Am 22. April 2026 hat die Bundesregierung einen Entwurf für das „Gesetz zur Einführung einer IP-Adressspeicherung und Weiterentwicklung der Befugnisse zur Datenerhebung im Strafverfahren“ beschlossen. Mit diesem soll die Identifizierung von Tätern verbessert und damit die Ahndung von Straftaten mit digitalen Bezügen insgesamt erleichtert werden. Neben einer Pflicht zur Speicherung von IP-Adressen sieht der Gesetzesentwurf dafür die Möglichkeit des Erlasses von Sicherungsanordnungen sowie Verarbeitungsbefugnisse für Anbieter von öffentlich zugänglichen Telekommunikationsdiensten („Anbieter“) vor. Bereits der ursprüngliche Referentenentwurf, den wir in unserem Beitrag vom 8. Januar 2026 besprochen haben, enthielt entsprechende Regelungen, die allerdings mit dem neuen Entwurf ergänzt bzw. modifiziert werden.
Neue Regelung zur Verarbeitung von IP-Adressen und anderen Verkehrsdaten zwecks Auskunftserteilung
Der Regierungsentwurf schafft für Anbieter erstmals eine gesetzliche Befugnis zur Verarbeitung von Verkehrsdaten, insbesondere Anschlussinhabern zugewiesenen IP-Adressen, zwecks Auskunftserteilung an Strafverfolgungs- und Sicherheitsbehörden (§ 175 TKG-E). Damit schließt er eine im geltenden Recht bestehende Lücke, wonach neben einer behördlichen Erhebungsbefugnis stets auch eine anbieterseitige Erlaubnis zur Verarbeitung bestehen muss (sog. Doppeltür-Rechtsprechung des Bundesverfassungsgerichts). Insbesondere für die Verwendung von Bestandsdaten (vereinfacht gesprochen: vertragsrelevante Daten eines Endnutzers), um eine Auskunft zu erteilen, existiert im Telekommunikationsgesetz („TKG“) bereits eine solche Regelung (§ 174 TKG), Verkehrsdaten wurden bislang aber nicht erfasst, auch wenn sie in der Praxis bereits regelmäßig beauskunftet wurden. Die neue Regelung dient so vor allem der Rechtssicherheit.
Voraussetzungen der Verkehrsdatenauskunft
IP-Adressen und andere Verkehrsdaten dürfen nach dem neuen Entwurf (weiterhin) nur beauskunftet werden, wenn eine der im Gesetz abschließend aufgeführten Stellen Auskunft verlangt. Dazu zählen neben Strafverfolgungs- beispielsweise auch die Gefahrenabwehrbehörden der Länder, die Bundespolizei und Nachrichtendienste. Ob das von diesen Stellen geltend gemachte Auskunftsverlangen selbst rechtmäßig ist, sollen die Anbieter dabei nicht inhaltlich prüfen müssen. Sie müssen aber Stillschweigen über das Auskunftsersuchen und die korrespondierende -erteilung bewahren. Außerdem sind sie verpflichtet, elektronische Schnittstellen bereitzuhalten, wobei strengere Vorschriften für Anbieter mit 100.000 oder mehr Vertragspartnern gelten. Bevor ein Auskunftsverlangen bearbeitet wird, muss es außerdem durch eine verantwortliche Fachkraft oder automatisiert durch die elektronische Schnittstelle auf die Einhaltung der formalen Voraussetzungen geprüft werden; erst nach positivem Prüfergebnis darf die weitere Bearbeitung freigegeben werden.
Diese Regeln entsprechen denen, die aktuell bereits für die Bestandsdatenauskunft gelten. Unternehmen können also ihre entsprechenden Prozesse auch auf Verkehrsdaten ausdehnen bzw. erhalten Rechtssicherheit, wenn sie dies bereits jetzt so handhaben.
Speicherung von IP-Adressen
Um Anschlussinhaber z.B. im Nachgang zu Cyber-Attacken oder anderen Rechtsverletzungen zu identifizieren, sind die zuständigen Stellen in aller Regel auf die Mitwirkung der Internetzugangsdiensteanbieter angewiesen. Diese können Auskunft darüber zu geben, welchem „ihrer“ Anschlussinhaber welche IP-Adresse zugeordnet werden kann. Allerdings speichern viele Internetzugangsdiensteanbieter die für diese Zuordnung notwenigen Daten bislang nur für wenige Tage. Wird eine Rechtsverletzung nicht unmittelbar entdeckt, ist eine Identifizierung daher gegenwärtig häufig stark erschwert oder schlicht nicht möglich.
Vor diesem Hintergrund sollen Internetzugangsdiensteanbieter verpflichtet werden, die einem Anschlussinhaber zugewiesene IP-Adresse samt Anschluss- und Benutzerkennung, den sekundengenauen Zeitraum der Zuweisung sowie ggf. sonst zur Identifizierung erforderliche Verkehrsdaten, einschließlich zugehöriger Portnummern, vorsorglich für drei Monate zu speichern (§ 177 TKG-E). Ziel-IP-Adressen, Standortdaten sowie Inhaltsdaten werden hingegen nicht erfasst.
Die Internetzugangsdiensteanbieter, die nicht alle zu speichernden Daten selbst erzeugen oder verarbeiten – insbesondere, weil sie sich eines Vorleistungsanbieters bedienen –, müssen nach dem Regierungsentwurf nun auch sicherstellen, dass die fehlenden Daten gleichwohl gespeichert werden, und der Bundesnetzagentur auf Verlangen mitteilen, wer die Speicherung vornimmt. Der Referentenentwurf enthielt zunächst keine vergleichbare Regelung.
Erlass von Sicherungsanordnungen
Zudem sieht der Regierungsentwurf die Möglichkeit zum Erlass von Sicherungsanordnungen vor, um solche Daten vor ihrer Vernichtung zu sichern, die zur Strafverfolgung oder Gefahrenabwehr benötigt werden (sog. „Quick-Freeze“; § 100g StPO-E; § 25a BPolG-E). Spiegelbildlich enthält der Entwurf die korrespondierende Befugnis zur Verarbeitung durch die von einer Sicherungsanordnung verpflichteten Anbieter. Die Sicherung soll dabei für höchstens drei Monate erfolgen können, eine Verlängerung um maximal drei weitere Monate unterliegt dem Richtervorbehalt.
Gesichert werden sollen so insbesondere Daten darüber, wer wann mit wem von wo aus kommuniziert hat – zum Beispiel, an welche andere E-Mailadresse von einem Account zu welchem Zeitpunkt eine Nachricht versendet wurde. Anders als im Referentenentwurf vorgesehen, sollen aber ausdrücklich solche Verkehrsdaten nicht Gegenstand einer strafprozessualen Sicherungsanordnung sein, die bereits von der oben erläuterten Pflicht zur dreimonatigen Speicherung erfasst werden. Inhaltsdaten, also z.B. der Inhalt der genannten E-Mail-Nachricht, sollen ebenfalls nicht Gegenstand der Sicherungsanordnung sein.
Einschränkend sieht der Regierungsentwurf außerdem vor, dass nur Daten von Personen gesichert werden können, die in einem persönlichen oder räumlichen Bezug zur jeweiligen Straftat stehen, die außerdem von erheblicher Bedeutung sein muss, beziehungsweise im Fall präventiven Tätigwerdens zur abzuwehrenden Gefahr bzw. zu verhütenden Straftat. Dass die Sicherungsanordnungen nunmehr auch durch die Bundespolizei als präventives Instrument zur Gefahrenabwehr eingesetzt werden können, ist eine Neuerung, die erstmalig durch den Regierungsentwurf eingeführt wurde.
Verpflichtete einer Sicherungsanordnung müssen – insoweit ergeben sich keine Änderungen im Vergleich zum Referentenentwurf – technische wie organisatorische Maßnahmen mit Blick auf die zu sichernden Daten ergreifen und Stillschweigen wahren. Ergeht auf Grundlage der Sicherungsanordnung ein Auskunftsverlangen, müssen zudem die bereits besprochenen Voraussetzungen zur Verkehrsdatenauskunft beachtet werden (§ 176 TKG-E).
Ausblick
Nach aktueller Planung soll das Gesetz noch in diesem Jahr in Kraft treten. Der Bundesrat hat sich am 12. Juni 2026 bereits grundsätzlich befürwortend geäußert, wünscht aber insbesondere, dass auch die Landesbehörden Sicherungsanordnungen zur Gefahrenabwehr treffen dürfen. Die Bundesregierung hat dafür am 15. Juli 2026 Offenheit signalisiert, soweit es nicht um Nachrichtendienste oder die Verfolgung von Ordnungswidrigkeiten geht. Eine Verabschiedung im Zeitplan scheint daher aktuell möglich. Allerdings ist wahrscheinlich, dass das Gesetz noch Angriffen in Bezug auf seine Vereinbarkeit mit unionsrechtlicher Rechtsprechung zur Vorratsdatenspeicherung ausgesetzt sein wird.
Betroffene Unternehmen sollten die weitere Entwicklung des Gesetzgebungsverfahrens in jedem Fall aufmerksam verfolgen und bereits jetzt prüfen, ob ihre internen Strukturen den neuen Anforderungen – insbesondere an die dreimonatige IP-Adressspeicherung und die Umsetzung von Sicherungsanordnungen – gerecht werden können.
Forward
