• IT-Karriere:
  • Services:

Anwaltspostfach BeA: Geheimhaltung von Nachrichten ist nicht so wichtig

Eine Sicherheitslücke im Anwaltspostfach BeA konnte nicht behoben werden, da es sich um ein grundlegendes Designproblem handelt. Die Bundesrechtsanwaltskammer hat das gelöst, indem sie das Problem wegdefinierte - mit einer abenteuerlichen Begründung: Der Schutz der Nachrichten ist nicht so wichtig, nur die Anhänge müssen geschützt sein.

Artikel veröffentlicht am , Hanno Böck
Bei einer Postkarte weiß man, dass der Briefträger mitlesen kann. Aber wissen Rechtsanwälte auch, dass beim BeA die Nachrichteninhalte weniger geschützt sind?
Bei einer Postkarte weiß man, dass der Briefträger mitlesen kann. Aber wissen Rechtsanwälte auch, dass beim BeA die Nachrichteninhalte weniger geschützt sind? (Bild: Newberry/Wikimedia Commons)

Seit einer Woche läuft es wieder, das besondere elektronische Anwaltspostfach (BeA). Doch ein schwerwiegendes Sicherheitsproblem, auf das in einem von der Bundesrechtsanwaltskammer (Brak) selbst in Auftrag gegebenen Gutachten hingewiesen wurde, besteht weiterhin. Die Brak hat uns inzwischen eine Erklärung zukommen lassen, warum sie der Ansicht ist, dass das BeA trotzdem sicher ist. Die dürfte einige Anwälte überraschen, denn sie bedeutet wohl, dass man in BeA-Nachrichten keine sensiblen Informationen übertragen darf.

Inhalt:
  1. Anwaltspostfach BeA: Geheimhaltung von Nachrichten ist nicht so wichtig
  2. Keine sensiblen Informationen im Betreff und im Nachrichtentext

Beim BeA werden Nachrichten verschlüsselt - und diese Verschlüsselung soll auch vor einem Innentäter schützen. So soll gewährleistet sein, dass Nachrichten auf dem BeA-Server immer nur verschlüsselt vorliegen. Auf den Servern findet eine sogenannte "Umschlüsselung" in einem Hardware-Sicherheitsmodul (HSM) statt, was auch viel Kritik hervorgerufen hat, doch außerhalb dieses Sicherheitsmoduls sollten die Nachrichten nur verschlüsselt vorliegen. Auch ein Innentäter sollte demnach die Nachrichten nicht mitlesen können, solange das HSM nicht angegriffen wurde.

Webanwendung kann mitlesen

Doch hier gibt es ein grundlegendes Problem: Das BeA ist als Webanwendung realisiert, nur die eigentliche Verschlüsselung und die Kommunikation mit einer persönlichen Chipkarte sind in der lokalen BeA-Software realisiert. Somit gibt es einen geradezu trivialen Angriff: Wer die Webanwendung manipuliert, kann dort geschriebene Nachrichten nach Belieben an andere Stellen schicken.

Dieses Problem hat auch die Firma Secunet erkannt, die im Auftrag der Brak die Sicherheit des BeA untersucht hat: "Ein Innentäter kann diesen Code mit der Absicht modifizieren, Nachrichten beim Versenden unverschlüsselt in eine beliebige Richtung zu versenden", schreibt Secunet dazu in einem Gutachten und klassifiziert diese Lücke als "Kategorie A", also als besonders schwerwiegend.

Stellenmarkt
  1. Universitätsklinikum Augsburg, Augsburg
  2. AKAFÖ ? Akademisches Förderungswerk, AöR, Bochum

Lösen ließe sich dieses Problem nur, wenn man grundlegend die Architektur des BeA neu gestaltet. Doch die Brak wollte nach den vielen Pannen der vergangenen Monate einen schnellen Neustart - eine faktische Neuentwicklung fiel damit aus. Gleichzeitig hatte die Brak versichert, dass es keine Wiederinbetriebnahme des BeA geben wird, solange nicht alle Sicherheitslücken der Kategorie A behoben sind. Ein kaum auflösbarer Widerspruch.

Aus einer Lücke der Kategorie A wird eine der Kategorie B

Die Brak löste dieses Problem nun auf eine ganz besondere Art. Sie änderte einfach die Klassifizierung der Lücke - aus einem Problem der Kategorie A wurde nun eins der Kategorie B. Das wurde, wie aus einem auf der Webseite der Rechtsanwaltskammer Berlin veröffentlichten Bericht hervorgeht, auf einer Präsidentenkonferenz der Bundesrechtsanwaltskammer am 27. Juni so besprochen.

Die Brak begründet die Neuklassifizierung dieser Lücke nun damit, dass die Webanwendung auf die Anhänge der Nachrichten keinen Zugriff hat. Denn diese werden durch einen speziellen Auswahldialog hinzugefügt, dessen Fenster von der BeA-Software selbst geöffnet wird. Eine Webanwendung kann dieses Fenster so nicht nachbilden.

"Schutzbedarf des Nachrichtentextes deutlich geringer"

"Nur der begleitende Nachrichtentext, welcher für Hinweise an den Empfänger genutzt werden kann, wird im Klartext mittelbar in die JavaScript-Komponente übermittelt bzw. mit ihrer Hilfe erzeugt", schreibt Brak-Pressesprecherin Stephanie Beyrich dazu. "Die relevanten Schriftsätze gegebenenfalls nebst Anlagen werden im Gegensatz dazu als Anhänge zur Nachricht im beA beigefügt. Der Schutzbedarf des begleitenden Nachrichtentextes ist hinsichtlich Vertraulichkeit aus fachlicher Sicht als deutlich geringer als der Schutzbedarf der Anhänge einzustufen. Denn die dem Mandatsgeheimnis unterliegenden Inhalte sind in den verschlüsselten Anhängen enthalten."

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Keine sensiblen Informationen im Betreff und im Nachrichtentext 
  1. 1
  2. 2
  3.  


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)
  2. täglich neue Deals bei Alternate.de

Gunther Marko 16. Sep 2018

Weg mit der Nutzungspflicht ! Und zwar unabhängig von Sicherheitsmängeln ! Diese sind...

plutoniumsulfat 12. Sep 2018

Es geht nicht um Sicherheit, sondern um Rechtssicherheit.

Mik30 11. Sep 2018

Denn der war kostenlos und macht im Ergebnis genau dasselbe wie das beA jetzt. Nur mit...

schnedan 11. Sep 2018

ich freu mich schon auf den nächsten unterhaltsamen Vortrag beim CCCC

Mixermachine 11. Sep 2018

Wie wäre es mit einem zweiten privaten Key, der ebenfalls als Versender eingetragen wird...


Folgen Sie uns
       


Google Pixel 4 und Pixel 4 XL ausprobiert

Google hat seine neuen Pixel-Smartphones vorgestellt: Im ersten Hands on machen das Pixel 4 und das Pixel 4 XL einen guten Eindruck.

Google Pixel 4 und Pixel 4 XL ausprobiert Video aufrufen
Videoüberwachung: Kameras sind überall, aber nicht überall erlaubt
Videoüberwachung
Kameras sind überall, aber nicht überall erlaubt

Dass Überwachungskameras nicht legal eingesetzt werden, ist keine Seltenheit. Ob aus Nichtwissen oder mit Absicht: Werden Privatsphäre oder Datenschutz verletzt, gehören die Kameras weg. Doch dazu müssen sie erst mal entdeckt, als legal oder illegal ausgemacht und gemeldet werden.
Von Harald Büring

  1. Nach Attentat Datenschutzbeauftragter kritisiert Hintertüren in Messengern
  2. Australien IT-Sicherheitskonferenz Cybercon lädt Sprecher aus
  3. Spionagesoftware Staatsanwaltschaft ermittelt nach Anzeige gegen Finfisher

Jobs: Spielebranche sucht Entwickler (m/w/d)
Jobs
Spielebranche sucht Entwickler (m/w/d)

Die Hälfte aller Gamer ist weiblich. An der Entwicklung von Spielen sind aber nach wie vor deutlich weniger Frauen beteiligt.
Von Daniel Ziegener

  1. Medizinsoftware Forscher finden "rassistische Vorurteile" in Algorithmus
  2. Mordhau Toxische Spieler und Filter für Frauenhasser

Apple-Betriebssysteme: Ein Upgrade mit Schmerzen
Apple-Betriebssysteme
Ein Upgrade mit Schmerzen

Es sollte alles super werden, stattdessen kommen seit MacOS Catalina, dem neuen iOS und iPadOS weder Apple noch Entwickler und Nutzer zur Ruhe. Golem.de hat mit vier Entwicklern über ihre Erfahrungen mit der Systemumstellung gesprochen.
Ein Bericht von Jan Rähm

  1. Betriebssystem Apple veröffentlicht MacOS Catalina
  2. Catalina Apple will Skriptsprachen wie Python aus MacOS entfernen
  3. Apple MacOS wechselt von Bash auf ZSH als Standard-Shell

    •  /