Das Bundeskabinett hat am 12. August 2026 die Reform des Nachrichtendienstrechts beschlossen. Der Bundesnachrichtendienst darf Metadaten künftig bis zu zwölf Monate speichern, ohne sie vorher gesichtet zu haben. Den beschlossenen Gesetzestext kann die Öffentlichkeit bislang nirgends nachlesen.
Es war Tagesordnungspunkt in der 55. Sitzung des Kabinetts, vorgetragen vom Bundesinnenministerium. Die Bundesregierung beschreibt den Entwurf in ihrer Pressemitteilung selbst als die umfangreichste und grundlegendste Überarbeitung der gesetzlichen Grundlagen von Bundesnachrichtendienst (BND) und Bundesamt für Verfassungsschutz (BfV) in der Geschichte der Bundesrepublik. Bundesinnenminister Alexander Dobrindt spricht von einer Reform hin zu echten Geheimdiensten
.
Das Vorhaben fasst gleich drei Gesetze neu: das Bundesverfassungsschutzgesetz, das BND-Gesetz und erstmals ein eigenes Gesetz über die Rechtskontrolle durch den Unabhängigen Kontrollrat. Die bisher im sogenannten G-10-Gesetz geregelten Überwachungsbefugnisse wandern in die jeweiligen Dienstgesetze.
Sechs Monate, zwölf Monate – und warum die Unterscheidung zählt
Die für Internetnutzer greifbarste Neuerung betrifft die strategische Aufklärung. Der BND soll erhobene Daten künftig speichern dürfen, bevor sie gesichtet werden: Inhaltsdaten bis zu sechs Monate, Metadaten bis zu zwölf Monate. Die Bundesregierung begründet das damit, dass der Dienst so „kaltstartfähig“ werde – bei Anschlägen oder Umstürzen könne er rückwirkend auf bereits vorhandene Bestände zugreifen und sie an Partnerdienste oder die Bundesregierung weitergeben.
In mehreren Kurzmeldungen zum Kabinettsbeschluss war pauschal von einer Speicherung „bis zu einem Jahr“ die Rede. Das trifft nur auf Metadaten zu. Der Unterschied ist keine Spitzfindigkeit: Metadaten sind die Verkehrsdaten der Kommunikation – wer wann mit wem, von wo, wie lange. Sie lassen sich maschinell weit besser auswerten als Inhalte und geben, in ausreichender Menge, ein dichtes Bild von Alltag, Umfeld und Bewegungsmustern einer Person.
Vom Kühlschrank bis zum Smartphone
Für Zugriffe auf informationstechnische Systeme sieht der Entwurf abgestufte Schwellen vor. Die Bundesregierung erläutert die Staffelung mit einem eigenen Beispielpaar: Am unteren Ende steht ein Zugriff auf einen internetfähigen Kühlschrank, am oberen ein Zugriff auf ein privat genutztes Mobiltelefon. Je tiefer der Eingriff, desto höher die Voraussetzungen und die Verfahrensanforderungen.
Hinzu kommen ausdrückliche Rechtsgrundlagen für den biometrischen Abgleich von Bilddaten, für den Einsatz künstlicher Intelligenz und für die Weiterverarbeitung von Daten zu Forschungs- und Entwicklungszwecken. Die Übermittlung an andere Behörden und an private Stellen wird ausgeweitet; für den BND gilt das insbesondere gegenüber der Bundeswehr.
Was „aktive Maßnahmen“ bedeuten sollen
Der zweite Bruch mit der bisherigen Systematik liegt darin, dass beide Dienste erstmals selbst eingreifen dürfen, statt nur aufzuklären. Der BND erhält nach Darstellung der Bundesregierung sogenannte Annex-Befugnisse: Er darf etwa erbeutete Opferdaten löschen, wenn er die Systeme einer Hackergruppe aufklärt, oder Warenlieferungen manipulieren. Stellt die Regierung eine spezifische Gefährdungslage fest – kontrolliert durch den Unabhängigen Kontrollrat –, darf er darüber hinaus proaktiv einwirken. Als Beispiele nennt die Bundesregierung selbst das Eindringen in IT-Systeme von Chemiewaffenlaboren oder Drohnenfabriken, um die Fertigung zu sabotieren, sowie das Abschalten von Servern staatlicher Hackergruppen.
Das BfV darf einwirken, wenn „erhebliche Unruhen in großen Teilen der Bevölkerung“ oder besonders schwere Schäden durch fremde Nachrichtendienste drohen – allerdings ausschließlich auf Gegenstände und nur, wenn keine andere Stelle den Zweck erreichen kann.
Der Punkt, der IT-Sicherheit betrifft
Ein Detail des Entwurfs hat über die Sicherheitspolitik hinaus Folgen. Nach der Bewertung des Rechtsanwalts und Ministerialdirektors a. D. Peter Schantz, der den BND-Teil im Auftrag der Gesellschaft für Freiheitsrechte (GFF) begutachtet hat, soll das Bundesamt für Sicherheit in der Informationstechnik (BSI) dem BND Sicherheitslücken künftig proaktiv melden – auch solche, die den Herstellern noch unbekannt sind. Die Gesetzesbegründung formuliert das Ziel offen: Der Dienst wolle die Zeitspanne bis zum Patch nutzen, um die Schwachstellen in Wert bringen zu können
.
Schantz hält das für den Kern eines ungelösten Zielkonflikts: Eine offengehaltene Lücke schützt niemanden, sondern steht auch Kriminellen und fremden Diensten offen. Ein gesetzlich geregeltes Schwachstellenmanagement, wie es das Bundesverfassungsgericht 2021 verlangt hat, enthalte der Entwurf weiterhin nicht. Betroffen sei zudem das vertrauliche Meldeverfahren des BSI, über das Sicherheitsforscher Lücken melden – damit sie geschlossen werden, nicht damit sie genutzt werden. Wie groß das Feld ist, in dem solche Lücken ausgenutzt werden, zeigt die Alltagskriminalität im Netz: Das Bundeskriminalamt zählte für 2025 mehr als 330.000 erfasste Cybercrime-Fälle, wie NETZ-TRENDS zuletzt am Beispiel gefälschter Volksbank-Mails beschrieben hat.
Kritik: „in weiten Teilen verfassungswidrig“
Die GFF, die die Verfassungsbeschwerden gegen die Verfassungsschutzgesetze in Bayern und Hessen koordiniert hat, begrüßt die Neuordnung im Grundsatz. In ihrer Stellungnahme vom 14. Juli 2026 kommt sie dennoch zu einem klaren Ergebnis: Der Entwurf ist daher in weiten Teilen verfassungswidrig.
Ihre Hauptpunkte: Wenn Dienste operativ handeln dürfen, entfällt die bisherige Rechtfertigung dafür, dass sie schon im Vorfeld einer Gefahr und unter niedrigeren Schwellen überwachen dürfen. Die GFF spricht von einer „Verpolizeilichung“. Als unverhältnismäßig bewertet sie unter anderem die geplante Pflicht für Betreiber öffentlicher und privater Videoüberwachungsanlagen, Aufnahmen herauszugeben oder in Echtzeit auszuleiten, sowie den biometrischen Abgleich mit öffentlich zugänglichen Internetquellen – bei dem im Zweifel auf Anbieter außerhalb der EU zurückgegriffen werden könnte. Wer die Debatte um biometrische Altersverifikation im Netz verfolgt hat, kennt das Grundproblem: Ein Abgleich erfasst immer auch Unbeteiligte.
Ein weiterer Kritikpunkt betrifft die Kontrolle. Sie wird beim Unabhängigen Kontrollrat gebündelt; die Bundesbeauftragte für den Datenschutz verliert die datenschutzrechtliche Aufsicht über die eigentliche Diensttätigkeit. Sowohl die GFF als auch Schantz halten das für einen Verlust: Dem Kontrollrat fehle für KI-Analysen, Trojaner-Einsätze und digitale Gegenmaßnahmen der technische Sachverstand. Das gerichtsähnliche Gremium soll um zwei Mitglieder wachsen – die ebenfalls Volljuristen sein müssen.
Der beschlossene Text ist nicht öffentlich
Und hier liegt das Problem für jede Einordnung, auch für diese: Alle oben genannten Paragrafen stammen aus dem Referentenentwurf vom 6. Juli 2026. Was das Kabinett am 12. August tatsächlich beschlossen hat, ist am 13. August 2026 nicht öffentlich abrufbar. Die Verfahrensseite des Bundesinnenministeriums stand an diesem Tag unverändert auf dem Stand vom 6. Juli und vermerkte weiterhin: Regierungsentwurf noch nicht verabschiedet
. Verfügbar ist dort ausschließlich der Referentenentwurf.
Ob und wie sich die Kabinettsfassung vom Referentenentwurf unterscheidet, konnte NETZ-TRENDS nicht überprüfen. Nachprüfbar ist nur, was die Bundesregierung in ihrer Pressemitteilung beschreibt – und das ist eine Zusammenfassung des Herausgebers, keine Gesetzeslektüre.
Warum kursierende Seitenzahlen auseinandergehen
In Berichten über den Beschluss finden sich unterschiedliche Angaben zum Umfang des Gesetzes. Das erklärt sich aus verschiedenen Entwurfsständen. Peter Schantz, der den Text im Juli vollständig ausgewertet hat, nennt für den Referentenentwurf 707 Seiten. Für die Kabinettsfassung kursieren höhere Zahlen, die sich mangels veröffentlichtem Dokument derzeit nicht überprüfen lassen. NETZ-TRENDS versucht den Umfang nicht zu beziffern, solange der Text nicht vorliegt.
Was ist der Unabhängige Kontrollrat?
Der Unabhängige Kontrollrat geht auf die Rechtsprechung des Bundesverfassungsgerichts zur Auslandsaufklärung zurück und kontrolliert bislang vor allem die strategische Fernmeldeaufklärung des BND. Er arbeitet mit einem gerichtsähnlichen und einem administrativen Kontrollorgan und tagt geheim. Nach dem Entwurf soll er zusätzlich die Aufgaben der bisherigen G-10-Kommission, die nachgelagerte Kontrolle der Datenverarbeitung und die Kontrolle aktiver Maßnahmen übernehmen. Gegenüber dem Parlamentarischen Kontrollgremium des Bundestages ist er unmittelbar berichtspflichtig.
Wie es weitergeht
Als Regierungsentwurf wird das Vorhaben nun in das Gesetzgebungsverfahren eingebracht; regelmäßig geht es dabei zunächst an den Bundesrat und anschließend in den Bundestag. Erst dort wird der Text als Drucksache allgemein verfügbar sein – und erst dann lässt sich Paragraf für Paragraf prüfen, was von der Kritik aus der Verbändebeteiligung eingearbeitet wurde. Der Weg nach Karlsruhe ist dabei mehr als eine theoretische Möglichkeit: Die GFF hat nach eigenen Angaben bereits die Verfassungsbeschwerden gegen die Verfassungsschutzgesetze in Bayern und Hessen initiiert und koordiniert – und genau jene Urteile sind ein Anlass für dieses Gesetzgebungsverfahren.
Bemerkenswert bleibt das Tempo: Zwischen der Veröffentlichung des Referentenentwurfs und dem Kabinettsbeschluss lagen fünf Wochen. Für ihre Stellungnahmen zu einem über 700 Seiten starken Gesetzeswerk hatten die Verbände nach Angaben von Schantz zehn Tage – sieben davon Werktage.
Wie bewerten Sie es, dass ein beschlossener Gesetzentwurf dieser Tragweite zunächst nicht öffentlich einsehbar ist? Schreiben Sie uns Ihre Meinung gerne in die Kommentare.
Quellen
- Presse- und Informationsamt der Bundesregierung: Pressemitteilung 147, „Bundeskabinett beschließt Reform des Rechts der Nachrichtendienste“, 12.08.2026 – bundesregierung.de (Pressemitteilung der Bundesregierung)
- Bundesregierung: Ergebnisse der 55. Kabinettssitzung vom 12.08.2026 – bundesregierung.de
- Bundesministerium des Innern: Verfahrensseite „Gesetz zur Reform des Nachrichtendienstrechts“, Stand 06.07.2026, abgerufen am 13.08.2026 – bmi.bund.de
- Gesellschaft für Freiheitsrechte e. V. (Franziska Görlitz): Stellungnahme zum Referentenentwurf, 14.07.2026 – freiheitsrechte.org (PDF)
- Dr. Peter Schantz, Rechtsanwalt und Ministerialdirektor a. D.: Stellungnahme zum BND-Gesetz, 14.07.2026 – freiheitsrechte.org (PDF)
- NETZ-TRENDS.de: „Gefälschte ‚Volksbank Support-42‘-Mails landen im t-online-Postfach“, 13.08.2026 (dort: BKA-Bundeslagebild Cybercrime 2025)
Transparenzhinweis: Bei Recherche, Strukturierung und Erstellung dieses Beitrags kamen KI-gestützte Werkzeuge zum Einsatz. Die verwendeten Quellen sind im Artikel aufgeführt. Die Veröffentlichung erfolgt erst nach manueller redaktioneller Freigabe.
