Die Bundesregierung hat einen neuen Gesetzentwurf vorgelegt, der Internetanbieter zur dreimonatigen Speicherung von IP-Adressen verpflichten und das Instrument der Sicherungsanordnung („Quick Freeze“) etablieren soll. Mit der von Bundeskanzler Friedrich Merz unterzeichneten Initiative sollen Ermittlungsbehörden digitale Spuren bei der Aufklärung von Cyberkriminalität und schweren Straftaten effektiver verfolgen können. Die Gesetzesvorlage stößt jedoch auf heftigen Widerstand: Während der Normenkontrollrat der Regierung eine Verschleierung von Millionen-Kosten für die Wirtschaft vorwirft, fordern die Länder eine massive Ausweitung der Überwachungsbefugnisse.
Der Gesetzentwurf im Überblick: Wer und was gespeichert werden soll
Der aktuelle Entwurf eines „Gesetzes zur Einführung einer IP-Adressspeicherung und Weiterentwicklung der Befugnisse zur Datenerhebung im Strafverfahren“ (Bundestags-Drucksache 21/6581) sieht vor, dass Anbieter von Internetzugangsdiensten künftig verpflichtet werden, die Vergabe öffentlicher Internetprotokoll-Adressen (IP-Adressen) für drei Monate vorzuhalten.
Die Speicherpflicht umfasst:
- die zugewiesene öffentliche IP-Adresse,
- den genauen sekundenschnellen Zeitraum der Zuweisung (inklusive Zeitzone),
- eine eindeutige Kennung des Anschlusses sowie die Benutzerkennung,
- die dazugehörigen Portnummern (Quell-Ports), sofern die IP-Adresse mittels Netzwerkadressübersetzung (NAT) geteilt wird.
Ausdrücklich ausgeschlossen von der Speicherung sind die Inhalte der Kommunikation sowie Daten über das Surfverhalten, also welche konkreten Webseiten oder Server kontaktiert wurden (Ziel-IP-Adressen).
Ausnahmen für lokale Netzwerke und Freifunk
Für Betreiber lokaler Funknetzwerke (wie Hotels oder Cafés) sowie gemeinnützige Freifunk-Initiativen gibt es Entwarnung: Sie sind nicht zur Speicherung verpflichtet. Da sie ihren Nutzern keine öffentlichen IP-Adressen, sondern nur netzwerkinterne Adressen zuweisen und selbst auf einen übergeordneten Internetzugangsanbieter angewiesen sind, fallen sie nicht unter die Definition der verpflichteten Provider.
Sicherungsanordnung und Funkzellenabfrage: Neue Werkzeuge für Ermittler
Neben der Speicherpflicht führt das Gesetz zwei weitere weitreichende Instrumente ein:
- Die Sicherungsanordnung („Quick Freeze“): Ermittlungsbehörden und die Bundespolizei können künftig anordnen, dass Provider Verkehrsdaten von betroffenen Personen bei einem Anfangsverdacht unverzüglich einfrieren müssen. Dies soll verhindern, dass flüchtige Daten gelöscht werden, während die formalen Voraussetzungen für eine eigentliche Datenabfrage noch geprüft werden. Die Sicherung kann durch die Staatsanwaltschaft für maximal drei Monate angeordnet werden.
- Die Funkzellenabfrage: Das Gesetz senkt die rechtliche Hürde für sogenannte Funkzellenabfragen. Nachdem der Bundesgerichtshof (BGH) im Januar 2024 geurteilt hatte, dass hierfür der Verdacht einer „besonders schweren Straftat“ vorliegen muss, stellt der Gesetzgeber nun klar: Der Verdacht einer „Straftat von erheblicher Bedeutung“ reicht künftig aus.
Kosten-Verschleierung? Der Normenkontrollrat rügt den Entwurf
Für heftigen Zündstoff sorgt die offizielle Kostenschätzung der Bundesregierung. In der Gesetzesvorlage wird der Erfüllungsaufwand für Bürger, Wirtschaft und Verwaltung mit „Keiner“ angegeben. Die Begründung: Sämtliche Maßnahmen fielen in den „justiziellen Kernbereich“, weshalb sie methodisch nicht als klassischer Erfüllungsaufwand gewertet und somit auch nicht unter die „One in, one out“-Regel der Bundesregierung (Kompensation neuer Belastungen) fallen würden.
Der Nationale Normenkontrollrat (NKR) übt in seiner Stellungnahme vernichtende Kritik an dieser Methodik und spricht von einer unvollständigen Darstellung der Regelungsfolgen:
- Widerspruch bei den Wirtschaftskosten: Während die Bundesregierung den Aufwand für die Wirtschaft mit null beziffert, listen die Anhänge des Entwurfs massive reale Kosten für die Telekommunikationsbranche auf. Branchenverbände schätzen die einmaligen Investitionskosten für die Umstellung der IT-Systeme (insbesondere für die komplexe Speicherung von NAT-Portnummern) auf 1 bis 2 Millionen Euro für große, 150.000 bis 200.000 Euro für mittlere und 80.000 Euro für kleine Provider. Die laufenden Betriebskosten werden auf rund 10 Prozent der Investitionssumme geschätzt.
- Kosten der Verwaltung: Auch die administrativen Kosten wurden laut NKR fälschlicherweise nicht als Erfüllungsaufwand deklariert. So entstehen allein bei der Bundesnetzagentur für die Überwachung der rund 3.700 betroffenen Unternehmen jährliche Personalkosten von 1,7 Millionen Euro für 26 neue Planstellen.
Die Bundesregierung verteidigt in ihrer Gegenäußerung die Einstufung als „justiziellen Kernbereich“ und verweist darauf, dass die Unternehmen im Vorfeld keine ausreichend präzisen Zahlen geliefert hätten.
Bundesrat fordert weitreichende Verschärfung und EU-Anpassung
Auch die Bundesländer zeigen sich im Bundesrat unzufrieden mit dem aktuellen Entwurf, fordern jedoch das genaue Gegenteil des NKR: Sie verlangen eine Ausweitung der Überwachungsbefugnisse.
- Sicherung auch für die Länder: Der Bundesrat fordert, dass das Instrument der Sicherungsanordnung nicht nur Bundesbehörden (wie BKA und Bundespolizei) und der Strafverfolgung offensteht, sondern auch den Gefahrenabwehrbehörden (Landespolizeien) und den Landesverfassungsschutzämtern der Länder zur Verfügung gestellt wird.
- Ausweitung auf alle Datenkategorien: Da die EU-weit geltende E-Evidence-Verordnung ab August 2026 grenzüberschreitende Sicherungsanordnungen für alle Datenklassen vorsieht, fordert der Bundesrat die Einführung eines neuen Paragrafen (§ 95b StPO-E). Dieser soll es ermöglichen, nicht nur Verkehrsdaten, sondern auch Bestands-, Nutzungs- und Inhaltsdaten (wie E-Mails, Chats oder Videos) einzufrieren. Andernfalls, so die Warnung der Länder, könnten ausländische EU-Behörden via europäischer Anordnung in Deutschland tiefergehende Datensicherungen erzwingen als deutsche Strafverfolger im eigenen Land.
Hintergrund: Technische und juristische Begriffe erklärt
IP-Adresse und Portnummer
Jedes Gerät im Internet benötigt eine Internetprotokoll-Adresse (IP-Adresse), um Daten zu senden und zu empfangen – vergleichbar mit einer Postanschrift. Da IPv4-Adressen knapp sind, nutzen Provider häufig Network Address Translation (NAT): Dabei teilen sich Hunderte Kunden gleichzeitig dieselbe öffentliche IP-Adresse. Um Datenpakete dem richtigen Gerät zuzuordnen, werden Portnummern (wie interne Wohnungsnummern in einem Hochhaus) vergeben. Die Speicherung dieser Ports ist technisch hochkomplex, da sie dynamisch in Millisekunden wechseln.
Quick Freeze (Sicherungsanordnung)
Ein juristisches Verfahren, bei dem Daten beim Provider bei einem ersten Tatverdacht sofort „eingefroren“ (gesichert), aber noch nicht an die Polizei übergeben werden. Erst wenn ein Richter die Herausgabe genehmigt, werden die Daten „aufgetaut“ und übermittelt.
Funkzellenabfrage
Hierbei fordern Ermittler vom Mobilfunkbetreiber Daten darüber an, welche Mobiltelefone zu einem bestimmten Tatzeitpunkt in einer bestimmten Funkzelle (dem Einzugsbereich eines Mobilfunkmasts) eingeloggt waren.
Ausblick und Fristen
Nach der Verkündung des Gesetzes im Bundesgesetzblatt wird den Internetanbietern eine gesetzliche Übergangsfrist von sechs Monaten eingeräumt (§ 230 Abs. 17 TKG-E), um die notwendige Infrastruktur zur getrennten und sicheren Datenspeicherung aufzubauen. Angesichts der scharfen Differenzen zwischen Bundestag, Bundesrat und den Branchenverbänden sind im weiteren Gesetzgebungsverfahren jedoch noch zähe Verhandlungen über die genaue Ausgestaltung der Speicher- und Finanzierungspflichten zu erwarten.
