Das De-Mail Debakel

Es muss schon einiges passieren, dass ich hier über politische Themen schreibe. Die Plagiatsposse um Guttenberg war so ein Fall. Das Leistungsschutzrecht wäre auch so ein Fall gewesen, aber da wurde ohnehin schon viel Gutes und Wahres geschrieben. Was sich unsere Volksvertreter nun bei De-Mail erlaubt haben und immer noch erlauben, ist allerdings so grotesk, dass mir beinahe die Worte fehlen. Ich bin enttäuscht von der Ahnungslosigkeit mit der hier Gesetze gemacht werden und frage mich, ob das bei anderen Gesetzen besser ist oder ob ich nur den Sachverhalt hier besser verstehe als Informatiker. Naiv wie ich bin, dachte ich bisher, wir hätten die Fähigsten mit der Führung des Staates betraut. Die einzige Fähigkeit die ich zu erkennen vermag, ist das Streben nach Macht und persönlichem Vorteil.

Was soll De-Mail sein und wozu soll es gut sein? Werfen wir zunächst einen Blick auf die Seiten von Frau Cornelia Rogall-Grothe, der Beauftragten der Bundesregierung für Informationstechnik, die im Übrigen laut Lebenslauf Juristin ist und mit Informationstechnik geschweige denn Informatik nicht so wirklich viel zu tun hatte.

Im Gegensatz zur E-Mail können bei De-Mail aber sowohl die Identität der Kommunikationspartner als auch der Versand und der Eingang von De-Mails jederzeit zweifelsfrei nachgewiesen werden. Die Inhalte einer De-Mail können auf ihrem Weg durch das Internet nicht mitgelesen oder gar verändert werden.

Daraus lese ich drei Anforderungen: Erstens, die Identität der Kommunikationspartner zweifelsfrei sicherzustellen; zweitens, den Versand und den Eingang zweifelsfrei nachzuweisen; und drittens, die Unversehrtheit der Nachricht auf dem Transportweg zu garantieren.

Insbesondere an der letzten Anforderung, der garantierten Unversehrtheit oder im Fachjargon Integrität der Nachricht, entbrannte schon 2011 der Streit. In seiner Stellungnahme vom 3. Februar 2011, schreibt der Chaos Computer Club:

Der Gesetzesentwurf in seinen bisherigen Fassungen sieht keine Verpflichtung zur Ende-zu-Ende-Verschlüsselung vor. Es ist nicht ersichtlich, warum man hier nicht auf seit vielen Jahren funktionierende und von unterschiedlichster Software unterstützte internationale Standardverfahren wie S/MIME oder PGP zurückgreift. […] Die einzig plausible Erklärung für die fehlende Ende-zu-Ende Verschlüsselung im De-Mail-System kann letztlich nur darin gefunden werden, dass der leichte Zugriff durch Polizei, Verfassungsschutz und sonstige staatliche Stellen ermöglicht werden soll.

Die De-Mail ist damit in etwa so sicher wie eine Postkarte. Das alles ist seit über zwei Jahren bekannt und De-Mail führt daher völlig zu Recht ein Schattendasein. Das stört die Regierung nun offensichtlich, aber anstatt nachzubessern, wird der Sicherheitsstandard per Gesetz so weit gesenkt bis er zu De-Mail passt. Im nun vorliegenden Gesetzentwurfs zur Förderung der elektronischen Verwaltung heißt es dazu:

Werden dem Steuergeheimnis unterliegende Daten durch einen Amtsträger […] über De-Mail-Dienste […] versendet, liegt keine unbefugte Offenbarung, Verwertung und kein unbefugter Abruf von dem Steuergeheimnis unterliegenden Daten vor, wenn beim Versenden eine kurzzeitige automatisierte Entschlüsselung […] zum Zweck der Überprüfung auf Schadsoftware und zum Zweck der Weiterleitung an den Adressaten […] stattfindet.

Man will uns also erklären, dass es nicht nur völlig in Ordnung ist, dass die De-Mail nicht Ende-zu-Ende verschlüsselt ist, sondern, dass es sogar notwendig ist um die E-Mail auf Schadsoftware zu überprüfen. Eure Fürsorge rührt mich, aber mir fehlt der Glaube. Der Chaos Computer Club schreibt in seiner Stellungnahme vom 20. März 2013:

Es kann nur als Witz gemeint sein, daß De-Mail trotz lange bekannter Schwächen per Gesetz nun zum Standard für Behördenkommunikation erhoben werden soll. Damit wird sehenden Auges ein völlig lächerliches Sicherheitsniveau festgeschrieben, das in der Industrie und bei Berufsgeheimnisträgern niemals akzeptabel wäre. Da kann man seine Steuererklärung gleich auf einer Postkarte abgeben. Und obendrein bekommt man möglicherweise noch einen Staatstrojaner als Antwort zurück

Bis dieses Manko von De-Mail nicht wirklich beseitigt ist, werde ich De-Mail auf nicht nutzen und wenn ich die Steuererklärung handschriftlich anfertigen und mit der Postkutsche abliefern muss. Ich kann jeden nur dringend vor De-Mail warnen. Lasst euch nicht von der Hochglanzwerbung von Providern blenden. Leistet Widerstand. De-Mail war und ist technisch rückständig, inkompatibel zum Rest der Welt und hochgradig unsicher. Der neue Gesetzentwurf zur Förderung der elektronischen Verwaltung erklärt die Defizite zum Standard und ist daher brandgefährlich.

(Bildnachweis: Das Artikelbild wurde von James Bowe unter dem Titel „Sheep“ auf Flickr unter einer Creative Commons Lizenz (CC BY 2.0) veröffentlicht.)

Auf dem Laufenden bleiben

Du willst keinen Artikel mehr verpassen? Mit unserem Newsletter bekommst du in der Regel einmal wöchentlich die neuesten Artikel in deinen Eingangskorb.

18 Kommentare

Die Verwaltung möchte die Segnungen einer moderneren Kommunikation erfahren, auch wenn wir uns noch nicht ganz sicher sind, was genau Segen und was Fluch ist. Jedenfalls geht es um „effizient“ im Sinne von „billiger als zuvor“.

Der Politik ist das vollkommen schnurz. Es ist normal, dass Abgeordnete über Gesetze abstimmen, die sie nicht kennen und deren Konsequenz sie nicht verstehen. Es ist normal, dass Abstimmungen auf der Basis von wenigen anwesenden Personen stattfinden. Es ist normal, dass nach Fraktion abgestimmt wird, und nicht nach Inhalt. Und es ist leider auch normal, dass im Hintergrund die Strippen gezogen werden, zu unserem Wohl und weil wir das große Ganze sowieso nicht verstehen würden. Sagt man.

Die Deutschen (auch ich) sind fußfaul. Anderswo würden für solche Verarsche wie hier die Barrikaden brennen, hier passiert nichts. Ob das gut ist?

ps: In weiten Teilen der Industrie sieht es auch nicht anders aus. Jenseits der Hochglanzprospekte werden persönliche Daten weiterhin per Email und aus offenes Excel-File verschickt. Das Problem sitzt vor der Tastatur.

Die Motivation hinter De-Mail verstehe ich gut. Ich finde ja auch papierlose Kommunikation an sich gut. Nur ist eben schon alles was De-Mail zu lösen vorgibt längst besser gelöst, aber nicht flächendeckend eingesetzt. Aber eigentlich ist es nicht diese technische Ebene die mich entsetzt, sondern, dass starrköpfig an einem offensichtlich falschen Konzept festgehalten wird. Vermutlich auch weil die meisten die darüber abstimmen noch nicht einmal das Problem verstanden haben. Wir brauchen dringend weniger Juristen und mehr Informatiker in der Politik um im 21. Jhdt. handlungsfähig zu bleiben.

De-Mail? Was soll jetzt das? Das wird ebenso lautlos wieder verschwinden, wie es gekommen ist, weil niemand es wirklich braucht. Ich glaube nicht, dass es dafür einen Internet Standard gibt, und sich die Internet Society (ISOC) damit befasst.
De-Mail ist eine EU-Richtlinie, die vor allem von den EU-Mächtigen Deutschland und Frankreich zum (überflüssigen) Gesetz erklärt wird. Als ob sie keine anderen Sorgen hätten…. ;-)

Das wäre ja auch meine Hoffnung, dass der Unfug schnell wieder in Vergessenheit gerät, nur hält unsere Regierung nun schon seit über zwei Jahren hartnäckig daran fest. Und mit jeder Nachbesserung wird es nur noch schlimmer. Man muss sich vielleicht fragen, wem das alles nützt …

Danke für diesen Post. De-Mail und das Pendant der Deutschen Post, der E-Postbrief, sind eigentlich nichts von dem was sie sein sollten: Vertraulichkeit ist nur bedingt gesichtert, da nur die Kommunikation zwischen dem Webclient und dem Server der Telekom/Post verschlüsselt ist und nicht die Nachricht an sich. Die Integrität ist auf die schwächste Art gesichert die möglich ist: Prüfsumme ohne digitale Signatur. Die Authenzität ist nur durch die Prozesse des Providers sichergestellt und nicht durch eine geeignete und dem Zweck angemessene technische Maßnahme, wie einer digitalen Signatur. Daher haben auch schon Gerichte, der Deutschen Post untersagt mit dem Slogan „So sicher und verbindlich wie ein Brief“ zu werben (siehe http://www.vzbv.de/mediapics/deutsche_post_ag_lg_bonn_30_06_2011.pdf).

Das ist ein klassisches Beispiel für Symbolpolitik: Nichts verstehen, nichts tun, aber toll kommunizieren.

Danke, Jens, für die ergänzenden Ausführungen und den Link zum E-Postbrief. Es ist und bleibt dramatisch. Fraglich nur ob es nur Unfähigkeit (schlimm genug) oder bewusste Irreführung ist.

Ich halte das weder für Unfähigkeit noch für Irreführung. Es gibt für die Aufgabenstellung zur Zeit keine sofort und flächendeckende Lösung. Das Problem liegt in der Technik. Der aktuelle Stand sind asymmetrische Verschlüsselungsverfahren. Die Crux dabei ist das Schlüsselmanagement, d.h. die sichere Erzeugung, Verteilung, Authentisierung und Rücknahme der Schlüssel. Das ist aufwendig und teuer. Eine Lösung hierzu könnte die Umstellung von DE-Mail / E-Postbrief auf S/MIME Format und die Kombination mit der Ausweisfunktion des neuen Bundespersonalausweis sein. Allerdings ist hier ein schneller Rollout nicht realisierbar, da die BPA eine Gültigkeitsdauer von 10 Jahren haben.

Die Politik will aber schnell Einsparungspotentiale durch elektronische Kommunikation erzielen, so wird die schnell machbare, aber nicht so sichere Lösung implementiert. Und überhaupt ist verschlüsselte Kommunikation nur ein lästiges Hindernis auf dem Weg zum transparenten Bürger.

Du hast recht: asymmetrische Verschlüsselungsverfahren sind wegen des Schlüsselmanagements kompliziert. Dieses Problem ist aber schon seit ca. 10 bis 15 Jahren bekannt. Dafür gibt es doch auch schon Lösungen. Man muss es ja nicht gleich mit dem Ausweis kombinieren (obwohl das schon die Goldlösung wäre). Aber will man das? Ich vermute nein, denn dann könnte auch der Staat nicht mehr auf die E-Mails zugreifen.

Welche Lösungen denn? Das CA-Modell ist ein streng hierarisches und passt nicht mehr so recht in unsere vernetzte und globale Welt. Das self-certification Modell von PGP funktioniert in einem überschaubarem Kreis vertrauter Personen, aber nicht im großen Umfang. Beide Modelle bergen das Problem der Rücknahme von Schlüsseln. Wie bekommt ein Client mit, dass ein Schlüssel nicht mehr gültig ist und wie kommt er an den aktuellen Schlüssel? Die bisherige Antwort dazu sind Verzeichnidienste, die allerdings nur unter großen Problemen organisationsübergreifend zur Verfügung gestellt werden können.

Ok, Lösungsansätze wäre wohl das richtige Wort gewesen, nicht Lösungen. Außer den von Dir genannten kenne ich auch keine, aber immerhin wären das ja schon Mal ein paar Ansatzpunkte …

Der Artikel ist nach meiner Bewerung präzise, objektiv, vollständig und zeigt hohe Kompetenz. Mich wundert nur die von mir rausgelesene Überraschung, das dies passieren kann. War das nicht von vorne herein klar, dass da nichts Vernünftiges raus kommen wird? Und wird in der Politik nicht bei vielen Infrastrukturthemen ähnlich gepfuscht? Mir bleibt da oft nur noch die zugegebener Weise zynische und morbide Freude über den selbst verschuldeten Untergang. Und die Gewissheit, dass wir trotz all diesem Quatsch eine Chance haben, dass es gut weiter geht, wenn wir bereit sind, weiter für die Zukunft zu arbeiten und kämpfen.

Mag sein, dass ich naiv bin, aber ich hätte mir von unseren hochbezahlten Politikern und ihren hochbezahlten Beratern mehr erwartet. Vielleicht ist Deine gelassene Haltung aber genau die richtige Einstellung: ja, es wird gepfuscht und ja, es geht weiter. Darum auch dieser Artikel. Weil es mir nicht egal ist, wenn gepfuscht wird. Und weil ich bereit bin für die Zukunft zu kämpfen.

Ein gut formulierter Artikel!

Allerdings glaube ich, dass sowohl Gegner wie auch Befürworter nicht ganz bei den Fakten bleiben.

Die Gegner, v.a. aus dem CCC, überziehen die Argumente und pflegen eine gewisse Paranoia. Ich mag die Bitschubser, aber sie übertreiben manchmal.

Wenn Ende-zu-Ende-Verschlüsselung und eine eindeutige Identifizierung der Nachrichtenquelle möglich wären, dann stellt sich die Frage, wo die einfach einsetzbaren Produkte, am besten noch Open Source, kostenfrei und transparent, heute sind?
Eine PKI kostet leider Geld.
Und wenn Verschlüsselung so notwendig ist, warum setzt sie kaum einer ein?
Der Verweis des CCC auf die Überwachung halte ich für hanebüchen, weil das Gros der unverschlüsselten E-Mails schon heute gelesen werden könnte, weil unverschlüsselt.

Auch bei De-Mail können E-Mails EzE-verschlüsselt werden, vielleicht nicht bei den Providern mit ihren Web Interfaces, dafür aber in Unternehmen, die ihre E-Mails im MUA verschlüsseln, an ihren De-Mail-Gateways senden und über die De-Mail-Infrastruktur leiten lassen.

Die Befürworter verschweigen sicher ein Detail.
De-Mail ist ein politisches Projekt für mehr Bürgerdienste auf elektronischem Wege. Die Folgen bzw. erhofften Konsequenzen kann jeder zusammenrechnen, gibt es doch noch mehr bekannte Projekte im E-Government.
Insofern sind weniger die Bürger als die Verwaltung Zielkunden dieser Projekte.

Und hier steckt das Detail, um die impliziten Fragen Ihres ersten und zweiten Absatzes zu beantworten.
IT wird in Bund und Ländern häufig den Innenministerien zugeordnet. Diese werden traditionell überwiegend mit Juristen besetzt. Schauen Sie doch mal bei Interesse nach dem Hintergrund der CIO der Länder oder des Bundes …
IT ist nur ein Katalysator des ordnungsgemäßen und geregelten Verwaltungshandeln.
Nutzen? Value Add?
Würden Unternehmen IT bei ihrer juristischen Abteilung und dem Wachdienst aufhängen?

Schon die Sprachwelten zwischen Informatikern und Juristen sind soweit auseinander, dass am Ende statt Bits nur Einhalb und Umgehungstatbestände herauskommen.

Schreibe einen Kommentar