Verfassungsschutz Online-Durchsuchung 2026: Was der Verfassungsschutz künftig darf – und wie du deinen PC schützt
- Mirko
- vor 5 Minuten
- 7 Min. Lesezeit
Stand: 26. August 2026
Die Nachricht klingt zunächst ziemlich heftig: Der Verfassungsschutz soll künftig Computer und Smartphones hacken und durchsuchen dürfen.
Und ja – hinter dieser Aussage steckt tatsächlich ein reales Gesetzesvorhaben.
Ganz so einfach wie „der Staat darf jetzt auf jeden PC“ ist die Sache allerdings nicht. Deshalb habe ich mir angesehen, was tatsächlich beschlossen wurde, was bereits heute erlaubt ist und vor allem, was wir als normale Nutzer tun können, um unsere persönlichen Daten besser zu schützen.
Denn unabhängig davon, ob der Angreifer Cyberkrimineller, Datendieb, fremder Geheimdienst oder eine staatliche Stelle ist: Ein gut abgesichertes System ist immer besser als ein schlecht abgesichertes.
Was ist im August 2026 passiert?
Am 12. August 2026 hat das Bundeskabinett den Entwurf für eine grundlegende Reform des deutschen Nachrichtendienstrechts beschlossen.
Betroffen sind insbesondere das Bundesamt für Verfassungsschutz und der Bundesnachrichtendienst.
Die Bundesregierung spricht selbst von der umfangreichsten Überarbeitung der gesetzlichen Grundlagen dieser Behörden in der Geschichte der Bundesrepublik.
Dabei sollen die deutschen Nachrichtendienste deutlich mehr technische und operative Möglichkeiten erhalten. Dazu gehören unter anderem Online-Durchsuchungen, automatisierte Datenanalysen, neue Möglichkeiten im Cyberraum und sogenannte aktive Schutzmaßnahmen.
Wichtig ist jedoch:
Das Gesetz gilt derzeit noch nicht.
Der Regierungsentwurf wurde am 14. August 2026 dem Bundesrat als Drucksache 453/26 zugeleitet. Bundestag und Bundesrat müssen sich noch damit beschäftigen. Der endgültige Gesetzestext kann sich daher noch verändern.
Was ist eine Online-Durchsuchung?
Bei einer klassischen Telekommunikationsüberwachung wird beispielsweise eine Telefon- oder Internetkommunikation überwacht.
Eine Online-Durchsuchung geht erheblich weiter.
Dabei wird technisch in ein informationstechnisches System eingegriffen. Das kann beispielsweise ein Computer oder Smartphone sein.
Das Bundesverfassungsgericht beschreibt die Online-Durchsuchung als Zugriff auf ein gesamtes IT-System. Dadurch können grundsätzlich gespeicherte Dateien und weitere Informationen über die Nutzung des Geräts erfasst werden.
Und genau deshalb ist eine Online-Durchsuchung ein besonders schwerwiegender Grundrechtseingriff.
Staatstrojaner gibt es nicht erst seit 2026
Das vielleicht überraschendste Ergebnis meiner Recherche:
Der technische Zugriff auf Endgeräte durch Nachrichtendienste ist nicht völlig neu.
Das aktuell geltende Artikel-10-Gesetz erlaubt bereits eine sogenannte Quellen-Telekommunikationsüberwachung.
Dabei kann technisch in das IT-System einer betroffenen Person eingegriffen werden, damit Kommunikation auf dem Gerät überwacht werden kann.
Der entscheidende Unterschied liegt im Umfang.
Bei der Quellen-TKÜ soll technisch sichergestellt werden, dass nur die Kommunikation erfasst wird, die gesetzlich überwacht werden darf.
Eine Online-Durchsuchung erlaubt dagegen einen wesentlich umfassenderen Zugriff auf das IT-System.
Genau diese Grenze ist entscheidend.
Kann der Verfassungsschutz dann jeden beliebigen PC hacken?
Nein.
Die Aussage wäre zu pauschal.
Auch die geplanten Befugnisse sind an gesetzliche Voraussetzungen gebunden und besonders intensive Maßnahmen sollen unabhängig kontrolliert werden.
Hinzu kommt die föderale Struktur Deutschlands.
Die Verfassungsschutzgesetze der einzelnen Bundesländer unterscheiden sich.
Hessen hat beispielsweise bereits eine Möglichkeit zur Online-Durchsuchung geschaffen. Dort wird sie ausdrücklich als Ultima Ratio beschrieben und ist unter anderem an zusätzliche Voraussetzungen gebunden.
Nordrhein-Westfalen hat dagegen in seinem seit April 2026 geltenden Verfassungsschutzgesetz ausdrücklich festgelegt:
Eine Online-Durchsuchung ist ausgeschlossen.
Man muss deshalb immer unterscheiden zwischen Bundesverfassungsschutz, Landesverfassungsschutz, Polizei, BKA und anderen Sicherheitsbehörden.
Warum Signal oder ein VPN allein nicht reichen
Hier kommt ein technischer Punkt ins Spiel, den viele übersehen.
Nehmen wir eine Ende-zu-Ende verschlüsselte Nachricht.
Während der Übertragung ist sie verschlüsselt.
Auf dem Smartphone des Absenders existiert sie aber zunächst im Klartext. Auf dem Smartphone des Empfängers wird sie ebenfalls wieder entschlüsselt.
Genau dort setzt eine Quellen-TKÜ an.
Nicht die Verschlüsselung selbst muss gebrochen werden.
Stattdessen wird versucht, auf eines der Endgeräte zuzugreifen.
Das bedeutet auch:
Ein VPN schützt nicht vor einem kompromittierten Rechner.
Ein anderer DNS-Server schützt nicht davor.
Der Inkognito-Modus schützt nicht davor.
Und selbst eine vollständig verschlüsselte SSD schützt nicht mehr vollständig, sobald der Rechner gestartet, entsperrt und das Dateisystem entschlüsselt ist.
Deshalb muss der Schutz am Endgerät beginnen.
Verfassungsschutz Online-Durchsuchung 2026
Schritt 1: Betriebssystem und Firmware aktuell halten
Die banalste Sicherheitsmaßnahme ist gleichzeitig eine der wichtigsten.
Updates schließen bekannte Sicherheitslücken.
Das gilt nicht nur für Windows oder Linux, sondern auch für:
BIOS und UEFI, Browser, Office, Grafikkartentreiber, Router, Smartphones und installierte Anwendungen.
Gerade bei technisch aufwendigen Angriffen können ungepatchte Sicherheitslücken das entscheidende Einfallstor sein.
Automatische Sicherheitsupdates sollten deshalb aktiviert bleiben.
Schritt 2: Secure Boot und TPM verwenden
Auf modernen Windows-PCs sollten Secure Boot und TPM aktiviert sein.
Secure Boot erschwert Manipulationen an der Bootkette.
Windows zeigt den Status unter:
Windows-Sicherheit → Gerätesicherheit
Dort sollte auch die Kernisolierung beziehungsweise Speicherintegrität aktiviert werden, sofern die verwendete Hardware und Software kompatibel ist.
Schritt 3: Die komplette Festplatte verschlüsseln
Unter Windows 11 sollte BitLocker beziehungsweise die Windows-Geräteverschlüsselung aktiviert sein.
Zu finden unter:
Einstellungen → Datenschutz & Sicherheit → Geräteverschlüsselung
Der Wiederherstellungsschlüssel sollte zusätzlich sicher und getrennt vom Rechner aufbewahrt werden.
Auf Windows Pro lässt sich BitLocker noch weiter absichern und beispielsweise mit TPM und einer zusätzlichen Start-PIN kombinieren.
Damit reicht bei ausgeschaltetem Rechner nicht allein der Besitz des Gerätes.
Schritt 4: Im Alltag nicht als Administrator arbeiten
Ein kleines Detail mit großer Wirkung.
Ich empfehle zwei Windows-Konten:
Ein normales Standardkonto für den Alltag und ein Administratorkonto ausschließlich für Installationen und Systemänderungen.
Dadurch besitzt Schadcode, der im normalen Benutzerkontext startet, nicht automatisch sämtliche Administrationsrechte.
Schritt 5: Windows Defender und SmartScreen nicht deaktivieren
Viele sogenannte Windows-Tuning-Anleitungen empfehlen, Sicherheitsfunktionen abzuschalten.
Das halte ich für die falsche Richtung.
Microsoft Defender, SmartScreen, Exploit Protection und die Windows-Kernisolierung erhöhen die Zahl der Sicherheitsbarrieren, die ein Angreifer überwinden muss.
Windows 11 besitzt außerdem Smart App Control.
Damit kann Windows unbekannten und nicht vertrauenswürdigen Code blockieren.
Gerade auf einem frisch installierten Sicherheits-PC ist diese Funktion interessant.
Schritt 6: Passkeys und Hardware-Sicherheitsschlüssel benutzen
Der nächste große Angriffsbereich sind Onlinekonten.
E-Mail ist dabei besonders kritisch.
Wer Zugriff auf das zentrale E-Mail-Konto erhält, kann häufig zahlreiche andere Konten zurücksetzen.
Deshalb:
Passkeys verwenden, wo es möglich ist.
Zusätzlich sind FIDO2-Sicherheitsschlüssel eine der stärksten Möglichkeiten zur Absicherung wichtiger Accounts.
Idealerweise besitzt man zwei Schlüssel.
Einen im täglichen Gebrauch und einen Ersatzschlüssel an einem sicheren Ort.
Schritt 7: Google Advanced Protection aktivieren
Google bietet für Nutzer mit erhöhtem Risiko gezielter Cyberangriffe das Advanced Protection Program an.
Dabei werden unter anderem besonders sichere Anmeldemethoden vorgeschrieben, Drittanbieterzugriffe eingeschränkt und verdächtige Downloads strenger kontrolliert.
Wer viele persönliche Informationen in Gmail, Google Drive oder Google Fotos gespeichert hat, sollte sich diese Möglichkeit zumindest ansehen.
Schritt 8: Das Smartphone nicht vergessen
Ein Smartphone enthält heute häufig mehr persönliche Informationen als der klassische PC.
Fotos, Standortinformationen, Nachrichten, Kontakte, Passkeys, Banking und E-Mails laufen dort zusammen.
Deshalb sollten Sicherheitsupdates sofort installiert werden.
Eine ausreichend lange PIN ist einem einfachen Entsperrmuster vorzuziehen.
USB-Debugging und Entwickleroptionen sollten ausgeschaltet bleiben, wenn sie nicht benötigt werden.
Apps sollten nur aus vertrauenswürdigen Quellen stammen.
Noch weiter gehen: GrapheneOS
Für kompatible Google-Pixel-Geräte gibt es zusätzlich GrapheneOS.
Das Betriebssystem konzentriert sich sehr stark auf Security und Privacy und verwendet zahlreiche zusätzliche Schutzmechanismen.
Beim Pixel 8 Pro kommt beispielsweise hardwarebasiertes Memory Tagging zum Einsatz.
Das kann bestimmte Klassen von Speicherfehlern erheblich schwieriger ausnutzbar machen.
GrapheneOS macht ein Smartphone nicht unhackbar.
Das wäre ein unseriöses Versprechen.
Aber für Nutzer, denen Gerätesicherheit und Datenschutz wichtiger als maximaler Komfort sind, ist es eine sehr interessante Option.
Schritt 9: Das eigene Netzwerk absichern
Auch der Router gehört zum Sicherheitskonzept.
Ich empfehle:
WPA3, ein langes zufälliges WLAN-Passwort, automatische Routerupdates und ein getrenntes WLAN beziehungsweise VLAN für Smart-Home- und IoT-Geräte.
Server, NAS, Proxmox, Home Assistant und andere Administrationsoberflächen sollten möglichst nicht direkt aus dem Internet erreichbar sein.
Für Fernzugriffe ist ein abgesicherter VPN-Zugang die bessere Lösung.
Schritt 10: Weniger Daten sammeln
Eine der effektivsten Datenschutzmaßnahmen ist fast schon langweilig:
Daten, die nirgendwo gespeichert sind, können dort auch nicht ausgelesen werden.
Brauche ich wirklich zehn Jahre alte Dokumente auf meinem täglichen Rechner?
Müssen sämtliche privaten Fotos gleichzeitig auf Smartphone, Notebook und mehreren Cloudplattformen liegen?
Muss jede App Zugriff auf Kontakte, Standort, Mikrofon und Fotos besitzen?
Datenminimierung reduziert gleichzeitig die Folgen von Malware, Gerätediebstahl, Accountübernahmen und Datenlecks.
Verschlüsselung bleibt trotzdem wichtig
Dass eine Online-Durchsuchung Verschlüsselung teilweise umgehen kann, bedeutet nicht, dass Verschlüsselung nutzlos wäre.
Ganz im Gegenteil.
Vollständige Geräteverschlüsselung schützt beispielsweise einen ausgeschalteten oder verlorenen Rechner.
Ende-zu-Ende-Verschlüsselung schützt Kommunikation während der Übertragung.
Verschlüsselte Backups schützen Sicherungsmedien.
Man muss nur verstehen, wo ihre Grenzen liegen.
Ein bereits kompromittiertes und entsperrtes Endgerät ist ein völlig anderes Szenario.
Kann man sich vollkommen schützen?
Nein.
Wer behauptet, einen normalen PC absolut sicher gegen einen technisch hochgerüsteten staatlichen Angreifer machen zu können, verspricht etwas, das er nicht garantieren kann.
Unbekannte Sicherheitslücken, sogenannte Zero-Days, Angriffe auf Lieferketten oder physischer Zugriff auf ein Gerät können selbst sehr gute Sicherheitskonzepte vor Probleme stellen.
Aber IT-Sicherheit funktioniert über Schichten.
Secure Boot.
TPM.
Verschlüsselung.
Aktuelle Software.
Anwendungsbeschränkungen.
Standardbenutzer.
Hardware-Sicherheitsschlüssel.
Netzwerksegmentierung.
Backups.
Datenminimierung.
Jede einzelne Schutzschicht zwingt einen Angreifer dazu, eine weitere Hürde zu überwinden.
Und genau darum geht es.
Mein Fazit
Verfassungsschutz Online-Durchsuchung 2026 ist der erste Einblick auf das was passieren kann.
Die geplante Reform des Nachrichtendienstrechts ist kein erfundenes Internetgerücht.
Der Verfassungsschutz soll tatsächlich neue digitale Befugnisse erhalten – darunter die Online-Durchsuchung.
Aber die Behauptung, der Verfassungsschutz könne anschließend ohne Voraussetzungen einfach auf jeden beliebigen Computer zugreifen, ist ebenfalls falsch.
Die politische und verfassungsrechtliche Diskussion um diese Befugnisse dürfte noch lange nicht beendet sein.
Für mich ergibt sich daraus trotzdem eine einfache Konsequenz:
Meine persönlichen Daten gehören geschützt – unabhängig davon, wer versucht, darauf zuzugreifen.
Ich werde deshalb meine Geräte Stück für Stück weiter härten und hier auf Luftpoet dokumentieren, welche Maßnahmen ich umgesetzt habe, welche davon sinnvoll sind und welche im Alltag möglicherweise mehr Probleme verursachen als Nutzen bringen.
Denn Datenschutz beginnt nicht mit einem VPN.
Er beginnt auf dem eigenen Gerät.
Alle Quellen:
Neugierig auf mehr?
Wenn dir dieser Beitrag gefallen hat, dann schau gerne öfter auf luftpoet.de vorbei. Hier findest du regelmäßig neue Artikel, persönliche Erfahrungsberichte und spannende Einblicke rund um Technik, KI, Gaming und den digitalen Lifestyle. Egal ob Linux, Server, Smart Home, Pi Network oder coole Gadgets – im Blogbereich warten viele weitere Beiträge darauf, entdeckt zu werden. Vielleicht interessieren dich auch meine aktuellen Projekte, Tipps und Empfehlungen auf der Startseite. 👉 Viel Spaß beim Stöbern – und bis zum nächsten Beitrag auf Luftpoet!
Kommentare