2022-09-21 beA und De-Mail - Warum öffentliche IT-Projekte scheitern
Das besondere elektronische Anwaltspostfach, beA, ist ein IT-Projekt in Deutschland, das seinen dauerhaften Platz in den IT-Nachrichten gefunden hat. Grund war ein ziemlich kaputtes Sicherheitsdesign, das nicht zu korrigieren war (Wikipedia). Ich komme darauf, weil es mit der aktuellen Version des beA erneut Probleme gibt (siehe Anwaltsblatt: Fernsignatur beim beA: Alle Anwält:innen brauchen neue beA-Karten).
Bei diesen Problemen muss ich an die De-Mail denken. 
Das war einmal ein vom Bund erdachter Mail-Dienst, dessen Nutzung sicher, vertraulich und nachweisbar sein sollte. Es wurde dafür extra ein eigenes sowie weitere Gesetze verfasst. Es wurden Unternehmen gefunden, die Geld in die Hand genommen haben, um sich als De-Mail-Anbieter zu akkreditieren und die entsprechenden Services aufzusetzen.
Aber, es wurden wie bem beA elementare Fehler bei beim Design des Systems gemacht, die die Hauptziele (Sicherheit, Vertraulichkeit, Nachweisbarkeit) konterkarierten. Es gibt dazu einen sehr lehr- und unterhaltsamen Vortrag von Linus Neumann. Er wurde damals als Sachverständiger in den Bundestag geladen und warnte in dieser Rolle vor den konzeptionellen Problemen. Diese Warnungen wurden nicht weiter beachtet.
beA und De-Mail sind für mich zwei Beispiele für fehlgeleitete IT-Projekte öffentlicher Einrichtungen. In meinen Augen stehen sie exemplarisch für ein Versagen auf Entscheidungsebene solcher Großvorhaben. Offensichtlich ist das Verständnis für IT im Allgemeinen und IT-Sicherheit im Speziellen immer noch nicht verbreitet genug, um Fehlentscheidungen bei konzeptionellen Grundsatzentscheidungen zu vermeiden.
Solche Fehlentscheidungen sind nicht nur teuer. Sie behindern (wenn nicht sogar verhindern) die zwingend notwendige Digitalisierung der Verwaltung. Dies wirft uns als Gesellschaft weit zurück und es führt zu einem Vertrauensverlust in Verwaltung und Politik.
Ergänzung
Volker Weber hat auf heise.de die obskure Variante einer „Fernsignatur“ beim beA beschrieben:
Die von BRAK und BNotK als „hochsicher“ bezeichnete und vom BSI geprüfte Fernsignatur-Lösung der BNotK erinnert in ihrer Konstruktion an die merkwürdige Ausgestaltung der Verschlüsselung des beA. Nachrichten werden nicht etwa mit dem öffentlichen Schlüssel des Empfängers verschlüsselt, sondern mit dem der beA-Server, der sie dann ebenfalls in einer „hochsicheren“ Umgebung umschlüsselt für den eigentlichen Empfänger. Bei beiden Systemen gibt es also eine zentrale Instanz, der man für alle Handlungen vertrauen muss. Und beide werden damit zu einem leicht verletzlichen Glied in unserem Rechtssystem.
Weiterlesen bei heise.de: Besonderes elektronisches Anwaltspostfach: Anwälte sollen unterschreiben lassen.
Tags: de-mail, beA, Digitalisierung
