Deutschland: Nach dem Anschlag beim Berliner CSD ist die IP-Speicherung zurück

Vier Tage nachdem ein Transporter beim Berliner CSD in eine Menschenmenge gefahren ist, steht Deutschlands festgefahrener Gesetzentwurf zur IP-Adressspeicherung wieder im Zentrum der politischen Agenda. Ein CDU-Abgeordneter hat das Parlament aufgefordert, das liegengebliebene Sicherheitspaket zu verabschieden, das jeden Internetanbieter im Land verpflichten würde, drei Monate lang festzuhalten, welcher Anschlussinhaber welche IP-Adresse hatte - für alle. Das Kabinett hatte den Entwurf bereits im April beschlossen. Der Anschlag hat nicht seinen Inhalt verändert, sondern seine Dringlichkeit.

Was in Berlin geschah

Am Abend des 25. Juli 2026 fuhr ein Transporter auf einem Fußweg im Tiergarten während des Berliner Christopher Street Day in Menschen. Eine 65-jährige Frau aus Polen wurde getötet, 29 Menschen wurden verletzt. Der Verdächtige, ein 21-jähriger Deutscher libanesischer Herkunft, floh zu Fuß und wurde am folgenden Abend in Spandau gefunden, wo ihn ein Spezialeinsatzkommando bei der Festnahme erschoss. Bundesinnenminister Alexander Dobrindt bezeichnete die Tat als islamistischen Terroranschlag.

Innerhalb von zwei Tagen verlagerte sich die politische Reaktion auf die Gesetzgebung. Der CDU-Bundestagsabgeordnete Alexander Throm forderte die Abgeordneten öffentlich auf, das liegengebliebene Sicherheitsgesetz zu beschließen, dessen zentrales Element die IP-Adressspeicherung ist.

Der Entwurf, der jetzt vorangetrieben wird

Der Entwurf trägt den sperrigen Titel "Gesetz zur Einführung einer IP-Adressspeicherung und zur Weiterentwicklung der Befugnisse zur Datenerhebung im Strafverfahren". Das Bundesministerium der Justiz und für Verbraucherschutz veröffentlichte ihn am 22. Dezember 2025, am 22. April 2026 beschloss ihn das Bundeskabinett; abgestimmt wurde er zwischen Justizministerin Stefanie Hubig und Innenminister Alexander Dobrindt. Danach blieb er liegen und wartete auf parlamentarische Zeit.

• Was gespeichert wird: die einem Anschluss zugewiesene IP-Adresse und, soweit erforderlich, die dazugehörigen Portnummern, drei Monate lang.
• Wen es betrifft: jeden Internetzugangskunden, ohne dass für die Speicherung selbst ein Anfangsverdacht nötig wäre.
• Was ausgenommen ist: Ziel-IP-Adressen, Inhaltsdaten, Standortdaten und sonstige Verkehrsdaten liegen ausdrücklich außerhalb der Speicherpflicht.
• Über die Speicherung hinaus: neue Sicherungsanordnungen für Verkehrsdaten, die sonst gelöscht würden, sowie eine Ausweitung der Funkzellenabfrage.

Der letzte Punkt verdient Aufmerksamkeit, weil er leicht übersehen wird. Die Funkzellenabfrage, die alle Telefone erfasst, die in der Nähe eines Tatorts mit einem Mast verbunden waren, soll von "besonders schweren Straftaten" auf "Straftaten von erheblicher Bedeutung" ausgeweitet werden. Das kehrt eine Einschränkung um, die der Bundesgerichtshof im Januar 2024 gesetzt hatte.

Was sich tatsächlich ändert und was nicht

Ein Punkt, der im Lärm untergeht: Deutsche Ermittler können Bestandsdaten zu einer IP-Adresse schon heute abfragen. Die Kanzlei Gleiss Lutz hält in ihrer Analyse fest, dass die Zugriffsbefugnisse hier nicht erweitert werden. Neu ist die Pflicht der Anbieter, die Daten überhaupt vorzuhalten, damit es etwas abzufragen gibt. Für den Zugriff braucht es weiterhin einen Anfangsverdacht und die Darlegung, dass die Daten für die Ermittlung erforderlich sind.

Diese Unterscheidung ist wichtig, und sie schneidet in beide Richtungen. Befürworter können zutreffend sagen, dass das Gesetz keine neuen Ermittlungsbefugnisse schafft. Kritiker können ebenso zutreffend erwidern, dass es einen Flickenteppich, in dem manche Aufzeichnungen zufällig existieren und die meisten nicht, in ein garantiertes bundesweites Verzeichnis verwandelt, wer an einem beliebigen Tag des Quartals hinter welcher Adresse stand. Heute hängt es weitgehend vom Anbieter ab, ob sich eine IP drei Monate zurückverfolgen lässt. Nach diesem Gesetz wird daraus eine Gewissheit.

Branche und CCC: vor Gericht hält das nicht

Der Verband der Internetwirtschaft eco lehnt den Entwurf seit Februar 2026 ab und wiederholte seine Einwände nach dem Kabinettsbeschluss. Das Kernargument: anlasslose Speicherung scheitert immer wieder an den Maßstäben des Gerichtshofs der Europäischen Union, der 2014 die Vorratsdatenspeicherungsrichtlinie gekippt hat. eco verweist außerdem auf den eigenen Erfolg von 2023 gemeinsam mit dem Mitgliedsunternehmen SpaceNet, als das Bundesverwaltungsgericht bestätigte, dass die früheren Speicherregeln gegen EU-Recht verstießen.

Neben der Rechtmäßigkeit erhebt eco einen verfahrensrechtlichen Einwand, den man leicht übersieht: Die richterliche Kontrolle verschiebt sich von der vorherigen Prüfung zur nachträglichen Benachrichtigung. Vorstandsmitglied Klaus Landefeld argumentiert, diese "können effektiven Rechtsschutz nicht im gleichen Maße sicherstellen", und warnt, dass die Aufsicht in der Praxis geschwächt würde. Er verweist auch auf die Kosten: Unternehmen sollen erneut in eine Infrastruktur investieren, deren Rechtsstatus fragwürdig ist.

Constanze Kurz, Sprecherin des Chaos Computer Clubs, nannte den Vorschlag ein Massenüberwachungsgesetz. Die deutsche Debatte über die Vorratsdatenspeicherung läuft seit fast zwei Jahrzehnten, und Gerichte haben Fassungen davon wiederholt zurückgewiesen. Die Antwort des Justizministeriums lautet, dieser Entwurf sei bewusst enger gefasst, beschränkt auf IP-Adressen statt auf das breite Verkehrsdatenpaket, das zuvor verworfen wurde, und die jüngere europäische Rechtsprechung lasse genau für dieses engere Modell Raum.

Das unbequeme Detail

Der Verdächtige war den Behörden nicht unbekannt. Er hatte zuvor versucht weiterzureisen, um sich dem Islamischen Staat anzuschließen, wurde im Libanon festgenommen und dort verurteilt, und stand im Blickfeld deutscher Sicherheitsbehörden. Was in diesem Fall auch schiefging: Es war nicht die Unfähigkeit, einen Unbekannten anhand einer IP-Adresse zu identifizieren. Diese Lücke zwischen der geforderten Maßnahme und den Umständen des Falls, für den sie gefordert wird, ist das, was man im weiteren Verlauf im Auge behalten sollte.

Für Menschen in Deutschland liefe der praktische Effekt darauf hinaus, dass der Anbieter zum verpflichteten Protokollführer der eigenen Adressgeschichte wird. Hier kommt die VPN-Frage ehrlich auf und nicht als Verkaufsargument: Traffic über ein VPN zu leiten entfernt nicht den Eintrag des Anbieters, dass Sie verbunden waren, es verändert, welche Adresse die besuchten Dienste sehen und protokollieren. Das sind zwei verschiedene Angriffsflächen, und das Gesetz berührt nur eine davon. Wer das Thema verfolgt, findet bei uns auch die frühere Einordnung des deutschen Entwurfs zur Datenspeicherung bei seinem ersten Auftauchen und dazu, wie Chat Control in der EU trotz einer Mehrheit dagegen vorankam.

Fazit