Elektronisches Anwaltspostfach: Anwälte rei­chen Klage gegen die BRAK ein

Sie war schon länger angekündigt, jetzt ist sie eingereicht: Die Klage der Gesellschaft für Freiheitsrechte (GFF) gegen die Bundesrechtsanwaltskammer (BRAK) für ein sicheres besonderes elektronisches Anwaltspostfach (beA). Sie hat zum Ziel, das beA mit einer sogenannten Ende-zu Ende-Verschlüsselung (E2EE) so nachrüsten zu lassen, dass allein die vorgesehenen Empfänger einer Nachricht diese entschlüsseln können. Rechtsanwälte sollen damit vor Angriffen durch Kriminelle oder staatliche Stellen des In- und Auslands bewahrt werden. Nach Ansicht der klagenden Anwälte gewährleiste die derzeit von der BRAK verwendete Verschlüsselungstechnik das nicht, weil sie mit dem so genannten Hardware Security Modul (HSM) eine "Sollbruchstelle" aufweise.

Der Anwälte seien laut Presseerklärung der GFF "durch ihren alltäglichen Umgang mit sensiblen Daten besonders von den Sicherheitslücken des beA betroffen." Vertreten werden sie vom Berliner Rechtsanwalt Nicolas Baum. Für die GFF, einer NGO, die zur gezielten Durchsetzung von Grund- und Menschenrechten strategische Prozessführung in Deutschland und Europa betreibt, begleitet Rechtsanwalt Dr. Martin Delhey das Verfahren.

Laut der 55-seitigen Klageschrift wenden sich die Anwälte gegen diverse Sicherheitsrisiken des beA. Das wesentliche Sicherheitsrisiko sei jedoch "bereits in der Grundkonzeption des beAs verankert", heißt es im Schriftsatz. Denn die Systemarchitektur des beAs gewährleiste keine Ende-zu-Ende-Verschlüsselung.

"Gefahr für das Mandatsgeheimnis"

Die Anwälte machen in ihrer Klage geltend, dass die derzeitige Konzeption des beA eine Gefahr für das Mandatsgeheimnis sei, weil die Nachrichten unterwegs auf einem Server der BRAK mit einem HSM "umgeschlüsselt" würden. Nicht der Absender, sondern dieser zentrale Server steuere damit, wer die Nachrichten lesen kann. Aufgrund der Schlüsselrolle der BRAK sei das beA damit "ein besonders attraktives Ziel für Angriffe durch Kriminelle oder staatliche Stellen des In- und Auslands – ein wesentlicher Unterschied zu Brief oder Fax".

Der BRAK werfen die Anwälte vor, am beA in seiner jetzigen Form festzuhalten, "obwohl einfache technische Lösungen für eine Ende-zu-Ende-Verschlüsselung längst verfügbar" seien. Für die betroffenen Anwälte sei dies nicht hinnehmbar.

"Diese Hintertür des beA in seiner derzeitigen technischen Ausgestaltung ist eine Gefahr für eine Säule unseres Rechtsstaats: das anwaltliche Berufsgeheimnis. Menschen, die sich einem Anwalt anvertrauen, müssen sich darauf verlassen können, dass die elektronische Kommunikation über das beA nicht unterwegs abgehört werden kann", so Dr. Ulf Buermeyer, Vorsitzender der GFF. Laut ihm sei es nicht nachvollziehbar, warum Rechtssuchende schlechter stehen sollen als jeder normale Nutzer von Messengerdiensten wie Signal, Telegram oder WhatsApp, bei denen die Ende-zu- Ende-Verschlüsselung "längst Standard" sei.

Das beA ist seit Weihnachten offline. IT-Experten hatten massive Sicherheitslücken entdeckt. Eigentlich dürfen Anwälte spätestens ab Januar 2022 nur noch auf elektronischem Wege über das beA mit den Gerichten zu kommunizieren.

Weitere Klage beim VG Berlin anhängig

Für die am Freitag eingereichte Klage gegen die BRAK hatte die GFF im Vorfeld um Spenden gebeten. In ihrer Mitteilung teilte sie nun mit, dass viele Menschen mit ihren Spenden dafür gesorgt hätten, dass die Klage nach wenigen Wochen finanziert war. Das zeige, "wie groß das Interesse an einer gerichtlichen Klärung der Datensicherheit des beAs ist".

Wann ein sicheres beA online gehen kann, steht weiter in den Sternen. Das externe Sicherheitsunternehmen Secunet hat mittlerweile die Sicherheitslücken des beA untersucht, auf die Experten die BRAK in den vergangenen Monaten hingewiesen hatten. Was bei der Untersuchung herausgekommen ist, verrät die BRAK bislang aber nicht. Ein erster "Abschlussbericht" des IT-Sicherheitsunternehmen war Anfang Juni vom BRAK-Präsidium abgelehnt worden. Es habe sich "Anpassungsbedarf im Hinblick auf die Allgemeinverständlichkeit und den Konkretisierungsgrad" ergeben, hieß es. Secunet solle erst einmal nachbessern und nun innerhalb der kommenden Tage einen "ergänzten Abschlussbericht" vorlegen.

Dann wird es erneut eine außerordentliche Präsidentenkonferenz geben. "Wir werden den Termin öffentlich bekanntgeben, sobald uns das finale Gutachten von Secunet vorliegt", teilte die BRAK auf LTO-Anfrage mit. Voraussichtlich werde dieser noch im Juni liegen. Das entspreche unter anderem "dem Interesse an einer raschen Wiederinbetriebnahme des beA", so die Kammer.

Zum bevorstehenden Verfahren vor dem Anwaltsgerichtshof wollte sich die BRAK gegenüber LTO allerdings noch nicht äußern. "Zu der Klage nehmen wir Stellung, wenn sie uns vorliegt", sagte eine Sprecherin.

Allein, es wird nicht die einzige Klage sein, die die BRAK in den nächsten Wochen beschäftigen wird. Der Leipziger Vergaberechtler Christian Braun hat bereits mit Datum vom 8. Juni seine Klage gegen die BRAK vor dem Verwaltungsgericht Berlin eingereicht. Hintergrund ist das Vergabeverfahren beim beA, in dem am Ende der Dienstleister Atos das Rennen gemacht hatte. Der Anwalt bekräftigte gegenüber LTO, es gebe "erhebliche Anzeichen, dass die BRAK kein ordnungsgemäßes Vergabeverfahren durchgeführt hat".