Das De-Mail Debakel

Es muss schon eini­ges pas­sie­ren, dass ich hier über poli­ti­sche The­men schrei­be. Die Pla­gi­ats­pos­se um Gut­ten­berg war so ein Fall. Das Leis­tungs­schutz­recht wäre auch so ein Fall gewe­sen, aber da wur­de ohne­hin schon viel Gutes und Wah­res geschrie­ben. Was sich unse­re Volks­ver­tre­ter nun bei De-Mail erlaubt haben und immer noch erlau­ben, ist aller­dings so gro­tesk, dass mir bei­na­he die Wor­te feh­len. Ich bin ent­täuscht von der Ahnungs­lo­sig­keit mit der hier Geset­ze gemacht wer­den und fra­ge mich, ob das bei ande­ren Geset­zen bes­ser ist oder ob ich nur den Sach­ver­halt hier bes­ser ver­ste­he als Infor­ma­ti­ker. Naiv wie ich bin, dach­te ich bis­her, wir hät­ten die Fähigs­ten mit der Füh­rung des Staa­tes betraut. Die ein­zi­ge Fähig­keit die ich zu erken­nen ver­mag, ist das Stre­ben nach Macht und per­sön­li­chem Vorteil.

Was soll De-Mail sein und wozu soll es gut sein? Wer­fen wir zunächst einen Blick auf die Sei­ten von Frau Cor­ne­lia Rogall-Gro­the, der Beauf­trag­ten der Bun­des­re­gie­rung für Infor­ma­ti­ons­tech­nik, die im Übri­gen laut Lebens­lauf Juris­tin ist und mit Infor­ma­ti­ons­tech­nik geschwei­ge denn Infor­ma­tik nicht so wirk­lich viel zu tun hatte.

Im Gegen­satz zur E‑Mail kön­nen bei De-Mail aber sowohl die Iden­ti­tät der Kom­mu­ni­ka­ti­ons­part­ner als auch der Ver­sand und der Ein­gang von De-Mails jeder­zeit zwei­fels­frei nach­ge­wie­sen wer­den. Die Inhal­te einer De-Mail kön­nen auf ihrem Weg durch das Inter­net nicht mit­ge­le­sen oder gar ver­än­dert werden.

Dar­aus lese ich drei Anfor­de­run­gen: Ers­tens, die Iden­ti­tät der Kom­mu­ni­ka­ti­ons­part­ner zwei­fels­frei sicher­zu­stel­len; zwei­tens, den Ver­sand und den Ein­gang zwei­fels­frei nach­zu­wei­sen; und drit­tens, die Unver­sehrt­heit der Nach­richt auf dem Trans­port­weg zu garantieren.

Ins­be­son­de­re an der letz­ten Anfor­de­rung, der garan­tier­ten Unver­sehrt­heit oder im Fach­jar­gon Inte­gri­tät der Nach­richt, ent­brann­te schon 2011 der Streit. In sei­ner Stel­lung­nah­me vom 3. Febru­ar 2011, schreibt der Cha­os Com­pu­ter Club:

Der Geset­zes­ent­wurf in sei­nen bis­he­ri­gen Fas­sun­gen sieht kei­ne Ver­pflich­tung zur Ende-zu-Ende-Ver­schlüs­se­lung vor. Es ist nicht ersicht­lich, war­um man hier nicht auf seit vie­len Jah­ren funk­tio­nie­ren­de und von unter­schied­lichs­ter Soft­ware unter­stütz­te inter­na­tio­na­le Stan­dard­ver­fah­ren wie S/MIME oder PGP zurück­greift. […] Die ein­zig plau­si­ble Erklä­rung für die feh­len­de Ende-zu-Ende Ver­schlüs­se­lung im De-Mail-Sys­tem kann letzt­lich nur dar­in gefun­den wer­den, dass der leich­te Zugriff durch Poli­zei, Ver­fas­sungs­schutz und sons­ti­ge staat­li­che Stel­len ermög­licht wer­den soll.

Die De-Mail ist damit in etwa so sicher wie eine Post­kar­te. Das alles ist seit über zwei Jah­ren bekannt und De-Mail führt daher völ­lig zu Recht ein Schat­ten­da­sein. Das stört die Regie­rung nun offen­sicht­lich, aber anstatt nach­zu­bes­sern, wird der Sicher­heits­stan­dard per Gesetz so weit gesenkt bis er zu De-Mail passt. Im nun vor­lie­gen­den Gesetz­ent­wurfs zur För­de­rung der elek­tro­ni­schen Ver­wal­tung heißt es dazu:

Wer­den dem Steu­er­ge­heim­nis unter­lie­gen­de Daten durch einen Amts­trä­ger […] über De-Mail-Diens­te […] ver­sen­det, liegt kei­ne unbe­fug­te Offen­ba­rung, Ver­wer­tung und kein unbe­fug­ter Abruf von dem Steu­er­ge­heim­nis unter­lie­gen­den Daten vor, wenn beim Ver­sen­den eine kurz­zei­ti­ge auto­ma­ti­sier­te Ent­schlüs­se­lung […] zum Zweck der Über­prü­fung auf Schad­soft­ware und zum Zweck der Wei­ter­lei­tung an den Adres­sa­ten […] stattfindet.

Man will uns also erklä­ren, dass es nicht nur völ­lig in Ord­nung ist, dass die De-Mail nicht Ende-zu-Ende ver­schlüs­selt ist, son­dern, dass es sogar not­wen­dig ist um die E‑Mail auf Schad­soft­ware zu über­prü­fen. Eure Für­sor­ge rührt mich, aber mir fehlt der Glau­be. Der Cha­os Com­pu­ter Club schreibt in sei­ner Stel­lung­nah­me vom 20. März 2013:

Es kann nur als Witz gemeint sein, daß De-Mail trotz lan­ge bekann­ter Schwä­chen per Gesetz nun zum Stan­dard für Behör­den­kom­mu­ni­ka­ti­on erho­ben wer­den soll. Damit wird sehen­den Auges ein völ­lig lächer­li­ches Sicher­heits­ni­veau fest­ge­schrie­ben, das in der Indus­trie und bei Berufs­ge­heim­nis­trä­gern nie­mals akzep­ta­bel wäre. Da kann man sei­ne Steu­er­erklä­rung gleich auf einer Post­kar­te abge­ben. Und oben­drein bekommt man mög­li­cher­wei­se noch einen Staats­tro­ja­ner als Ant­wort zurück

Bis die­ses Man­ko von De-Mail nicht wirk­lich besei­tigt ist, wer­de ich De-Mail auf nicht nut­zen und wenn ich die Steu­er­erklä­rung hand­schrift­lich anfer­ti­gen und mit der Post­kut­sche ablie­fern muss. Ich kann jeden nur drin­gend vor De-Mail war­nen. Lasst euch nicht von der Hoch­glanz­wer­bung von Pro­vi­dern blen­den. Leis­tet Wider­stand. De-Mail war und ist tech­nisch rück­stän­dig, inkom­pa­ti­bel zum Rest der Welt und hoch­gra­dig unsi­cher. Der neue Gesetz­ent­wurf zur För­de­rung der elek­tro­ni­schen Ver­wal­tung erklärt die Defi­zi­te zum Stan­dard und ist daher brandgefährlich.

(Bild­nach­weis: Das Arti­kel­bild wur­de von James Bowe unter dem Titel „Sheep“ auf Flickr unter einer Crea­ti­ve Com­mons Lizenz (CC BY 2.0) ver­öf­fent­licht.)

Share This Post

Von Marcus Raitner

Hi, ich bin Marcus. Ich bin der festen Überzeugung, dass Elefanten tanzen können. Daher begleite ich Organisationen auf ihrem Weg zu mehr Agilität. Über die Themen Führung, Digitalisierung, Neue Arbeit, Agilität und vieles mehr schreibe ich seit 2010 in diesem Blog. Mehr über mich.

18 Kommentare

Die Ver­wal­tung möch­te die Seg­nun­gen einer moder­ne­ren Kom­mu­ni­ka­ti­on erfah­ren, auch wenn wir uns noch nicht ganz sicher sind, was genau Segen und was Fluch ist. Jeden­falls geht es um „effi­zi­ent“ im Sin­ne von „bil­li­ger als zuvor“.

Der Poli­tik ist das voll­kom­men schnurz. Es ist nor­mal, dass Abge­ord­ne­te über Geset­ze abstim­men, die sie nicht ken­nen und deren Kon­se­quenz sie nicht ver­ste­hen. Es ist nor­mal, dass Abstim­mun­gen auf der Basis von weni­gen anwe­sen­den Per­so­nen statt­fin­den. Es ist nor­mal, dass nach Frak­ti­on abge­stimmt wird, und nicht nach Inhalt. Und es ist lei­der auch nor­mal, dass im Hin­ter­grund die Strip­pen gezo­gen wer­den, zu unse­rem Wohl und weil wir das gro­ße Gan­ze sowie­so nicht ver­ste­hen wür­den. Sagt man.

Die Deut­schen (auch ich) sind fuß­faul. Anders­wo wür­den für sol­che Ver­ar­sche wie hier die Bar­ri­ka­den bren­nen, hier pas­siert nichts. Ob das gut ist?

ps: In wei­ten Tei­len der Indus­trie sieht es auch nicht anders aus. Jen­seits der Hoch­glanz­pro­spek­te wer­den per­sön­li­che Daten wei­ter­hin per Email und aus offe­nes Excel-File ver­schickt. Das Pro­blem sitzt vor der Tastatur.

Die Moti­va­ti­on hin­ter De-Mail ver­ste­he ich gut. Ich fin­de ja auch papier­lo­se Kom­mu­ni­ka­ti­on an sich gut. Nur ist eben schon alles was De-Mail zu lösen vor­gibt längst bes­ser gelöst, aber nicht flä­chen­de­ckend ein­ge­setzt. Aber eigent­lich ist es nicht die­se tech­ni­sche Ebe­ne die mich ent­setzt, son­dern, dass starr­köp­fig an einem offen­sicht­lich fal­schen Kon­zept fest­ge­hal­ten wird. Ver­mut­lich auch weil die meis­ten die dar­über abstim­men noch nicht ein­mal das Pro­blem ver­stan­den haben. Wir brau­chen drin­gend weni­ger Juris­ten und mehr Infor­ma­ti­ker in der Poli­tik um im 21. Jhdt. hand­lungs­fä­hig zu bleiben.

De-Mail? Was soll jetzt das? Das wird eben­so laut­los wie­der ver­schwin­den, wie es gekom­men ist, weil nie­mand es wirk­lich braucht. Ich glau­be nicht, dass es dafür einen Inter­net Stan­dard gibt, und sich die Inter­net Socie­ty (ISOC) damit befasst.
De-Mail ist eine EU-Richt­li­nie, die vor allem von den EU-Mäch­ti­gen Deutsch­land und Frank­reich zum (über­flüs­si­gen) Gesetz erklärt wird. Als ob sie kei­ne ande­ren Sor­gen hätten.… ;-)

Das wäre ja auch mei­ne Hoff­nung, dass der Unfug schnell wie­der in Ver­ges­sen­heit gerät, nur hält unse­re Regie­rung nun schon seit über zwei Jah­ren hart­nä­ckig dar­an fest. Und mit jeder Nach­bes­se­rung wird es nur noch schlim­mer. Man muss sich viel­leicht fra­gen, wem das alles nützt …

Dan­ke für die­sen Post. De-Mail und das Pen­dant der Deut­schen Post, der E‑Postbrief, sind eigent­lich nichts von dem was sie sein soll­ten: Ver­trau­lich­keit ist nur bedingt gesich­tert, da nur die Kom­mu­ni­ka­ti­on zwi­schen dem Web­cli­ent und dem Ser­ver der Telekom/Post ver­schlüs­selt ist und nicht die Nach­richt an sich. Die Inte­gri­tät ist auf die schwächs­te Art gesi­chert die mög­lich ist: Prüf­sum­me ohne digi­ta­le Signa­tur. Die Authen­zi­tät ist nur durch die Pro­zes­se des Pro­vi­ders sicher­ge­stellt und nicht durch eine geeig­ne­te und dem Zweck ange­mes­se­ne tech­ni­sche Maß­nah­me, wie einer digi­ta­len Signa­tur. Daher haben auch schon Gerich­te, der Deut­schen Post unter­sagt mit dem Slo­gan „So sicher und ver­bind­lich wie ein Brief“ zu wer­ben (sie­he http://www.vzbv.de/mediapics/deutsche_post_ag_lg_bonn_30_06_2011.pdf).

Das ist ein klas­si­sches Bei­spiel für Sym­bol­po­li­tik: Nichts ver­ste­hen, nichts tun, aber toll kommunizieren.

Dan­ke, Jens, für die ergän­zen­den Aus­füh­run­gen und den Link zum E‑Postbrief. Es ist und bleibt dra­ma­tisch. Frag­lich nur ob es nur Unfä­hig­keit (schlimm genug) oder bewuss­te Irre­füh­rung ist.

Ich hal­te das weder für Unfä­hig­keit noch für Irre­füh­rung. Es gibt für die Auf­ga­ben­stel­lung zur Zeit kei­ne sofort und flä­chen­de­cken­de Lösung. Das Pro­blem liegt in der Tech­nik. Der aktu­el­le Stand sind asym­me­tri­sche Ver­schlüs­se­lungs­ver­fah­ren. Die Crux dabei ist das Schlüs­sel­ma­nage­ment, d.h. die siche­re Erzeu­gung, Ver­tei­lung, Authen­ti­sie­rung und Rück­nah­me der Schlüs­sel. Das ist auf­wen­dig und teu­er. Eine Lösung hier­zu könn­te die Umstel­lung von DE-Mail / E‑Postbrief auf S/MIME For­mat und die Kom­bi­na­ti­on mit der Aus­weis­funk­ti­on des neu­en Bun­des­per­so­nal­aus­weis sein. Aller­dings ist hier ein schnel­ler Roll­out nicht rea­li­sier­bar, da die BPA eine Gül­tig­keits­dau­er von 10 Jah­ren haben.

Die Poli­tik will aber schnell Ein­spa­rungs­po­ten­tia­le durch elek­tro­ni­sche Kom­mu­ni­ka­ti­on erzie­len, so wird die schnell mach­ba­re, aber nicht so siche­re Lösung imple­men­tiert. Und über­haupt ist ver­schlüs­sel­te Kom­mu­ni­ka­ti­on nur ein läs­ti­ges Hin­der­nis auf dem Weg zum trans­pa­ren­ten Bürger.

Du hast recht: asym­me­tri­sche Ver­schlüs­se­lungs­ver­fah­ren sind wegen des Schlüs­sel­ma­nage­ments kom­pli­ziert. Die­ses Pro­blem ist aber schon seit ca. 10 bis 15 Jah­ren bekannt. Dafür gibt es doch auch schon Lösun­gen. Man muss es ja nicht gleich mit dem Aus­weis kom­bi­nie­ren (obwohl das schon die Gold­lö­sung wäre). Aber will man das? Ich ver­mu­te nein, denn dann könn­te auch der Staat nicht mehr auf die E‑Mails zugreifen.

Wel­che Lösun­gen denn? Das CA-Modell ist ein streng hiera­ri­sches und passt nicht mehr so recht in unse­re ver­netz­te und glo­ba­le Welt. Das self-cer­ti­fi­ca­ti­on Modell von PGP funk­tio­niert in einem über­schau­ba­rem Kreis ver­trau­ter Per­so­nen, aber nicht im gro­ßen Umfang. Bei­de Model­le ber­gen das Pro­blem der Rück­nah­me von Schlüs­seln. Wie bekommt ein Cli­ent mit, dass ein Schlüs­sel nicht mehr gül­tig ist und wie kommt er an den aktu­el­len Schlüs­sel? Die bis­he­ri­ge Ant­wort dazu sind Ver­zeich­ni­diens­te, die aller­dings nur unter gro­ßen Pro­ble­men orga­ni­sa­ti­ons­über­grei­fend zur Ver­fü­gung gestellt wer­den können.

Ok, Lösungs­an­sät­ze wäre wohl das rich­ti­ge Wort gewe­sen, nicht Lösun­gen. Außer den von Dir genann­ten ken­ne ich auch kei­ne, aber immer­hin wären das ja schon Mal ein paar Ansatzpunkte …

Der Arti­kel ist nach mei­ner Bewe­rung prä­zi­se, objek­tiv, voll­stän­dig und zeigt hohe Kom­pe­tenz. Mich wun­dert nur die von mir raus­ge­le­se­ne Über­ra­schung, das dies pas­sie­ren kann. War das nicht von vor­ne her­ein klar, dass da nichts Ver­nünf­ti­ges raus kom­men wird? Und wird in der Poli­tik nicht bei vie­len Infra­struk­tur­the­men ähn­lich gepfuscht? Mir bleibt da oft nur noch die zuge­ge­be­ner Wei­se zyni­sche und mor­bi­de Freu­de über den selbst ver­schul­de­ten Unter­gang. Und die Gewiss­heit, dass wir trotz all die­sem Quatsch eine Chan­ce haben, dass es gut wei­ter geht, wenn wir bereit sind, wei­ter für die Zukunft zu arbei­ten und kämpfen.

Mag sein, dass ich naiv bin, aber ich hät­te mir von unse­ren hoch­be­zahl­ten Poli­ti­kern und ihren hoch­be­zahl­ten Bera­tern mehr erwar­tet. Viel­leicht ist Dei­ne gelas­se­ne Hal­tung aber genau die rich­ti­ge Ein­stel­lung: ja, es wird gepfuscht und ja, es geht wei­ter. Dar­um auch die­ser Arti­kel. Weil es mir nicht egal ist, wenn gepfuscht wird. Und weil ich bereit bin für die Zukunft zu kämpfen.

Es wird doch immer alles so zurecht­ge­rückt, bis es für die Poli­ti­ker passt und zur Not wird das Gesetz geän­dert. Wie mir bekannt ist, kann man sei­ne Steu­er­erklä­rung nicht mehr mit Hand aus­fül­len, nur noch mit De-Mail.

Ein gut for­mu­lier­ter Artikel!

Aller­dings glau­be ich, dass sowohl Geg­ner wie auch Befür­wor­ter nicht ganz bei den Fak­ten bleiben.

Die Geg­ner, v.a. aus dem CCC, über­zie­hen die Argu­men­te und pfle­gen eine gewis­se Para­noia. Ich mag die Bit­schub­ser, aber sie über­trei­ben manchmal.

Wenn Ende-zu-Ende-Ver­schlüs­se­lung und eine ein­deu­ti­ge Iden­ti­fi­zie­rung der Nach­rich­ten­quel­le mög­lich wären, dann stellt sich die Fra­ge, wo die ein­fach ein­setz­ba­ren Pro­duk­te, am bes­ten noch Open Source, kos­ten­frei und trans­pa­rent, heu­te sind?
Eine PKI kos­tet lei­der Geld.
Und wenn Ver­schlüs­se­lung so not­wen­dig ist, war­um setzt sie kaum einer ein?
Der Ver­weis des CCC auf die Über­wa­chung hal­te ich für hane­bü­chen, weil das Gros der unver­schlüs­sel­ten E‑Mails schon heu­te gele­sen wer­den könn­te, weil unverschlüsselt.

Auch bei De-Mail kön­nen E‑Mails EzE-ver­schlüs­selt wer­den, viel­leicht nicht bei den Pro­vi­dern mit ihren Web Inter­faces, dafür aber in Unter­neh­men, die ihre E‑Mails im MUA ver­schlüs­seln, an ihren De-Mail-Gate­ways sen­den und über die De-Mail-Infra­struk­tur lei­ten lassen.

Die Befür­wor­ter ver­schwei­gen sicher ein Detail.
De-Mail ist ein poli­ti­sches Pro­jekt für mehr Bür­ger­diens­te auf elek­tro­ni­schem Wege. Die Fol­gen bzw. erhoff­ten Kon­se­quen­zen kann jeder zusam­men­rech­nen, gibt es doch noch mehr bekann­te Pro­jek­te im E‑Government.
Inso­fern sind weni­ger die Bür­ger als die Ver­wal­tung Ziel­kun­den die­ser Projekte.

Und hier steckt das Detail, um die impli­zi­ten Fra­gen Ihres ers­ten und zwei­ten Absat­zes zu beantworten.
IT wird in Bund und Län­dern häu­fig den Innen­mi­nis­te­ri­en zuge­ord­net. Die­se wer­den tra­di­tio­nell über­wie­gend mit Juris­ten besetzt. Schau­en Sie doch mal bei Inter­es­se nach dem Hin­ter­grund der CIO der Län­der oder des Bundes …
IT ist nur ein Kata­ly­sa­tor des ord­nungs­ge­mä­ßen und gere­gel­ten Verwaltungshandeln.
Nut­zen? Value Add?
Wür­den Unter­neh­men IT bei ihrer juris­ti­schen Abtei­lung und dem Wach­dienst aufhängen?

Schon die Sprach­wel­ten zwi­schen Infor­ma­ti­kern und Juris­ten sind soweit aus­ein­an­der, dass am Ende statt Bits nur Ein­halb und Umge­hungs­tat­be­stän­de herauskommen.

Dein Post ist schon ein wenig älter, aber dazu passt wun­der­bar die­ser Vor­trag „Bull­shit made in Ger­ma­ny“ von Linus Neu­mann auf dem CCC Con­gress 2013:

http://media.ccc.de/browse/congress/2013/30C3_-_5210_-_de_-_saal_g_-_201312282030_-_bullshit_made_in_germany_-_linus_neumann.html

Kopf -> Tisch

Schreibe einen Kommentar