News Elektronische Behördenpost: Deutsche Telekom steigt aus gescheiterter De-Mail aus

[Balikon]

halbwegs sichergestellt

Das ist das Problem. De-Mail taugt nicht dazu, die Identität des Absenders und den Schutz der Mail (Ende zu Ende Verschlüsselung) sicherzustellen.

 

[carnival55]

De-Mail taugt nicht dazu, die Identität

Ohne Wertung zu De-Mail selbst, ich versuche eine, äh, wertneutrale Darstellung.

Die Idee, wie man die Identität sicherstellt war:
Man weißt sich (z.B. via Personalausweis) gegenüber einer vertrauenswürdigen Stelle aus, z.B. T-Punkt, entsprechend geschulter Vertriebler, oder zugelassene Dritte.
Dieser trägt die Verantwortung, dass die Identifikation korrekt ist und "übernimmt" das ins System.

Danach bekommst Du Deinen Login (per Post), auf Wunsch mit MFA, damit soll sichergestellt sein, dass Du auch wirklich die Anmeldung machst.

Die fehlende Ende-zu-Ende-Verschlüsselung war ein schwerer Fehler im Gesamtkonzept.
Die Argumentation war: Wir machen einen Malware-Check, das geht nicht mit E2E-verschlüsselten Emails.

Daher hat man "Provider-zu-Provider"-Verschlüsselung gemacht.
Argumentation war: das wäre ja die eigentlich "gefährliche" Strecke im bösen Internet. Der Nutzer nutzt ja https im Browser.


Und ja, die Argumente sind teils haarsträubend.

 

[Balikon]

auf Wunsch mit MFA [Hervorhebung durch Balikon]

Daher hat man "Provider-zu-Provider"-Verschlüsselung gemacht.

Damit ist das Thema "Sicherheit" und "Rechtssicherheit" durch. Entweder man macht es ganz oder gar nicht.

 

[Norebo]

Für mich wurde es dadurch inakzeptabel, daß bei Fristen auch Sonntaf mit gezählt werden sollte bzw. man verpflichtet war täglich, also auch sonntags und im Urlaub seinen Briefkasten zu prüfen.


Also mein Briefskasten ist sicher, wenn der geknackt ist, habe ich andere Probleme, er leitet Briefe nämlich ins Haus.

Es gibt viele Häuser mit Aussenbriefkästen, dann gibt es Häuser mit vielen Wohneinheiten zu denen man jederzeit Zugang bekommt, indem man vorgibt ein Lieferdienst zu sein, ein Handwerker, oder einfach wartet, bis jemand rein/rausgeht.

Der Birefkasten, in dem Haus wo ich zuvor lebte, ging auf, wenn man dagegenschlug, war so nachgiebig, das Türchen konnte einfach aufgebogen werden, oder man steckte seine Hand durch den Einwurfschlitz und ich hab große Hände.

Der sichere Briefkasten ist eine Illusion!

 

[carnival55]

"Rechtssicherheit"

Auch hier wieder, ohne Wertung (und ich stimme Dir in der Grundaussage inhaltlich zu!):

Es ist voneinander zu trennen:

• Sicherheit (im Sinne von "IT-Sicherheit")
• Rechtssicherheit (im Sinne von "gerichtsfest")

Zu (IT-)Sicherheit:
Haken dran... failed by design

Zu Rechtssicherheit:
Die kommt per Gesetz, nicht per IT-Sicherheit.
Per Gesetz ist es rechtssicher, wenn eine De-Mail in Deinen Posteingang zugestellt wurde.
Es gibt verschiedene Schalter, die die Rechtsicherheit erhöhen, oder verbindlicher machen (aber nicht unbedingt die IT-Sicherheit beeinflussen).
Aber wenn z.B. Dein (fiktiv) virenversuchter Rechner 300 Rechnungen per De-Mail versendet und eine davon bei mir als Empfänger im Posteingang eingeht, dann hab ich erstmal rechtssicher eine Rechnung bekommen (ob die Zahlungsaufforderung rechtlich zulässig ist, ist was anderes).

 

[AncapDude]

Bei einem Fax gilt der (erfolgreiche) Sendebereicht auch als Nachweis.

Stimmt leider nicht. Ich habe einen Zivilfall beim OLG verloren weil mein Sendebericht kein ausreichender Nachweis für die Zustellung (also den faktischen Eingang beim Empfänger) darstellte.

epost

Hab ich tatsächlich ne zeitlang gerne für Oma als mail2print genutzt, weil ich keine Lust hatte mit Hand zu schreiben und sie keine E-Mail hat, ging tatsächlich recht gut und schnell (nächster Tag). Inzwischen obsolet weil ich die pflegebedingt jede Woche besuchen muss aber ich fand den Dienst nett

 

[carnival55]

Eine rechtssichere Kommunikation wäre durchaus möglich

Wie immer, keine Wertung nur Argumentation:

Das bei dem Vorschlag ungelöste Problem ist:
Ich kann als Empfänger jederzeit den Erhalt der Mail abstreiten.
"Mag ja sein, dass die Mail von Dir an mich gesendet wurde. Mag sein, dass die Zertifikate und was auch immer alles korrekt war, nur leider leider ist ausgerechnet diese Mail mit der Fristsetzung zur Begleichung der Rechnung nie bei mir angekommen. Verfluchte Sonnenstürme aber auch...."
(Vorsicht kann Spuren von Ironie enthalten)
Dieses Problem wurde durch De-Mail gelöst, weil Du als Absender eine Empfangsbestätigung (nicht Lesebestätigung, sowas können nur Behörden anfordern *) ) des Empfänger bekommen hast. Erzeugt vom Provider, der Empfänger kann das nicht beeinflussen.

*) Unterschied:
Empfangsbestätigung = Mail wurde ins Postfach zugestellt
Lesebestätigung = Empfänger hat sich nach der Zustellung erfolgreich angemeldet.

 

[deo]

Anfangs machen die Unternehmen gerne mit, wenn es Fördermittel und weitere Aufträge gibt und dann ist ist es auch egal, ob sie für die Tonne arbeiten oder etwas heraus kommt, das Bestand hat. Sie (die Auftragnehmer) sollten doch so viel Kompetenz haben, dass sie wissen, was sie da machen. Aber das Geld wird nicht sausen gelassen, weil sich dann andere finden lassen, die das Geschäft machen. Dann macht man das doch lieber selbst und die verantwortlichen Politiker müssen vorsorgen, dass sie lukrative Posten haben, nachdem sie abgewählt worden sind .

 

[Serana]

@carnival55
Dann will ich es mal (speziell für dich) anders formulieren:
Eine rechtssichere Kommunikation per Email die (mit hoher Wahrscheinlichkeit) allgemein akzeptiert wird wäre durchaus möglich, wenn der Gesetzgeber eine solche überhaupt wollte.

Denn so wie sich die Sache derzeit darstellt, ist der Gesetzgeber eigentlich gar nicht daran interessiert eine rechtssichere Möglichkeit zu schaffen mit staatlichen Stellen per Email in Kontakt zu treten. Allerdings würde es ein schlechtes Licht auf ihn werfen, in der Sache überhaupt nicht tätig zu werden. Die einfachste Möglichkeit ist es also die Möglichkeit so zu gestalten, daß niemand (oder kaum jemand) sie einsetzt. Nach einer gewissen Schamfrist kann man die Sache dann einstampfen und sagen: "Seht ihr, wir haben es ja wirklich versucht. Nur war eben niemand daran interessiert."

Wer die ganze Sache mit dem besonderen elektronischen Anwaltspostfach (beA) verfolgt hat ist relativ schnell zu der Einsicht gelangt, daß sicher im Sinne von rechtssicher und sicher im Sinne von IT-Sicherheit nicht das geringste miteinander zu tun haben. Die Argumentation in Bezug auf den verleugneten Empfang ist also hinfällig, da Rechtssicherheit in Deutschland letztendlich nur eine deklaratorische Angelegenheit ist. Eine Sache ist (unabhängig von der Realität) dann rechtssicher wenn sie vom Gesetzgeber als rechtssicher deklariert wurde. Weitere Bedingungen müssen nicht erfüllt werden.

 

[carnival55]

Danke für die Ausführung, die sich durchaus außerhalb des De-Mail Kontextes bewegt (den ich versucht habe darzustellen). Für mich war auch nicht ersichtlich, dass wir uns von S/MIME Zertifikaten weg, hin zu gesellschaftspolitischen Einschätzungen bewegt haben.
Ich bleibe bei ersterem.

 

[Serana]

@carnival55
Das Problem bei der DE-Mail ist doch, daß die Sache quasi so "ausbaldowert" wurde, daß der Bürger mit DE-Mail letztendlich schlechter dasteht als ohne. Um zu diesem Schluß zu kommen reicht es vollkommen sich nur einmal den entsprechenden Wikipedia-Artikel zur DE-Mail durchzulesen.

Tut mir leid, aber unter diesen Umständen kann ich einfach nur zum Ergebnis kommen, daß die DE-Mail in Wirklichkeit auch vom Gesetzgeber nie gewollt war.

 

[Dodo Bello]

Hätten bis Ende 2015 alle Behörden DE-Mail angebunden gehabt und somit jeder an jede Behörde ohne Brief/Fax kommunizieren können, dann wäre das Spiel um DE-Mail vermutlich gänzlich anders ausgegangen. Besonders auch weil der nPA mit NFC-Smartphones eine Schützenhilfe gewesen wäre. Jetzt stehen wir wieder bei Null bzgl. behördlicher digitaler verbindlicher Kommunikation.

Die Behörden des Bundes sind durch das "Gesetz zur Förderung der elektronischen Verwaltung sowie zur Änderung weiterer Vorschriften" (E-Government-Gesetz) sogar verpflichtet, einen Zugang für De-Mail zur Verfügung zu stellen.

Quelle: BMI

Selbst einer strickten Weisung der Bevölkerung - repräsentiert durch den demokratischen Prozess in Form eines Gesetzes - haben sich die Behörden eigenmächtig verweigert. Somit war DE-Mail zumindest eine gute Beweisführung für die Unfähigkeit deutscher Behörden sich weiter entwickeln zu können. Denn wenn selbst ein dediziert erlassenes Gesetz für die verpflichtende Einführung den Behördenapparat nicht in Bewegung versetzten kann, sollte dringend von diesem Pferd mit all seiner kostspieligen Personalstruktur abgestiegen werden.

 

[Knuddelbearli]

Deutschland soll mal in Italien Anrufen, die haben sowas ähnliches schons eit Jahrzehnten erfolgreich umgesetzt (PEC)
Behördenkomunikation mit anderen Behödern, Personen und Unternehmen läuft nur noch darüber.

 

[Serana]

Übrigens geht es bei Dingen wie eben der DE-Mail natürlich auch um gesellschaftspolitische Fragen. Ob es nun um das Spannungsfeld zwischen Rechts- und IT-Sicherheit geht oder um die zu beobachtende Unfähigkeit staatlicher Stellen ihre Vorgänge zu digitalisieren, das offensichtliche Scheitern der DE-Mail wirft die Frage auf, inwiefern diese Erfindung namens Internet überhaupt schon in Deutschland "angekommen" ist.

Geradezu bezeichnend für das deutsche fremdeln mit dem Internet war es, als Bundeskanzlerin Angela Merkel 2013 ihren bekannten Spruch über das Neuland Internet brachte. Daß das kein einmaliger Versprecher einer deutschen Politikerin war, merkt man regelmäßig wenn sich deutsche Politiker zu den Themen IT oder Internet äußern. Allzu häufig drängt sich mir da der Eindruck auf, daß sich da Menschen zu einer Sache äußern von der sie zwar mal gehört haben, die sie aber nie wirklich verstanden haben.

 

[carnival55]

Tut mir leid, aber unter diesen Umständen kann ich einfach nur zum Ergebnis kommen, daß die DE-Mail in Wirklichkeit auch vom Gesetzgeber nie gewollt war.

Ja zu diesem Fazit muss man leider kommen.
Ich habe einige Entwürfe des Gesetzes und vor allem der Technischen Richtlinien (damals hieß es noch Bürgerportal) gesehen.
Das war (und ist) auf mehreren Ebenen erschreckend. Zum einen mit wie wenig Sachverstand sowas erstellt wird (das bekommt man durch entsprechende Kommentierungen zumindest ein wenig eingefangen) zum anderen, und das ist viel schlimmer, dass durch offensichtliche Lobbyarbeit Passagen abgeändert oder Absätze eingefügt oder "Weichmacher" eingebaut werden. Teilweise durch minimalste Veränderungen; plötzlich wird ein Satz mit "oder gleichgestellten Verfahren" ergänzt und schon weiß man, dass da ein Lobbist seinen "Verein" reingeschrieben hat.
Das passiert 3x und siehe da, Bullshit Made in Germany.

Edit:
Und das Marode an der Sache ist... der Gesetzgeber kann ja nur verabschieden, was man ihm vorlegt (oder eben nicht). Aber wenn die Gremien "fertig" sind, gibt es keine Qualitätskontrolle mehr.

Die gesellschaftlichen Konsequenzen a la "das ist für uns alle Neuland" oder "Digitalisierung first, Bedenken später", "niemand hat vor Uploadfilter vorzuschreiben" sind natürlich Katastrophe.

Aber... damit gewinnt man keine Wahlen oder hab ich das gerade irgendwo übersehen an den Laternen?!

Edit 2:
Neben Rezo und netzpolitik.org gibt's da auch "tolle" Beispiele bei (Tilo) "Jung & Naiv".

 

[Miuwa]

Persönlich fand ich die Idee grundsätzlich gut, aber die Details in der Umsetzung (zumindest anfangs keine echte Ende zu Ende Verschlüsselung , nicht von allen Ämtern unterstützt, Preise) haben es dann in der Praxis unattraktiv gemacht.

 

[Dodo Bello]

Bitte nicht Gesetzgebung mit den behördlichen Ausarbeitungen vermischen. Das Gesetz war und ist grob "ausreichend". Bei den TR wurde zwar leider etwas viel ins Productdesign eingewirkt, aber die fehlende breite Anbindung der Behörden inkl. Integration in deren Vorgänge war letztendlich das größere Problem.

 

[Forum-Fraggle]

Es gibt viele Häuser mit Aussenbriefkästen, dann gibt es Häuser mit vielen Wohneinheiten zu denen man jederzeit Zugang bekommt, indem man vorgibt ein Lieferdienst zu sein, ein Handwerker, oder einfach wartet, bis jemand rein/rausgeht.

Deswegen steht bei mir auch mein Briefkasten und nicht Briefkästen allgemein

 

[Miuwa]

Das Problem bei der DE-Mail ist doch, daß die Sache quasi so "ausbaldowert" wurde, daß der Bürger mit DE-Mail letztendlich schlechter dasteht als ohne. Um zu diesem Schluß zu kommen reicht es vollkommen sich nur einmal den entsprechenden Wikipedia-Artikel zur DE-Mail durchzulesen.

Bist du dir sicher? Selbst mit allen schwächen des Systems, war es immer noch besser als der Status quo mit Papierbriefen.

 

[carnival55]

Bitte nicht Gesetzgebung mit den behördlichen Ausarbeitungen vermischen

Ich vermische das nicht. Beim BSI (TR) saß ich oft genug, beim BMI (Gesetz) zum Glück nicht.