Vor über einem Jahr berichtete die FAZ über den Stand der Verschlüsselung im Deutschen Bundestag: „Politiker tun sich mit verschlüsselten E‑Mails schwer – und verzichten meist darauf.“
Auch die meisten Abgeordneten des Deutschen Bundestags sind so nicht erreichbar, mit PGP ist nur eine kleine Minderheit vertraut. Als Standard bietet der Bundestag eine andere Verschlüsselungstechnik an, von der etliche Abgeordnete nicht wissen, wie man sie bedient.
Diese „andere Verschlüsselungstechnik“ ist S/MIME, noch obskurer und weniger verbreitet als (das oft fälschlicherweise als PGP bezeichnete) OpenPGP. Die FAZ beschrieb das so:
Der Bundestag setzt seit 2006 auf eine andere Technik: „S/Mime“ (Secure/Multipurpose Internet Mail Extensions). Dabei muss eine vertrauenswürdige dritte Stelle, in diesem Fall die Deutsche Telekom, die Echtheit des E‑Mail-Absenders garantieren. Der Einsatz von S/Mime ist komplizierter – und teuer. Bürger, die ihren Abgeordneten verschlüsselt mailen wollen, müssen sich erst ein eigenes Zertifikat beschaffen und installieren. […]
Sodann muss sich der Anwender auch noch das Zertifikat des Abgeordneten beschaffen, dem er schreiben möchte, und es ebenfalls installieren. Zu finden sind die Zertifikate, etwas versteckt, im Adressbuch auf der Internetseite des Bundestages. Es gibt nur eine rudimentäre Anleitung, die mehr Fragen aufwirft, als sie beantwortet, und viele Nutzer scheitern […].
Unser Leser Ralf Rienecker hatte im Juni alle S/MIME-Zertifikate vom Bundestags-Adressbuch heruntergeladen und überprüft. Dabei fiel ihm auf, „dass 64 (ca. 10 %) der Abgeordneten mit abgelaufenen Zertifikaten unterwegs sind. Und das, obwohl der Bundestag eine eigene CA unterhält.“
Das haben wir mal nachgeprüft. Da das Adressbuch auch ausgeschiedene Bundestagsabgeordnete, Test-User und alte Zertifikate enthielt, haben wir einfach alle aktuellen Zertifikate bei der Bundestags-IT angefragt und als CSV erhalten. Und in der Tat: 43 der 639 Zertifikate waren abgelaufen. Die Antwort der Bundestags-IT:
Vielen Dank für die Überprüfung der Zertifikate. Da ist den zuständigen Kollegen tatsächlich ein Fehler unterlaufen. Die ungültigen Zertifikate werden schnellstmöglich ausgetauscht.
Das war am 30. Juli. Dann war Sommerpause. Heute haben wir endlich die neue Liste erhalten, mit der Anmerkung:
Eine Reihe von Zertifikaten sind ausgetauscht, aber aufgrund der parlamentarischen Sommerpause / Urlaubszeit ist der Austausch aller abgelaufenen Zertifikate noch nicht abgeschlossen.
Immerhin sind die 635 Zertifikate (631 Abgeordnete und vier Ausgeschiedene gibt es) in der zugeschickten CSV alle gültig. Der Austausch meint wahrscheinlich die Einpflege ins Adressbuch. Aber immerhin: Ein Erfolg!
Update: Wir haben nochmal nachgefragt, hier die Antwort:
Einige wenige der neuen Zertifikate müssen noch auf den Endgeräten der MdBs eingespielt werden – ich hoffe, dass dann die Anwenderpräsenz im Rahmen der Sondersitzung am 1.9. hilfreich ist.
Jetzt muss die Technik nur noch benutzt werden. Dazu schrieb die FAZ:
Zwar gibt die Hälfte der Abgeordneten an, schon einmal eine verschlüsselte Mail gesendet zu haben. 71 Prozent setzen diese Technik in ihrer täglichen Arbeit aber nie ein.
Von OpenPGP mal gar nicht zu reden. Und auf Landesebene sieht es noch schlimmer aus, wie Anna im Februar berichtet hat.
Immerhin verkündete die Bundesregierung letzte Woche in der Digitalen Agenda:
Wir unterstützen mehr und bessere Verschlüsselung. Wir wollen Verschlüsselungs-Standort Nr. 1 auf der Welt werden.
Na dann sind wir mal gespannt.