Die deutsche Debatte über Vorratsdatenspeicherung hat 2026 eine neue, konkretere Form: Ein Gesetzentwurf der Bundesregierung sieht vor, dass Internetzugangsanbieter die ihren Kunden zugeteilten IP-Adressen und gegebenenfalls Portnummern drei Monate speichern. Zusätzlich sollen Ermittlungsbehörden vorhandene Verkehrsdaten unter bestimmten Voraussetzungen per Sicherungsanordnung „einfrieren“ können.
Der Bundestag hat den Entwurf am 24. Juni 2026 erstmals beraten und an die Ausschüsse überwiesen. Er ist damit noch kein geltendes Recht. Diese Unterscheidung ist wichtig, denn über Jahre wurden politische Vorschläge, nicht anwendbare Altregelungen und tatsächliche Speicherpraxis munter in einen Topf geworfen.
Worum geht es bei Verkehrsdaten?
Verkehrsdaten beschreiben Kommunikation, ohne ihren Inhalt wiederzugeben. Dazu können je nach Dienst gehören:
- zugeteilte IP-Adresse
- Anschlusskennung und Zeitpunkt der Zuteilung
- beteiligte Rufnummern
- Zeit und Dauer einer Verbindung
- Standortinformationen einer Mobilfunkverbindung
Auch ohne Gesprächsinhalt können solche Daten viel verraten: regelmäßige Kontakte, Aufenthaltsmuster oder die Nutzung bestimmter Dienste. Metadaten sind deshalb nicht harmlos, nur weil sie keine Nachrichtentexte enthalten.
Was der Entwurf von 2026 vorsieht
Der Regierungsentwurf konzentriert die anlasslose Speicherpflicht auf IP-Adressen und gegebenenfalls Portnummern. Internetzugangsanbieter sollen diese Zuordnungsdaten drei Monate aufbewahren. Ziel ist, eine später bekannte IP-Adresse einem Anschlussinhaber zuordnen zu können – etwa wenn eine Straftat über das Internet begangen wurde.
Daneben ist eine Sicherungsanordnung vorgesehen. Sie soll vorhandene Verkehrsdaten vor der regulären Löschung bewahren, wenn rechtliche oder tatsächliche Voraussetzungen für einen unmittelbaren Abruf noch nicht vorliegen. Das entspricht der Grundidee von Quick Freeze: nicht pauschal neue Kommunikationsdaten sammeln, sondern bereits vorhandene Daten in einem konkreten Verfahren sichern.
Beides sind unterschiedliche Instrumente. Die geplante IP-Adressspeicherung erfolgt ohne individuellen Anlass; die Sicherungsanordnung setzt einen konkreteren behördlichen Vorgang voraus.
Welche Grenzen der EuGH gezogen hat
Der Europäische Gerichtshof hat 2022 die allgemeine und unterschiedslose Speicherung von Verkehrs- und Standortdaten grundsätzlich zurückgewiesen. Ausnahmen kommen unter strengen Voraussetzungen in Betracht, etwa bei einer ernsten Bedrohung der nationalen Sicherheit.
Zugleich hat das Gericht Spielräume benannt:
- gezielte Speicherung anhand objektiver Kriterien
- umgehende Sicherung vorhandener Daten
- allgemeine Speicherung von IP-Adressen zur Bekämpfung schwerer Kriminalität unter Beachtung der Verhältnismäßigkeit
Ob die konkrete deutsche Ausgestaltung diese Grenzen einhält, ist damit nicht automatisch entschieden. Speicherfrist, Zugriffsvoraussetzungen, Zweckbindung und Schutzmaßnahmen müssen zusammen bewertet werden.
Die Argumente der Befürworter
Befürworter verweisen darauf, dass eine IP-Adresse bei internetbezogenen Straftaten häufig der erste oder einzige technische Ermittlungsansatz ist. Wenn Anbieter die Zuordnungsdaten bei Eingang einer Anfrage bereits gelöscht haben, lässt sich der Anschluss nicht mehr ermitteln.
Dieses Argument ist besonders stark bei dynamischen IP-Adressen und geteilten Adressen, bei denen zusätzlich Portnummern für die Zuordnung nötig sein können. Eine klar begrenzte Speicherung könne Ermittlungen ermöglichen, ohne Kommunikationsinhalte oder umfassende Standortprofile zu erfassen.
Die Argumente der Kritiker
Kritiker sehen weiterhin eine anlasslose Erfassung sämtlicher Internetanschlüsse. Auch IP-Zuordnungen betreffen Menschen, gegen die kein Verdacht besteht. Sie fragen außerdem:
- Ist eine dreimonatige Frist für den Zweck erforderlich?
- Sind Abruf und Weiterverwendung ausreichend begrenzt?
- Wie werden Daten gegen Missbrauch und Angriffe geschützt?
- Welche belastbaren Nachweise gibt es für den zusätzlichen Ermittlungserfolg?
- Werden Anonymität und vertrauliche Kommunikation mittelbar beeinträchtigt?
Die Risiken entstehen nicht nur durch den Staat. Jede zusätzliche Datensammlung muss technisch betrieben werden und wird damit selbst zum Angriffsziel.
Was das für Unternehmen bedeutet
Für normale Unternehmen folgt aus dem Gesetzentwurf keine allgemeine Pflicht, Kommunikationsdaten ihrer Beschäftigten oder Kunden auf Vorrat zu speichern. Unmittelbar betroffen wären vor allem die erfassten Internetzugangsanbieter.
Unternehmen sollten daraus keine vorsorgliche Sammelfreude ableiten. Für eigene Protokolle gelten weiterhin Zweckbindung, Datenminimierung, definierte Löschfristen und angemessene Sicherheit. Sicherheitslogs können notwendig sein; „Vielleicht brauchen wir das irgendwann“ ist allein kein tragfähiges Aufbewahrungskonzept.
Bei Ermittlungsanfragen gehören Zuständigkeit, rechtliche Prüfung, sichere Übermittlung und nachvollziehbare Protokollierung in einen vorbereiteten Prozess. Ad-hoc-Entscheidungen unter Zeitdruck sind weder für Datenschutz noch für Strafverfolgung besonders hilfreich.
Fazit
Die Debatte von 2026 ist präziser als frühere Forderungen nach einer umfassenden Speicherung von Verkehrs- und Standortdaten. Sie bleibt trotzdem ein erheblicher Grundrechtseingriff, weil die IP-Zuordnung aller Anschlüsse ohne individuellen Anlass gespeichert werden soll.
Eine seriöse Bewertung muss deshalb zwei billige Abkürzungen vermeiden: IP-Adressen als wertlose technische Daten abzutun und jede begrenzte Speicherung pauschal mit vollständiger Kommunikationsüberwachung gleichzusetzen. Entscheidend sind nachweisbarer Nutzen, Verhältnismäßigkeit, Zugriffsschwellen und wirksame Kontrolle. Genau darüber muss das parlamentarische Verfahren streiten.
