BeA: So geht es mit dem Anwaltspostfach weiter

Darf eine Webseite erkennen, ob ein Nutzer Anwalt ist? Und braucht es eine Ende-zu-Ende-Verschlüsselung? Auf dem BeAthon hat die Bundesrechtsanwaltskammer über die Zukunft des von Sicherheitsproblemen geplagten Anwaltspostfachs BeA diskutiert - und will es bald wieder aktivieren.

Ein Bericht von Hanno Böck veröffentlicht am
"Digital. Einfach. Sicher" heißt es nach wie vor auf der BeA-Webseite. Dass dem nicht so ist, darüber besteht inzwischen Einigkeit.
"Digital. Einfach. Sicher" heißt es nach wie vor auf der BeA-Webseite. Dass dem nicht so ist, darüber besteht inzwischen Einigkeit. (Bild: Brak)

Das besondere elektronische Anwaltspostfach, kurz BeA, hat bekanntlich mit zahlreichen Sicherheitsproblemen zu kämpfen. Es wurde Ende 2017 aufgrund von bekanntgewordenen Problemen mit eingebetteten TLS-Zertifikaten kurzfristig abgeschaltet und ist seitdem offline. Wie es weitergeht, hat die Bundesrechtsanwaltskammer (Brak) auf einem sogenannten BeAthon in Berlin diskutiert.

Die Herstellerfirma Atos beteiligte sich allerdings nicht an der Diskussion - sie sagte die Teilnahme kurz vor Beginn ab. Auch das Unternehmen Governikus, das maßgeblich an der Entwicklung von BeA beteiligt war, wurde von Atos angewiesen, nicht teilzunehmen. "Atos hat dann mit uns per Pressemitteilung kommuniziert", kommentierte das einer der Anwesenden.

Kurz vor der Veranstaltung gab Atos nämlich eine Pressemitteilung heraus, in der das Unternehmen erklärte, es habe der Brak nun eine neue Version von BeA bereitgestellt. Mit dieser sei das Problem mit dem TLS-Zertifikat gelöst. Auf die zahlreichen anderen Probleme ging Atos allerdings nicht ein.

BeA soll nach Sicherheitsgutachten in Betrieb gehen

Die Bundesrechtsanwaltskammer plant nach wie vor, das BeA grundsätzlich in seiner bisherigen Form wieder in Betrieb zu nehmen. Ein Datum dafür wollte sie aber explizit nicht nennen. Vorher sollen alle aufgeworfenen Sicherheitsfragen geklärt werden. Die Firma Secunet wurde beauftragt, die Sicherheit des Systems zu prüfen. Vertreter des Unternehmens nahmen am BeAthon teil, sie hielten sich aber überwiegend aus der Diskussion heraus.

Stellenmarkt
  1. Partner & Business Operations Manager (w/m/d) OZG-Umsetzung
    HanseVision GmbH, Hamburg
  2. DevOps Engineer (m/w/d) Testautomation Platform
    ING Deutschland, Frankfurt, Nürnberg
Detailsuche

Diskussionen darüber, ob das BeA ganz grundsätzlich neugestaltet werden soll, versuchte man aus der Veranstaltung herauszuhalten. Der Deutsche EDV-Gerichtstag plant für März ein Symposium, auf dem ganz generell über die zukünftige Ausrichtung und ein mögliches BeA Plus diskutiert werden soll.

Ein Zertifikat für jede Installation

Als Lösung für das Problem mit dem TLS-Zertifikat schlägt Atos nun vor, dass bei jeder Installation ein individuelles Zertifikat generiert wird. Eine solche Lösung hielten alle anwesenden Fachleute generell für akzeptabel - wenn sie denn korrekt implementiert ist. Sichergestellt werden muss dabei, dass in jedem Fall auch ein neuer privater Schlüssel erzeugt wird.

Das TLS-Zertifikat ist für die bestehende Konstruktion des BeA notwendig. Die Nutzung läuft über eine Webanwendung, die mit einem lokalen HTTPS-Server auf Port 9998 kommuniziert. Bei einer solchen Konstruktion ist es notwendig, dass der lokale HTTPS-Server Zugriff auf den privaten Schlüssel hat. Ein Anwalt äußerte Bedenken. Die manuelle Installation eines Sicherheitszertifikats sei in Kanzleien, in denen eine Sicherheitspolicy für das Netzwerk festgelegt wird, nicht einfach machbar.

Theoretisch gäbe es auch die Möglichkeit, komplett auf HTTPS und ein Zertifikat zu verzichten. Da die Verbindung sowieso nur auf dem eigenen Rechner stattfindet, ist eine Verschlüsselung nicht notwendig.

Ein Standard des World Wide Web Consortium (W3C) sieht vor, dass solche Localhost-Verbindungen auch über HTTP als sichere Verbindungen angesehen werden. Doch bisher unterstützen diesen Standard nur aktuelle Versionen von Chrome und Firefox.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Exploit mittels Java-Deserialisierung 
  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
  6.  


mimimi123 30. Jan 2018

Nein??

BernardMarx 30. Jan 2018

Danke, dass Sie sich die Zeit genommen haben diesen Eintrag zu schreiben. Ich habe...

intnotnull12 29. Jan 2018

Ja, aber die BRAK will ja offenbar ganz auf Nummer sicher gehen. So interpretiere ich den...

berritorre 29. Jan 2018

Kenne mich zwar nicht aus, ob das System auch für Anwälte passt. Aber du weisst ja wie...

ldlx 29. Jan 2018

"doppelte End-to-End Verschlüsselung" - man könnte meinen, dass es jetzt auch "doppelt...



Aktuell auf der Startseite von Golem.de
Lego Star Wars UCS AT-AT aufgebaut
"Das ist kein Mond, das ist ein Lego-Modell"

Ganz wie der Imperator es wünscht: Der Lego UCS AT-AT ist riesig und imposant - und eines der besten Star-Wars-Modelle aus Klemmbausteinen.
Ein Praxistest von Oliver Nickel

Lego Star Wars UCS AT-AT aufgebaut: Das ist kein Mond, das ist ein Lego-Modell
Artikel
  1. Kryptowährung im Fall: Bitcoin legt rasante Talfahrt hin
    Kryptowährung im Fall
    Bitcoin legt rasante Talfahrt hin

    Am Samstag setzte sich der Absturz des Bitcoin fort. Ein Bitcoin ist nur noch 34.200 US-Dollar wert. Auch andere Kryptowährungen machen Verluste.

  2. eStream: Airstream-Wohnwagen mit eigenem Elektroantrieb
    eStream
    Airstream-Wohnwagen mit eigenem Elektroantrieb

    Der Wohnwagen Airstream eStream besitzt einen eigenen Elektroantrieb nebst Akku. Das entlastet das Zugfahrzeug und eröffnet weitere Möglichkeiten.

  3. Andromeda: Dieses Microsoft-Smartphone-Betriebssystem erschien nie
    Andromeda
    Dieses Microsoft-Smartphone-Betriebssystem erschien nie

    Erstmals ist ein Blick auf Andromeda möglich - das Smartphone-Betriebssystem, das Microsoft bereits vor einigen Jahren eingestellt hat.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Corsair Vengeance RGB RT 16-GB-Kit DDR4-4000 120,95€ • Alternate (u.a. AKRacing Master Pro Deluxe 449,98€) • Seagate FireCuda 530 1 TB (PS5) 189,90€ • RTX 3070 989€ • The A500 Mini 189,90€ • Intel Core i9 3.7 459,50€ • RX 6700 12GB 869€ • MindStar (u.a. 1TB SSD 69€) [Werbung]
    •  /