Sechs Tage nach dem Drohnenfund in Leipzig stimmte das Bundeskabinett über mehr als 700 Seiten Nachrichtendienstrecht ab. Bundesinnenminister Alexander Dobrindt sprach von einer „neuen Qualität von Gefahr" und einer „weitreichenden Reform" — beide Beschreibungen zutreffend, beide auf verschiedene Dinge bezogen.

Der Befund vom Rollfeld ist nüchtern: Eine Drohne, beladen mit Semtex und PETN, erreichte in der Nacht zum 6. August 2026 den Flughafen Leipzig/Halle — einen Knotenpunkt für NATO-Transporte und Lieferungen an die Ukraine. Wer sie gesteuert hat, ermittelt die Bundesanwaltschaft. Russland weist eine Beteiligung zurück. Was feststeht: Die Drohne wurde entdeckt. Verhindert wurde sie nicht.

Das Kabinett antwortete mit einer Befugniswelle für BND und Bundesamt für Verfassungsschutz: Inhaltsdaten darf der BND künftig bis zu sechs Monate ungesichtet speichern, Metadaten bis zu zwölf. Beide Dienste dürfen in fremde IT-Systeme einbrechen, Server abschalten, Daten manipulieren oder löschen. Das BfV erhält erstmals das Recht, im Inland operativ einzugreifen, und darf personenbezogene Daten per künstlicher Intelligenz auswerten. Die Kosten allein für das BfV werden auf 269 Millionen Euro jährlich veranschlagt — eine Zahl, die laut Kritikern einer Verhundertfachung der ursprünglichen Schätzung entspricht. Der BND-Haushalt steigt im Vergleich zum Vorjahr um rund 26 Prozent auf 1,51 Milliarden Euro.

Das ist ein erhebliches Programm. Die Frage ist, ob es das richtige ist.

Das stärkste Argument für diese Reform ist real und sollte nicht kleingeredet werden — hier ist es in seiner besten Fassung: Deutschland operiert in einem veränderten Bedrohungsumfeld. Staatlich gesteuerte Hackergruppen greifen Infrastruktur an. Desinformationskampagnen unterlaufen Wahlen. Spionage läuft zunehmend digital. Wer den Diensten verbietet, dort zurückzuschlagen, schickt sie mit gebundenen Händen in einen asymmetrischen Konflikt. Das Bundesverfassungsgericht hat 2024 selbst Korrekturbedarf am BND-Recht festgestellt. Dass Partner im europäischen Ausland längst über vergleichbare Instrumente verfügen, ist kein Argument aus der Marketingabteilung, sondern ein operatives Problem.

Aber: Die Drohne in Leipzig war kein Cyberangriff. Sie flog. Auf einem Rollfeld.

Und hier liegt das Mismatch, das kein 700-seitiges Gesetz behebt. Die Zahl der Drohnenvorfälle im Umfeld deutscher Flughäfen stieg von 161 im Jahr 2024 auf 225 im Jahr 2025; im ersten Halbjahr 2026 übertraf die Zahl bereits den gesamten Vorjahreswert. Der Bundesverband der Luftverkehrswirtschaft beklagt unklare Zuständigkeiten bei der Abwehr — nicht zu wenig Datenspeicherung, sondern zu wenig Entscheidungsklarheit auf dem Boden. Luftverkehrsexperte Hartmut Fricke spricht von einer „neuen Dimension", für die Erkennungstechnologien und Abwehrsysteme fehlen. Beides steht nicht im Gesetzentwurf.

Dobrindts Reform bündelt die Rechtskontrolle beim Unabhängigen Kontrollrat, der die bisherige G-10-Kommission und Teile der Aufgaben des Bundesdatenschutzbeauftragten übernimmt. Der erste Bericht dieses Gremiums soll frühestens 2031 erscheinen. Kritiker — der Deutsche Anwaltverein, CORRECTIV, netzpolitik.org, die Bundesdatenschutzbeauftragte — bezweifeln, dass die Bündelung die Kontrolle stärkt; sie halten sie für eine Verdünnung, hinter einer stärkeren Tür versteckt. Das Trennungsgebot zwischen Polizei und Nachrichtendiensten, ein Verfassungsprinzip, das seine Herkunft aus der deutschen Geschichte hat, steht unter Druck. Der Bund Deutscher Kriminalbeamter begrüßt die Stärkung der Dienste ausdrücklich — warnt aber vor genau dieser Grenzverschiebung.

Fähigkeits-Antithese: Die Bundesregierung ist gut darin, Befugnisse zu formulieren. Schwächer ist sie darin, Verantwortlichkeiten zu klären.

Ein Nachrichtendienst mit erweitertem Datenspeicher hätte die Drohne in Leipzig nicht aufgehalten. Ein Dienst mit aktivem Cyberangriffsbefugnissen hätte es ebenfalls nicht getan. Was gebraucht wird — koordinierte Drohnenabwehr, klare Zuständigkeitsketten, Erkennungstechnologie auf dem Rollfeld —, ist in keiner der 700 Seiten geregelt.

Das Gesetz beantwortet die Frage, die der Staat beherrscht: Wer darf in welche Datenbank schauen? Es lässt offen, wer im Ernstfall auf dem Flugfeld zuständig ist. Dobrindt hat, nach dem Vorfall in Leipzig, beides in einer Woche behandelt: das eine als „neue Qualität von Gefahr", das andere als Beleg für den richtigen Kurs. Der Abstand zwischen diesen beiden Aussagen ist das eigentliche Sicherheitsproblem.