Gutachten der Firma secunet gibt Ausschlag für Wiederinbetriebnahme
Mit ihrer Entscheidung schlossen sich die Präsidenten einer Empfehlung des BRAK-Präsidiums an, die gemeinsam mit dem Abschlussgutachten der Firma secunet am 20.06.2018 an die Kammern übermittelt worden war. Die Teilnehmer der Präsidentenkonferenz diskutierten intensiv über das Gutachten der Firma secunet Security Networks AG und die auf dessen Grundlage anzustellende Risikobewertung. An der Sitzung nahmen nach Angaben der BRAK auch Vertreter der Firma secunet teil, die Fragen der Präsidenten zum Gutachten beantworteten. Die Präsidenten der Rechtsanwaltskammern zeigten sich von dem Gutachten und den Ausführungen der Firma secunet überzeugt und beschlossen daher die Wiederinbetriebnahme des beA-Systems in zwei Stufen.
Beseitigung bestimmter Schwachstellen Bedingung für Inbetriebnahme
Ab dem 04.07.2018 soll die Client Security zum Download und zur Installation bereitgestellt und die Erstregistrierung am beA ermöglicht werden. Voraussetzung hierfür sei, so die BRAK, dass secunet bis dahin die Beseitigung der in ihrem Gutachten vom 18.06.2018 unter Ziffern 3.5.4 und 5.4.1 benannten Schwachstellen bestätigt hat, soweit sie sich auf die Client Security beziehen. Zum 03.09.2018 solle dann das beA-System freigeschaltet werden. Voraussetzung hierfür sei, dass secunet bis dahin die Beseitigung der Schwachstellen, die in den Ziffern 3.5.3, 3.6.1, 3.6.2, 3.6.3, 3.6.7, 3.6.9, 3.6.10, 3.6.12, 3.6.13, 4.5.1, 4.5.2, 4.5.3, 5.4.1 (soweit der Nachrichtenversand betroffen ist) und 5.4.2 des Gutachtens beschrieben sind, bestätigt hat. Die übrigen Schwachstellen der Kategorie B würden im laufenden Betrieb beseitigt.
Andere Schwachstellen sollen im laufenden Betrieb beseitigt werden
Die Präsidentenkonferenz hat weiter beschlossen, die in dem Gutachten unter den Ziffern 5.5.1 und 5.5.3 beschriebenen Schwachstellen der Kategorie B betreffend die Hardware Security Module im laufenden Betrieb, voraussichtlich in den ersten Monaten des Jahres 2019, durch technische Maßnahmen zu beseitigen. Die von secunet im Kapitel 5.7 des Gutachtens geforderte Optimierung der Betriebs- und Sicherheitskonzepte soll nach dem Beschluss spätestens in den ersten Monaten des Jahres 2019 abgeschlossen und von secunet bestätigt werden. Die Vertreter von secunet haben hierzu den Teilnehmern der Präsidentenkonferenz auch erläutert, dass das Sicherheitskonzept nach Auffassung secunets nicht vollständig vor einem "Go live“ vorliegen muss, da es lediglich eine dokumentierende und damit organisatorische Funktion, nicht aber eine Schutzfunktion in technischer Hinsicht habe. Es sei daher unproblematisch, das Konzept im laufenden Betrieb zu vervollständigen.
Vierwöchige Testphase nach Wiederinbetriebnahme angestrebt
Die Konferenz kam weiterhin überein, dass sich die BRAK gegenüber dem Bundesjustizministerium und den Justizministerien der Länder für die Einführung einer mindestens vierwöchigen Testphase nach Wiederinbetriebnahme des beA-Systems einsetzen wird.
