VS. 3½ Jahre D -Gesetz. Eine kritische Bestandsaufnahme

Transkript

1 VS. 3½ Jahre D -Gesetz Eine kritische Bestandsaufnahme Dr. iur. Raoul Kirmes M.Sc. (Forensik), CISA, QMA, CSP VISUS-Wirtschaftsprüfungsgesellschaft Bild: No-D ; (CC) Chaos Computer Club Dresden Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 1

2 Überblick Warum überhaupt D ? Ein Rückblick Warum ist D (eigentlich) ein Großer Wurf? - Gelungener Rechtsrahmen Das Scheinproblem - Keine Ende zu Ende-Verschlüsselung? Die echten Probleme - Das Akzeptanzproblem - Kein Wettbewerb im D Markt - Rechtsunsicherheit durch problematische Zulassungspraxis des BSI Fazit Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 2

3 Ein Auszug aus der Liste der an Akzeptanz gescheiteren Projekte 1. # Warum überhaupt D ? Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 3

4 Prämissen für das Projekt: Bürgerportale (später D ) 1. Vom Bürger darf nicht mehr die Anschaffung besonderer Sicherheitstechnik verlangt werden, sondern er ist dort abzuholen wo er sich aktuell technisch befindet. Und das war und ist* die Kommunikation (also technisch das SMTP-Protokoll). 2. Die Angebote und Dienste sollten nicht mehr vom Staat angeboten werden, sondern durch private Anbieter, weil diese besser und schneller kundengerechte Lösungen entwickeln können. Haupteinwand (2007): Ein privates Angebot für elektronische Kommunikation mit erhöhtem Sicherheitsbedarf scheitert daran, dass es nicht möglich ist, die Risiken rechtssicher auf die Provider zu verlagern, weil kein einheitliches Sicherheitsniveau im Verbund besteht. (*Wenn man per 2015 von XMPP absieht) Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 4

5 Konnte das D Gesetz die Defizite tilgen? # Was bietet das D Gesetz an Schutz? Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 5

6 Rechtliche Rahmenbedingungen D kann nicht die Welt retten. Es löst ( nur ) zwei konkrete Zielstellungen! 1 Abs. 1 D G (D -Dienste) D -Dienste sind Dienste auf einer elektronischen Kommunikationsplattform, die einen sicheren, vertraulichen und nachweisbaren Geschäftsverkehr für jedermann im Internet sicherstellen sollen. Es geht um Vertraulichkeit und Zustellungssicherheit in der elektronischen Kommunikation mit erhöhtem Sicherheitsbedarf. (und nur dort!) D enthält oder modifiziert keine elektronischen Formvorschriften. D beabsichtigt nicht, die normale komplett zu substituieren. Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 6

7 Rechtliche Rahmenbedingungen Transport und Nachrichtenverschlüsselung gesetzlich zwingend 5 Postfach- und Versanddienst (3) Der Postfach- und Versanddienst hat die Vertraulichkeit, die Integrität und die Authentizität der Nachrichten zu gewährleisten. Hierzu gewährleistet der akkreditierte Diensteanbieter, dass 1. die Kommunikation von einem akkreditierten Diensteanbieter zu jedem anderen akkreditierten Diensteanbieter über einen verschlüsselten gegenseitig authentisierten Kanal erfolgt (Transportverschlüsselung) und 2. der Inhalt einer D -Nachricht vom akkreditierten Diensteanbieter des Senders zum akkreditierten Diensteanbieter des Empfängers verschlüsselt übertragen wird. Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 7

8 Rechtliche Rahmenbedingungen Die Debatte um ein Schengen-Internet wird vorweggenommen 18 D G [Voraussetzungen der Akkreditierung] (1) Als Diensteanbieter kann nur akkreditiert werden, wer ( ) 3. die technischen und organisatorischen Anforderungen an die Pflichten nach den 3 bis 13 sowie nach 16 in der Weise erfüllt, dass er die Dienste zuverlässig und sicher erbringt, er mit den anderen akkreditierten Diensteanbietern zusammenwirkt und für die Erbringung der Dienste ausschließlich technische Geräte verwendet, die sich im Gebiet der Mitgliedstaaten der Europäischen Union oder [EWR] befinden Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 8

9 Rechtliche Rahmenbedingungen Große Strenge für die Provider 23 Bußgeldvorschriften (1) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig 1. entgegen 3 Absatz 1 Satz 3 nicht sicherstellt, dass nur der Nutzer Zugang erlangen kann 4. entgegen 4 Absatz 3 nicht sicherstellt, dass eine Kommunikationsverbindung verschlüsselt erfolgt 13. entgegen 15 die dort genannten Daten zu einem anderen Zweck erhebt oder verarbeitet (Geldbuße 50 TEUR bis 300 TEUR Euro je Fall!) Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 9

10 Rechtliche Rahmenbedingungen Behördliche Überwachung von D als steuerfinanziertes Gut Kosten, derzeit für 4 Provider p.a. ca EUR (BSI: ; BfDI: ), vgl. BT-Drucksache 17/3630. Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 10

11 Rechtliche Rahmenbedingungen Zusammenfassung 1. D bietet einen sehr strengen rechtlichen Rahmen für Kommunikationsprovider. 2. Für Jedermann (insbesondere Unternehmen) bietet sich damit die Möglichkeit, in rechtlich klar umrissenen Verantwortlichkeiten komplexe technische Probleme der elektronischen Kommunikation auf die Provider vertraglich zu verlagern. Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 11

12 Das Scheinproblem # Keine Ende zu Ende-Verschlüsselung bei D ? Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 12

13 Das Scheinproblem: Keine Ende zu Ende-Verschlüsselung? Keine Ende zu Ende Verschlüsselung bei D ? Ist das richtig? Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 13

14 Das Scheinproblem: Keine Ende zu Ende-Verschlüsselung? Aktive und passive Unterstützung der Ende zu Ende Verschlüsselung bei D 5 Abs. 3 D G Der Einsatz einer durchgängigen Verschlüsselung zwischen Sender und Empfänger (Ende-zu-Ende-Verschlüsselung) bleibt hiervon unberührt. 7 Verzeichnisdienst D G (1) Der akkreditierte Diensteanbieter hat auf ausdrückliches Verlangen des Nutzers (...) die für die Verschlüsselung von Nachrichten an den Nutzer notwendigen Informationen in einem Verzeichnisdienst zu veröffentlichen. 5 Abs. 3 D G = Passive Unterstützung: Ende zu Ende Verschlüsselung ist bei D erlaubt. 7 Abs. 1 D G = Aktive Unterstützung: Es werden X.509 Zertifikate für die Ende zu Ende Verschlüsselung angenommen und im Verzeichnisdienst bereitgestellt. Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 14

15 Das Scheinproblem: Keine Ende zu Ende-Verschlüsselung? D Accountmanagement screen auf Ende zu Ende Zertifikatsupload Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 15

16 Das Scheinproblem: Keine Ende zu Ende-Verschlüsselung? 1. D unterstützt aktiv eine Ende zu Ende -Verschlüsselung auf Basis S-MIME. 2. Es lässt passiv jede Ende zu Ende-Verschlüsselung auf Ebene der Anhänge oder im Text zu (z.b. PGP oder PDF-Crypt, etc. etc.). Aber: Die Ende zu Ende-Verschlüsselung wird nicht gesetzlich für jeden User und die gesamte Kommunikation gesetzlich verpflichtend vorgeschrieben. WARUM? Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 16

17 Das Scheinproblem: Keine Ende zu Ende-Verschlüsselung? Was heißt eigentlich Ende zu Ende Verschlüsselung? Beispiel: OSCI Schlüsselmaterial der User Nur Bereitstellung nach 7 Abs. 1 D G Schlüsselmaterial der Provider Nachrichtenverschlüsselung n. 5 Abs. 3 Nr. 2 D G Bild: Bremen Online Service KG Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 17

18 Das Scheinproblem: Keine Ende zu Ende-Verschlüsselung? Ende zu Ende Verschlüsselung erfordert: 1. PKI für Provider und User! 2. Hardware beim User! (Token/Chipkarte) 3. Spezialsoftware beim User! für Tokenzugriff 4. Verzicht auf zentralen Scan von Mails auf Viren. Bis dahin: Abwägungsfrage (+/-) 5. Das KO-Kriterium für eine zwangsweise gesetzliche Verpflichtung zur Ende zu Ende- Verschlüsselung ist aber die Unternehmenskommunikation. Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 18

19 Das Scheinproblem: Keine Ende zu Ende-Verschlüsselung? Ende zu Ende Verschlüsselung in Unternehmen (meist) unerwünscht! Erfordert komplexes Schlüsselmanagement ( PKI) (Urlaub, Krankheit, Tod von Mitarbeitern) Regulatorische Probleme (Zugriff auf verschlüsselte Daten durch Prüfer (FA, WP, etc.) (Complianceanforderungen, z.b. KWG/WpHG insb. Insidergeschäfte) Komplexe und teure Archivierungsprobleme (Ablauf von Algorithmen ca. alle 7 Jahre; was dann? Umverschlüsseln?) Kostenprobleme (Bei der Ende zu Ende-Verschlüsselung ist die Ausstattung jedes User-Arbeitsplatzes mit spezieller Hard- und Software erforderlich + Kosten für sichere Identifizierung und Zertifikatsausgabe.) [Das Problem der Bereitstellung der Certs übernimmt D -Provider] Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 19

20 Das Scheinproblem: Keine Ende zu Ende Verschlüsselung? Zusammenfassung Scheineinwand Ende zu Ende Verschlüsselung Die Ende zu Ende-Verschlüsselung ist bei D möglich! Diese wird lediglich nicht gesetzlich erzwungen, aber sehr wohl technisch unterstützt. In Anbetracht dessen, das nur ca. 2 % der Kommunikation vom Sicherheitsniveau her eine Ende- zu Ende-Verschlüsselung benötigt, ist es wirtschaftlich sinnvoll, nicht 98% der Kommunikation sinnlos mit diesen Kosten zu belasten. Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 20

21 Die echten Probleme! 1 # Fehlende Nutzerakzeptanz für D Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 21

22 Fehlende Nutzerakzeptanz für D Hat D nur ein Transrapid-Problem? Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 22

23 Fehlende Nutzerakzeptanz für D Wohl kaum. Es fehlen Innovationen und ernsthafte Geschäftsmodelle 1. Wieso kann ich D * nicht mobil nutzen? (*bei Mentana-Claimsoft nach Angabe möglich) 2. Wo sind die angekündigten Geschäftsmodelle? (Per D Handy, Versicherungs-, Energieverträge abschliessen, etc.?) 3. Wo bleiben die intelligenten Behördenanwendungen? 4. Wieso kann ich nicht per sms oder über den Eingang einer D in meinen Postfach informiert werden?* (*Problem betrifft nicht die Unternehmenslösungen) Was ist auf meine Anfrage zu Frage Nr. 4 bei United Internet seit November 2013 passiert? Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 23

24 Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 24

25 Die echten Probleme! 2 # Kein echter Wettbewerb im D Markt Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 25

26 Kein echter Wettbewerb im D Markt Der Providermangel bei D lässt echten Wettbewerb fehlen! Aus 4 macht 2 Es fehlt an We,bewerb und damit an guten für Services rund um De- Mail! Wo sind die Anbieter für Business- E- Mail Lösungen? Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 26

27 Die echten Probleme! 3 # Problematische Zulassungspraxis des BSI Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 27

28 Problematische Zulassungspraxis für D Das Zulassungsverfahren steht in Konflikt zum Europarecht 1. Die technischen Richtlinien des BSI für D (BSI-TR) wurden nicht ordnungsgemäß gemäß der Informationsrichtlinie (EG) 34/98 notifiziert. 2. Das BSI darf seit 2010 gemäß der VO 765/2008 EG a. keine Akkreditierungen mehr durchführen und (als Marktüberwachungsbehörde) b. im Bereich der Wirtschaft auch keine Konformitätsbewertungszertifikate erteilen*. * Ausgenommen von dieser Aussage ist die Konformitätsbewertung für die öffentliche Zustellung nach 5 Abs. 9 D G, da dies nicht dem Bereich der Wirtschaft zuzuordnen ist. Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 28

29 Problematische Zulassungspraxis für D Wie erklärt sich dann die Akkreditierung für D ? In der Gesetzesbegründung zum D Gesetz heißt es dazu: Die Akkreditierung nach [..] 17 D Gesetz ist nicht zu verwechseln mit der Akkreditierung, welche in 1 des Akkreditierungsstellegesetzes und der Verordnung (EG) Nr. 765/2008 [ ] ihre Grundlage findet (vgl. BT-Dr. 17/3660, S.19.). Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 29

30 Problematische Zulassungspraxis für D Das Zulassungsverfahren steht in Konflikt zum Europarecht Folgen: 1. Bei Anwendbarkeit des Europarechts sind die Vorschriften nichtig. 2. Zu hohe Kosten für die Zulassung durch das BSI im Vergleich zu akkreditierten privaten Zertifizierungsstellen und keine europäische Anerkennung für die Zertifikate des BSI. Im Ergebnis belastet das die Investitionssicherheit und schreckt mittelständische Provider ab ohne einen Mehrwert für die Sicherheit zu bieten. Vgl. Heckmann, Ein Gesetz zur Verhinderung der elektronischen Verwaltung? MMR 9/2013, S. 561; a.a. Habammer/Denkhaus, Verhindert das Unionsrecht die Digitalisierung der Verwaltung? MMR 1/2014, S.14-17; Kirmes, Informelle technische Vorschriften und Wettbewerb, Jean-Monnet Schriftenreihe Europäisches Wirtschaftsrecht, (Hrsg.), Krimphove, D., Band 11, EUL-Verlag, Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 30

31 Fazit in Thesen: D hat konzeptionelles Potenzial. Aber es fehlt an Wettbewerb! 1. Es hat effektive rechtliche Rahmenbedingungen geschaffen, um eine rechtssichere elektronische Kommunikation durch Zentralisierung komplexer Verschlüsselungs- und Signaturtechnik zu ermöglichen. 2. Die konsequente Verlagerung technisch komplexer Technik auf die Provider ermöglicht einen voraussetzungslosen Einstieg in ein höheres Schutzniveau, was die Sicherheit im Vergleich zum Status-Quo deutlich verbessern würde. 3. Das Hauptproblem von D ist die fehlende Konkurrenz bei den Providern und damit das fade Angebot im Hinblick auf die Geschäftsmodelle. 4. Ursache für die fehlenden Anträge von Providern sind die bestehenden Rechtsrisiken und die viel zu hohen Kosten im rein national gedachten Zulassungsverfahren des BSI. Es ist zu fordern, die D -Zulassung in das europäische Konformitätsbewertungssystem auf Basis der Akkreditierung (VO 765/2008 EG) zu überführen, um die Kosten zu senken. Das BSI muss sich auf die Marktüberwachung beschränken. Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 31

32 # Sie dürfen jetzt mit Fragen löchern Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 32

33 # Auf den Schultern von Riesen Verwendete Quellen: Borchers, Elektronisches Einschreiben, Deutschland führt rechtsverbindliche ein, C t 17/10, S. 74 ff. Borchers, Mail offiziell, C t 11/11, S Dietrich, BMI,D-Mail So einfach wie und so sicher wie die Papierpost, 6/2010,1-16. Grüning, Sicherheitsanker in der Kommunikation, BSI Jahresbericht 2011/2012, Habammer/Denkhaus, Verhindert das Unionsrecht die Digitalisierung der Verwaltung? MMR 1/2014, S.14-17; Heckmann, Ein Gesetz zur Verhinderung der elektronischen Verwaltung? MMR 9/2013, S. 561; Hoffmann/Borchers, Das besondere elektronische Anwaltspostfach, CR 2014, Kirmes, Informelle technische Vorschriften und Wettbewerb, Jean-Monnet Schriftenreihe Europäisches Wirtschaftsrecht, (Hrsg.), Krimphove, D., Band 11, EUL-Verlag, 2014 Kirmes, Elektronischer Rechtsverkehr im Intermediärmodell, Kommunikation & Recht (K&R), 10/2006 Verlag Recht und Wirtschaft, ISSN Knopp/Wilke/Hornung/Laue, Grunddienste für die Rechtssicherheit elektronischer Kommunikation, MMR 2008 Heft 11, S. 723 ff. Lapp, Brauchen wir D und Bürgerportale? DuD, 1/2008, S.1-5. Roßnagel, Das D -Gesetz, NJW 2011, Roßnagel, Rechtsregeln für einen sicheren elektronischen Rechtsverkehr, CR 2011, Schumacher, Akkreditierung und Zertifizierung von D -Diensteanbietern, DuD, 5/2010, Spindler, Das D -Gesetz ein weiterer Schritt zum sicheren E-Commerce, CR 2011, Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 33

34 # zur Person Lehre: Dozent für Recht, Compliance und Datenschutz im berufsbegleitenden Masterstudiengang Security Management Berufstätigkeit: VISUS GmbH Wirtschaftsprüfungsgesellschaft Dörpfeldstraße 30 D Berlin Tel.: Fax: D Dr. iur. Raoul Kirmes M.Sc. (Forensik), CISA, QMA, CSP Details zum Beratungsangebot rund um D finden Sie hier. Security Forum 2015: 3 ½ Jahre D -Gesetz - Ein kritische Bestandsaufnahme - Dr. Raoul Kirmes Seite 34