Mit der Reform des „Verkehrs zwischen Anwälten, Justiz und Gerichten“ wurde die Einführung des so genannten „besonderen Anwaltspostfachs“ – kurz beA genannt – beschlossen. Ganz einfach gesagt ist das ein E-Mail-Postfach, mit dem man sicher und verschlüsselt E-Mails und Dokumente zwischen Anwälten, Gerichten und der Justiz hin und her schicken kann. Damit das funktioniert, nutzt man aber nicht sein gewohntes E-Mail-Programm wie Outlook oder Thunderbird, sondern eben den beA-Client.

Der Gesetzgeber verdonnerte die Anwaltskammern dazu, jedem Anwalt so ein Postfach bereitzustellen und erhoffte sich dadurch eine breite und schnellere Nutzung. Denn: ab Januar 2022 sind die Anwälte verpflichtet, den Gerichten in Deutschland alle Unterlagen über dieses beA-Postfach zukommen zu lassen. Dann haben wir das papierlose Gericht. Bald gehören Aktenstapel auf Richtertischen der Vergangenheit an – auch wenn das die Arbeit und die Anzahl zu bearbeitender Fälle ja nicht mindert.

Zwei Darmstädter Sicherheitsexperten haben nun im Dezember herausgefunden, dass das System eine grandiose Schwäche hat, mit der die Verschlüsselung aufgesperrt werden kann. Aufgesperrt, wohlgemerkt. Nicht geknackt. Die Entwickler haben dem System nämlich nicht nur das Passwort für die Verschlüsselung in den Programmcode geschrieben, sondern auch noch den öffentlichen und privaten Key des Zertifikates mitgegeben, was einem Schlüssel unter der Fußmatte gleicht. Ein hastig nachgeschobenes neues Zertifikat für die Verschlüsselung änderte daran nichts, denn es ist egal, unter welcher Ecke der Fußmatte der Schlüssel liegt, wie es der heise.de Autor Volker Weber so schön bildlich beschrieb. Das neue Zertifikat machte das System letztlich sogar noch unsicherer, wurde am Folgetag ebenfalls gestoppt – und beA daraufhin vorübergehend komplett abgeschaltet.

Die Programmierer vom Dienstleister Atos haben jetzt ein Problem. Das Programm meckert, wenn es unverschlüsselte Daten anzeigen soll. So, wie das ein Internet-Browser auch tut, und offene Schlösser eingeblendet, Warnmeldungen angezeigt oder die Adresszeile rot einfärbt. Wenn also nicht alle Anwälte dauernd mit Warnmeldungen torpediert werden sollen, mussten sie aufgrund der „Bauweise“ des Systems beide Schlüssel mitgeben. Das wiederum zeigt, dass das System schlichtweg falsch konzipiert ist. Die Darmstädter Sicherheitsprofis, die das entdeckt haben, erklärten letzten Mittwoch, dass es sich wohl um einen irreparablen Konstruktionsfehler handelt und das System eigentlich von Grund auf neu designed und programmiert werden müsste. Bis das passiert ist, kann ich mir nur vorstellen, dass die aktuelle Version auch weiterhin abgeschaltet bleibt – und kein Anwalt damit irgendwelche hochsensiblen Gerichtsakten oder sonstwas verschickt.

Ich glaube deswegen ja auch eher, dass die Programmierer absichtlich oder unterbewusst einfach nur menschlich gehandelt haben.

Irgendetwas tief in ihnen drinnen hat ihnen ins Gewissen geredet. Denn mal ehrlich – es bekommt doch niemand gerne Post vom Anwalt, oder?

Bildnachweis: (c) fovito via Fotolia