Gesetz zur Stärkung der Cybersicherheit: GI warnt vor neuen Angriffszielen bei kritischen Infrastrukturen

Berlin, 5. Oktober 2026 | Der Regierungsentwurf für ein Gesetz zur Stärkung der Cybersicherheit verpflichtet Betreiber kritischer Anlagen, Verfügbarkeitsdaten ihrer IT-Systeme kontinuierlich an das Bundesamt für Sicherheit in der Informationstechnik zu übermitteln, und zwar über eine direkte Schnittstelle aus ihrem System zur Angriffserkennung. Aus Sicht des Fachbereichs Sicherheit der GI entsteht damit faktisch ein sogenannter Honeypot, der Angreifer anzieht. Über die Schnittstelle fließen Details zu Komponenten, IP-Adressen und Systemarchitektur, die der Aufsicht kaum nützen, Cyberkriminellen dagegen umso mehr. Zudem müssten bewusst getrennte Monitoring- und Erkennungssysteme verknüpft werden, entgegen dem Stand der Technik. In ihrer Stellungnahme zum Referentenentwurf im März hatte die GI noch eine Prüfung des Mehrwerts angeregt. Nun empfiehlt sie, die Regelung ersatzlos zu streichen.

Bernhard C. Witt, Fachexperte für Governance im Fachbereich Sicherheit der Gesellschaft für Informatik: "Wer kritische Infrastrukturen verpflichtet, ihre Verfügbarkeitsdaten minütlich nach außen zu melden, schafft keinen Schutz, sondern eine Landkarte für Angreifer. Der Bundestag sollte diese Pflicht streichen und stattdessen dafür sorgen, dass das BSI vorhandene Meldungen qualifiziert auswerten kann.".

Ihre weiteren Positionen aus der Stellungnahme im Frühjahr bekräftigt die GI. Die aktiven Eingriffsbefugnisse für Bundeskriminalamt und Bundespolizei lehnt sie weiterhin ab, weil diese aus technischen und verfassungsrechtlichen Gründen neue Risiken schaffen. Die defensiv angelegten Befugnisse des BSI unterstützt sie dagegen weitgehend.

Die Anhörung beginnt heute um 14 Uhr und wird live auf bundestag.de übertragen. Die vollständige Stellungnahme ist online verfügbar.