㤠41a

Besondere Abwehrmaßnahmen gegen Angriffe auf die Sicherheit in der Informationstechnik

(1)

Zur Erfüllung ihrer Aufgaben nach § 1 Absatz 3 bis 5 sowie den §§ 2 bis 8 kann die Bundespolizei folgende besondere Abwehrmaßnahmen ergreifen, um eine Gefahr durch einen Angriff auf die Sicherheit in der Informationstechnik durch Verwirklichung von Straftaten nach den §§ 202a, 202b, 202c, 202d, 263a, 303a und 303b des Strafgesetzbuchs abzuwehren:

1. die Untersagung des Betriebs eines informationstechnischen Systems, von dem eine vorgenannte Gefahr ausgeht,

2. die Umleitung von Datenverkehr, von dem eine vorgenannte Gefahr ausgeht, an eine von der Bundespolizei vorgegebene Zieladresse und dessen Aufzeichnung oder dessen Einschränkung oder Unterbindung auch ohne Wissen der Betroffenen und

3. das Auslesen, Löschen oder Verändern gefahrgegenständlicher Daten in dem informationstechnischen System, von dem eine vorgenannte Gefahr ausgeht, auch durch Eingriff mit technischen Mitteln und ohne Wissen der Betroffenen.

(…)

(9)

Die Bundespolizei darf anordnen, dass Verpflichtete nach § 170 Absatz 1 und 2 des Telekommunikationsgesetzes sowie Anbieter digitaler Dienste nach § 1 Absatz 4 Nummer 5 des Digitale-Dienste-Gesetzes Datenverkehr, von dem eine Gefahr ausgeht, umleiten oder unterbinden. Die in Satz 1 Genannten haben auf Anordnung der Bundespolizei an den Maßnahmen nach Absatz 1 Satz 1 Nummer 2 und 3 unverzüglich mitzuwirken und die erforderlichen Auskünfte zu erteilen.

(…)

Das BSI-Gesetz vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301, S. 2), das durch Artikel 4 des Gesetzes vom 11. März 2026 (BGBl. 2026 I Nr. 66) geändert worden ist, wird wie folgt geändert:

1. Die Inhaltsübersicht wird wie folgt geändert:

a)

Nach der Angabe zu § 16 wird die folgende Angabe eingefügt:

„§ 16a Anordnungen des Bundesamtes gegenüber Top Level Domain Name Registries und Domain-Name-Registry-Dienstleistern“.

(…)

§ 8 wird wie folgt geändert:

a)

Die Absätze 2 und 3 werden durch die folgenden Absätze 2 und 3 ersetzt:

(2 „Protokolldaten nach Absatz 1 Satz 1 Nummer 1 und an den Schnittstellen der Kommunikati-
onstechnik des Bundes anfallende Daten nach Absatz 1 Satz 1 Nummer 2, soweit diese aus einer Zeichenfolge bestehen, die auf eine Ressource im Internet verweist, dürfen über den für die automatisierte Auswertung erforderlichen Zeitraum hinaus, längstens jedoch für 18 Monate, gespeichert werden, soweit tatsächliche Anhaltspunkte dafür bestehen, dass sie im Fall der Bestätigung eines Verdachts nach Absatz 4 Satz 2 zur Abwehr von Gefahren, die von dem gefundenen Schadprogramm ausgehen, oder zur Erkennung und Abwehr anderer Schadprogramme oder sonstiger erheblicher Gefahren für die Kommunikationstechnik des Bundes erforderlich sein können.

(…)

bb)

Satz 2 Nummer 3 wird durch die folgenden Nummern 3 und 4 ersetzt:

3. „an den Bundesnachrichtendienst zur Unterrichtung über Tatsachen, die einen internationalen kriminellen, terroristischen oder staatlichen Angriff mittels Schadprogrammen oder vergleichbarer schädlich wirkender informationstechnischer Mittel auf die Vertraulichkeit, Integrität oder Verfügbarkeit von IT-Systemen in Fällen von erheblicher Bedeutung mit Bezug zur Bundesrepublik Deutschland erkennen lassen,

4. an die Bundeswehr zur Unterrichtung über Tatsachen, die eine Bedeutung für die Erfüllung
der Aufgaben der Verteidigung erkennen lassen.“

(…)

(2)

Zur Abwehr erheblicher Gefahren für die in § 16 Absatz 3 genannten Schutzgüter kann das Bun-
desamt gegenüber einem Anbieter nach § 2 Nummer 4, 5, 25, 26 oder 35 anordnen, den Datenverkehr an einen vom Bundesamt benannten Domain-Namen oder eine vom Bundesamt benannte Anschlusskennung umzuleiten oder zu unterbinden, soweit der Anbieter dazu technisch in der Lage ist und es ihm wirtschaftlich zumutbar ist. § 16 Absatz 5 gilt entsprechend.“

(…)

㤠3a

Abwehr von Gefahren durch Angriffe auf die Sicherheit in der Informationstechnik

(1) Das Bundeskriminalamt nimmt die Aufgabe der Abwehr von Gefahren durch Angriffe auf die Sicherheit in der Informationstechnik wahr, wenn

1. die Gefahren schwerwiegend sind und die Abwehr nur in gemeinsamer Ausführung mit öffentlichen Stellen anderer Staaten oder zwischen- und überstaatlichen Stellen erfolgen kann,

2. sich die Gefahren gegen die Funktionsfähigkeit von Behörden oder Einrichtungen des Bundes richten oder

3. sich die Gefahren ihrer Art nach oder wegen der zur Abwehr erforderlichen Maßnahmen auf die Stellung der Bundesrepublik Deutschland in der Staatengemeinschaft oder die Verteidigung auswirken können.

Artikel 6

Einschränkung eines Grundrechts

Durch Artikel 1 Nummer 2 (§ 41a des Bundespolizeigesetzes), Artikel 2 Nummer 3 bis 8 (§§ 8, 11, 15, 16, 16a, 17 und 31 des BSI-Gesetzes) sowie Artikel 3 Nummer 6, 7 und 9 (§§ 60, 60a und 68a bis 68e des Bundeskriminalamtgesetzes) und Artikel 5 Nummer 1 (§ 5c des Energiewirtschaftsgesetzes) wird das Fernmeldegeheimnis (Artikel 10 Absatz 1 des Grundgesetzes) eingeschränkt.

Artikel 7

Inkrafttreten

Dieses Gesetz tritt am Tag nach der Verkündung in Kraft.