leistet dazu einen wichtigen Beitrag.
Vielen Dank.