• IT-Karriere:
  • Services:

Anwaltspostfach BeA: Geheimhaltung von Nachrichten ist nicht so wichtig

Eine Sicherheitslücke im Anwaltspostfach BeA konnte nicht behoben werden, da es sich um ein grundlegendes Designproblem handelt. Die Bundesrechtsanwaltskammer hat das gelöst, indem sie das Problem wegdefinierte - mit einer abenteuerlichen Begründung: Der Schutz der Nachrichten ist nicht so wichtig, nur die Anhänge müssen geschützt sein.

Artikel veröffentlicht am , Hanno Böck
Bei einer Postkarte weiß man, dass der Briefträger mitlesen kann. Aber wissen Rechtsanwälte auch, dass beim BeA die Nachrichteninhalte weniger geschützt sind?
Bei einer Postkarte weiß man, dass der Briefträger mitlesen kann. Aber wissen Rechtsanwälte auch, dass beim BeA die Nachrichteninhalte weniger geschützt sind? (Bild: Newberry/Wikimedia Commons)

Seit einer Woche läuft es wieder, das besondere elektronische Anwaltspostfach (BeA). Doch ein schwerwiegendes Sicherheitsproblem, auf das in einem von der Bundesrechtsanwaltskammer (Brak) selbst in Auftrag gegebenen Gutachten hingewiesen wurde, besteht weiterhin. Die Brak hat uns inzwischen eine Erklärung zukommen lassen, warum sie der Ansicht ist, dass das BeA trotzdem sicher ist. Die dürfte einige Anwälte überraschen, denn sie bedeutet wohl, dass man in BeA-Nachrichten keine sensiblen Informationen übertragen darf.

Inhalt:
  1. Anwaltspostfach BeA: Geheimhaltung von Nachrichten ist nicht so wichtig
  2. Keine sensiblen Informationen im Betreff und im Nachrichtentext

Beim BeA werden Nachrichten verschlüsselt - und diese Verschlüsselung soll auch vor einem Innentäter schützen. So soll gewährleistet sein, dass Nachrichten auf dem BeA-Server immer nur verschlüsselt vorliegen. Auf den Servern findet eine sogenannte "Umschlüsselung" in einem Hardware-Sicherheitsmodul (HSM) statt, was auch viel Kritik hervorgerufen hat, doch außerhalb dieses Sicherheitsmoduls sollten die Nachrichten nur verschlüsselt vorliegen. Auch ein Innentäter sollte demnach die Nachrichten nicht mitlesen können, solange das HSM nicht angegriffen wurde.

Webanwendung kann mitlesen

Doch hier gibt es ein grundlegendes Problem: Das BeA ist als Webanwendung realisiert, nur die eigentliche Verschlüsselung und die Kommunikation mit einer persönlichen Chipkarte sind in der lokalen BeA-Software realisiert. Somit gibt es einen geradezu trivialen Angriff: Wer die Webanwendung manipuliert, kann dort geschriebene Nachrichten nach Belieben an andere Stellen schicken.

Dieses Problem hat auch die Firma Secunet erkannt, die im Auftrag der Brak die Sicherheit des BeA untersucht hat: "Ein Innentäter kann diesen Code mit der Absicht modifizieren, Nachrichten beim Versenden unverschlüsselt in eine beliebige Richtung zu versenden", schreibt Secunet dazu in einem Gutachten und klassifiziert diese Lücke als "Kategorie A", also als besonders schwerwiegend.

Stellenmarkt
  1. Dataport, verschiedene Einsatzorte
  2. Klinikum der Universität München, München

Lösen ließe sich dieses Problem nur, wenn man grundlegend die Architektur des BeA neu gestaltet. Doch die Brak wollte nach den vielen Pannen der vergangenen Monate einen schnellen Neustart - eine faktische Neuentwicklung fiel damit aus. Gleichzeitig hatte die Brak versichert, dass es keine Wiederinbetriebnahme des BeA geben wird, solange nicht alle Sicherheitslücken der Kategorie A behoben sind. Ein kaum auflösbarer Widerspruch.

Aus einer Lücke der Kategorie A wird eine der Kategorie B

Die Brak löste dieses Problem nun auf eine ganz besondere Art. Sie änderte einfach die Klassifizierung der Lücke - aus einem Problem der Kategorie A wurde nun eins der Kategorie B. Das wurde, wie aus einem auf der Webseite der Rechtsanwaltskammer Berlin veröffentlichten Bericht hervorgeht, auf einer Präsidentenkonferenz der Bundesrechtsanwaltskammer am 27. Juni so besprochen.

Die Brak begründet die Neuklassifizierung dieser Lücke nun damit, dass die Webanwendung auf die Anhänge der Nachrichten keinen Zugriff hat. Denn diese werden durch einen speziellen Auswahldialog hinzugefügt, dessen Fenster von der BeA-Software selbst geöffnet wird. Eine Webanwendung kann dieses Fenster so nicht nachbilden.

"Schutzbedarf des Nachrichtentextes deutlich geringer"

"Nur der begleitende Nachrichtentext, welcher für Hinweise an den Empfänger genutzt werden kann, wird im Klartext mittelbar in die JavaScript-Komponente übermittelt bzw. mit ihrer Hilfe erzeugt", schreibt Brak-Pressesprecherin Stephanie Beyrich dazu. "Die relevanten Schriftsätze gegebenenfalls nebst Anlagen werden im Gegensatz dazu als Anhänge zur Nachricht im beA beigefügt. Der Schutzbedarf des begleitenden Nachrichtentextes ist hinsichtlich Vertraulichkeit aus fachlicher Sicht als deutlich geringer als der Schutzbedarf der Anhänge einzustufen. Denn die dem Mandatsgeheimnis unterliegenden Inhalte sind in den verschlüsselten Anhängen enthalten."

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Keine sensiblen Informationen im Betreff und im Nachrichtentext 
  1. 1
  2. 2
  3.  


Anzeige
Spiele-Angebote
  1. (-62%) 5,70€
  2. (-62%) 18,99€
  3. (u. a. FIFA 20 für 27,99€, Dragon Ball Z Kakarot für 46,89€, Rainbow Six: Siege Deluxe für 8...

Gunther Marko 16. Sep 2018

Weg mit der Nutzungspflicht ! Und zwar unabhängig von Sicherheitsmängeln ! Diese sind...

plutoniumsulfat 12. Sep 2018

Es geht nicht um Sicherheit, sondern um Rechtssicherheit.

Mik30 11. Sep 2018

Denn der war kostenlos und macht im Ergebnis genau dasselbe wie das beA jetzt. Nur mit...

schnedan 11. Sep 2018

ich freu mich schon auf den nächsten unterhaltsamen Vortrag beim CCCC

Mixermachine 11. Sep 2018

Wie wäre es mit einem zweiten privaten Key, der ebenfalls als Versender eingetragen wird...


Folgen Sie uns
       


Samsung Galaxy S20 - Hands on

Samsung hat gleich drei neue Modelle der Galaxy-S20-Serie vorgestellt. Golem.de konnte sich die Smartphones im Vorfeld bereits genauer anschauen.

Samsung Galaxy S20 - Hands on Video aufrufen
Streaming: Zehn besondere Serien für die Zeit der Isolation
Streaming
Zehn besondere Serien für die Zeit der Isolation

Kein Kino, kein Fitnessstudio, kein Theater, keine Bars, kein gar nix. Das Coronavirus hat das Land (und die Welt) lahmgelegt, so dass viele nun zu Hause sitzen: Zeit für Serien-Streaming.
Eine Rezension von Peter Osteried

  1. Videostreaming Fox kauft Tubi für 440 Millionen US-Dollar
  2. Musikindustrie in Deutschland Mehr Umsatz dank Audiostreaming
  3. Besuch bei Justwatch Größte Streaming-Suchmaschine ohne echte Konkurrenz

Buglas: Corona-Pandemie zeigt Notwendigkeit der Glasfaser
Buglas
Corona-Pandemie zeigt Notwendigkeit der Glasfaser

Mehr Datenupload und Zunahme der Sprachtelefonie bringe die Netze unter Druck. FTTB/H-Betreiber bleiben gelassen.
Eine Exklusivmeldung von Achim Sawall

  1. Coronavirus Österreich diskutiert verpflichtendes Tracking
  2. Coronavirus Funktion zur Netflix-Drosselung war längst geplant
  3. Coronakrise China will Elektroautoquote vorübergehend lockern

Coronavirus: Spiele statt Schule
Coronavirus
Spiele statt Schule

Wer wegen des Coronavirus mit Kindern zu Hause ist, braucht einen spannenden Zeitvertreib. Unser Autor - selbst Vater - findet: Computerspiele können ein sinnvolles Angebot sein. Vorausgesetzt, man wählt die richtigen.
Von Rainer Sigl

  1. CCC "Contact Tracing als Risikotechnologie"
  2. Coronapandemie Robert Koch-Institut sammelt Gesundheitsdaten von Sportuhren
  3. Google Chrome rollt Regeln für Same-Site-Cookies vorerst zurück

    •  /