Teil 2 Inside De-Mail – Alte Kritikpunkte neu aufgewärmt

De-Mail unterstützt S/MIME Ende-zu-Ende Verschlüsselung.

Wenige Wochen nach dem RoundTable an der IFA in Berlin, lud das NIFIS zum Sicherheits-Symposium ein. Befürworter und Gegner von De-Mail diskutierten über die Vor- und Nachteile des neuen Mail-Systems. Da ich leider zeitlich verhindert war und nicht am Symposium teilnehmen konnte, kann ich nur eine Sekundäranalyse erstellen. Als Basis dienen mir dabei die Artikel des cio.de (Titel: Keine End-to-end-Verschlüsselung – Weiter scharfe Kritik an De-Mail) und von silicon.de (Titel: Experten streiten um De-Mail). Aufgefallen ist mir dabei, dass fast immer die gleichen Kritikpunkte gebetsmühlenartig wiederholt werden, oder, was eigentlich noch schlimmer ist, Sachverhalte aus dem Zusammenhang gerissen werden.
Darüber hinaus habe ich manchmal das Gefühl, dass sogenannte Experten wie Rechtsanwälte, Notare oder Datenschutzbeauftragte keine Blogs lesen und Sachverhalte, welche bereits vor Wochen analysiert und diskutiert wurden, einfach unverändert wieder in den Raum stellen, als gäbe es keine neuen Informationen. Ob dies an der allgemein Ablehnung gegenüber Blogs oder der Arroganz der Experten liegt, Meinungen von Laien nicht mal im Ansatz in ihre Arbeit einzubauen, sei an dieser Stelle mal vernachlässigt. Manchen „Experten“ würde es aber nicht schaden sich einmal in der Blogssphäre zu diesem Thema umzuschauen und die gemässigten und informativen Kommentare einiger Nutzer zu lesen.
Vielleicht würden sie dann auch nicht immer wieder das Thema auf die „Leerungspflicht“ und die Fristenregelung lenken. Im Artikel „Inside De-Mail“ wurde ja bereits erklärt, dass das De-Mail Konto eigentlich täglich geleert werden muss und Fristen auch am Wochenende beginnen zu laufen. Schaut man sich aber die Realität an, so sieht es jedoch für den Endnutzer nicht wirklich so schlecht aus, wie es sich zunächst anhört.

Zitat: Den De-Mail-Teilnehmern werde jedoch noch übler aufstoßen, dass ein Einschreiben laut De-Mail-Gesetz schon dann als zugegangen gelte, wenn es im Postfach des Empfängers angekommen sei. “Wer sich zu diesem Zeitpunkt gerade im Urlaub befindet, hat Pech gehabt”, so Lapp.

Diese Aussage ist grundsätzlich korrekt, wenn auch ungenau. Ein De-Mail gilt nach drei Tagen als zugestellt, wenn es auf dem Server und damit im Postfach des Empfänger eingegangen ist. Allerdings steht seit Wochen auf diversen Blogs fest, dass dies bei einem Brief ebenfalls der Fall ist. Ein Brief gilt dann als zugestellt, wenn er im Hausbriefkasten des Empfängers eingetroffen ist. Bei einem normalen Brief gilt dies drei Tage nach Absenden, bei Einschreiben dann, wenn die Unterschrift erfolgt ist. Somit frage ich mich bei diesem Argument immer was das Ziel dahinter ist. Der „E-Postkasten“ (Posteingang De-Mail) wird juristisch dem Hausbriefkasten gleichgestellt. Alles was dort eingegangen ist, gilt als zugestellt. Für den Empfänger spielt es keine Rolle wie lange der Brief unterwegs war, da er ja vom Absender keine „Vorwarnung“ erhält. Ob ein Brief drei Tage braucht oder nur wenige Sekunde ist für den „ahnungslosen“ Empfänger egal. Wichtig ist der Zeitpunkt des Eintreffens. Ist der Nutzer im Urlaub, hat er bei beiden Varianten somit gleich viel oder gleich wenig Pech und vor allem auch gleichviel Zeit zu reagieren. Natürlich kann man den Schlüssel für den Hausbriefkasten immer noch dem vertrauenswürdigen Nachbarn geben, der einen dann anrufen könnte. Allerdings kann dieser kaum den Brief öffnen und am Telefon vorlesen. Zumindest würde mich das bei sensiblen Inhalten stören. Somit kann er nur mitteilen, dass ein Brief vom Absender XY eingetroffen ist. Der Inhalt bleibt mir als Urlauber weiterhin unbekannt. Anders bei De-Mail, hier besteht rein technisch die Möglichkeit vom Urlaubsort (W-LAN, Hotel Internet usw.) auf das De-Mail Postfach zuzugreifen, den Brief zu lesen und vielleicht sogar direkt zu beantworten. (Fragen wie sicher W-LAN und Internet-Cafés sind lassen wir an dieser Stelle mal aussen vor)
Somit ist es für den Nutzer im Alltag/Urlaub beim De-Mail-Postfach eigentlich leichter seine Korrespondenz ortsunabhängig zu managen, was aus meiner Sicht dem Nutzer eigentlich einen Vorteil bringt oder zumindest bringen kann. Ausserdem könnte man rein theoretisch auch dem Nachbarn den Logincode für das De-Mail Postfach anvertrauen. Was dann ähnliche wie eine Schlüsselübergaben funktionieren würde. Die Möglichkeiten bei De-Mail sind aus meiner Sicht damit deutlich grösser und auch flexibler. Sollte dann später noch ein mobiles App hinzukommen, reist der De-Mail Postkasten in der Hosentasche sowieso überall mit hin.
Am RoundTable auf der IFA wurde auf genau diese Argumentationskette der Einwand erhoben, dass es dem Nutzer vielleicht gar nicht gefallen könnte im Urlaub seine De-Mails zu kontrollieren. Bedenkt man die Kritikpunkte zu Beginn der Argumentationskette, klingt diese Aussage im Nachhinein fast etwas frech. Fassen wir nochmal kurz zusammen. Es wurde argumentiert, dass der Nutzer im Urlaub keine De-Mails abrufen KANN. Auf Grund der technischen Möglichkeiten (W-LAN, Internet-Café, mobiles App) wurde dies aber entkräftet. Jetzt auf einmal WILL man es aber nicht. Was was denn nun? Wer nicht will, der muss auch nicht. Was aber im Umkehrschluss heisst, dass dieser Nutzer dann mit den Konsequenzen leben muss. Wer seinen Hausbriefkasten nicht leeren will, muss auch mit den Konsequenzen leben. Nur dass auf Grund des Internets der De-Mail-Postkasten über all dort sein kann, wo ein Internetanschluss ist. Ganz im Gegensatz zum Hausbriefkasten.
Somit hat der Besitzer eines Hausbriefkastens eigentlich mehr Pech sollte er sich im Urlaub befinden, aber anscheinend stört das niemanden bei dieser Diskussion. Und nur weil der Nachbar anruft, es wäre ein wichtiger Brief im Postkasten, wird man kaum seinen Urlaub abbrechen, nur um nach Hause zu fahren und diesen Brief zu beantworten.

Was die Kontrolle des Postfachs angeht, wird darüber hinaus von den Kritiker immer versucht De-Mail als enorme Belastung für den Nutzer zu verkaufen.

Zitat: Damit sei die angekündigte Rechtssicherheit teuer erkauft – einseitig zu Lasten der möglicherweise völlig ahnungslosen Empfänger. Die einzige Möglichkeit, sich zu schützen, sei die permanente Kontrolle des De-Mail-Postfachs. Eine Urlaubsvertretung sei nur möglich, wenn der Vertreter selbst auch ein De-Mail Postfach besitzt.

Wie bereits oben erwähnt schützt einen Briefpost-Kunden auch nur die regelmässige Kontrolle des Hausbriefkastens. Ich denke hier muss ein deutliches Umdenken bei den Nutzern eintreten. Wer sich eine De-Mail Adresse holt, gleiches gilt übrigens auch für den E-Postbrief, der muss akzeptieren, dass er sich einen zweiten Briefkasten anlegt, der genau die gleiche Sorgfalt und Aufmerksamkeit benötigt wie der Hausbriefkasten an der Tür. De-Mail ist kein E-Mail in welches man alle paar Wochen „mal reinschauen“ kann. Dies muss jedem Nutzer bewusst sein, sollte er sich für diesen Schritt entscheiden.
Was das Thema Urlaubsvertretung angeht, so stimmt diese Aussage nicht oder nicht ganz. Sollte sich eine Firma dazu entscheiden De-Mail zu nutzen, so kann man per Gateway am Arbeitsplatz des entsprechenden Mitarbeiters die De-Mails auch dann abrufen, wenn dieser im Urlaub ist. Der Mitarbeiter muss nur sein Passwort an die Urlaubsvertretung weitergeben. Auf der anderen Seite wird eine Firma, sollte sie sich für De-Mail entschliessen, sicherlich mehr als eine De-Mail Adresse besitzen. Somit ist davon auszugehen, dass mehrere Mitarbeiter De-Mail Adressen besitzen. Diese können dann rein technisch gesehen, die Urlaubsvertretung für den fehlenden Mitarbeiter übernehmen. Somit gibt es eigentlich keine Verschlechterung der Arbeitsabläufe. Ausserdem soll es bei De-Mail auch so etwas ähnliches wie eine Urlaubs- bzw. Abwesenheitsnotiz geben. Ziel ist es De-Mail wie die E-Mail in den Work-flow der Unternehmen einzuflechten, ohne dass die Mitarbeiter grosse Veränderungen in ihrem Verhalten vornehmen müssen.

Ein etwas neuer Kritikpunkt betrifft die Antwortmöglichkeiten seitens des Kunden bzw. Bürgers.

Zitat: Wie wenig durchdacht das dem neuen Kommunikationsmittel zugrunde liegende Gesetz sei, zeige sich auch daran, “dass dem Bürger zwar per De-Mail eine Verfügung oder ein Bescheid zugestellt werden kann, er für die Einlegung eines Widerspruchs aber zwingend die qualifizierte elektronische Signatur verwenden muss.” Für den Bürger, der qualifizierte elektronische Signaturen verwendet, biete De-Mail keinen zusätzlichen Gewinn an Sicherheit.

Ein Bürger kann also einen Bescheid vom Amt erhalten, kann aber nicht über das normale De-Mail System diesen Bescheid auch beantworten. Die Kommunikation wird somit zur Einbahnstraße. Dies muss schleunigst verbessert werden. Wer per De-Mail angeschrieben wird, sollte auch per De-Mail Antworten können, ohne dazu Zusatzinstallationen vornehmen zu müssen. Andernfalls wird das System nie vom Privatnutzer anerkannt.
Eine andere Möglichkeit wären hier natürlich Präzedenzfälle. Laut Gesetzt muss ein Amt und eine Firma, die ihre Kunden per De-Mail anschreibt, auch per De-Mail erreichbar sein. Die Argumentationskette könnte also auch so erfolgen, dass ein Amt mit der Zustellung eines Bescheids die Echtheit meiner De-Mail Adresse anerkennt und somit eine „qualifizierte elektronische Signatur“ unnötigt macht. Der Erstkontakt wurde ja bereits vom Amt hergestellt. Dies wird aber erst die Zeit zeigen.

Was uns zum dritten Punkt bringt – Anonyme Kommunikation.

Zitat: Erforderlich wäre stattdessen, alle staatlichen Stellen zu verpflichten, PGP-Schlüssel anzubieten. De-Mail ist insgesamt das Gegenteil von sicherer und vertraulicher Kommunikation. (…) Nur anonyme Kommunikation ist sicher vor missbräuchlicher Aufdeckung des Kontakts.”

Entweder hat der Journalist hier kurz mal ein paar Sätze weggelassen oder die Aussage ist mehr als unverständlich. Wie will ich denn anonym mit einer staatlichen Stellen kommunizieren? Entweder ich kommunizieren mit meinem vollen Namen mit einer Behörde oder ich kommunizieren anonyme mit privaten Personen, welche aber wissen, dass Lollipop23 meine richtige E-Mailadresse ist. Ich denke beides geht nicht. Entweder ich lege meine Namen offen oder ich bleibe geheim. Jede Form hat ihre Vor- und auch ihre Nachteile. Wie will ich anonyme eine Geburtsurkunde beim Amt anfordern oder meine Steuererklärung einreichen. Das geht irgendwie schlecht. Ich denke hier wird seitens des Journalisten zwei Dinge vermischt oder zumindest unklar ausgedrückt. Zum einen die anonyme Kommunikation um mich vor dem Staat zu schützen und zum anderen die namentliche Kommunikation um über meinen Namen eine Dienstleitung (z.B. Geburtsurkunde) zu bekommen.

Last but not least darf natürlich die Ende-zu-Ende Verschlüsselung in keiner Kritik fehlen. Fast wie eine Schallplatte mit einem Sprung, wird unermüdlich darauf hingewiesen, dass De-Mail keine echte Ende-zu-Ende Verschlüsselung besitzt.

Zitat Datenschützer Peter Schaar:
„Es reicht nicht aus, dass nur die Diensteanbieter bei De-Mail untereinander verschlüsselt übertragen sollen.” Notwendig sei hingegen eine „echte Ende-zu-Ende-Sicherheit zwischen Absender und Empfänger”.

Jetzt stelle ich mir die Frage, wie sich Peter Schaar eine „echte“ Ende-zu-Ende Verschlüsselung vorstellt? Meines Wissens nach kann eine Verschlüsselung nur dann sicher sein, wenn die Ver- und auch die Entschlüsselung direkt auf dem Computer der Nutzer erfolgt und nicht vom Anbieter übernommen wird. Hierzu müssen aber beide Kunden (Sender und Empfänger) spezielle Software installiert haben. (siehe Diskussion bei Inside De-Mail). Eine „echte“ Ende-zu-Ende Verschlüsslung kann nicht von einem Anbieter übernommen werden, da dann Schlüssel und Inhalt in den gleichen Händen liegen und der Schlüssel somit nicht mehr geheim ist bzw. die technische Möglichkeit besteht den Schlüssel abzufangen oder sogar herauszugeben. Was also versteht Peter Schaar und einer „echten“ Verschlüsselung oder anders formuliert, an wen richtet sich seine Forderung eine „echte“ Ende-zu-Ende Verschlüsselung einzuführen? Geht es ihm dabei nur um die Entschlüsselung auf dem Server der Anbieter um die De-Mails auf Viren zu prüfen oder sollen Nutzer gezwungen werden eine Ende-zu-Ende Verschlüsselung einzusetzen? Wie soll das gehen?

Eine Nachfrage per E-Mail blieb bis jetzt leider ohne Antwort. (WICHTIG: Hier gibt es die Antwort/Auskunft des Amts für Datenschutz!!!) Teilweise kommt es mir jedoch so vor, dass gerade auf Twitter der Schrei nach einer nutzerseitigen Ende-zu-Ende Verschlüsslung immer lauter wird, während Peter Schaar gar nicht von einer nutzerseitigen Verschlüsselung, sondern lediglich von einer durchgängigen Verschlüsselung, welche von den Anbietern durchgeführt wird, redet. Somit würden Peter Schaar und die Internetgemeinde eigentlich von zwei ganz anderen Verschlüsselungen reden. Leider fehlt mir hierzu der Beweis.

Ohne De-Mail in Schutz nehmen zu wollen, muss ich an dieser Stelle nochmals bestätigen, dass De-Mail laut Aussage am RoundTable an der IFA zu X.509 Zertifikaten kompatibel ist. Diese können aus frei wählbaren Quellen stammen. Somit ist es für den Nutzer möglich eine (ich verzichte jetzt auf der Wort „echt“) wirkliche Ende-zu-Ende Verschlüsselung per S/MIME mit gleichzeitiger Signierung der De-Mails durchzuführen.
Ob das wirklich der Punkt ist wovon Peter Schaar und die Twittergemeinde ständig reden?

Meiner Meinung nach ist ein ganz grosses Problem, dass bei der Kritik zu De-Mail und dem E-Postbrief immer mehrere Ebenen miteinander vermischt werden. Die Datenschützer kritisieren die Möglichkeiten des Staates mitzulesen, die Rechtsanwälte die AGB und die Gesetzestexte, die IT-Profis die Technik usw. Dabei habe ich das Gefühl, dass teilweise Dinge kritisiert werden, die zwar auf einer Ebene zu kritisieren wären, aber auf einer anderen Ebene gar nicht durchsetzbar sind oder gar nicht eintreten. Eine saubere Kritik muss interdisziplinär erfolgen, nur dann hat sie Hand und Fuss. Natürlich bin ich mir bewusst, dass dieser Artikel sehr subjektiv geschrieben ist und für den einen oder anderen Kritiker auch fast eine Verteidigung des De-Mail Systems ist, aber teilweise sind die Kritiken im Internet und die Meinungen mancher Blogger und Kommentatoren so aus der Luft gegriffen und auch weltfremd, dass sie mich einfach dazu verleiten diese Kritikpunkt zu entkräften, ohne dass ich dabei das neue System in Schutz nehmen will. Aber meiner Meinung nach sollte Kritik sachlich und wahr sein und alle Ebene mit einschliessen. Nur dann kann sie für ernst genommen werden und als produktive Kritik gelten.

Wie immer gilt, dass qualifizierte Korrekturen und Verbesserungen in den Kommentaren willkommen sind.

Weiterführende Artikel:
INSIDE De-Mail – Ein Blick hinter die Kulissen
Teil 3 Inside De-Mail – Scharfe Kritik des Datenschutzbeauftragten an De-Mail technisch falsch