Nach einer halben Stunde Aussprache hat der Bundestag am Donnerstag, 12. November 2026, das Gesetz zur Stärkung der Cybersicherheit angenommen.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Was der Bundestag beschlossen hat

Grundlage ist der Gesetzentwurf der Bundesregierung (Drucksachen 21/6585 und 21/7406). Dafür stimmten CDU/CSU und SPD, dagegen AfD, Grüne und Linke. Inhaltlich fasst der Bundestag das Gesetz in einem Satz zusammen: mehr Befugnisse für das Bundesamt für Sicherheit in der Informationstechnik (BSI), das Bundeskriminalamt (BKA) und die Bundespolizei.

Zusätzlich nahm der Bundestag eine Entschließung an, die das BSI als zentrale Cybersicherheitsbehörde des Bundes stärken will. Dafür stimmten CDU/CSU, SPD und Grüne, dagegen AfD und Linke.

Verkündet ist das Gesetz damit noch nicht, und ein Datum für das Inkrafttreten nennt der Bundestag nicht.

Welche Eingriffe BKA und Bundespolizei vornehmen sollen

Die Nachrichtenagentur dts beschreibt in ihrer Meldung vom 12. November, was BKA und Bundespolizei künftig dürfen sollen. Sie sollen den Betrieb informationstechnischer Systeme untersagen, Datenverkehr umleiten, einschränken und unterbinden können. Außerdem sollen sie „gefahrgegenständliche Daten“ in informationstechnischen Systemen auslesen, löschen und verändern dürfen.

Das Medium wortfilter.de ergänzt zwei Punkte, die laut dem Medium im Entwurf stehen. Die Pflicht, BSI-Warnungen an Kunden weiterzugeben, soll auf Anbieter digitaler Dienste ausgeweitet werden. Und Unternehmen könnten DNS-Sperrlisten freiwillig nutzen.

Was Länder und Bitkom einwenden

Der Bundesrat hatte im Verfahren Wünsche geäußert, die der Bundestag in seiner Dokumentation festhält. Die Länder wollten die Gesamtbelastung der betroffenen Unternehmen prüfen lassen und verhältnismäßige Bußgelder. Parallele Melde- und Reportingpflichten sollten „in jedem Fall“ vermieden, die Weitergabe sensibler Daten klar begrenzt werden. Für Eingriffe des BKA in nicht private Systeme verlangte der Bundesrat eine richterliche Anordnung. Die Bundesregierung lehnte diese Forderungen weitgehend ab.

Der Bitkom veröffentlichte seine Stellungnahme am selben Tag, noch vor der Abstimmung. Sie bezieht sich auf die Entwurfsfassung, und ob Änderungen im Verfahren seine Kritik berühren, steht dort nicht. Nach Einschätzung des Verbands erlauben die Maßnahmen tiefe Eingriffe in IT-Systeme und Zugriffe auf Daten. Dadurch könnten zusätzliche Sicherheitsrisiken und erhebliche Belastungen für unbeteiligte Unternehmen entstehen. Als problematisch bewertet der Bitkom, dass solche Eingriffe nicht durchgängig von einem Gericht geprüft würden.

Positiv sieht der Verband, dass das BSI mit seinen Mobile Incident Response Teams künftig schon bei Verdachtsfällen helfen darf. Die neuen Übermittlungspflichten dürften aus Sicht des Bitkom nicht dazu führen, dass sensible Betriebsdaten dauerhaft und ohne konkreten Anlass an das BSI gehen. Als Hintergrund nennt der Verband einen jährlichen Schaden durch Cyberattacken von mehr als 160 Milliarden Euro für die deutsche Wirtschaft. Eine Studie dazu nennt die Mitteilung nicht, die Zahl ist eine Angabe des Bitkom.

Was noch offen ist

Laut wortfilter.de hat der Bundesrat noch nicht abgestimmt, ein Termin steht demnach nicht fest. Das ist die Angabe eines einzelnen Mediums; die Bundestagsseite nennt den Bundesrat nicht als nächsten Schritt.

Offen bleibt laut wortfilter.de auch, wer haftet, wenn ein behördlicher Eingriff fremde Systeme beschädigt. Der Hinweis bezieht sich nach Angabe des Mediums auf den Entwurf.

Wer das Thema für den eigenen Betrieb einordnen will, findet Hintergrund zu einer verwandten Regelung im Beitrag NIS2-Pflichten für KMU: was konkret zu tun ist.

Unsere Einschätzung

Aus unserer Sicht liegt der Kern für kleine Betriebe an anderer Stelle als bei den Behörden. Ein kleiner Betrieb steht nicht im Mittelpunkt dieses Gesetzes. Sein Server kann aber unbemerkt als Zwischenstation für fremde Angriffe dienen, und genau vor Eingriffen, die Unbeteiligte treffen, warnt der Bitkom.

Je sauberer ein Betrieb seine eigene Technik im Griff hat, desto weniger Anlass gibt es, dass ein Eingriff an seiner Tür landet. Das ist unsere Praxiseinordnung und keine Aussage des Gesetzes. wortfilter.de nennt dafür drei Handgriffe: Updates einspielen, ungewöhnliche ausgehende Verbindungen kontrollieren, offene Dienste schließen. Wir würden sie als Mindestprogramm lesen, das sich ohne neue Software erledigen lässt und unabhängig davon gilt, wie der Bundesrat entscheidet.

Auffällig ist, wie nah sich Bundesrat und Bitkom in zwei Punkten sind. Beide wollen die Weitergabe sensibler Daten begrenzt sehen, und beide stoßen sich an fehlender richterlicher Prüfung der Eingriffe. Wer Daten Dritter auf seinen Systemen hält, liest das als Hinweis, die eigene Datenhaltung ordentlich zu dokumentieren.

Wer seine Website oder seinen Shop bei einem Hoster oder auf einem Marktplatz betreibt, kann dort nachfragen. Wie geht der Anbieter mit behördlichen Anordnungen um, und wie gibt er BSI-Warnungen weiter? Eine schriftliche Antwort darauf gehört aus unserer Sicht in dieselbe Mappe wie der Vertrag mit dem Anbieter.

Bis zur Entscheidung des Bundesrates bleibt der Ausgang Erwartung. Die Befugnisse sollen BKA und Bundespolizei erhalten, in Kraft getreten ist das Gesetz nicht. Wer jetzt Pläne daran aufhängt, plant auf einem Stand, der sich noch ändern kann, und die Kritik des Bitkom bezieht sich auf die Entwurfsfassung.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 12. November 2026):

Häufige Fragen

Ist das Cybersicherheitsgesetz schon in Kraft?

Nein. Der Bundestag hat den Gesetzentwurf der Bundesregierung am 12. November 2026 angenommen. Laut wortfilter.de hat der Bundesrat noch nicht abgestimmt, ein Termin steht demnach nicht fest. Ein Datum für das Inkrafttreten nennt der Bundestag nicht.

Was sollen BKA und Bundespolizei künftig dürfen?

Laut Meldung der Nachrichtenagentur dts sollen sie den Betrieb informationstechnischer Systeme untersagen sowie Datenverkehr umleiten, einschränken und unterbinden dürfen. Außerdem sollen sie „gefahrgegenständliche Daten“ in solchen Systemen auslesen, löschen und verändern dürfen. Das BSI erhält ebenfalls mehr Befugnisse.

Was kritisiert der Bitkom am Gesetz?

Der Digitalverband Bitkom sieht tiefe Eingriffe in IT-Systeme und warnt vor zusätzlichen Sicherheitsrisiken und Belastungen für unbeteiligte Unternehmen. Problematisch sei, dass solche Eingriffe nicht durchgängig von einem Gericht geprüft würden. Die Stellungnahme erschien vor der Abstimmung und bezieht sich auf die Entwurfsfassung.

Was sollte ein kleiner Betrieb jetzt regeln?

Als Handgriffe führt wortfilter.de auf: Updates einspielen, ungewöhnliche ausgehende Verbindungen kontrollieren und offene Dienste schließen. Aus unserer Sicht lohnt außerdem die Nachfrage beim Hoster, wie er mit behördlichen Anordnungen und BSI-Warnungen umgeht.

Wer im Betrieb weiß, welche Dienste von außen erreichbar sind und wann sie zuletzt aktualisiert wurden?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 12. November 2026. Stand der Recherche: 12. November 2026.