Abo
  • Services:

Anwaltspostfach: Die unnötige Ende-zu-Mitte-Verschlüsselung von BeA

Beim besonderen elektronischen Anwaltspostfach wird angeblich eine Ende-zu-Ende-Verschlüsselung eingesetzt - dabei sind die privaten Schlüssel nicht in der Hand der Nutzer, sondern in einem Hardware Security Module gespeichert. Wir erklären, wie es besser gehen würde.

Artikel von Hanno Böck veröffentlicht am
In dieser leicht verständlichen Darstellung erläutern Atos und die Bundesrechtsanwaltskammer, wie man eine Ende-zu-Ende-Verschlüsselung ohne Ende-zu-Ende-Verschlüsselung umsetzt.
In dieser leicht verständlichen Darstellung erläutern Atos und die Bundesrechtsanwaltskammer, wie man eine Ende-zu-Ende-Verschlüsselung ohne Ende-zu-Ende-Verschlüsselung umsetzt. (Bild: BRAK / Atos)

Das besondere elektronische Anwaltspostfach (BeA) der Bundesrechtsanwaltskammer ist zur Zeit offline - aufgrund von Sicherheitslücken mit HTTPS-Zertifikaten. Doch die Zertifikate sind nicht das einzige Problem des BeA.

Inhalt:
  1. Anwaltspostfach: Die unnötige Ende-zu-Mitte-Verschlüsselung von BeA
  2. Rechtsanwältin Alice fährt in den Urlaub

Laut der Informationsseiten der Bundesrechtsanwaltskammer nutzt das BeA eine Ende-zu-Ende-Verschlüsselung. Allerdings stimmt das nicht. Denn die Nachrichten werden nicht mit dem öffentlichen Schlüssel des Empfängers verschlüsselt, sondern mit einem Postfachschlüssel, der sich in einem Hardware Security Module (HSM) befindet. Das HSM nimmt dann eine "Umschlüsselung" vor, bei der die Nachrichten mit dem Schlüssel des Empfängers neu verschlüsselt werden.

Ende-zu-Ende oder eher Ende-zu-Mitte-Verschlüsselung?

Dass es sich dabei trotzdem um eine Ende-zu-Ende-Verschlüsselung handelt, begründet die Bundesrechtsanwaltskammer so: Bei der Umschlüsselung wird nur ein symmetrischer Schlüssel entschlüsselt, mit dem die eigentliche Nachricht verschlüsselt ist. Die Nachricht liegt also nie im Klartext vor - wenn alles so arbeitet wie vorgesehen. Die gesamte Sicherheit des Systems hängt also davon ab, dass das HSM korrekt arbeitet und die Schlüssel auch nicht extrahiert werden können. Überprüfen kann ein Anwender das natürlich nicht, er muss auf die Infrastruktur vertrauen.

Hardware Security Modules sind so gebaut, dass eine Extraktion des Schlüssels möglichst schwierig ist. Dabei soll sowohl eine Extraktion mittels Software als auch eine gewaltsame Öffnung der Hardware verhindert werden. Doch ein solcher Schutz ist nie perfekt: Die im HSM arbeitende Software kann beispielsweise wie jede Software Bugs enthalten. Auch lässt sich eine gewaltsame Öffnung nie mit Sicherheit verhindern.

Stellenmarkt
  1. UNIQ GmbH, Holzwickede
  2. Hays AG, Braunschweig

Auf einer neu bereitgestellten Informationsseite beantwortet die Bundesrechtsanwaltskammer nun einige Fragen dazu und erläutert auch die Verschlüsselung, wenngleich nur sehr oberflächlich. Auch hat die Rechtsanwaltskammer Hamburg Slides von einer Präsentation des Herstellers bereitgestellt.

HSM ist alternativlos - oder nicht?

"Die funktionalen Anforderungen und die Sicherheitsanforderungen an das BeA-System können nur unter Verwendung einer Umschlüsselungs-Komponente umgesetzt werden", heißt es auf der Informationsseite der Rechtsanwaltskammer. "Ein HSM ist hierfür die einzige zur Verfügung stehende Lösung zur Umsetzung der Anforderungen an das System."

Man könnte das so lesen: Der Einsatz eines HSMs ist zwar keine besonders elegante Lösung, aber für die Anforderungen des BeA quasi alternativlos. Der Grund dafür ist, dass ein Postfachinhaber festlegen können soll, dass seine Nachrichten an andere Personen weitergeleitet werden.

Doch eine solche Weiterleitungsfunktion ließe sich auch ganz ohne ein HSM lösen - und mit einer echten Ende-zu-Ende-Verschlüsselung.

Rechtsanwältin Alice fährt in den Urlaub 
  1. 1
  2. 2
  3.  


Anzeige
Hardware-Angebote
  1. 119,90€
  2. (Neuware für kurze Zeit zum Sonderpreis bei Mindfactory)

Gromran 20. Mär 2018

Das Thema ist rechtlich deutlich komplexer. Es geht ja nicht nur um Urlaubsvertretung...

Gromran 20. Mär 2018

Es "macht" nie etwas Sinn, es "hat" höchstens etwas Sinn. So schwer ist die deutsche...

pommesmatte 29. Jan 2018

Eve liest nur mit (Eavesdropping). Ein Man in the Middle wäre Mallory.

pommesmatte 29. Jan 2018

Du hast in allen Punkten an mir vorbei geredet.

beA-Veteran 28. Jan 2018

...wenn die Anwältin dauerhaft verschiedene Mitarbeiterinnen und Mitarbeiter am Postfach...


Folgen Sie uns
       


Hallo Magenta - Präsentation auf der Ifa 2018

Auf der Ifa 2018 hat die Deutsche Telekom ihren eigenen smarten Assistenten gezeigt. Er läuft auf einem ebenfalls selbst entwickelten smarten Lautsprecher und soll zunächst trainiert werden. Telekom-Kunden können an einem Test teilnehmen und erhalten dafür den Lautsprecher kostenlos.

Hallo Magenta - Präsentation auf der Ifa 2018 Video aufrufen
Oldtimer-Rakete: Ein Satellit noch - dann ist Schluss
Oldtimer-Rakete
Ein Satellit noch - dann ist Schluss

Ursprünglich sollte sie Atombomben auf Moskau schießen, dann kam sie in die Raumfahrt. Die Delta-II-Rakete hat am Samstag ihren letzten Flug.
Von Frank Wunderlich-Pfeiffer

  1. Stratolaunch Riesenflugzeug bekommt eigene Raketen
  2. Chang'e 4 China stellt neuen Mondrover vor
  3. Raumfahrt Cubesats sollen unhackbar werden

Retrogaming: Maximal unnötige Minis
Retrogaming
Maximal unnötige Minis

Nanu, die haben wir doch schon mal weggeschmissen - und jetzt sollen wir 100 Euro dafür ausgeben? Mit Minikonsolen fahren Anbieter wie Sony und Nintendo vermutlich hohe Gewinne ein, dabei gäbe es eine für alle bessere Alternative: Software statt Hardware.
Ein IMHO von Peter Steinlechner

  1. Streaming Heilloses Durcheinander bei Netflix und Amazon Prime
  2. Sicherheit Ein Lob für Twitter und Github
  3. Linux Mit Ignoranz gegen die GPL

Sky Ticket mit TV Stick im Test: Sky kann's gut, Netflix und Amazon können es besser
Sky Ticket mit TV Stick im Test
Sky kann's gut, Netflix und Amazon können es besser

Gute Inhalte, aber grauenhafte Bedienung: So war Sky Ticket bisher. Die neue Version macht vieles besser, und mit dem Sky Ticket Stick lässt sich der Pay-TV-Sender kostengünstig auf den Fernseher bringen. Besser geht es aber immer noch.
Ein Test von Ingo Pakalski

  1. Comcast Bezahlsender Sky für 38,8 Milliarden US-Dollar verkauft
  2. Videostreaming Wiederholte Sky-Ausfälle verärgern Kunden
  3. Sky Ticket TV Stick Sky verteilt Streamingstick de facto kostenlos

    •  /