Bereitgestelltes Zertifikat birgt Sicherheitsrisiken
Allen Rechtsanwältinnen und Rechtsanwälten, die entsprechend einer ursprünglichen Empfehlung vom 22.12.2017 das ersatzweise bereitgestellte Sicherheitszertifikat installierten, rät die BRAK dringend zur Deinstallation, um sich aus dem Zertifikat möglicherweise ergebende Sicherheitsrisiken für die individuelle PC-Umgebung auszuschließen. Die Vertraulichkeit der Datenübertragungen sei aber zu jedem Zeitpunkt gesichert gewesen. Es handele sich um ein Zugangs- beziehungsweise Verbindungsproblem, das der Technologieentwickler des beA-Systems trotz intensiver Arbeiten bislang nicht gelöst habe. Die BRAK will das beA-System erst dann wieder online bereitstellen, wenn der Dienstleister die Störungen vollständig behoben hat und einen sicheren Zugang gewährleisten kann.
Update 1 vom 03.01.2018: Hacker des CCC kritisieren beA-Anwendung
Markus Drenger und Felix Rohrbach vom Chaos Darmstadt e. V., der südhessischen Vertretung des Chaos Computer Clubs, zeichnen ein etwas detaillierteres Bild der Probleme, wie "heise-online" berichtet. Das ursprüngliche Zertifikat habe am 22.12.2017 deaktiviert werden müssen, nachdem durch den beA-Client der dafür eigentlich nicht vorgesehene Private Key des Zertifikats verteilt worden sei, was Drenger und Rohrbach bemerkt hatten. Auch von einem eilig erstellten Ersatzzertifikat sei wiederum der Private Key verteilt worden. Das habe zu dem nach wie vor andauernden Stopp für das beA geführt. Die Analysten kritisierten zudem die Verwendung veralteter Java-Bibliotheken und die Entschlüsselung und Neuverschlüsselung von Mailinhalten durch den beA-Verteiler. Eine "Ende-zu-Ende-Verschlüsselung" sehe anders aus, so Drenger dazu.
Update 2 vom 03.01.2018: Infobrief der BRAK
Am Nachmittag des 03.01.2018 erläuterte Ekkehard Schäfer, der Präsident der BRAK, in einem Infobrief den aktuellen Stand der Dinge. In diesem räumte er massive Probleme mit dem beA ein und wies die Nutzer erneut darauf hin, dass sie das Zertifikat vom 22.12. möglichst wieder deinstallieren sollten, da es "das Risiko für die IT-Sicherheit der Computer der Nutzer" erhöhe. Ein Zeitpunkt, wann das beA wieder online gehen werde, könne er noch nicht nennen. Er rechne aber nicht damit, dass dies noch im Januar der Fall sein werde. Schäfer hierzu: "Für uns Rechtsanwältinnen und Rechtsanwälte ist es wichtig, zu wissen, dass das beA in seiner Anwendung stets komplett sicher war, niemand also die Vertraulichkeit der übersandten Dokumente verletzen konnte. Das beA wird erst wieder online gehen, wenn dies auch weiterhin gesichert ist." Bezüglich der eigentlich seit dem 01.01. eigentlich bestehenden passiven Nutzungspflicht will sich die BRAK mit dem Bundesjustizministerium zusammensetzen und zeitnah über die Ergebnisse dieser Besprechung informieren.
