Spendenaufruf für ein sicheres Anwaltspostfach: Pro­mi­nente Anwälte wollen die BRAK ver­klagen

Eine Gruppe von Anwälten will für eine Ende-zu-Ende-Verschlüsselung (E2EE) des besonderen elektronischen Anwaltspostfachs (beA) klagen. Unter dem Motto "beA – aber sicher!" sammeln die die prominenten Juristen Spenden, um die für Errichtung und Betrieb des Systems verantwortliche Bundesrechtsanwaltskammer (BRAK) zu verklagen.

Eine solche E2EE garantiere eine vertrauliche elektronische Kommunikation, eine Nachrüstung des beA-Systems sei leicht möglich, so die Anwälte in ihrem Aufruf. Dafür, dass der nicht ungehört verhallt, dürften schon mehrere prominente Namen garantieren. Zudem ist der Zeitpunkt für den Spendenaufruf gut gewählt: In der Anwaltschaft brodelt es, in den Kammerbezirken stehen Entscheidungen an.

Auf eine Rücktrittsforderung der Berliner Anwälte wollte die BRAK sich auf LTO-Anfrage nicht äußern. Die Dachorganisation der Rechtsanwälte hält stattdessen auch in einem aktuellen Schreiben daran fest, dass "über das beA versandte und empfangene Nachrichten durchgängig verschlüsselt" seien und während der Übertragung niemand außer dem vorgesehenen Empfänger davon Kenntnis nehmen könne.

Ende-zu-Ende-verschlüsselt ist es nicht

Über die Verschlüsselung der Nachrichten im beA-System wird gestritten, seitdem Ende vergangenen Jahres bekannt wurde, dass das beA-Syste erhebliche Sicherheitslücken aufweist. Daraufhin nahm die BRAK das System vor Weihnachten vom Netz. Dabei blieb es bis heute, obgleich seit dem 1. Januar 2018 alle Anwälte verpflichtet sind, in dem Postfach eingehende Nachrichten gegen sich gelten zu lassen (sog. passive Nutzungspflicht).

Die BRAK nutzte den Begriff der Ende-zu-Ende-Verschlüsselung jahrelang, um die Sicherheit des Anwaltspostfachs zu beschreiben. Das tut sie jetzt nicht mehr. Einig sind sich Macher und Kritiker des Systems inzwischen wohl darüber, dass das Postfach die fachsprachliche, allgemeine Definition von E2EE nicht erfüllt.

Dennoch hält die BRAK in einer Antwort auf diverse Fragen der ARGE IT-Recht des Deutschen Anwaltvereins vom 16. März daran fest,  dass über das beA versandte und empfangene Nachrichten "durchgängig verschlüsselt" seien. "Das bedeutet, dass sie auf dem Computer des Absenders verschlüsselt und erst auf dem Computer des Empfängers entschlüsselt werden", heißt es wörtlich in dem Schreiben, das die Anwaltskammer Hamburg auf Ihrer Webseite veröffentlicht hat. Während der Übertragung seien die Daten durchgehend verschlüsselt,  niemand außer dem vorgesehenen Empfänger (oder eine von diesem berechtigten Person) könne von ihrem Inhalt Kenntnis nehmen, so Präsident Ekkehart Schäfer.

Kann durchgängig verschlüsselt sein, was unterwegs umgeschlüsselt wird?

Das ist, glaubt man der Gruppe von Anwälten, die nun Spenden für eine Klage sammeln, schlicht falsch. Derzeit könnten Nachrichten keineswegs nur von den Empfängern entschlüsselt werden, heißt es zur Begründung des Spendenaufrufs. Diese würden vielmehr unterwegs "umgeschlüsselt". 

Auf einem Server namens Hardware Security Modeul (HSM), den die BRAK als Betreiberin des beA kontrolliert, werde der Zugriff auf alle durchlaufenden beA-Nachrichten verwaltet, heißt es in dem Spendenaufruf der Anwälte. So steuere nicht der Absender, sondern ein Server der BRAK, wer diese letztlich lesen kann.

Auch laut Jörn Erbguth könnte der Server die Nachrichten der Anwälte, die das beA nutzen, sehr wohl entschlüsseln. Nur die korrekte Implementierung von Sicherheitsmaßnahmen sowie der sichere Betrieb des Servers gewährleisteten, dass dies nicht geschieht, schrieb der Legal-Tech-Berater, der auch dem Vorstand des EDV-Gerichtstags angehört, auf LTO, nachdem er sich im Rahmen des sogenannten beAthon ein unmittelbares Bild von dem System und seinen massiven Sicherheitslücken verschafft hatte.

Prominente Kritik in stürmischen Zeiten

Für die Juristen, die nun gemeinsam mit der Gesellschaft für Freiheitsrechte (GFF) Spenden für eine Klage gegen die BRAK sammeln, ist das ein unhaltbarer Zustand. Technisch könne die Kommunikation aller Anwältinnen und Anwälte in Deutschland mitgelesen werden – eine Gefahr für das anwaltliche Berufsgeheimnis und damit eine Säule des Rechtsstaats, begründet die Gruppe ihren Aufruf. Nach eigenen Angaben benötigen die Anwälte einen Betrag von 25.000 Euro, um Klage gegen die BRAK zu erheben und gegebenenfalls eine einstweilige Anordnung zu beantragen. Erst wenn die Summe insgesamt erreicht ist, würden die einzelnen Spenden eingezogen.

Man darf damit rechnen, dass der Ruf der Anwälte nicht* ungehört verhallt. Mit Konstantin von Notz, beim Bündnis 90/Die Grünen u.a. mit Sicherheits- und Datenschutzthemen befasst und stellvertretender Vorsitzender des Parlamentarischen Kontrollgremiums, sowie Konstantin Kuhle, dem Bundesvorsitzenden der Jungen Liberalen, finden sich unter den Anwälten gleich zwei Bundestagsabgeordnete. Der Berliner Verwaltungsrechtler Remo Klinger machte kürzlich für die Deutsche Umwelthilfe Dieselfahrverbote möglich, die Berliner Strafverteidiger Stefan Conen und Ali B. Norouzi bewahrten in der vergangenen Woche die beiden Raser vom Berliner Ku'Damm vor einer Verurteilung wegen Mordes.

Mindestens der interessierten Fachöffentlichkeit bekannt sind auch der Berliner Anwalt Martin Delhey, über dessen Verfassungsbeschwerde gegen das beA das BVerfG exakt an dem Tag entschied, an dem das Postfach nur wenige Stunden später vom Netz genommen werden musste*. Die Bloggerin und Hamburger IT- und Datenschutzrechtlerin Nina Diercks ist spätestens seit ihrem offenen Brief an die BRAK in Sachen beA vielen Anwälten ein Begriff.

Der Zeitpunkt für den Spendenaufruf ist günstig gewählt, in der Anwaltschaft brodelt es. Die Berliner Kammerversammlung hat den Rücktritt von BRAK-Präsident Ekkehart Schäfer sowie seines Stellvertreters Martin Abend gefordert, der das beA bei der BRAK verantwortet. In fast allen Kammerbezirken, darunter auch bei den bekanntermaßen kritischen Anwälten in Düsseldorf,  Hamburg und Mecklenburg-Vorpommern, stehen die Kammerversammlungen in den kommenden Wochen an.

Ende März soll ein von der Firma Secunet zu erstellendes Gutachten Hinweise darauf geben, was nötig werden wird, um das System sicher wieder in Betrieb nehmen zu können und wie lange das dauern wird. Das Gutachten will die BRAK veröffentlichen.

Ergänzt und korrigiert am Tag der Veröffentlichung, 17:36 Uhr