BeA: Secunet findet noch mehr Lücken im Anwaltspostfach

Aus einem Schreiben der Bundesrechtsanwaltskammer geht hervor, dass bei einem Sicherheitsaudit des BeA-Systems noch mehr Sicherheitslücken gefunden wurden. Die Sicherheitsüberprüfung soll Mitte Mai abgeschlossen sein und dann auch veröffentlicht werden.

Artikel veröffentlicht am 29. März 2018, 14:39 Uhr, Hanno Böck

So schnell wird es wohl nicht wieder online gehen: Das besondere elektronische Anwaltspostfach. (Bild: BRAK)

Die Bundesrechtsanwaltskammer (Brak) hat die Präsidenten der lokalen Anwaltskammern in einem Schreiben über den Stand der Dinge beim besonderen elektronischen Anwaltspostfach (BeA) informiert. Demnach sind bei einer Untersuchung durch die Firma Secunet weitere Sicherheitslücken aufgetaucht.

Das BeA ist ein System zur verschlüsselten Kommunikation zwischen Rechtsanwälten. Kurz vor Weihnachten 2017 musste das System kurzfristig aufgrund von Sicherheitslücken abgeschaltet werden. Infolgedessen wurden zahlreiche weitere Sicherheitsprobleme entdeckt, was die Brak dazu bewegte, einen Sicherheitsaudit bei der Firma Secunet in Auftrag zu geben.

"Wichtiges Ergebnis der Sicherheitstests ist, dass das BeA Schwachstellen hat, die wir vor dem Wiedereintritt in den online-Betrieb beseitigen werden. Das BeA kann also im Augenblick noch nicht wieder starten", heißt es in dem Schreiben der Brak. "Aus den vorläufigen Einschätzungen des bisherigen Befundes geht aber auch hervor, dass keine der bislang identifizierten Schwachstellen eine grundsätzliche Überarbeitung der BeA-Systemarchitektur erfordert."

Informationen waren nicht für die Öffentlichkeit bestimmt

Die jetzt bekanntgewordenen Informationen wollte die Rechtsanwaltskammer nicht öffentlich machen. So heißt es in dem Schreiben weiter: "Bitte haben Sie Verständnis dafür, dass dieses Rundschreiben der internen Information und Transparenz dient, es ist derzeit nicht für die breite Öffentlichkeit bestimmt." Allerdings kursierte der Inhalt des Schreibens bereits nach kurzer Zeit online.

Die Sicherheitsprüfung durch Secunet soll Mitte Mai abgeschlossen sein. Die Brak plant dann auch, das vollständige Sicherheitsgutachten offenzulegen.

Nach wie vor scheint der Plan der Brak zu sein, das BeA-System grundsätzlich in seiner bisherigen Form wieder zu aktivieren. Ob es dazu kommt, ist jedoch offen. Denn ein weiterer Streitpunkt beim BeA ist die fehlende Ende-zu-Ende-Verschlüsselung. Eine Gruppe von Anwälten will die Brak juristisch dazu zwingen, ein System mit Ende-zu-Ende-Verschlüsselung bereitzustellen. Das dürfte aber mit der aktuellen Architektur des BeA-Systems kaum machbar sein und würde eine komplette Neuentwicklung erfordern.