Lang war es still um De-Mail. Dies lag vornehmlich daran, dass es keine Nutzungmöglichkeiten für den „sicheren, vertraulichen und nachweisbaren Geschäftsverkehr für jedermann im Internet“ gab.
Die Bundesregierung will dies nun ändern, indem Sie in einem breit angelegten Gesetzesvorhaben De-Mail als Möglichkeit für die Behördenkommunikation vorschreibt: Alle Behörden sollen per De-Mail erreichbar werden und die elektronischen Pendants zur Unterschrift akzeptieren können.
Schon vor Beschluss des De-Mail-Gesetzes wurde von vielen Seiten kritisiert, dass das Verfahren keine Ende-zu-Ende-Verschlüsselung bietet. Eine De-Mail kann sowohl von den Providern des Absenders, als auch des Empfängers entschlüsselt werden, was im Rahmen der Übertragung auch geschieht. Eine De-Mail ist daher weniger vertrauensvoll als ein Brief und gegen fremde Augen nicht mehr oder weniger sicher als eine Email oder eine Postkarte: Das Ziel, eine sichere Alternative zur Email zu bieten, wird also derzeit verfehlt.
Daraus ergeben sich nun für sensible Daten große Probleme, zum Beispiel im Steuer‑, Sozial- und Justizbereich: Die De-Mail in ihrer jetzigen Form genügt den gesetzlichen Ansprüchen an Kommunikationssicherheit nicht. Die naheliegende Reaktion wäre es nun, das De-Mail-Gesetz nachzubessern. Statt jedoch De-Mail auf eine sichere Technikgrundlage zu hieven, soll der aktuelle Schutz in mehreren Gesetzen aufgeweicht werden. Im Teil „Änderung der Abgabenordnung“ des Gesetzentwurfs zur Förderung der elektronischen Verwaltung heißt es dann:
Werden dem Steuergeheimnis unterliegende Daten durch einen Amtsträger […] über De-Mail-Dienste […] versendet, liegt keine unbefugte Offenbarung, Verwertung und kein unbefugter Abruf von dem Steuergeheimnis unterliegenden Daten vor, wenn beim Versenden eine kurzzeitige automatisierte Entschlüsselung […] zum Zweck der Überprüfung auf Schadsoftware und zum Zweck der Weiterleitung an den Adressaten […] stattfindet.
Die vorgeschlagenen Ausnahmeregelungen sind ebenso einzigartig wie gefährlich: Statt auf ein sicheres Verfahren zu setzen, werden die gesetzlichen Ansprüche anhand fadenscheiniger Argumente herabgesetzt:
- Kurzzeitige Entschlüsselung: Dieses Argument kennen wir schon aus der Debatte ums De-Mail-Gesetz. Natürlich ist es für das Abhören von E- oder De-Mails völlig egal, ob ich sie nur für eine Sekunde oder einen halben Tag entschlüsselt werden: Wenn sie automatisch entschlüsselt werden können, sind sie nicht verschlüsselt. Wer den Server eines der wenigen De-Mail-Anbieter kontrolliert (zum Beispiel der Provider selbst, ein Angreifer oder Geheimdienste), hat Zugriff auf alle darüber abgewickelte Kommunikation.
- Überprüfung auf Schadsoftware: Das Versenden einer De-Mail kostet Geld und wird anonym nicht möglich sein. Für Masseninfektionen per Spam ist der Dienst daher denkbar ungeeignet. Wer die Kosten auf sich nimm, sich unter einer falschen Identität ein De-Mail-Konto zu verschaffen, um mit diesem dann gezielt Viren an ein ausgewähltes Opfer zu senden, wird dafür auch Schadsoftware nutzen, welche die automatische Prüfung nicht erkennt. So wird den Nutzern durch den serverseitigen Virenscan eine falsche Sicherheit vorgegaukelt.
Welche Gründe mag die Regierung haben, auf ein Verfahren zu setzen, das offensichtliche Schwächen hat, noch dazu mit einer technisch unhaltbaren Begründung? Durch das Einführen von De-Mail als einzigem legalen (und technisch möglichen) elektronischen Weg der Behördenkommunikation setzt man auch auf eine Verbreitung in der privaten und Unternehmenskommunikation. Schließlich ist das Verfahren so sicher, dass es das einzige von der Regierung akzeptierte ist!
Ein Beweggrund mag die Verwertbarkeit elektronischer Daten in der Strafverfolgung und Geheimdienstarbeit sein: Eine Ende-zu-Ende-Verschlüsselung ließe interessierte Stellen außen vor, wenn im Rahmen einer gesetzlichen oder ungesetzlichen Maßnahme auf die Kommunikation eines Verdächtigen zugegriffen werden soll. Für BKA und BND wäre eine flächendeckende Ende-zu-Ende-Verschlüsselung, die noch dazu vom BSI zertifiziert ist, ein Alptraum. Für diese Überwachungsmöglichkeit opfert die Regierung die Sicherheit ihrer Bürger vor Angreifern.
Sichere Verfahren zur Email-Verschlüsselung existieren seit über 20 Jahren und funktionieren recht einfach. Es ist ein fatales Signal, dass ein im 21. Jahrhundert erzwungener Standard weit hinter der Sicherheit dieser Verfahren zurück bleibt.
Ich werde morgen, um 12:00h meine Argumente als Sachverständiger in der Anhörung des Innenausschuss des Bundestages vortragen. Die Anhörung ist öffentlich und findet im Paul-Löbe-Haus, Raum 4.400 Konrad-Adenauer-Str. 1, 10557 Berlin statt
Update: In seiner Rede vom 21.02.2013 setzt der Abgeordnete Jan Korte das Gesetzesvorhaben in den größeren Zusammenhang:
Verwaltungsverfahrensgesetz, Sozialgesetzbuch, Abgabenordnung, Passgesetz, Personalausweisgesetz, Gesetz über Umweltverträglichkeitsprüfung, Umweltschutzprotokoll-Ausführungsgesetz, Aufenthaltsgesetz, Bundesstatistikgesetz, Rechtsdienstleistungsgesetz, Satellitendatensicherheitsgesetz, Gesetz zur vorläufigen Regelung des Rechts der Industrie- und Handelskammern, Gewerbeordnung, Handwerksordnung, Sprengstoffgesetz, Berufsbildungsgesetz, Berufsqualifikationsfeststellungsgesetz, Straßenverkehrsgesetz etc. pp. Überall gibt es irgendwo ein lästiges Schriftformerfordernis, das man kippen und durch De-Mail ersetzen möchte.