What changed

Der Krieg in der Ukraine verdeutlicht, wie essentiell Cybersicherheit für einen modernen Staat wie Deutschland ist. Die Gewährleistung einer verlässlichen und sicheren Nutzung der Informationstechnologie und der zugrundeliegenden Kommunikationsinfrastruktur ist essentielle Voraussetzung für das Funktionieren des Gemeinwesens. Deutschlands wirtschaftlicher Erfolg und gesellschaftlicher Zusammenhalt sowie die nationale Sicherheit sind mit der Gewährleistung von Cybersicherheit untrennbar verbunden. Angriffe im Cyberraum überwinden mühelos Landes- oder Zuständigkeitsgrenzen und können sich dadurch auf sämtliche Lebensbereiche und Sektoren einschließlich der Kommunikationsinfrastruktur insgesamt auswirken. Gezielte Angriffe auf kritische Infrastrukturen und wichtige Unternehmen, Aktionen von Cyberkriminellen oder Angriffe auf bzw. Sabotage von staatlichen Strukturen sind geeignet, die Funktionsfähigkeit des Gemeinwesens, der Wirtschaft und des Staats- und Verwaltungswesens massiv und anhaltend zu beeinträchtigen.

Besondere Abwehrmaßnahmen gegen Angriffe auf die Sicherheit in der Informationstechnik (1) Zur Erfüllung ihrer Aufgaben nach § 1 Absatz 3 bis 5 sowie den §§ 2 bis 8 kann die Bundespolizei folgende besondere Abwehrmaßnahmen ergreifen, um eine Gefahr durch einen Angriff auf die Sicherheit in der Informationstechnik durch Verwirklichung von Straftaten nach den §§ 202a, 202b, 202c, 202d, 263a, 303a und 303b des Strafgesetzbuchs abzuwehren:

(2) Gefahrgegenständliche Daten im Sinne des Absatzes 1 Satz 1 Nummer 3 sind die Daten von Schadprogrammen oder sonstigen informationstechnischen Angriffswerkzeugen, einschließlich Steuerungs- oder Protokolldateien, und Spuren, die technisch mit dem Angriff verbunden sind, sowie Daten, die selbst Gegenstand eines Angriffs auf die Sicherheit in der Informationstechnik sind, insbesondere Daten, die durch diesen Angriff an ein informationstechnisches System weitergeleitet werden oder wurden.

(3) Die besonderen Abwehrmaßnahmen nach Absatz 1 Satz 1 dürfen auch durchgeführt werden, wenn Dritte unvermeidbar betroffen werden.

(4) Bei den besonderen Abwehrmaßnahmen nach Absatz 1 Satz 1 Nummer 3 ist sicherzustellen, dass

(5) Besondere Abwehrmaßnahmen nach Absatz 1 Satz 1 Nummer 3, die ohne Einwilligung der Betroffenen durch Eingriff in private informationstechnische Systeme eine Datenerhebung ermöglichen, dürfen nur durchgeführt werden zur Abwehr dringender Gefahren für

(6) Besondere Abwehrmaßnahmen nach Absatz 1 Satz 1 Nummer 3 in Verbindung mit Absatz 5 dürfen ohne Einwilligung des Betroffenen nur auf Antrag der Präsidentin oder des Präsidenten des Bundespolizeipräsidiums oder einer Bundespolizeidirektion, ihrer oder seiner Vertretung oder der Leiterin oder des Leiters einer Abteilung des Bundespolizeipräsidiums durch das Gericht angeordnet werden. Zuständig ist das Amtsgericht, in dessen Bezirk die Behörde der Antragsberechtigten nach Satz 1 ihren Sitz hat. Für das Verfahren gelten die Vorschriften des Buches 1 des Gesetzes über das Verfahren in Familiensachen und in den Angelegenheiten der freiwilligen Gerichtsbarkeit mit Ausnahme der § 23 Absatz 2 und § 37 Absatz 2 entsprechend. Die Anordnung ergeht ohne Anhörung der betroffenen Person. Eine Bekanntgabe kann unterbleiben, soweit dies aus Gründen der Geheimhaltungsbedürftigkeit erforderlich ist. Die Anordnung wird mit Erlass wirksam. Bei Gefahr im Verzug kann die Anordnung durch die nach Satz 1 Antragsberechtigten getroffen werden. In diesem Fall ist die gerichtliche Entscheidung unverzüglich nachzuholen. Soweit die Anordnung nach Satz 7 nicht binnen 3 Tagen durch das Gericht bestätigt wird, tritt sie außer Kraft.

Der Krieg in der Ukraine verdeutlicht, wie essentiell Cybersicherheit für einen modernen Staat wie Deutschland ist. Die Gewährleistung einer verlässlichen und sicheren Nutzung der Informationstechnologie und der zugrundeliegenden Kommunikationsinfrastruktur ist essentielle Voraussetzung für das Funktionieren des Gemeinwesens. Deutschlands wirtschaftlicher Erfolg und gesellschaftlicher Zusammenhalt sowie die nationale Sicherheit sind mit der Gewährleistung von Cybersicherheit untrennbar verbunden. Angriffe im Cyberraum überwinden mühelos Landes- oder Zuständigkeitsgrenzen und können sich dadurch auf sämtliche Lebensbereiche und Sektoren einschließlich der Kommunikationsinfrastruktur insgesamt auswirken. Gezielte Angriffe auf kritische Infrastrukturen und wichtige Unternehmen, Aktionen von Cyberkriminellen oder Angriffe auf bzw. Sabotage von staatlichen Strukturen sind geeignet, die Funktionsfähigkeit des Gemeinwesens, der Wirtschaft und des Staats- und Verwaltungswesens massiv und anhaltend zu beeinträchtigen.

IP Fallzahl

IP Fallzahl

IP Fallzahl

IP Fallzahl

IP Fallzahl

Lfd. Nr. 4.2.3: Bereitstellung von Informationen durch Anbieter von Telekommunikationsdiensten und digitalen Anbietern; § 15 Absatz 6 BSIG-E (Informationspflicht)

## Lfd. Nr. 4.2.5: Umsetzung der Anordnungsbefugnis gegenüber Top Level Registries und Registrare; §16a BSIG-E

## Lfd. Nr. 4.2.6: Bei Anordnung des BSI Datenverkehr an eine benannte Domain oder

Das BSI kann zur Abwehr erheblicher Gefahren für die genannten Schutzgüter gegenüber Telekommunikationsanbietern anordnen, den Datenverkehr an eine vom BSI benannte Domain oder Anschlusskennung umzuleiten oder zu unterbinden. Es wird angenommen, dass ca. 40 Anwendungsfälle pro Jahr auftreten. Unter der Berücksichtigung des durchschnittlichen Lohnsatzes für den Wirtschaftszweig J (Information und Kommunikation) von 52,80 Euro, und einem Zeitaufwand von 50 Stunden pro Fall ergibt sich ein laufender Erfüllungsaufwand in Höhe von ca. 106.000 Euro.

Lfd. Nr. 4.2.7: Anbindung von Systemen zur Angriffserkennung bei Betreibern kritischer Anlagen an das BSI; § 31 Absatz 2 BSIG-E

## Lfd. Nr. 4.2.8: Zugang zu Domain-Namen-Registrierungsdaten gewähren; § 50 Absatz

Lfd. Nr. 4.2.9: Benachrichtigungen durch Dienstanbieter, § 19 Absatz 5 und 6 TDDDG-

## Lfd. Nr. 4.2.10: Untersagung des Betriebs eines informationstechnischen Systems; §

Lfd. Nr. 4.2.11: Mitwirkung an Abwehrmaßnahmen gegen Angriffe auf die IT-Sicherheit; § 68c Absatz 2 BKAG-E

## Lfd. Nr. 4.3.2: Umleitung von Datenverkehr auf eine vorgegebene Zieladresse; § 41a

Lfd. Nr. 4.3.4: Untersagung des Betriebs eines informationstechnischen Systems;

Lfd. Nr. 4.3.9: Anbindung von Systemen zur Angriffserkennung bei Betreibern kritischer Anlagen an das BSI; § 31 Absatz 2 BSIG-E

## Lfd. Nr. 4.3.10: Bußgeldverfahren und Sanktionierung bei Fehlen eines geeigneten

Die neue gesetzliche Regelung erweitert den bestehenden Eigenschutz des BKA. Das BKA muss in der Lage sein, nicht nur seinen Personenschutzauftrag nach § 6 BKAG im digitalen Raum zu erfüllen, sondern auch sich selbst gegen Cyberangriffe (auf seine eigenen Anlagen z. B. Zugangs- und Kontrollsysteme, Energieinfrastruktur) verteidigen zu können. Es wird angenommen, dass zur jährlichen Aufgabenerfüllung 22.400 Stunden (14 MAK) notwendig sind. Unter Berücksichtigung des durchschnittlichen Lohnsatzes für die Bundesverwaltung in Höhe von 44,40 Euro ergibt sich in Summe ein laufender Erfüllungsaufwand in Höhe von ca. 995.000 Euro auf Ebene des Bundes.

## Summe 2.479 davon aus Bürokratiekosten

## Summe 64

Der Krieg in der Ukraine verdeutlicht, wie essentiell Cybersicherheit für einen modernen Staat wie Deutschland ist. Die Gewährleistung einer verlässlichen und sicheren Nutzung der Informationstechnologie und der zugrundeliegenden Kommunikationsinfrastruktur ist essentielle Voraussetzung für das Funktionieren des Gemeinwesens. Deutschlands wirtschaftlicher Erfolg und gesellschaftlicher Zusammenhalt sowie die nationale Sicherheit sind mit der Gewährleistung von Cybersicherheit untrennbar verbunden. Angriffe im Cyberraum überwinden mühelos Landes- oder Zuständigkeitsgrenzen und können sich dadurch auf sämtliche Lebensbereiche und Sektoren einschließlich der Kommunikationsinfrastruktur insgesamt auswirken. Gezielte Angriffe auf kritische Infrastrukturen und wichtige Unternehmen, Aktionen von Cyberkriminellen oder Angriffe auf bzw. Sabotage von staatlichen Strukturen sind geeignet, die Funktionsfähigkeit des Gemeinwesens, der Wirtschaft und des Staats- und Verwaltungswesens massiv und anhaltend zu beeinträchtigen.

Besondere Abwehrmaßnahmen gegen Angriffe auf die Sicherheit in der Informationstechnik (1) Zur Erfüllung ihrer Aufgaben nach § 1 Absatz 3 bis 5 sowie den §§ 2 bis 8 kann die Bundespolizei folgende besondere Abwehrmaßnahmen ergreifen, um eine Gefahr durch einen Angriff auf die Sicherheit in der Informationstechnik durch Verwirklichung von Straftaten nach den §§ 202a, 202b, 202c, 202d, 263a, 303a und 303b des Strafgesetzbuchs abzuwehren:

(2) Gefahrgegenständliche Daten im Sinne des Absatzes 1 Satz 1 Nummer 3 sind die Daten von Schadprogrammen oder sonstigen informationstechnischen Angriffswerkzeugen, einschließlich Steuerungsoder Protokolldateien, und Spuren, die technisch mit dem Angriff verbunden sind, sowie Daten, die selbst

(3) Die besonderen Abwehrmaßnahmen nach Absatz 1 Satz 1 dürfen auch durchgeführt werden, wenn Dritte unvermeidbar betroffen werden.

(4) Bei den besonderen Abwehrmaßnahmen nach Absatz 1 Satz 1 Nummer 3 ist sicherzustellen, dass

(5) Besondere Abwehrmaßnahmen nach Absatz 1 Satz 1 Nummer 3, die ohne Einwilligung der Betroffenen durch Eingriff in private informationstechnische Systeme eine Datenerhebung ermöglichen, dürfen nur durchgeführt werden zur Abwehr dringender Gefahren für

(6) Besondere Abwehrmaßnahmen nach Absatz 1 Satz 1 Nummer 3 in Verbindung mit Absatz 5 dürfen ohne Einwilligung des Betroffenen nur auf Antrag der Präsidentin oder des Präsidenten des Bundespolizeipräsidiums oder einer Bundespolizeidirektion, ihrer oder seiner Vertretung oder der Leiterin oder des Leiters einer Abteilung des Bundespolizeipräsidiums durch das Gericht angeordnet werden. Zuständig ist das Amtsgericht, in dessen Bezirk die Behörde des Antragsberechtigten nach Satz 1 ihren Sitz hat. Für das Verfahren gelten die Vorschriften des Buches 1 des Gesetzes über das Verfahren in Familiensachen und in den Angelegenheiten der freiwilligen Gerichtsbarkeit mit Ausnahme des § 23 Absatz 2 und des § 37 Absatz 2 entsprechend. Die Anordnung ergeht ohne Anhörung der betroffenen Person. Eine Bekanntgabe kann unterbleiben, soweit dies aus Gründen der Geheimhaltungsbedürftigkeit erforderlich ist. Die Anordnung wird mit Erlass wirksam. Bei Gefahr im Verzug kann die Anordnung durch die nach Satz 1 Antragsberechtigten getroffen werden. In diesem Fall ist die gerichtliche Entscheidung unverzüglich nachzuholen. Soweit die Anordnung nach Satz 7 nicht binnen 3 Tagen durch das Gericht bestätigt wird, tritt sie außer Kraft.

(7) Im Antrag sind anzugeben:

(8) Die Anordnung ergeht schriftlich. In ihr sind anzugeben:

(9) Die Bundespolizei darf anordnen, dass Verpflichtete nach § 170 Absatz 1 und 2 des Telekommunikationsgesetzes sowie Anbieter digitaler Dienste nach § 1 Absatz 4 Nummer 5 des Digitale-Dienste-Gesetzes Datenverkehr, von dem eine Gefahr ausgeht, umleiten oder unterbinden. Die in Satz 1 Genannten haben auf Anordnung der Bundespolizei an den Maßnahmen nach Absatz 1 Satz 1 Nummer 2 und 3 unverzüglich mitzuwirken und die erforderlichen Auskünfte zu erteilen. Nicht in Satz 1 Genannte dürfen zur Mitwirkung und Auskunftserteilung nach Satz 2 nur unter den Voraussetzungen des § 21 Absatz 1 in Anspruch genommen werden.

(10) Im Falle einer Anordnung zur Umleitung von Datenverkehr nach Absatz 1 Satz 1 Nummer 2 setzt sich die Bundespolizei mit dem Bundesamt für Sicherheit in der Informationstechnik ins Benehmen.

(11) Bei besonderen Abwehrmaßnahmen nach Absatz 1 Satz 1 kann die Bundespolizei im Einzelfall anordnen, dass der Betreiber des informationstechnischen Systems oder der zur Umleitung, Einschränkung oder Unterbindung von Datenverkehr Verpflichtete gegenüber den von der besonderen Abwehrmaßnahme Betroffenen die besondere Abwehrmaßnahme nicht offenbaren darf, solange die Offenbarung Zwecken der Gefahrenabwehr oder Strafverfolgung entgegensteht. Erfolgt die Aufhebung eines Offenbarungsverbots nicht binnen 12 Monaten nach Beendigung der Maßnahme, bedarf die weitere Aufrechterhaltung der gerichtlichen Zustimmung. Absatz 6 Satz 2 bis 5 sowie § 78 Absatz 3 Satz 2 und 3 gelten entsprechend.

(12) Für die Löschung der durch die Maßnahmen nach Absatz 1 Satz 1 Nummer 2 oder 3 erlangten personenbezogenen Daten gilt § 81 Absatz 1.

(13) Die Bundespolizei übermittelt bei tatsächlichen Anhaltspunkten, dass die Aufgaben der Verteidigung betroffen sind, Informationen, die im Zusammenhang mit der Abwehr von Angriffen auf die Sicherheit in der Informationstechnik erlangt worden sind, an die Bundeswehr. § 42 des MAD-Gesetzes bleibt unberührt.“

aa) Vor Nummer 1 wird die folgende Nummer 1 eingefügt:

bb) Die bisherige Nummer 1 wird zu Nummer 2 und die Angabe „übermittelt oder“ wird durch die

cc) Die bisherige Nummer 2 wird gestrichen.

aa) In Satz 1 wird die Angabe „§§ 202a, 202b, 303a und § 303b“ durch die Angabe „§§ 202a, 202b,

bb) Satz 2 Nummer 3 wird durch die folgenden Nummern 3 und 4 ersetzt:

aa) In Satz 2 wird die Angabe „drei Monate“ durch die Angabe „24 Monate“ ersetzt.

bb) Satz 3 wird durch den folgenden Satz ersetzt:

(7) DNS-Diensteanbieter nach § 2 Nummer 8 Buchstabe a, die mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen, sind ab dem … [einsetzen: Datum des Tages und Monats des Inkrafttretens nach Artikel 6 dieses Gesetzes sowie Jahreszahl des auf das Inkrafttreten nach Artikel 6 dieses Gesetzes folgenden Jahres] verpflichtet, auf Grundlage der vom Bundesamt veröffentlichten Informationen nach Absatz 6 ihren Nutzern einen DNS-basierten Schutz vor Angriffen in Verbindung mit Domain-Namen, von denen Sicherheitsrisiken für die Informationstechnik ausgehen, anzubieten. § 28 Absatz 4 gilt entsprechend.“

Anordnungen des Bundesamtes gegenüber Top Level Domain Name Registries und Domain-Name-Registry-Dienstleistern (1) Zur Abwehr erheblicher Gefahren für die in § 16 Absatz 3 genannten Schutzgüter kann das Bundesamt gegenüber einem Top Level Domain Name Registry oder einem Domain-Name-Registry-Dienstleister anordnen, dass er die Nameserver-Einträge eines vom Bundesamt benannten Domain-Namens ändert oder neue Einträge hinzufügt, soweit er dazu technisch in der Lage ist und es ihm wirtschaftlich zumutbar ist. Widerspruch und Anfechtungsklage gegen die Anordnung nach Satz 1 haben keine aufschiebende Wirkung.

(2) Ordnet das Bundesamt eine Maßnahme nach Absatz 1 Satz 1 an, so kann es gegenüber einem Top Level Domain Name Registry und Domain-Name-Registry-Dienstleistern auch anordnen, die an eine be-

(3) Maßnahmen nach Absatz 1 Satz 1 müssen beendet werden, wenn feststeht, dass von dem Dienst, auf den die vom Bundesamt benannten Domain-Namen verweisen, keine Gefahr nach Absatz 1 Satz 1 mehr ausgeht.

Anordnungen von Maßnahmen des Bundesamtes gegenüber Anbietern von digitalen Diensten (1) Das Bundesamt kann in Einzelfällen zur Abwehr erheblicher Gefahren für informationstechnische Systeme einer Vielzahl von Nutzern, die von digitalen Diensten von Anbietern von digitalen Diensten nach § 2 Absatz 2 Nummer 1 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes ausgehen, die durch ungenügende technische und organisatorische Vorkehrungen nach § 19 Absatz 4 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes unzureichend gesichert sind und dadurch keinen hinreichenden Schutz bieten vor

(2) Zur Abwehr erheblicher Gefahren für die in § 16 Absatz 3 genannten Schutzgüter kann das Bundesamt gegenüber einem Anbieter nach § 2 Nummer 4, 5, 25, 26 oder 35 anordnen, den Datenverkehr an einen vom Bundesamt benannten Domain-Namen oder eine vom Bundesamt benannte Anschlusskennung umzuleiten oder zu unterbinden, soweit der Anbieter dazu technisch in der Lage ist und es ihm wirtschaftlich zumutbar ist. § 16 Absatz 5 gilt entsprechend.“

(3) Betreiber kritischer Anlagen sind verpflichtet, innerhalb von zwölf Monaten, nachdem sie erstmals oder erneut als Betreiber kritischer Anlagen gelten, jedoch nicht früher als zwölf Monate nach der Veröffentlichung der Anforderungen gemäß Absatz 6, Folgendes an das Bundesamt automatisiert zu übermitteln:

(4) Betreiber kritischer Anlagen dürfen personenbezogene Daten verarbeiten, soweit dies zur Erfüllung der Pflichten nach Absatz 3 Satz 1 erforderlich ist. Das Bundesamt darf die ausgeleiteten Daten zur Erfüllung seiner Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 1, 2, 22, 24 und 25 verarbeiten.

(5) Bei der Erfüllung der Pflichten nach den Absätzen 2 und 3 soll der Stand der Technik eingehalten werden. Der hierfür erforderliche Aufwand soll nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen kritischen Anlage stehen.

(6) Das Bundesamt legt die Anforderungen an die Anbindung und Ausleitung gemäß den Absätzen 2, 3 und 5 nach Anhörung der betroffenen Betreiber und der betroffenen Wirtschaftsverbände fest und veröffentlicht sie auf seiner Internetseite.“

10. § 50 Absatz 1 wird durch den folgenden Absatz 1 ersetzt:

11. § 57 wird durch den folgenden § 57 ersetzt:

12. § 65 wird wie folgt geändert:

aa) Nummer 1 wird wie folgt geändert:

bb) Nach Nummer 3 werden die folgenden Nummern 3a und 3b eingefügt:

Abwehr von Gefahren durch Angriffe auf die Sicherheit in der Informationstechnik (1) Das Bundeskriminalamt nimmt die Aufgabe der Abwehr von Gefahren durch Angriffe auf die Sicherheit in der Informationstechnik wahr, wenn

(2) Gefahren durch Angriffe auf die Sicherheit in der Informationstechnik sind Gefahren der Verwirklichung von Straftaten, die in den §§ 202a, 202b, 202c, 202d, 263a, 303a und 303b des Strafgesetzbuchs bezeichnet sind.

(3) Schwerwiegend im Sinne des Absatzes 1 Nummer 1 sind Gefahren durch Angriffe auf die Sicherheit in der Informationstechnik, die sich richten gegen

(4) Die Aufgaben und Befugnisse anderer Bundesbehörden bleiben unberührt. Das Bundeskriminalamt benachrichtigt die für die Polizeien zuständigen obersten Landesbehörden der betroffenen Länder, wenn das Bundeskriminalamt die Aufgabe nach Absatz 1 wahrnimmt.“

Durchsuchung von Gegenständen (1) Das Bundeskriminalamt kann einen Gegenstand durchsuchen, wenn

(2) § 67 Absatz 4 des Bundespolizeigesetzes gilt entsprechend.“

aa) In der Angabe vor Buchstabe a wird die Angabe „sie“ durch die Angabe „er“ und die Angabe „die

bb) In Buchstabe c wird die Angabe „Sachen“ durch die Angabe „Gegenstände“ ersetzt.

Zurückstellung der Benachrichtigung; Offenbarungsverbot (1) Bei der Sicherstellung eines Gegenstandes, den eine Person im Gewahrsam hat (Gewahrsamsinhaber), kann die Benachrichtigung des Eigentümers oder des rechtmäßigen Inhabers der tatsächlichen Gewalt nach § 60 Absatz 2 in Verbindung mit § 72 Absatz 2 Satz 3 des Bundespolizeigesetzes zurückgestellt werden, solange die Benachrichtigung den Zweck der Sicherstellung gefährden würde. § 74 Absatz 1 Satz 2 bis 4 gilt entsprechend.

(2) Wird die Benachrichtigung zurückgestellt, kann unter Würdigung aller Umstände und nach Abwägung der Interessen der Beteiligten im Einzelfall angeordnet werden, dass der Gewahrsamsinhaber für die Dauer der Zurückstellung gegenüber dem Eigentümer, dem rechtmäßigen Inhaber der tatsächlichen Gewalt und dritten Personen die Sicherstellung nicht offenbaren darf.

(3) Die Zurückstellung der Benachrichtigung nach Absatz 1 sowie das Offenbarungsverbot nach Absatz 2 dürfen nur auf Antrag der zuständigen Abteilungsleitung des Bundeskriminalamtes oder deren Vertretung durch das Gericht angeordnet werden.

(4) Bei Gefahr im Verzug kann die Anordnung durch die zuständige Abteilungsleitung des Bundeskriminalamtes oder deren Vertretung getroffen werden. In diesem Fall ist die gerichtliche Entscheidung unverzüglich nachzuholen. Soweit die Anordnung nach Satz 1 nicht binnen drei Tagen durch das Gericht bestätigt wird, tritt sie außer Kraft.

(5) In dem Antrag nach Absatz 3 sind anzugeben:

(6) Die Anordnung ergeht schriftlich. In ihr sind anzugeben:

Befugnisse (1) Zur Erfüllung seiner Aufgaben nach den §§ 3a und 5 bis 8 kann das Bundeskriminalamt, um eine Gefahr nach Absatz 2 abzuwehren,

(2) Gefahr im Sinne dieses Abschnitts ist eine im Einzelfall bestehende Gefahr im Sinne des § 3a Absatz 2.

(3) Die §§ 16 bis 21 des Bundespolizeigesetzes gelten entsprechend für Maßnahmen nach Absatz 1.

(4) Das Bundeskriminalamt übermittelt bei tatsächlichen Anhaltspunkten, dass die Aufgaben der Verteidigung betroffen sind, Informationen, die im Zusammenhang mit der Abwehr von Angriffen auf die Sicherheit in der Informationstechnik erlangt worden sind, unverzüglich an die Bundeswehr. § 42 des MAD- Gesetzes bleibt unberührt.

Einschränkung, Unterbindung und Umleitung von Datenverkehr (1) Das Bundeskriminalamt darf zur Abwehr einer Gefahr Datenverkehr, von dem diese Gefahr ausgeht, einschränken, unterbinden oder auf eine vom Bundeskriminalamt vorgegebene Zieladresse umleiten und aufzeichnen, auch ohne Wissen der Betroffenen.

(2) Das Bundeskriminalamt darf anordnen, dass die Verpflichteten nach § 170 Absatz 1 und 2 des Telekommunikationsgesetzes sowie Anbieter digitaler Dienste nach § 1 Absatz 4 Nummer 5 des Digitale- Dienste-Gesetzes Datenverkehr, von dem eine Gefahr ausgeht, umleiten oder unterbinden. Die in Satz 1 Genannten haben auf Anordnung des Bundeskriminalamtes an den Maßnahmen nach Absatz 1 unverzüglich mitzuwirken und die erforderlichen Auskünfte zu erteilen. Nicht in Satz 1 Genannte dürfen zur Mitwirkung und Auskunftserteilung nach Satz 2 nur unter den Voraussetzungen des § 21 Absatz 1 des Bundespolizeigesetzes in Anspruch genommen werden.

(3) Im Falle einer Anordnung zur Umleitung von Datenverkehr setzt sich das Bundeskriminalamt mit dem Bundesamt für Sicherheit in der Informationstechnik ins Benehmen.

(4) Für die Löschung nach Absatz 1 erlangter personenbezogener Daten gilt § 79.

Auslesen, Löschen und Verändern gefahrgegenständlicher Daten in informationstechnischen Systemen (1) Das Bundeskriminalamt darf zur Abwehr einer Gefahr gefahrgegenständliche Daten in dem informationstechnischen System, von dem die Gefahr ausgeht, auch durch Eingriff mit technischen Mitteln und ohne Wissen des Betroffenen, auslesen, löschen oder verändern.

(2) Gefahrgegenständliche Daten sind die Daten von Schadprogrammen oder sonstigen informationstechnischen Angriffswerkzeugen, einschließlich Steuerungs- oder Protokolldateien, und Spuren, die technisch mit dem Angriff verbunden sind, sowie Daten, die selbst Gegenstand eines Angriffs auf die Sicherheit in der Informationstechnik sind, insbesondere Daten, die durch diesen Angriff an ein informationstechnisches System weitergeleitet werden oder wurden.

(3) Bei Maßnahmen nach Absatz 1 ist sicherzustellen, dass, soweit möglich, technische Vorkehrungen getroffen werden, damit das Auslesen, Löschen oder Verändern auf gefahrgegenständliche Daten beschränkt wird. In den informationstechnischen Systemen vorgenommene Veränderungen sind bei Beendigung der Maßnahme rückgängig zu machen, soweit dies technisch möglich ist und dem Zweck der Maßnahme nicht entgegensteht. Vom Bundeskriminalamt eingesetzte Mittel sind nach dem Stand der Technik gegen unbefugte Nutzung zu schützen.

(4) Die Maßnahmen nach Absatz 1 dürfen auch durchgeführt werden, wenn Dritte unvermeidbar betroffen werden. § 68c Absatz 2 Satz 2 und 3 gilt entsprechend.

(5) Für die Löschung nach Absatz 1 erlangter personenbezogener Daten gilt § 79.

Besondere Bestimmungen für Eingriffe in private informationstechnische Systeme (1) Maßnahmen nach § 68d, die ohne Einwilligung des Betroffenen durch Eingriff in private informationstechnische Systeme eine Datenerhebung ermöglichen, dürfen abweichend von § 68d Absatz 1 nur angeordnet werden

(2) Privat ist ein informationstechnisches System, wenn es als eigenes privat genutzt wird und aufgrund seiner technischen Funktionalität allein oder durch technische Vernetzung Daten derart vorhalten kann, dass bei einem Zugriff auf das System Umfang, Vielfalt und Qualität der Daten einen Einblick in wesentliche Teile der Lebensgestaltung der Person oder ein aussagekräftiges Bild der Persönlichkeit ermöglichen.

(3) Die Anordnung nach Absatz 1 erfolgt auf Antrag der zuständigen Abteilungsleitung des Bundeskriminalamtes oder deren Vertretung durch das Gericht.

(4) Bei Gefahr im Verzug kann die Anordnung durch die zuständige Abteilungsleitung des Bundeskriminalamtes oder deren Vertretung getroffen werden. In diesem Fall ist die gerichtliche Entscheidung unverzüglich nachzuholen. Soweit die Anordnung nach Satz 1 nicht binnen drei Tagen durch das Gericht bestätigt wird, tritt sie außer Kraft.

(5) In dem Antrag nach Absatz 3 sind anzugeben:

(6) Die Anordnung ergeht schriftlich. In ihr sind anzugeben:

(7) Für den Schutz des Kernbereichs privater Lebensgestaltung gilt § 51 Absatz 7 und 8 entsprechend.

Offenbarungsverbot (1) Bei den Maßnahmen nach den §§ 68b bis 68d kann das Bundeskriminalamt im Einzelfall anordnen, dass der Betreiber des informationstechnischen Systems oder der zur Umleitung, Einschränkung, oder Unterbindung von Datenverkehr Verpflichtete gegenüber den von der Maßnahme Betroffenen die Maßnahme nicht offenbaren darf, solange die Offenbarung Zwecken der Gefahrenabwehr oder Strafverfolgung entgegensteht.

(2) Erfolgt die Aufhebung eines Offenbarungsverbots nicht binnen zwölf Monaten, bedarf die weitere Aufrechterhaltung der gerichtlichen Zustimmung. § 74 Absatz 3 Satz 5 und 6 gilt entsprechend.“

Drucksache 21/6585 Deutscher Bundestag – 21. Wahlperiode 10. In § 69 Absatz 1 Satz 1 wird die Angabe „Abschnitt 5“ durch die Angabe „den Abschnitten 5 und 8a“ ersetzt.

11. § 74 Absatz 1 Satz 1 wird wie folgt geändert:

12. In § 79 Absatz 1 Satz 1 wird die Angabe „Abschnitt 5“ durch die Angabe „den Abschnitten 5 oder 8a“ ersetzt.

13. § 82 wird wie folgt geändert:

aa) In Nummer 11 wird die Angabe „Zielperson.“ durch die Angabe „Zielperson,“ ersetzt.

bb) Nach Nummer 11 wird die folgende Nummer 12 eingefügt:

14. § 87a Absatz 1 und 2 wird durch die folgenden Absätze 1 und 2 ersetzt:

(2) Die Ordnungswidrigkeit kann in den Fällen des Absatzes 1 Nummer 1 und Nummer 2 Buchstabe b mit einer Geldbuße bis zu fünfhunderttausend Euro und in den Fällen des Absatzes 1 Nummer 2 Buchstabe a mit einer Geldbuße bis zu fünfzigtausend Euro geahndet werden.“

(6) Wird ein Anbieter von digitalen Diensten vom Bundesamt für Sicherheit in der Informationstechnik über konkrete Gefahren für die Sicherheit in der Informationstechnik informiert, die im Zuge der Inanspruchnahme durch einen Nutzer von einem seiner Dienste ausgehen oder diese betreffen, hat er den Nutzer, soweit ihm dieser bekannt ist, unverzüglich darüber zu benachrichtigen. Dabei hat der Anbieter insbesondere alle in der Mitteilung des Bundesamts für Sicherheit in der Informationstechnik nach Satz 1 enthaltenen Informationen, mit denen die Gefahren erkannt und ihnen vorgebeugt werden können, an den Nutzer weiterzuleiten. Werden einem Anbieter digitaler Dienste Gefahren für die Sicherheit in der Informationstechnik bekannt, die im Zuge der Inanspruchnahme durch einen Nutzer von einem seiner Dienste ausgehen oder diese betreffen, kann er den Nutzer darüber benachrichtigen. Soweit technisch möglich und wirtschaftlich zumutbar, kann er den Nutzer auf angemessene, wirksame und zugängliche technische Mittel hinweisen, mit denen er diese Gefahren erkennen und ihnen vorbeugen kann.“

(8) Der Betreiber nach Absatz 1 Satz 1 Nummer 1 bis 3 darf personenbezogene Daten verarbeiten, soweit dies zur Erfüllung der Pflichten nach Absatz 7 Satz 1 erforderlich ist. Das Bundesamt für Sicherheit in der Informationstechnik darf die übermittelten Daten zur Erfüllung seiner Aufgaben nach § 3 Absatz 1 Satz 2 Nummer 1, 2, 22, 24 und 25 des BSI-Gesetzes verarbeiten.

(9) Die Übermittlung an das Bundesamt für Sicherheit in der Informationstechnik nach Absatz 7 muss unidirektional und rückwirkungsfrei erfolgen. Dabei soll der Stand der Technik eingehalten werden. Der

(10) Die Anforderungen an die Übermittlung und die hierfür erforderliche technische Anbindung werden von der Bundesnetzagentur im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik durch Festlegung nach § 29 Absatz 1 bestimmt. Die Bundesnetzagentur beteiligt die Betreiber nach Absatz 1 Satz 1 Nummer 1 bis 3 und deren Branchenverbände entsprechend ihrer Betroffenheit. Im Rahmen der Festlegung können bestimmte Betreibergruppen von der Verpflichtung nach Absatz 7 ausgenommen werden. Die Festlegung kann als Teil des IT-Sicherheitskatalog nach Absatz 2 erfolgen.

(11) Durch die Absätze 7 und 8 wird das Fernmeldegeheimnis (Artikel 10 Absatz 1 des Grundgesetzes) eingeschränkt.“

aa) Nach Nummer 3b wird die folgende Nummer 3c eingefügt:

bb) Die bisherigen Nummern 3c bis 3j werden zu den Nummern 3d bis 3k.

aa) In Nummer 1 wird die Angabe „Nummer 3b bis 3e“ durch die Angabe „Nummer 3b, 3d bis 3f“ ersetzt.

bb) In Nummer 2 Buchstabe a wird die Angabe „Nummer 3g bis 3j“ durch die Angabe „Nummer 3h bis 3k“ ersetzt.

cc) In Nummer 3 Buchstabe a wird die Angabe „Nummer 4“ durch die Angabe „Nummer 3c, 4“ ersetzt.

Der Krieg in der Ukraine verdeutlicht, wie essentiell Cybersicherheit für einen modernen Staat wie Deutschland ist. Die Gewährleistung einer verlässlichen und sicheren Nutzung der Informationstechnologie und der zugrundeliegenden Kommunikationsinfrastruktur ist essentielle Voraussetzung für das Funktionieren des Gemeinwesens. Deutschlands wirtschaftlicher Erfolg und gesellschaftlicher Zusammenhalt sowie die nationale Sicherheit sind mit der Gewährleistung von Cybersicherheit untrennbar verbunden. Angriffe im Cyberraum überwinden mühelos Landes- oder Zuständigkeitsgrenzen und können sich dadurch auf sämtliche Lebensbereiche und Sektoren einschließlich der Kommunikationsinfrastruktur insgesamt auswirken. Gezielte Angriffe auf kritische Infrastrukturen und wichtige Unternehmen, Aktionen von Cyberkriminellen oder Angriffe auf bzw. Sabotage von staatlichen Strukturen sind geeignet, die Funktionsfähigkeit des Gemeinwesens, der Wirtschaft und des Staats- und Verwaltungswesens massiv und anhaltend zu beeinträchtigen.

## Lfd. Nr. 4.2.3: Bereitstellung von Informationen durch Anbieter von Telekommunikationsdiensten und digitalen Anbietern; § 15 Absatz 6 BSIG-E (Informationspflicht)

## Lfd. Nr. 4.2.5: Umsetzung der Anordnungsbefugnis gegenüber Top Level Registries und Registrare; §16a

## Lfd. Nr. 4.2.6: Bei Anordnung des BSI Datenverkehr an eine benannte Domain oder Anschlusskennung umzuleiten oder zu unterbinden; § 17 Absatz 2 BSIG-E

Das BSI kann zur Abwehr erheblicher Gefahren für die genannten Schutzgüter gegenüber Telekommunikationsanbietern anordnen, den Datenverkehr an eine vom BSI benannte Domain oder Anschlusskennung umzuleiten oder zu unterbinden. Es wird angenommen, dass ca. 40 Anwendungsfälle pro Jahr auftreten. Unter der Berücksichtigung des durchschnittlichen Lohnsatzes für den Wirtschaftszweig J (Information und Kommunikation) von 52,80 Euro, und einem Zeitaufwand von 50 Stunden pro Fall ergibt sich ein laufender Erfüllungsaufwand in Höhe von ca. 106.000 Euro.

## Lfd. Nr. 4.2.7: Anbindung von Systemen zur Angriffserkennung bei Betreibern kritischer Anlagen an das

## Lfd. Nr. 4.2.8: Zugang zu Domain-Namen-Registrierungsdaten gewähren; § 50 Absatz 1 BSIG-E

Lfd. Nr. 4.2.9: Benachrichtigungen durch Dienstanbieter, § 19 Absatz 5 und 6 TDDDG-E (Informationspflicht)

## Lfd. Nr. 4.2.10: Untersagung des Betriebs eines informationstechnischen Systems; § 68b BKAG-E

## Lfd. Nr. 4.2.11: Mitwirkung an Abwehrmaßnahmen gegen Angriffe auf die IT-Sicherheit; § 68c Absatz 2

## Lfd. Nr. 4.3.2: Umleitung von Datenverkehr auf eine vorgegebene Zieladresse; § 41a Absatz 2, Nummer 1

## Lfd. Nr. 4.3.4: Untersagung des Betriebs eines informationstechnischen Systems; § 41a Absatz 2 Nummer 3

## Lfd. Nr. 4.3.9: Anbindung von Systemen zur Angriffserkennung bei Betreibern kritischer Anlagen an das

Lfd. Nr. 4.3.10: Bußgeldverfahren und Sanktionierung bei Fehlen eines geeigneten Systems zur Angriffserkennung; § 65 Absatz 2, Nummer 3a BSIG-E

1. Zum Gesetzentwurf allgemein a) Der Bundesrat erkennt das mit dem Entwurf eines Gesetzes zur Stärkung der Cybersicherheit verfolgte Anliegen ausdrücklich an. Die Bedrohungslage im digitalen Raum hat sich in den vergangenen Jahren nicht nur quantitativ, sondern auch qualitativ grundlegend gewandelt. Professionell organisierte Ransomware-Kampagnen, staatlich gesteuerte Angriffe und hybride Bedrohungsformen stellen sowohl die Widerstandsfähigkeit kritischer Infrastrukturen als auch das überkommene Instrumentarium des Gefahrenabwehrrechts vor neue Herausforderungen. Die Schaffung gesetzlicher Grundlagen für eine handlungsfähige, auch aktive Cyberabwehr ist im Grundsatz nicht nur akzeptabel, sondern angesichts der sich verschärfenden Bedrohungslage dringend sachlich geboten. Andere EU-Staaten wie beispielsweise Frankreich und die Niederlande verfügen bereits über vergleichbare Befugnisse oder arbeiten derzeit an entsprechenden Regelungen. Deutschland sollte bei dieser Entwicklung den Anschluss wahren.

2. Zum Gesetzentwurf allgemein a) Der Bundesrat bittet, zu prüfen, ob die aus dem Gesetzentwurf resultierenden Belastungen für die betroffenen Unternehmen in ihrer Gesamtheit angemessen sind.

3. Zu Artikel 1 Nummer 2 (§ 41a Absatz 1 BPolG), Artikel 3 Nummer 9 (§§ 68b bis 68d BKAG)

4. Zu Artikel 1 Nummer 2 (§ 41a Absatz 6 Satz 1 BPolG)

5. Zu Artikel 1 Nummer 2 (§ 41a Absatz 9 BPolG), Artikel 3 Nummer 9 (§ 68c Absatz 2 BKAG)

6. Zu Artikel 2 Nummer 5 (§ 15 Absatz 6 BSIG)

7. Zu Artikel 2 Nummer 7 (§ 16a Absatz 1 Satz 2 BSIG)

8. Zu Artikel 3 Nummer 9 (§ 68d Absatz 1 BKAG)

9. Zu Artikel 3 Nummer 9 (§ 68e Absatz 3, § 68f Absatz 2 BKAG)

## 10. Der federführende Ausschuss für Innere Angelegenheiten und der Ausschuss für Digitales und Staatsmodernisierung