Deutschland kann auf Cyberangriffe nicht mit einer allgemeinen staatlichen Hackback-Befugnis reagieren. Die Einschätzung der Wissenschaftlichen Dienste des Bundestages wurde am 6. Juli 2026 abgeschlossen. Aktive Gegenangriffe sind demnach nur in eng begrenzten Fällen möglich, während die zivile Cyberabwehr grundsätzlich bei den Ländern liegt. Treffen solche Operationen aufgrund einer falschen Zuordnung unbeteiligte Staaten und verursachen erhebliche Schäden, können sie gegen das Grundgesetz und das Völkerrecht verstoßen.
Die Untersuchung entstand vor dem Hintergrund des von der Bundesregierung eingebrachten Entwurfs für ein Gesetz zur Stärkung der Cybersicherheit. Sie prüft jedoch nicht, ob der konkrete Gesetzentwurf mit dem Grundgesetz vereinbar ist. Die Wissenschaftlichen Dienste geben zudem nicht die Position des Bundestages oder der Bundestagsverwaltung wieder.
Als aktive Cyberabwehr gelten Maßnahmen, die über den Schutz eigener IT-Systeme hinausgehen. Dazu können das Eindringen in angreifende Systeme, deren Manipulation oder die technische Unterbrechung eines laufenden Angriffs gehören. Solche Gegenmaßnahmen werden häufig als Hackbacks bezeichnet.
Zivile Cyberabwehr liegt zunächst bei den Ländern
Die Gefahrenabwehr ist nach der Kompetenzordnung des Grundgesetzes grundsätzlich Sache der Länder. Damit wären zunächst die Landesbehörden und insbesondere die Landespolizeien für die Abwehr ziviler Cyberangriffe verantwortlich.
Eine allgemeine Zuständigkeit des Bundes lässt sich nach der Ausarbeitung auch nicht damit begründen, dass Cyberangriffe häufig mehrere Bundesländer oder Staaten betreffen. Eine ungeschriebene Bundeskompetenz komme nur bei Aufgaben in Betracht, die zwingend einheitlich auf Bundesebene geregelt werden müssten. Für die aktive Cyberabwehr werde eine solche Begründung überwiegend abgelehnt.
Bundesbehörden könnten daher nur handeln, wenn das Grundgesetz ihnen für den jeweiligen Bereich eine konkrete Aufgabe zuweist. Die rechtliche Abgrenzung ist in zahlreichen Fällen weiterhin offen.
BKA könnte bei internationalem Cyberterrorismus eingreifen
Für das Bundeskriminalamt sehen die Wissenschaftlichen Dienste einen möglichen Einsatzbereich bei internationalem Cyberterrorismus. Voraussetzung wäre eine länderübergreifende Gefahr, eine nicht erkennbare Zuständigkeit einer Landespolizei oder ein Übernahmeersuchen des betroffenen Landes.
Unterhalb dieser Schwelle dürfte das BKA keine allgemeine Befugnis zur aktiven Cyberabwehr erhalten. Seine Funktion als Zentralstelle für die Zusammenarbeit der Polizeibehörden reicht demnach nicht aus, um neue und umfassende Eingriffsbefugnisse des Bundes zu begründen.
Auch Zuständigkeiten des BKA bei Staatsschutzdelikten oder beim Schutz von Mitgliedern der Verfassungsorgane ergeben keine umfassende Kompetenz. Aktive Maßnahmen wären allenfalls in eng begrenzten Fällen denkbar, die unmittelbar mit einer bereits bestehenden Bundesaufgabe verbunden sind.
Bundespolizei bleibt auf ihre Aufgaben beschränkt
Bei der Bundespolizei wäre eine aktive Cyberabwehr möglicherweise zulässig, wenn ein Angriff unmittelbar ihre bestehenden Aufgaben betrifft. Dazu könnten IT-Systeme des Grenzschutzes, des Bahnverkehrs oder der Luftsicherheit gehören.
Eine allgemeine Zuständigkeit lässt sich daraus nicht ableiten. Die Wissenschaftlichen Dienste weisen ausdrücklich darauf hin, dass der Begriff des Grenzschutzes nicht auf die vermeintlichen „Grenzen“ des Cyberraums ausgeweitet werden könne.
Die Bundespolizei muss eine Sonderpolizei mit begrenzten Aufgaben bleiben. Sie darf nicht zu einer allgemeinen Bundespolizei ausgebaut werden, die mit den Polizeien der Länder konkurriert.
BSI dürfte vor allem defensiv handeln
Auch beim Bundesamt für Sicherheit in der Informationstechnik bestehen enge Grenzen. Der Bund kann das BSI mit dem Schutz der eigenen Verwaltung und mit bestimmten Aufgaben bei kritischen Infrastrukturen betrauen.
Rein defensive Befugnisse, etwa zur Sicherung und Wiederherstellung von IT-Systemen, lassen sich nach der Ausarbeitung verfassungsrechtlich eher begründen. Eine Zuständigkeit für aktive Gegenmaßnahmen, bei denen fremde Systeme infiltriert, verändert oder ausgeschaltet werden, dürfte dagegen zu weit reichen.
Solche Befugnisse könnten in die grundsätzliche Zuständigkeit der Länder für die Gefahrenabwehr eingreifen. Einzelne Zuständigkeiten des Bundes beim Schutz kritischer Infrastruktur tragen demnach nur punktuelle Regelungen, aber keine allgemeine Hackback-Kompetenz.
Offene Fragen bei BND und Verfassungsschutz
Ob der Bundesnachrichtendienst oder das Bundesamt für Verfassungsschutz aktive Gegenmaßnahmen durchführen dürften, bleibt ebenfalls ungeklärt. Das Bundesamt für Verfassungsschutz ist grundsätzlich für Bestrebungen im Inland zuständig, der Bundesnachrichtendienst für Vorgänge mit Auslandsbezug.
Bei Cyberangriffen ist diese Trennung häufig schwer durchzuhalten. Server, Täter, technische Infrastruktur und Opfer können sich in mehreren Staaten befinden. Zudem lässt sich der tatsächliche Ursprung eines Angriffs nicht immer zuverlässig bestimmen.
Hinzu kommt das Trennungsprinzip zwischen Nachrichtendiensten und Polizei. Nachrichtendienste sammeln und analysieren Informationen, während polizeiliche Behörden Gefahren abwehren und Zwangsmaßnahmen ausführen. Auch der Austausch von Daten zwischen beiden Bereichen ist nur unter besonderen Voraussetzungen erlaubt.
Falsche Zuordnung kann unbeteiligte Staaten treffen
Besonders hohe Risiken entstehen durch die schwierige Zuordnung von Cyberangriffen. Täter können fremde Rechner, Botnetze oder manipulierte IP-Adressen verwenden und dadurch falsche Spuren legen.
Eine Gegenmaßnahme könnte deshalb die Infrastruktur unbeteiligter Unternehmen, Privatpersonen oder Staaten treffen. Bleiben die Folgen ausschließlich im digitalen Raum und unterhalb der Schwelle einer völkerrechtlichen Gewaltanwendung, greift das Verbot friedensstörender Handlungen des Grundgesetzes nicht ohne Weiteres.
Anders wäre die Lage, wenn eine Cyberoperation erhebliche physische Zerstörungen verursacht. Erreicht sie nach Ausmaß und Wirkung die Folgen eines konventionellen Angriffs, kann sie unter das Gewaltverbot der UN-Charta fallen.
Eine Rechtfertigung durch Selbstverteidigung wäre nur möglich, wenn zuvor ein bewaffneter Angriff stattgefunden hat. Diese Schwelle werde selbst durch fortgeschrittene und länger andauernde Cyberangriffe im Regelfall nicht erreicht.
Träfe ein deutscher Gegenangriff aufgrund einer falschen Zuordnung einen unbeteiligten Staat und verursachte dort erhebliche physische Schäden, könnte er gegen das völkerrechtliche Gewaltverbot und damit auch gegen das Grundgesetz verstoßen.
Bundeswehr unterliegt besonderen Kontrollregeln
Militärische Cyberoperationen der Bundeswehr richten sich nach den allgemeinen verfassungsrechtlichen Vorgaben für Einsätze der Streitkräfte. Je nach Art und Umfang einer Operation kann die Zustimmung des Bundestages erforderlich sein.
Die Bundeswehr unterliegt der Kontrolle des gesamten Parlaments, des Verteidigungsausschusses und der Wehrbeauftragten. Bei Operationen der Nachrichtendienste gelten zusätzlich die besonderen Regeln der parlamentarischen Nachrichtendienstkontrolle.
Für aktive Cybermaßnahmen anderer Bundesbehörden sieht die Ausarbeitung keine davon abweichenden parlamentarischen Kontrollmechanismen vor.
