Stand: 2026-11-06
Rechtsstand: TKG und BSI-Gesetz jeweils in der Fassung vom 22.10.2026, geprüft am 06.11.2026. Diese Seite gibt die gesetzlichen Höchstbeträge wieder und ist keine Rechtsberatung. Wie ein Verfahren im Einzelfall zu bewerten ist, klärt eine Rechtsanwältin oder ein Rechtsanwalt. Veröffentlichte Bußgeldentscheidungen der Bundesnetzagentur haben wir nicht ausgewertet, die Seite sagt deshalb nichts darüber, wie oft und in welcher Höhe Bußgelder tatsächlich verhängt werden.
Wie ist § 228 TKG aufgebaut?
§ 228 Abs. 2 TKG zählt die Tatbestände einzeln auf, Abs. 6 ordnet jeder Nummer einen Höchstbetrag zu. Was in Abs. 6 Nr. 1 bis 5 nicht ausdrücklich genannt ist, fällt unter den Auffangrahmen von 10.000 € (Abs. 6 Nr. 6). Für die Seite gelten diese Grundsätze:
- Höchstbeträge: Alle Beträge sind Obergrenzen je Tatbestand. Einen Gesamtrahmen für „Verstöße gegen das TKG“ gibt es nicht.
- Vorsatz oder Fahrlässigkeit: Jeder Tatbestand setzt eines von beidem voraus (§ 228 Abs. 2).
- Fahrlässigkeit: Weil § 228 im Höchstmaß nicht zwischen Vorsatz und Fahrlässigkeit unterscheidet, halbiert sich der Höchstbetrag bei Fahrlässigkeit nach § 17 Abs. 2 OWiG (unsere Lesart).
- Umsatzbezogene Rahmen: Die Rahmen von 2 % und 1 % des Gesamtumsatzes in § 228 Abs. 7 und 8 betreffen andere Tatbestände, keine der Pflichten auf dieser Seite.
- Zuständigkeit: Bußgeldbehörde ist die Bundesnetzagentur (BNetzA), sie vollstreckt auch (§ 228 Abs. 10, 11).
Der Entwurf des TKG-Änderungsgesetzes 2026 würde § 228 Abs. 3 bis 9 neu fassen. Die Rahmen für das Sicherheitskonzept (Nr. 38) und die Meldung nach § 168 (Nr. 39) blieben danach gleich. Für andere Tatbestände, etwa bei den Bestandsdaten, ordnet der Entwurf die Nummern anders zu, nach unserer Einschätzung teils durch ein Redaktionsversehen. Diese Seite stellt deshalb nur das geltende Recht dar. Der Entwurf ist nicht verabschiedet, nach der Anhörung am 04.11.2026 haben die 2. und 3. Lesung noch nicht stattgefunden (Stand 06.11.2026).
Tatbestandstabelle: welche Pflicht, welcher Höchstbetrag?
Die Tabelle fasst die Tatbestände zusammen, die für Betreiber öffentlicher TK-Netze und Anbieter öffentlich zugänglicher TK-Dienste bei Meldung, Sicherheit und Bestandsdaten gelten. Sie gibt den Wortlaut verkürzt wieder, Tatbestände außerhalb dieser Themen fehlen.
| Pflicht | Tatbestand | Höchstbetrag | Mehr dazu |
|---|---|---|---|
| Tätigkeit melden (§ 5 Abs. 1 TKG) | § 228 Abs. 2 Nr. 2 | 10.000 € | Meldepflicht nach § 5 TKG |
| Sicherheitskonzept vorlegen und nach Änderung erneut vorlegen (§ 166 Abs. 2 Satz 1, Abs. 4 Satz 2 TKG) | § 228 Abs. 2 Nr. 38 | 300.000 € | Sicherheitskonzept nach § 166 TKG |
| vollziehbare Anordnung zur Vorlage oder zur Mängelbeseitigung (§ 166 Abs. 2 Satz 2, Abs. 4 Satz 1 TKG) | § 228 Abs. 2 Nr. 3 Buchst. c | 100.000 € | Überprüfung durch die Bundesnetzagentur |
| erheblichen Sicherheitsvorfall melden (§ 168 Abs. 1 Satz 1 TKG) | § 228 Abs. 2 Nr. 39 | 10.000 € | Meldung nach § 168 TKG |
| Datenschutzverletzung melden und Betroffene benachrichtigen (§ 169 Abs. 1 Satz 1, 2, Abs. 5 Satz 1 TKG) | § 228 Abs. 2 Nr. 40 | 100.000 € | Datenschutzverletzung nach § 169 TKG |
| Verzeichnis der Datenschutzverletzungen führen (§ 169 Abs. 3 Satz 1 TKG) | § 228 Abs. 2 Nr. 41 | 10.000 € | Datenschutzverletzung nach § 169 TKG |
| Bestandsdaten erheben, speichern, berichtigen (§ 172 Abs. 1, 3, 4 TKG) | § 228 Abs. 2 Nr. 49 | 300.000 € | Bestandsdaten nach § 172 TKG |
| Richtigkeit der Daten prüfen (§ 172 Abs. 2 Satz 1 TKG) | § 228 Abs. 2 Nr. 50 | 300.000 € | |
| Daten löschen (§ 172 Abs. 6 TKG) | § 228 Abs. 2 Nr. 53 | 300.000 € | |
| Pflichten Dritter zu Bestandsdaten (§ 172 Abs. 5 Satz 2, 3 TKG) | § 228 Abs. 2 Nr. 51, 52 | 10.000 € | - |
| Abrufbarkeit der Kundendateien im automatisierten Verfahren (§ 173 Abs. 2 Satz 1 Nr. 1 TKG) | § 228 Abs. 2 Nr. 54 | 500.000 € | - |
| keine Kenntnisnahme von Abrufen (§ 173 Abs. 2 Satz 2 TKG) | § 228 Abs. 2 Nr. 55 | 10.000 € | - |
| Stillschweigen bei Auskunftsersuchen (§ 174 Abs. 6 Satz 2 TKG) | § 228 Abs. 2 Nr. 56 | 50.000 € | - |
| Auskunft an die BNetzA (§ 183 Abs. 1 Satz 2 TKG) | § 228 Abs. 2 Nr. 61 | 100.000 € | - |
| Information an die BNetzA (§ 203 Abs. 1 Satz 1 TKG) | § 228 Abs. 2 Nr. 68 | 100.000 € | - |
| Registrierung beim BSI (§ 33 Abs. 1 BSIG) | § 65 Abs. 2 Nr. 6 BSIG | 500.000 € | NIS2 für TK-Anbieter |
Für die Pflichten in der folgenden Tabelle enthält § 228 keinen Tatbestand. Sie gelten trotzdem, die BNetzA setzt sie mit Anordnungen durch (nächster Abschnitt).
| Pflicht ohne Bußgeldtatbestand | Durchsetzung |
|---|---|
| Schutzmaßnahmen nach § 165, einschließlich der zehn Mindestmaßnahmen (Abs. 2a) und der Pflichten der Geschäftsleitung (Abs. 2b bis 2d) | Anordnungen nach § 165 Abs. 8, 9 und § 183 Abs. 1 |
| Sicherheitsbeauftragter, EU-Ansprechpartner und Erstellung des Sicherheitskonzepts (§ 166 Abs. 1), Umsetzungserklärung (§ 166 Abs. 3) | Verlangen der Mängelbeseitigung nach § 166 Abs. 4, Anordnungen nach § 183 Abs. 1 |
| Kundendateien für das automatisierte Verfahren (§ 173 Abs. 1, 6, 9) | § 183 Abs. 1, bei wiederholten Verstößen gegen § 173 Abs. 1, 6 Satz 2, Abs. 9 Satz 1, 2 Kundenstamm einfrieren (§ 183 Abs. 3) |
| Übermittlung im manuellen Auskunftsverfahren (§ 174 Abs. 1 Satz 5, Abs. 6 Satz 1) | § 183 Abs. 1, bei wiederholten Verstößen Kundenstamm einfrieren (§ 183 Abs. 3) |
| gesicherte elektronische Schnittstelle für Auskünfte (§ 174 Abs. 7) | Anordnungen nach § 183 Abs. 1 mit Zwangsgeld, als letztes Mittel Untersagung (§ 183 Abs. 4) |
Gibt es Bußgelder für die Schutzmaßnahmen nach § 165?
Nein. § 228 TKG nennt § 165 an keiner Stelle, weder die Schutzmaßnahmen noch die zehn Mindestmaßnahmen noch die Pflichten der Geschäftsleitung (unsere Auswertung des Wortlauts, keine Behördenaussage). Was das für die Geschäftsleitung bedeutet, steht auf der Seite Pflichten der Geschäftsleitung nach § 165 TKG.
Auch die hohen Rahmen des BSI-Gesetzes von bis zu 10 Mio. € treffen TK-Anbieter für ihre TK-Tätigkeit nicht. Sie knüpfen an §§ 30, 32, 35 und 36 BSIG an, die nach § 28 Abs. 5 BSIG für Betreiber öffentlicher TK-Netze und Anbieter öffentlich zugänglicher TK-Dienste nicht gelten. Anders ist es nur für weitere Tätigkeiten, die unter eine Einrichtungsart der Anlagen 1 oder 2 des BSI-Gesetzes fallen. Aus dem BSI-Gesetz bleibt für TK-Anbieter vor allem der Tatbestand zur Registrierung.
Wie setzt die Bundesnetzagentur die Pflichten durch?
Mit Anordnungen, die sie notfalls mit Zwangsgeld durchsetzt. Für Teil 10 Abschnitt 1 des TKG (§§ 164 bis 183, also auch §§ 165 bis 174) ist § 183 TKG die eigene Befugnisnorm, daneben stehen die besonderen Befugnisse in § 165 und § 166 und die allgemeinen in §§ 202 bis 204.
| Instrument | Grundlage | Was die BNetzA tun kann |
|---|---|---|
| Anordnung bei Vorfall oder Gefahr | § 165 Abs. 8 | bei einem Sicherheitsvorfall oder einer erheblichen Gefahr Maßnahmen und Umsetzungsfristen anordnen |
| Überprüfung anordnen | § 165 Abs. 9 Satz 1 | eine Überprüfung durch eine qualifizierte unabhängige Stelle oder eine zuständige nationale Behörde anordnen |
| Vorlage und Mängelbeseitigung | § 166 Abs. 2 Satz 2, Abs. 4 Satz 1 | Diensteanbieter zur Vorlage des Konzepts verpflichten, die unverzügliche Beseitigung festgestellter Mängel verlangen. Ein Verstoß gegen die vollziehbare Anordnung ist bußgeldbewehrt (Nr. 3 Buchst. c) |
| Anordnungen, Auskunft, Betreten | § 183 Abs. 1 | Anordnungen und andere Maßnahmen treffen, Auskünfte verlangen, Geschäfts- und Betriebsräume während der üblichen Zeiten betreten und besichtigen |
| Kundenstamm einfrieren | § 183 Abs. 3 | bei wiederholten Verstößen gegen bestimmte Pflichten aus §§ 172 bis 174 anordnen, dass der Kundenstamm bis zur Erfüllung nur durch Vertragsablauf oder Kündigung verändert werden darf |
| Untersagung | § 183 Abs. 4 | bei Nichterfüllung den Betrieb der Anlage oder das Erbringen des Dienstes ganz oder teilweise untersagen, wenn mildere Eingriffe nicht ausreichen |
| Zwangsgeld | § 183 Abs. 5 | bis 1 Mio. € zur Durchsetzung der Maßnahmen nach § 183 Abs. 1 bis 4 |
| allgemeine Durchsetzung | § 202 | zur Stellungnahme und Abhilfe mit Frist auffordern, dann anordnen, bei schweren oder wiederholten Verstößen die Tätigkeit untersagen. Zwangsgeld von 1.000 € bis 10 Mio. € |
| Auskunft und Einsicht | §§ 203, 204 | Informationen für die Überprüfung der Pflichten verlangen und Unterlagen einsehen. Zwangsgeld von 1.000 € bis 10 Mio. € |
Welche Grundlage die BNetzA bei den Pflichten aus §§ 165 bis 174 im Einzelfall wählt, sagen die Quellen nicht. Nach unserer Lesart geht § 183 als speziellere Vorschrift vor.
Ein Beispiel für den Unterschied zwischen Bußgeld und Durchsetzung ist § 174: Die gesicherte Schnittstelle nach Abs. 7 und die Übermittlungspflicht nach Abs. 6 Satz 1 sind nicht bußgeldbewehrt, das Stillschweigen nach Abs. 6 Satz 2 schon. Bei wiederholten Verstößen gegen Abs. 6 kann die BNetzA den Kundenstamm einfrieren. Für die Schnittstelle nach Abs. 7 bleiben Anordnungen mit Zwangsgeld und als letztes Mittel die Untersagung.
Bußgeld oder Zwangsgeld: was ist der Unterschied?
Nach unserer Einordnung ahndet ein Bußgeld einen Verstoß, der schon geschehen ist, etwa eine verspätete Meldung. Ein Zwangsgeld soll dagegen eine Anordnung durchsetzen, die noch nicht befolgt ist. Beide Mittel stehen im TKG nebeneinander. Das Zwangsgeld wird nach dem Verwaltungsvollstreckungsgesetz festgesetzt, das wir für diese Seite nicht ausgewertet haben.
Beispiel: Übersicht für einen VoIP-Anbieter
Fiktives Beispiel, kein Kunde. Ein VoIP-Anbieter ohne eigenes Netz hat 30 Beschäftigte und 8.000 Teilnehmer, er vergibt Rufnummern und vermarktet seine Telefonie an Geschäftskunden. Seine Compliance-Verantwortliche legt eine Übersicht an, die jede Pflicht mit Tatbestand, Höchstbetrag und internem Nachweis verbindet. Die Zuordnung ist unsere Einordnung nach dem Wortlaut.
| Pflicht | gilt für den Anbieter? | Tatbestand, Höchstbetrag | Nachweis im Haus |
|---|---|---|---|
| Meldung nach § 5 TKG | ja, nummerngebundene Telefonie | Nr. 2, 10.000 € | Meldung und letzte Änderungsmeldung, Auszug aus dem Verzeichnis |
| Sicherheitskonzept vorlegen (§ 166 Abs. 2) | nur, wenn die BNetzA es verlangt (kein eigenes Netz) | Verstoß gegen eine vollziehbare Vorlageanordnung: Nr. 3 Buchst. c, 100.000 €; nach einer Verpflichtung auch erneute Vorlage nach Änderung: Nr. 38, 300.000 € | Sicherheitskonzept, bereit zur Vorlage, und ein Ablauf für den Fall einer Anforderung |
| Sicherheitsbeauftragter, EU-Ansprechpartner, Konzept erstellen (§ 166 Abs. 1) | ja | kein Tatbestand | Bestimmung und Benennung schriftlich, Konzept mit Stand |
| Meldung erheblicher Sicherheitsvorfälle (§ 168) | ja | Nr. 39, 10.000 € | Meldeablauf, Protokolle der Bewertungen |
| Datenschutzverletzungen (§ 169) | ja | Nr. 40, 100.000 €; Verzeichnis Nr. 41, 10.000 € | Meldeablauf, Verzeichnis der Verletzungen |
| Bestandsdaten erheben und speichern (§ 172) | ja, er vergibt Rufnummern | Nr. 49, 53, je 300.000 € | Prozess bei Vertragsschluss, Löschkonzept |
| automatisiertes Auskunftsverfahren (§ 173) | nein: nach der Kundendatenauskunftsverordnung erst ab mehr als 10.000 Teilnehmern | entfällt, solange die Schwelle nicht überschritten ist | Teilnehmerzahl je Quartal beobachten |
| Stillschweigen bei Auskunftsersuchen (§ 174 Abs. 6 Satz 2) | ja | Nr. 56, 50.000 € | Arbeitsanweisung für Auskunftsersuchen |
| Schnittstelle nach § 174 Abs. 7 | ja, unter 100.000 Vertragspartnern das E-Mail-Verfahren | kein Tatbestand, Durchsetzung nach § 183 | Mitteilung an die BNetzA, Konzept für das E-Mail-Verfahren |
| Schutzmaßnahmen und Geschäftsleitung (§ 165) | ja, er ist mindestens wichtige Einrichtung | kein Tatbestand | Maßnahmenliste, Bericht an die Geschäftsleitung |
| Registrierung beim BSI (§ 33 BSIG) | ja | § 65 BSIG, 500.000 € | Bestätigung der Registrierung |
Die Übersicht dient der Priorisierung der Nachweise. Sie ist keine Einschätzung, ob oder in welcher Höhe die Behörde in einem konkreten Fall ein Bußgeld verhängen würde.
Drei typische Lücken
| Lücke | Ursache | Wirkung | Abhilfe |
|---|---|---|---|
| Bußgeldrahmen aus dem BSI-Gesetz auf TK übertragen | allgemeine NIS2-Informationen ohne Blick auf § 28 Abs. 5 BSIG | Prioritäten folgen falschen Beträgen, die tatsächlich bewehrten Pflichten wie Vorlage und Meldungen geraten aus dem Blick | Tatbestandstabelle nach TKG und § 65 BSIG führen |
| „Kein Bußgeld, also keine Pflicht“ | § 165 fehlt in § 228 | Mindestmaßnahmen und Schulung der Geschäftsleitung bleiben liegen. Die BNetzA kann sie anordnen und mit Zwangsgeld durchsetzen | § 165 wie jede andere Pflicht im Maßnahmenplan führen |
| Konzept nach Änderung nicht erneut vorgelegt | neue Produkte oder Standorte ohne Abgleich mit dem Sicherheitskonzept | Tatbestand nach § 228 Abs. 2 Nr. 38 (§ 166 Abs. 4 Satz 2) | Abgleich mit dem Konzept als Schritt in jede Produkt- und Netzänderung aufnehmen |
Pflichten sauber belegen
Wir helfen, Sicherheitskonzept, Meldeabläufe und Nachweise so aufzustellen, dass sie bei einer Überprüfung durch die Bundesnetzagentur vollständig vorliegen. Wir waren als Sicherheitsbeauftragte nach § 166 TKG tätig, haben Sicherheitskonzepte erstellt, aktualisiert und mit der Bundesnetzagentur abgestimmt. Den Überblick über unsere Leistungen gibt die Seite TK-Sicherheit nach TKG.
Häufige Fragen
Gibt es ein Bußgeld, wenn die zehn Mindestmaßnahmen nach § 165 Abs. 2a TKG fehlen?+
Halbiert sich das Bußgeld bei Fahrlässigkeit?+
Wer verhängt Bußgelder nach dem TKG?+
Gibt es ein Bußgeld, wenn kein Sicherheitsbeauftragter bestimmt ist?+
Ist eine verspätete Meldung nach § 168 TKG bußgeldbewehrt?+
Weiterlesen
Quellen
- § 228 TKG: Bußgeldvorschriften (gesetze-im-internet.de) (abgerufen am 2026-11-06)
- § 183 TKG: Kontrolle und Durchsetzung von Verpflichtungen (gesetze-im-internet.de) (abgerufen am 2026-11-06)
- § 202 TKG: Durchsetzung von Verpflichtungen (gesetze-im-internet.de) (abgerufen am 2026-11-06)
- § 203 TKG: Auskunftsverlangen und weitere Untersuchungsrechte; Übermittlungspflichten (gesetze-im-internet.de) (abgerufen am 2026-11-06)
- § 204 TKG: Auskunftserteilung (gesetze-im-internet.de) (abgerufen am 2026-11-06)
- § 165 TKG: Technische und organisatorische Schutzmaßnahmen (gesetze-im-internet.de) (abgerufen am 2026-11-06)
- § 166 TKG: Sicherheitsbeauftragter und Sicherheitskonzept (gesetze-im-internet.de) (abgerufen am 2026-11-06)
- § 65 BSIG: Bußgeldvorschriften (gesetze-im-internet.de) (abgerufen am 2026-11-06)
- § 17 OWiG: Höhe der Geldbuße (gesetze-im-internet.de) (abgerufen am 2026-11-06)
- § 1 Kundendatenauskunftsverordnung: Anwendungsbereich, Verpflichtete (gesetze-im-internet.de) (abgerufen am 2026-11-06)
Diese Inhalte dienen der allgemeinen technischen und organisatorischen Information und stellen keine Rechtsberatung dar (keine Rechtsdienstleistung i. S. d. RDG).