Anwaltspostfach: Die unnötige Ende-zu-Mitte-Verschlüsselung von BeA

Beim besonderen elektronischen Anwaltspostfach wird angeblich eine Ende-zu-Ende-Verschlüsselung eingesetzt - dabei sind die privaten Schlüssel nicht in der Hand der Nutzer, sondern in einem Hardware Security Module gespeichert. Wir erklären, wie es besser gehen würde.

Artikel von Hanno Böck veröffentlicht am
In dieser leicht verständlichen Darstellung erläutern Atos und die Bundesrechtsanwaltskammer, wie man eine Ende-zu-Ende-Verschlüsselung ohne Ende-zu-Ende-Verschlüsselung umsetzt.
In dieser leicht verständlichen Darstellung erläutern Atos und die Bundesrechtsanwaltskammer, wie man eine Ende-zu-Ende-Verschlüsselung ohne Ende-zu-Ende-Verschlüsselung umsetzt. (Bild: BRAK / Atos)

Das besondere elektronische Anwaltspostfach (BeA) der Bundesrechtsanwaltskammer ist zur Zeit offline - aufgrund von Sicherheitslücken mit HTTPS-Zertifikaten. Doch die Zertifikate sind nicht das einzige Problem des BeA.

Inhalt:
  1. Anwaltspostfach: Die unnötige Ende-zu-Mitte-Verschlüsselung von BeA
  2. Rechtsanwältin Alice fährt in den Urlaub

Laut der Informationsseiten der Bundesrechtsanwaltskammer nutzt das BeA eine Ende-zu-Ende-Verschlüsselung. Allerdings stimmt das nicht. Denn die Nachrichten werden nicht mit dem öffentlichen Schlüssel des Empfängers verschlüsselt, sondern mit einem Postfachschlüssel, der sich in einem Hardware Security Module (HSM) befindet. Das HSM nimmt dann eine "Umschlüsselung" vor, bei der die Nachrichten mit dem Schlüssel des Empfängers neu verschlüsselt werden.

Ende-zu-Ende oder eher Ende-zu-Mitte-Verschlüsselung?

Dass es sich dabei trotzdem um eine Ende-zu-Ende-Verschlüsselung handelt, begründet die Bundesrechtsanwaltskammer so: Bei der Umschlüsselung wird nur ein symmetrischer Schlüssel entschlüsselt, mit dem die eigentliche Nachricht verschlüsselt ist. Die Nachricht liegt also nie im Klartext vor - wenn alles so arbeitet wie vorgesehen. Die gesamte Sicherheit des Systems hängt also davon ab, dass das HSM korrekt arbeitet und die Schlüssel auch nicht extrahiert werden können. Überprüfen kann ein Anwender das natürlich nicht, er muss auf die Infrastruktur vertrauen.

Hardware Security Modules sind so gebaut, dass eine Extraktion des Schlüssels möglichst schwierig ist. Dabei soll sowohl eine Extraktion mittels Software als auch eine gewaltsame Öffnung der Hardware verhindert werden. Doch ein solcher Schutz ist nie perfekt: Die im HSM arbeitende Software kann beispielsweise wie jede Software Bugs enthalten. Auch lässt sich eine gewaltsame Öffnung nie mit Sicherheit verhindern.

Stellenmarkt
  1. Stellentitel (Senior) SAP Technology Engineer (m/w/d)
    OEDIV KG, Bielefeld
  2. IT Project Manager (m/w/d)
    thinkproject Deutschland GmbH, München
Detailsuche

Auf einer neu bereitgestellten Informationsseite beantwortet die Bundesrechtsanwaltskammer nun einige Fragen dazu und erläutert auch die Verschlüsselung, wenngleich nur sehr oberflächlich. Auch hat die Rechtsanwaltskammer Hamburg Slides von einer Präsentation des Herstellers bereitgestellt.

HSM ist alternativlos - oder nicht?

"Die funktionalen Anforderungen und die Sicherheitsanforderungen an das BeA-System können nur unter Verwendung einer Umschlüsselungs-Komponente umgesetzt werden", heißt es auf der Informationsseite der Rechtsanwaltskammer. "Ein HSM ist hierfür die einzige zur Verfügung stehende Lösung zur Umsetzung der Anforderungen an das System."

Man könnte das so lesen: Der Einsatz eines HSMs ist zwar keine besonders elegante Lösung, aber für die Anforderungen des BeA quasi alternativlos. Der Grund dafür ist, dass ein Postfachinhaber festlegen können soll, dass seine Nachrichten an andere Personen weitergeleitet werden.

Doch eine solche Weiterleitungsfunktion ließe sich auch ganz ohne ein HSM lösen - und mit einer echten Ende-zu-Ende-Verschlüsselung.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Rechtsanwältin Alice fährt in den Urlaub 
  1. 1
  2. 2
  3.  


Aktuell auf der Startseite von Golem.de
Raumfahrt
Astra startet mit großen Ambitionen Billigraketen in Alaska

Mit 250.000 US-Dollar sollen die Raketen von Astra zum Preis eines Sportwagens hergestellt werden können. Wie will die Firma das schaffen?
Von Frank Wunderlich-Pfeiffer

Raumfahrt: Astra startet mit großen Ambitionen Billigraketen in Alaska
Artikel
  1. Ubisoft: Avatar statt Assassin's Creed
    Ubisoft
    Avatar statt Assassin's Creed

    E3 2021 Als wichtigste Neuheit hat Ubisoft ein Spiel auf Basis von Avatar vorgestellt - und Assassin's Creed muss mit Valhalla in die Verlängerung.

  2. Fifa, Battlefield und Co.: Der EA-Hack startete mit Cookies für 10 US-Dollar
    Fifa, Battlefield und Co.
    Der EA-Hack startete mit Cookies für 10 US-Dollar

    Die Hacking-Gruppe erklärt dem Magazin Motherboard Schritt für Schritt, wie der Hack auf EA gelang. Die primäre Fehlerquelle: der Mensch.

  3. Onlinetickets: 17-Jähriger betrügt Bahn um 270.000 Euro
    Onlinetickets
    17-Jähriger betrügt Bahn um 270.000 Euro

    Mit illegal erworbenen Onlinetickets soll ein 17-Jähriger die Bahn um 270.000 Euro geprellt haben. Entdeckt wurde er nur durch Zufall.

Gromran 20. Mär 2018

Das Thema ist rechtlich deutlich komplexer. Es geht ja nicht nur um Urlaubsvertretung...

Gromran 20. Mär 2018

Es "macht" nie etwas Sinn, es "hat" höchstens etwas Sinn. So schwer ist die deutsche...

pommesmatte 29. Jan 2018

Eve liest nur mit (Eavesdropping). Ein Man in the Middle wäre Mallory.

pommesmatte 29. Jan 2018

Du hast in allen Punkten an mir vorbei geredet.

beA-Veteran 28. Jan 2018

...wenn die Anwältin dauerhaft verschiedene Mitarbeiterinnen und Mitarbeiter am Postfach...


Folgen Sie uns
       


Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Alternate (u. a. MSI Optix 27" WQHD/165 Hz 315,99€ und Fractal Design Vector RS Blackout Dark TG 116,89€) • Fractal Design Define S2 Black 99,90€ • Intel i9-11900 379€ • EPOS Sennheiser GSP 600 149€ • Amazon: PC-Spiele reduziert (u. a. C&C: Remastered Collection 9,99€) [Werbung]
    •  /