Abo
  • Services:

Anwaltspostfach BeA: Geheimhaltung von Nachrichten ist nicht so wichtig

Eine Sicherheitslücke im Anwaltspostfach BeA konnte nicht behoben werden, da es sich um ein grundlegendes Designproblem handelt. Die Bundesrechtsanwaltskammer hat das gelöst, indem sie das Problem wegdefinierte - mit einer abenteuerlichen Begründung: Der Schutz der Nachrichten ist nicht so wichtig, nur die Anhänge müssen geschützt sein.

Artikel veröffentlicht am , Hanno Böck
Bei einer Postkarte weiß man, dass der Briefträger mitlesen kann. Aber wissen Rechtsanwälte auch, dass beim BeA die Nachrichteninhalte weniger geschützt sind?
Bei einer Postkarte weiß man, dass der Briefträger mitlesen kann. Aber wissen Rechtsanwälte auch, dass beim BeA die Nachrichteninhalte weniger geschützt sind? (Bild: Newberry/Wikimedia Commons)

Seit einer Woche läuft es wieder, das besondere elektronische Anwaltspostfach (BeA). Doch ein schwerwiegendes Sicherheitsproblem, auf das in einem von der Bundesrechtsanwaltskammer (Brak) selbst in Auftrag gegebenen Gutachten hingewiesen wurde, besteht weiterhin. Die Brak hat uns inzwischen eine Erklärung zukommen lassen, warum sie der Ansicht ist, dass das BeA trotzdem sicher ist. Die dürfte einige Anwälte überraschen, denn sie bedeutet wohl, dass man in BeA-Nachrichten keine sensiblen Informationen übertragen darf.

Inhalt:
  1. Anwaltspostfach BeA: Geheimhaltung von Nachrichten ist nicht so wichtig
  2. Keine sensiblen Informationen im Betreff und im Nachrichtentext

Beim BeA werden Nachrichten verschlüsselt - und diese Verschlüsselung soll auch vor einem Innentäter schützen. So soll gewährleistet sein, dass Nachrichten auf dem BeA-Server immer nur verschlüsselt vorliegen. Auf den Servern findet eine sogenannte "Umschlüsselung" in einem Hardware-Sicherheitsmodul (HSM) statt, was auch viel Kritik hervorgerufen hat, doch außerhalb dieses Sicherheitsmoduls sollten die Nachrichten nur verschlüsselt vorliegen. Auch ein Innentäter sollte demnach die Nachrichten nicht mitlesen können, solange das HSM nicht angegriffen wurde.

Webanwendung kann mitlesen

Doch hier gibt es ein grundlegendes Problem: Das BeA ist als Webanwendung realisiert, nur die eigentliche Verschlüsselung und die Kommunikation mit einer persönlichen Chipkarte sind in der lokalen BeA-Software realisiert. Somit gibt es einen geradezu trivialen Angriff: Wer die Webanwendung manipuliert, kann dort geschriebene Nachrichten nach Belieben an andere Stellen schicken.

Dieses Problem hat auch die Firma Secunet erkannt, die im Auftrag der Brak die Sicherheit des BeA untersucht hat: "Ein Innentäter kann diesen Code mit der Absicht modifizieren, Nachrichten beim Versenden unverschlüsselt in eine beliebige Richtung zu versenden", schreibt Secunet dazu in einem Gutachten und klassifiziert diese Lücke als "Kategorie A", also als besonders schwerwiegend.

Stellenmarkt
  1. Eurowings Aviation GmbH, Köln
  2. mobilcom-debitel GmbH, Büdelsdorf

Lösen ließe sich dieses Problem nur, wenn man grundlegend die Architektur des BeA neu gestaltet. Doch die Brak wollte nach den vielen Pannen der vergangenen Monate einen schnellen Neustart - eine faktische Neuentwicklung fiel damit aus. Gleichzeitig hatte die Brak versichert, dass es keine Wiederinbetriebnahme des BeA geben wird, solange nicht alle Sicherheitslücken der Kategorie A behoben sind. Ein kaum auflösbarer Widerspruch.

Aus einer Lücke der Kategorie A wird eine der Kategorie B

Die Brak löste dieses Problem nun auf eine ganz besondere Art. Sie änderte einfach die Klassifizierung der Lücke - aus einem Problem der Kategorie A wurde nun eins der Kategorie B. Das wurde, wie aus einem auf der Webseite der Rechtsanwaltskammer Berlin veröffentlichten Bericht hervorgeht, auf einer Präsidentenkonferenz der Bundesrechtsanwaltskammer am 27. Juni so besprochen.

Die Brak begründet die Neuklassifizierung dieser Lücke nun damit, dass die Webanwendung auf die Anhänge der Nachrichten keinen Zugriff hat. Denn diese werden durch einen speziellen Auswahldialog hinzugefügt, dessen Fenster von der BeA-Software selbst geöffnet wird. Eine Webanwendung kann dieses Fenster so nicht nachbilden.

"Schutzbedarf des Nachrichtentextes deutlich geringer"

"Nur der begleitende Nachrichtentext, welcher für Hinweise an den Empfänger genutzt werden kann, wird im Klartext mittelbar in die JavaScript-Komponente übermittelt bzw. mit ihrer Hilfe erzeugt", schreibt Brak-Pressesprecherin Stephanie Beyrich dazu. "Die relevanten Schriftsätze gegebenenfalls nebst Anlagen werden im Gegensatz dazu als Anhänge zur Nachricht im beA beigefügt. Der Schutzbedarf des begleitenden Nachrichtentextes ist hinsichtlich Vertraulichkeit aus fachlicher Sicht als deutlich geringer als der Schutzbedarf der Anhänge einzustufen. Denn die dem Mandatsgeheimnis unterliegenden Inhalte sind in den verschlüsselten Anhängen enthalten."

Keine sensiblen Informationen im Betreff und im Nachrichtentext 
  1. 1
  2. 2
  3.  


Anzeige
Blu-ray-Angebote
  1. 5€ inkl. FSK-18-Versand
  2. 5€ inkl. FSK-18-Versand
  3. (u. a. 3 Blu-rays für 15€, 2 Neuheiten für 15€)
  4. (u. a. ES Blu-ray 10,83€, Die nackte Kanone Blu-ray-Box-Set 14,99€)

Gunther Marko 16. Sep 2018

Weg mit der Nutzungspflicht ! Und zwar unabhängig von Sicherheitsmängeln ! Diese sind...

plutoniumsulfat 12. Sep 2018

Es geht nicht um Sicherheit, sondern um Rechtssicherheit.

Mik30 11. Sep 2018

Denn der war kostenlos und macht im Ergebnis genau dasselbe wie das beA jetzt. Nur mit...

schnedan 11. Sep 2018

ich freu mich schon auf den nächsten unterhaltsamen Vortrag beim CCCC

Mixermachine 11. Sep 2018

Wie wäre es mit einem zweiten privaten Key, der ebenfalls als Versender eingetragen wird...


Folgen Sie uns
       


Dell XPS 13 (9380) - Hands on (CES 2019)

Wir haben uns Dells neues XPS 13 auf der CES 2019 angesehen.

Dell XPS 13 (9380) - Hands on (CES 2019) Video aufrufen
Schwerlastverkehr: Oberleitung - aber richtig!
Schwerlastverkehr
Oberleitung - aber richtig!

Der Schwerlast- und Lieferverkehr soll stärker elektrifiziert werden. Dafür sollen kilometerweise Oberleitungen entstehen. Dass Geld auf diese Weise in LKW statt in die Bahn zu stecken, ist aber völlig irrsinnig!
Ein IMHO von Sebastian Grüner

  1. Elektromobilität Toyota und Panasonic wollen Akkus für Elektroautos bauen
  2. Ducati-Chef Die Zukunft des Motorrads ist elektrisch
  3. Softwarefehler Lime-Tretroller werfen Fahrer ab

Bright Memory angespielt: Brachialer PC-Shooter aus China
Bright Memory angespielt
Brachialer PC-Shooter aus China

Nur ein Entwickler und lediglich eine Stunde Spielzeit - trotzdem wischt das nur rund 6 Euro teure und ausschließlich für Windows-PC erhältliche Bright Memory mit vielen Vollpreisspielen den Boden. Selbst die vollständig chinesische Sprachausgabe stört fast nicht.

  1. Strange Brigade angespielt Feuergefechte mit Mumien und Monstern

Eden ISS: Raumfahrt-Salat für Antarktis-Bewohner
Eden ISS
Raumfahrt-Salat für Antarktis-Bewohner

Wer in der Antarktis überwintert, träumt irgendwann von frischem Grün. Bei der Station Neumayer III hat das DLR vor einem Jahr ein Gewächshaus in einem Container aufgestellt, in dem ein Forscher Salat und Gemüse angebaut hat. Das Projekt war ein Test für künftige Raumfahrtmissionen. Der verlief erfolgreich, aber nicht reibungslos.
Ein Interview von Werner Pluta

  1. Eden ISS DLR will Gewächshaus-Container am Südpol aus Bremen steuern
  2. Eu-Cropis DLR züchtet Tomaten im Weltall
  3. NGT Cargo Der Güterzug der Zukunft fährt 400 km/h

    •  /