Die de-Mail stieß unter vielen IT-Fachleuten, insbesondere aber unter Netzaktivisten von Anfang an auf Ablehnung. Die Politik möchte nun den rechtlichen Rahmen der de-Mail vervollständigen,
wie spätestens seit der Veröffentlichung des Koalitionsvertrages von
SPD, CDU und CSU klar ist. Hierzu gehört insbesondere die Zustellfiktion. Entsprechend kommen aktuell gerade auch in den traditionellen Medien kritische Beiträge, die sich auf die Kritik von Netzaktivisten stützen. Einen Totalverriss der de-Mail fand sich vor kurzem im Artikel "Angeblich sichere De-Mail absichtlich unsicher gebaut" von Kai Biermann vom 29. Dezember 2013 Zeit-Online.
Der Anspruch, vertraulich und sicher zu sein, wird jedoch nicht annähernd erfüllt. Es gibt schon lange Kritik an dem System. Inzwischen haben Sicherheitsanalysten angesichts der offensichtlich gewollten Unsicherheit von De-Mails aber nur noch Zynismus übrig. So wie Linus Neumann.
Linus Neumann ist ein Sicherheitsexperte, der schon länger gegen die de-Mail argumentiert. Exemplarisch sei hier ein Zitat aus seinem Blogbeitrag "Warnung vor de-Mail" vom 25. Februar 2011 auf netzpolitik.org angeführt, in dem Neumann selber wiederum ein (unvollständiges) Zitat der Bundesregierung bringt:
Was man im Briefbereich niemals hätte durchsetzen können, wird den Bürgern jetzt per Bundes-Standard aufs Auge gedrückt: Die Möglichkeit, jede de-Mail problemlos mitzulesen. Und das geschieht nicht wider besseren Wissens: Als der Bundesrat eine sichere Ende-zu-Ende-Verschlüsselung forderte, antwortete die Regierung bekanntermaßen:Es handelt sich hier offenbar um grundlegende Missverständnisse bezüglich des Zweckes, dem das Konzept der de-Mail dienen soll, und zwar in zweierlei Hinsicht.
Eine Ende-zu-Ende-Verschlüsselung gefährdet das gesamte Ziel von de-Mail [...]
Das erste Missverständnis wird bereits aufgeklärt, wenn man das vollständige Zitat der Bundesregierung betrachtet. Leider wird den Lesern von netzpolitik.org das nicht leicht gemacht, denn der Link führt erst einmal auf refefe, einem mirror des Blogs von Felix Leitner, der um die Möglichkeit von Kommentaren ergänzt wurde. Auch hier befindet sich nur das unvollständige Zitat. Erst wenn man dort dem Link zur Quelle weiter folgt, gelangt man zu einem nicht den Sinn entstellenden Zitat:
"Eine Ende-zu-Ende-Verschlüsselung gefährdet das gesamte Ziel von De-Mail, die einfache - und ohne spezielle Softwareinstallation mögliche - Nutzbarkeit durch die Bürger", heißt es in der Erwiderung. Damit sich eine sichere E-Mail-Kommunikation möglichst schnell verbreite, solle De-Mail für den Anwender möglichst einfach zu nutzen sein. Daher werde bei De-Mail bewusst darauf verzichtet, dass der Anwender zusätzliche Installationen auf seinem Computer vornehmen muss.
Die
de-Mail soll für den Durchschnittsnutzer ohne zusätzliche
Installationen auf dem Computer praktikabel Nutzbar sein. Leider wird
das von erfahrenen ITlern viel zu wenig beachtet. Es mag einem selber
nicht aufwändig vorkommen End-zu-End-Verschlüsselung zu nutzen, doch hat
die niedrige Verbreitung heute einen Grund. Es hilft mir auch nicht,
wenn ich kein Problem mit der Installation von GnuPG, dem erstellen
eines Schlüsselpaares und der Einbindung in den eMail-Client habe, wenn
keiner meiner Kommunikationspartner sich zu diesem Schritt ermuntern
lässt. Es geht folglich nicht
wie von Aktivisten postuliert um Überwachung, was man natürlich
anzweifeln kann, wozu die de-Mail angesichts ihres Zweckes aber
gänzlich ungeeignet wäre, wie am zweiten Missverständnis klar werden wird. Ich
denke hier fehlt einfach ein wenig das Verständnis für den
Durchschnittsnutzer, für die ein Kompromiss zwischen technischer
Durchsetzung der Vertraulichkeit auf der einen Seite und Nutzbarkeit und
Einstiegshürden auf der anderen Seite gefunden werden muss. Daraus
scheint eine gewisse selektive Wahrnehmung zu folgen, die kein
Verständnis für diese Abwägung aufbringen kann und dann in einer
selektiven Weitergabe von Zitaten mündet, um die Filterbubble der
eigenen Szene aufrecht zu erhalten. Zumindest letzteres fahrlässig in
Kauf zu nehmen oder gar zur Stimmungsmache absichtlich anzustreben
müssen sich einige Netzaktivisten vorhalten lassen. Es stellt leider ein
immer wieder auftretendes Problem auf Publikationen wie netzpolitik.org
da.
Das zweite Missverständnis ist grundlegender und klärt dafür viele Fragen bezüglich der Konstruktion der de-Mail auf.
Es
geht bei der de-Mail nicht einfach um eine sichere Variante der eMail.
Es geht nicht um eine Abhörsicherheit, wie sie Netzaktivisten
vorschwebt, aber bereits im offline ‐ Vorbild nicht gegeben ist, gar nicht
gegeben seien kann. Es steht jedem frei Konzepte für abhörsichere
Kommunikation zu entwickeln, zu implementieren und zu bewerben. Es ist
aber nicht Aufgabe des Staates.
Es
geht bei der de-Mail um die digitale Variante rechtssicherer
Zustellungen von Willenserklärungen, wie sie bereits offline möglich
sind. Dies ist zwar auch Netzaktivisten bekannt, was es genau meint und
was daraus folgt scheint vielen aber nicht klar zu sein, da sie das bereits existierende offline ‐ Vorbild nicht kennen. Noch so großer
technischer Sachverstand hilft bei der Beurteilung, ob die de-Mail ihrem
Ziel gerecht wird, nicht, wenn einem das Ziel nicht im entferntesten
klar ist. Wer sich außer "alles abhörsicher machen" oder "alles
überwachen" keine anderen Ziele hinter einem elektronischen
Zustellungssystem vorstellen kann, der wird natürlich alles in eine der
beiden Kategorien einordnen.
Das
Konzept, das mit der de-Mail auch online verwirklicht werden soll, ist
bereits seit über 100 Jahren in Gebrauch. Es nennt sich
Zustellungsurkunde. Der Obergerichtsvollziehers Ralf Diederich beschreibt das Verfahren auf seiner Website ausführlich:
Zustellung durch (Post-) Zustellungsurkunde
Die Zustellung durch Postzustellungsurkunde dürfte wohl die unbekannteste aller Zustellungsarten sein. Dies hängt wohl damit zusammen, dass diese Zustellungsart zunächst einmal ausschließlich Behörden, Gerichten und Gerichtsvollziehern vorbehalten ist, jedoch über § 132 BGB auch Privatpersonen zugänglich gemacht wird.
Denn nach § 132 BGB gilt "[e]ine Willenserklärung [...] auch dann als zugegangen, wenn sie durch Vermittlung eines Gerichtsvollziehers zugestellt worden ist". Jeder kann den Gerichtsvollzieher mit der Zustellung einer Willenserklärung beauftragen, auch außerhalb eines laufendes Gerichtsverfahrens. Der erstellt eine beglaubigte Kopie der Willenserklärung und sendet sie an den Empfänger. Mit der Zustellung kann er auch die Deutsche Post AG beauftragen. Der Gerichtsvollzieher oder der Postbote bestätigen dann die Zustellung auf einer Urkunde. Wenn der Empfänger oder eine andere zur Annahme berechtigte Person nicht anwesend sind, kann das Schreiben auch in den Briefkasten eingeworfen werden. Sollte es keine solche Möglichkeit geben, kann das Schreiben auch beim Amtsgericht hinterlegt werden und der Bote heftet an die Wohnungstür oder die Tür zu den Geschäfts- oder Gemeinschaftsräumen lediglich eine schriftliche Mitteilung. Damit gilt das Schriftstück dann als zugestellt (Zustellfiktion). Die ganze Palette an rechtlich wirksamen Methoden der Zustellung kann diesem Bild einer Zustellungsurkunde entnommen werden. Der Empfänger hat, wenn er die Sendung tatsächlich erhält, lediglich die beglaubigte Abschrift eines für glaubwürdig erklärten Dritten, dem Gerichtsvollzieher, als Bestätigung, von wem die Willenserklärung stammt. Das Original wird vom Gerichtsvollzieher mit der Zustellungsurkunde fest verbunden an den Absender der Willenserklärung gesendet. Ralf Diedrich stellt dazu fest:
Selbst bei fehlender Empfangseinrichtung kann der Gerichtsvollzieher das Schreiben im Wege der Ersatzzustellung (vgl. § 180 ZPO) wirksam zustellen. Die für den Absender ausgefertigte Zustellungsurkunde (vgl. §§ 190ff. ZPO) ist im Prozess als öffentliche Urkunde (vgl. § 418 ZPO) zu behandeln und erbringt den Beweis ihrer Echtheit und inhaltlichen Richtigkeit. Zugleich kann man den Inhalt der Erklärung beweisen, da eine Kopie des zuzustellenden Schreibens mit der Zustellungsurkunde fest verbunden ist.Das Verfahren liefert also die notwendige Sicherheit für denjenigen, der eine Willenserklärung übermitteln will. Es bietet diese Sicherheit, weil die Vorgänge vom Gesetzgeber für ausreichend zuverlässig erklärt wurden. Bisher bietet das kein anderes Verfahren. Beim Einschreiben kann beispielsweise der Inhalt des Briefes leicht geleugnet werden. Der Nachteil der Zustellung per Gerichtsvollzieher: Sie ist teuer. Sie kostet im günstigen Fall knapp 10€.
Die
de-Mail bietet hierzu eine günstigere Alternative,
sofern beide Seiten einen de-Mail-Account haben und sich
auf die Verwendung einigen. Sie ist deutlich billiger, selbst mit
Absender- und Empfangsbestätigung. Da man auch als Privatperson
Willenserklärungen
versendet, ist das auch im eigenen Interesse.
Es
macht auch klar, warum nicht so hoher Wert auf
Ende-zu-Ende-Verschlüsselung gelegt wird (die aber ausdrücklich
zulässig ist, wenn jemand meint für die Kombination aus de-Mail und
Ende-zu-Ende-Verschlüsselung eine Verwendung zu haben). Es kommt auf
die Bestätigung der Zustellung und des Inhaltes durch einen
vertrauenswürdigen Dritten an (wie bei der Zustellung durch den
Gerichtsvollzieher). Natürlich ist das keine technische Sicherheit.
Technisch wird nur sichergestellt, dass die Bestätigung tatsächlich
vom vertrauenswürdigem Dritten (dem eigenen de-Mail-Anbieter) kommt
und dieser überprüft durch 2-Faktor-Autentifikation und einer
verschlüsselten Verbindung zwischen sich und seinem Kunden, dass der
Absender tatsächlich stimmt. Der Anbieter des Empfängers bestätigt
die Ankunft der Mail im Empfänger-Postfach.
Auch wird klar, warum sich die de-Mail nicht zur Einrichtung einer Massenüberwachung eignet. Es gibt keinen Grund die de-Mail für irgend etwas anderes als die Zustellung einer Willenserklärung zu nutzen. Sonstige geschäftliche Korrespondenz und auch private Kommunikation lassen sich auch über Ende-zu-Ende verschlüsselte eMails abwickeln. Wird die de-Mail genutzt, da den Kommunikationspartnern eine solche Verschlüsselung zu aufwendig ist, dann würde ansonsten als Alternative unverschlüsselte eMail und Briefpost verwendet werden, was nicht sicherer ist als die de-Mail und nicht schwerer abzuhören. Die de-Mail ist nicht "so sicher wie eine Postkarte" und nicht "so unsicher wie eine eMail", wie der Chaos Computer Club meint. Das sind unhaltbare Übertreibungen.
Die Polemiken haben vielleicht ihren Ursprung in der Enttäuschung, das die de-Mail nicht zur verpflichtenden Versorgung aller Personen mit Zertifikaten zur Ende-zu-Ende-Verschlüsselung zu genutzt wird. Dabei wird auch der Austausch von solchen Zertifikaten durch das de-Mail-System erleichtert, denn die de-Mail-Anbieter sind verpflichtet einen Verzeichnisdienst zu betreiben, in dem ihre Kunden ihre de-Mail-Adresse zusammen mit ihrem öffentlichen Zertifikat, sofern sie eines haben, veröffentlichen können. Mit dem öffentlichen Zertifikat ist jeder Absender in der Lage dem Inhaber des dazugehörigen private keys Ende-zu-Ende-verschlüsselte Nachrichten zu senden. Ein solche Verzeichnisdienst wäre für eine praktikable Anwendung der Ende-zu-Ende-Verschlüsselung in einer Gesellschaft mit mehr als 80 Millionen Einwohnern auch notwendig, genauso wie vertrauenswürdige Dritte, die durch ihre Signatur bestätigen, dass es sich beim Zertifikatsinhaber auch um den handelt, der im Zertifikat als Inhaber erwähnt wird. Ansonsten könnte sich jeder ein anerkanntes Zertifikat unter beliebigem Namen selber erstellen. Auch hier lässt sich in einer größeren Gesellschaft auf das Konzept des vertrauenswürdigen Dritten nicht verzichten. Ein privater Schlüsselaustausch bei persönlichen Treffen wäre nur in kleinem Rahmen praktikabel.
Die de-Mail soll so sicher und vertrauenswürdig wie die Zustellung mit einer Postzustellungsurkunde sein. Wer die online-Variante der Zustellungsurkunde für unsicherer hält als die offline - Variante, der muss auch auf die offline - Variante eingehen und vergleichen und darf sie nicht ignorieren. Es scheint mir, als handele es sich einfach um den fehlerhaften Instinkt klassisches Papier für sicherer zu halten. Doch Papierurkunden lassen sich auch fälschen. Dem Gerichtsvollzieher lassen sich gefälschte Dokumente unterjubeln. Aber es wird per Gesetz als Sicher angesehen und über 100 Jahre (!) hat es niemanden gestört, zumal eine solche Möglichkeit aus Praktikabilitätsgründen notwendig ist.
Man kann natürlich den de-Mail-Anbietern misstrauen. Genauso kann man die Vertrauenswürdigkeit der tausenden an Gerichtsvollziehern in Zweifel ziehen. Erst recht der noch viel zahlreicheren Postzustellern. Aber mit einem solchen Misstrauen ist keine Rechtsordnung möglich.
Techniknörgler
© Techniknörgler. Für Kommentare bitte hier klicken.
