De-Mail

De-Mail
De-Mail-Logo

De-Mail ist ein vom deutschen Bundesministerium des Innern koordiniertes Projekt, das das verbindliche und vertrauliche Versenden von Dokumenten und Nachrichten über das Internet ermöglichen soll.[1] Realisiert und betrieben wird De-Mail in der Regel von privatwirtschaftlichen Unternehmen, den sogenannten De-Mail-Providern bzw. De-Mail-Anbietern.[1]

Inhaltsverzeichnis

Hintergrund

Das Hauptziel von De-Mail ist es, Zustellungen über das Internet verbindlich und sicher vornehmen zu können, wobei die Ende-zu-Ende-Verschlüsselung gemäß der Technischen Richtlinie[2] eine zusätzliche Option darstellt. Der Staat erbringt den De-Mail-Dienst nicht selbst, vielmehr werden zertifizierte Provider damit betraut. Diese sind beliehen, werden also hoheitlich tätig.

Die deutsche Bundesregierung setzt mit der Einführung von De-Mail die EU-Dienstleistungsrichtlinie in nationales Recht um. Die Richtlinie verlangt, dass öffentliche Stellen bis Ende 2009 elektronische Kommunikation als verbindliches Medium akzeptieren sollen.[3]

Dienstumfang

Der Postfach- und Versanddienst De-Mail ist der zentrale Dienst für die zuverlässige und vertrauliche Kommunikation. De-Mail wird ergänzt durch eine vertrauenswürdige Dokumentenablage (De-Safe) und einen zuverlässigen Identitätsnachweis (De-Ident).

Postfach- und Versanddienst De-Mail

Über den zentralen Dienst De-Mail sollen Bürger, Wirtschaft und Verwaltung kostengünstig, zuverlässig und vertraulich elektronisch kommunizieren können. Die sichere Kommunikation basiert im Wesentlichen auf TLS-gesicherten Kommunikationskanälen (Transportverschlüsselung).[4]

Mit De-Mail sind verschiedene Versandarten möglich, die auch unabhängig voneinander genutzt werden können:

De-Mail
Die technische Richtlinie[2] schreibt Verschlüsselungs- und Prüfsummenmechanismen vor, die zum Schutz der Nachrichten vor dem Verlust von Vertraulichkeit und Integrität beitragen sollen.
De-Mail-Einschreiben
Der Absender erhält zusätzlich qualifiziert signierte Bestätigungen, wann er die Nachricht verschickt hat und wann sie in das Postfach des Empfängers eingestellt wurde.

Außerdem kann ein Absender auch folgende Optionen vor dem Versand einer De-Mail wählen:

Persönlich
Das erforderliche Authentisierungsniveau von Absender und Empfänger, beispielsweise wegen der besonderen Vertraulichkeit der Nachricht, muss mindestens Hoch sein, um die Nachricht lesen zu können.
Absender-Bestätigt
Das erforderliche Authentisierungsniveau des Absenders muss wegen der besonderen Verbindlichkeit der Nachricht mindestens Hoch sein. Der De-Mail-Provider des Absenders bestätigt nach Entgegennahme der Nachricht mittels qualifizierter Signatur, dass er den angegebenen Nachrichteninhalt von dem Absender entgegengenommen hat und dieser sich mindestens mit hoch authentisiert hat. Der Empfänger erhält dadurch einen starken Nachweis zur Authentizität des Absenders und zur Integrität der Nachricht.
Versandbestätigung
Der De-Mail-Provider des Absenders erstellt eine qualifiziert signierte Bestätigung, dass er eine referenzierte Nachricht zu einem bestimmten Zeitpunkt für den Versand an einen bestimmten Empfänger entgegengenommen hat.
Zugangsbestätigung
Der De-Mail-Provider des Empfängers erstellt nach Ablage der Nachricht in das Postfach des Empfängers eine qualifiziert signierte Bestätigung, dass er eine referenzierte Nachricht zu einem bestimmten Zeitpunkt in das Postfach des Empfängers eingestellt hat.
Abholbestätigung
Der De-Mail-Provider des Empfängers erstellt nach einer sicheren Anmeldung des Nutzers und bei Vorhandensein einer Nachricht mit Abholbestätigungs-Anforderung im Postfach des Empfängers eine qualifiziert signierte Bestätigung, dass der Nutzer eine Nachricht einsehen konnte.

Darüber hinaus kann der Absender seine Nachrichten zusätzlich mit seinen eigenen vorhandenen Komponenten (qualifiziert) signieren und/oder Ende-zu-Ende verschlüsseln. De-Mail-Provider sind verpflichtet, einen Verzeichnisdienst anzubieten, in dem Nutzer unter anderem auch Verschlüsselungs-Zertifikate zu ihren De-Mail-Adressen hinterlegen können.

Eine Übersicht bietet ein zum Thema veröffentlichtes Whitepaper.[5] Die Versandarten und Optionen werden als Header im fertigen Dokument notiert.[6]

De-Mail-Nutzerkonten und -Adressen

De-Mail kann sowohl von natürlichen Personen als auch von juristischen Personen genutzt werden. Für die Eröffnung eines Benutzerkontos bei De-Mail müssen sich die Nutzer einmalig zuverlässig identifizieren lassen. Für natürliche Personen werden bei dieser Erstregistrierung verschiedene Pflichtdaten wie beispielsweise Vor- und Nachname, Meldeadresse und Geburtsdatum aufgenommen. Bei juristischen Personen, wie etwa Firmen, Organisationen oder öffentliche Stellen, werden neben Angaben zu der juristischen Person selbst auch die Daten ihrer vertretungsberechtigten natürlichen Personen erfasst.

Da die zuverlässige Erstregistrierung Grundlage der erforderlichen Identifizierbarkeit der Kommunikationspartner ist, werden nur Verfahren akzeptiert, die hohen Sicherheitsanforderungen genügen, beispielsweise über den elektronischen Personalausweis oder per Post-Ident-Verfahren. Diese Sicherheitsanforderungen können mit denen zur Eröffnung eines Bankkontos verglichen werden.

Jedem De-Mail-Konto ist mindestens eine De-Mail-Adresse in Form einer E-Mail-Adresse zugeordnet. Die Adressen einer juristischen Person müssen deren Namen enthalten, also den Firmennamen. Natürliche Personen dürfen auch zusätzliche Adressen unter einem Pseudonym unterhalten, allerdings muss das Pseudonym als solches erkennbar sein.

Die Adresse einer natürlichen Person wird voraussichtlich folgender Syntax entsprechen: <Vorname>.<Nachname>@<De-Mail-Provider>.de-mail.de. Kommt ein Name beim gleichen De-Mail-Provider mehrfach vor, wird die Adresse um einen Punkt und eine Zahl ergänzt. Eine De-Mail-Adresse wird also dem folgenden Muster entsprechen: erika.mustermann@provider-XYZ.de-mail.de. Pseudonymen soll als Kennzeichnung das Präfix pn_ vorangestellt werden, so dass eine solche Adresse etwa pn_fantasiename@provider-XYZ.de-mail.de lauten könnte. Juristische Personen sollen als Namensraum für ihre De-Mail-Adressen eine eigene Domain der Form <Domain-Name>.de-mail.de erhalten können. So kann die juristische Person verschiedene Unterkonten einrichten, etwa mit den Namen einzelner Mitarbeiter oder Abteilungen.[7]

De-Ident

Im Rahmen der De-Mail-Dienste wird es eine einfache Möglichkeit zur Identitätsfeststellung geben. Auf Anforderung des Nutzers erstellt der De-Mail-Provider eine Ident-Bestätigung, die anschließend per De-Mail an die De-Mail-Adresse des Empfängers gesendet wird. Damit sollen Bürger sich beispielsweise bei Online-Shops registrieren können oder nachweisen, dass sie älter als 18 Jahre alt sind. Diese Inhalte werden vom De-Mail-Provider qualifiziert signiert, um die Korrektheit der übermittelten Daten zu bestätigen. Der Prozess ist in einer weiteren Technischen Richtlinie[8] festgelegt. Die Ident-Bestätigung enthält die beim De-Mail-Provider vorhandenen Daten, die nicht unbedingt aktuell sein müssen. Aktuelle Identitätsdaten erhält man für natürliche Personen nur mit dem neuen Personalausweis und für juristische Personen über das elektronische Handelsregister.

De-Safe

Eine häufige Anforderung ist, dass wichtige Dokumente sicher in elektronischer Form aufbewahrt werden können. Für diesen Fall sollen die De-Mail-Provider sog. Dokumentensafes bereitstellen, die eine langfristige Speicherung und den Schutz vor Verlust und Manipulation ermöglichen. Auch hier werden alle an den Safe übergebenen Dokumente unmittelbar nach der Entgegennahme verschlüsselt und integritätsgeschützt. Der Prozess ist in einer weiteren Technischen Richtlinie[9] festgelegt. Allerdings sagt diese technische Richtlinie nichts über einen möglichen Schadensfall bzw. dessen Regulierung aus. Bei sehr wichtigen Daten bleibt daher die Frage offen, ob man das Risiko einer geringen oder ausbleibenden Schadensregulation eingeht – oder vorab in andere, sichere Speichersysteme (Mehrfachsicherung auf Permanentmedien, Speicherung an verschiedenen Orten, etc.) investiert. Gesetzliche Anforderungen an Archivierung oder Aufbewahrung von Unterlagen, beispielsweise § 147 Abgabenordnung (AO), werden durch diesen Dienst nicht erfüllt.

Authentisierungsniveaus zur Anmeldung am De-Mail-Konto

Grundlage für die Nutzung der De-Mail-Dienste ist die sichere Anmeldung an dem De-Mail-Konto des Nutzers. Grundsätzlich sind die Authentisierungsniveaus Normal und Hoch vorgesehen:

Normal
entspricht Benutzername/Passwort
Hoch
Besitz und Wissen, das können beispielsweise mobiltelefonbasierte Verfahren (mobileTAN) sein, bestimmte Chipkarten oder der elektronische Personalausweis mit Authentisierungsfunktion.

Das bei der Anmeldung am Account tatsächlich verwendete Authentisierungsniveau wirkt sich auf die weitere Nutzung der De-Mail-Dienste während des jeweiligen Anmeldezeitraums aus. So sind z. B. bestimmte Zugriffe auf Dokumente im De-Safe oder auf Nachrichten im Postfach sowie die Nutzung bestimmter Versandarten an ein Mindestauthentisierungsniveau gekoppelt. Das jeweilige Authentisierungsniveau ist auch für die Kommunikationspartner ersichtlich, damit diese den Grad der Vertrauenswürdigkeit einstufen können.

Akkreditierte Diensteanbieter

Akkreditierungsverfahren

Im Rahmen einer Akkreditierung durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) müssen die De-Mail-Provider die Umsetzung technischer und organisatorischer Maßnahmen nachweisen, die zum Beispiel den internen oder externen Zugriff auf die Daten durch Unberechtigte verhindern. Zudem müssen sie nachweisen, dass sie die De-Mail-Dienste interoperabel anbieten (also auf technischer Ebene mit den anderen De-Mail-Providern nahtlos zusammenarbeiten). Dies wird als wichtig angesehen, um der Entstehung von Insellösungen vorzubeugen. Erst nach erfolgreichem Durchlaufen des Akkreditierungsverfahrens dürfen sie am Markt als De-Mail-Provider auftreten. Detaillierte und aktuelle Information zum geplanten Zertifizierungs- und Akkreditierungsverfahren werden auf der Website des BSI veröffentlicht. Die technischen Vorgaben sind vom BSI veröffentlicht worden.[10]

Für die Akkreditierung muss der De-Mail-Anbieter zudem nachweisen, dass er auch die datenschutzrechtlichen Anforderungen erfüllt. Der Nachweis ist durch ein Zertifikat des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) zu erbringen. Dafür muss der De-Mail-Anbieter dem BfDI ein sachverständiges Gutachten vorlegen. Grundlage für die Begutachtung ist der Kriterienkatalog des BfDI, der in einer Vorabversion veröffentlicht worden ist.[11]

Zugelassene Auditoren und Prüfstellen

Während das BSI im Januar 2011 die ersten speziellen Auditoren für die Prüfung der IT-Sicherheit, Interoperabilität und Funktionalität zugelassen hat,[12] geht der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hinsichtlich der neben der technischen Prüfung ebenfalls erforderlichen Datenschutzprüfung einen anderen Weg: Als Gutachter für die Datenschutzprüfung kommen vom Bund oder von einem Bundesland anerkannte oder öffentlich bestellte oder beliehene sachverständige Stellen für Datenschutz zum Einsatz. Sie müssen für die beiden Bereiche Recht und Technik fachlich zugelassen sein. Solche Stellen sind derzeit beim Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD) zugelassen.[13]

Aktuelle Teilnehmer

Aktuell am Projekt beteiligt sind die Unternehmen GMX[14] Mentana,[15] Deutsche Telekom,[16] T-Systems[17] und WEB.de[18].[19]

Seit dem 6. Juli 2010 bietet die United Internet AG über ihre Marken GMX[20] und WEB.DE[21] eine Vorregistrierung[22] für Kunden an sowie seit dem 13. Juli 2010 die Deutsche Telekom AG[23][24]. Seit dem 1. Juli 2010 bietet die Mentana-Claimsoft AG über die Marke Signaturportal.de[25] ebenfalls eine Vorregistrierung von De-Mail-Adressen an. Die Deutsche Post AG hat angekündigt, für den E-Postbrief ebenfalls eine Akkreditierung zu beantragen, sobald das De-Mail-Gesetz in Kraft getreten ist.[26][27] Die Vorregistrierung für den E-Postbrief begann am 14. Juli 2010.[28]

Nutzung

Die Nutzung des Dienstes durch die Bürger soll freiwillig sein.

Sowohl die Einrichtung eines Postfachs als auch der Versand von Nachrichten und die Bestätigung des Versands können kostenpflichtig angeboten werden. Voraussetzung zur Einführung des Dienstes ist der Abschluss des gesetzgeberischen Verfahrens zum De-Mail-Gesetz mit Zustimmung der Bundesländer.[29]

Sicherheit

Von unverschlüsselter E-Mail soll sich De-Mail vor allem durch einen höheren Sicherheitsgrad unterscheiden. Die vorhandenen technischen Standards sollen zu diesem Zweck nicht erweitert werden; vielmehr soll die zusätzliche Sicherheit durch die verpflichtende Nutzung von Standardfunktionen entstehen, die eigentlich als optional gelten und in der Praxis selten in vollem Umfang genutzt werden:

  • Fester Bestandteil von De-Mail soll eine verpflichtende Authentifizierung sein, so dass die Systeme von Absender und Empfänger die Identität der jeweils anderen Seite sicherstellen können. Eine Möglichkeit hierfür ist der Einsatz digitaler Zertifikate.
  • Eine Verschlüsselung der Inhalte beim Provider sowie eine Verschlüsselung der Übertragungswege soll Sicherheit gegen den Zugriff durch Unbefugte bieten.

S/MIME oder OpenPGP können zusätzlich durch den Nutzer für die Abbildung der Ende-zu-Ende-Sicherheit eingesetzt werden. Die Liste der hauptsächlichen Sicherheitsfunktionen wurden in einem Dokument des BMI zusammengefasst.[30]

Technische Konzeption

Das technische Konzept ist innerhalb von technischen Richtlinien beschrieben, die auf der Web-Seite des BSI[31] veröffentlicht sind.

Standardmäßige Transportsicherheit

Sowohl die Kommunikation der De-Mail-Nutzer mit ihren De-Mail-Provider als auch die Kommunikation von De-Mail-Providern untereinander verläuft grundsätzlich über TLS-gesicherte Kommunikationskanäle.[4] Reicht einem Nutzer das dadurch realisierte Sicherheitsniveau nicht aus, kann er zusätzlich seine Nachrichten beziehungsweise Dokumente Ende-zu-Ende-verschlüsseln und/oder Inhalte (qualifiziert) signieren.[2]

Versand der Nachricht vom Absender an den De-Mail-Provider

Die Nachricht wird vom Web- oder Nachrichten-Client des Nutzers an den Postfachdienst des Providers übermittelt.[2]

Prüfung und Ergänzung der Metadaten

Unmittelbar nach Entgegennahme der Nachricht vom Absender überprüft der De-Mail-Provider die mit der Nachricht übermittelten Metadaten. Unter anderem muss die in der Nachricht als Absenderadresse angegebene De-Mail-Adresse dem De-Mail-Konto zugeordnet sein, von dem der Absender die Nachricht verschickt. Auch muss das Authentisierungsniveau des Absenders mindestens Hoch sein, wenn er die De-Mail-spezifische Versandoption Absender-bestätigt ausgewählt hat. Nach Prüfung der Metadaten wird der Nachrichteninhalt auf Malware untersucht. Anschließend ergänzt der De-Mail-Provider des Absenders weitere Metadaten, darunter die aktuelle Zeit.

Integritätssicherung und Verschlüsselung

Mit dem Ziel der Integritätssicherung fügt der De-Mail-Provider des Absenders der Nachricht inklusive Metadaten einen Hashwert hinzu.[2] Ein Hashwert stellt allerdings keinen Integritätsschutz im Sinne eines Message Authentication Code dar.[32] Bei Nachrichten, die mit der Versandoption Absender-bestätigt versendet werden, wird der Hashwert vom Provider noch zusätzlich qualifiziert elektronisch signiert und die Signatur in den Metadaten der Nachricht (Header) gespeichert.

Im Anschluss verschlüsselt der De-Mail-Provider den Nachrichteninhalt sowohl für sich selbst als auch für die De-Mail-Anbieter der Empfänger.

Versandbestätigung

Unmittelbar vor der Übertragung der Nachricht an den oder die Empfänger stellt der De-Mail-Provider des Absenders – falls vom Absender angefordert – eine qualifiziert signierte Versandbestätigung aus. Die Versandbestätigung wird dem Absender als Anhang einer De-Mail zugestellt.

Die Versandbestätigung enthält unter anderem den Hashwert der ursprünglichen Nachricht und den Zeitpunkt der Übermittlung. Damit kann der Absender gegenüber Dritten nachweisen, dass er zu einem bestimmten Zeitpunkt die referenzierte Nachricht versendet hat.

Übertragung der Nachrichten an De-Mail-Provider

Die De-Mail wird vom De-Mail-Provider des Absenders mittels SMTP durch TLS gesichert an den De-Mail-Provider des Empfängers übertragen.[4] Nach Entgegennahme der Nachrichten wird eine Kopie der Nachricht temporär entschlüsselt und die Integrität der Nachricht geprüft. Ein gegebenenfalls vorhandener Nachsendeauftrag wird bearbeitet. Anschließend legt der Provider des Empfängers die verschlüsselte Nachricht im Postfach des Empfängers ab und verwirft die entschlüsselte Nachrichten-Kopie.[2]

Zugangsbestätigung

Unmittelbar nach Ablage der Nachricht in das Postfach des Empfängers stellt der De-Mail-Provider des Empfängers eine Zugangsbestätigung für den Absender der Nachricht aus – sofern vom Absender gewünscht. Diese Bestätigung des Zugangs der Nachricht wird vom BSI in seiner Technischen Richtlinie auch Eingangsbestätigung genannt. Der De-Mail-Provider signiert die Bestätigung qualifiziert und sendet sie dem Absender als Anhang einer De-Mail zurück. Die Zugangsbestätigung enthält unter anderem den Hashwert der ursprünglichen Nachricht sowie den Zeitpunkt der Ablage der Nachricht in das Postfach des Empfängers. Der Absender der ursprünglichen Nachricht kann mit der Zugangsbestätigung gegenüber Dritten nachweisen, dass der Empfänger ab einem bestimmten Zeitpunkt Zugang zu einer bestimmten Nachricht hatte.

Protokolle und Datenformate von De-Mail

Für die De-Mail-Kommunikation sind zwei Kommunikationsstrecken relevant. Zum einem die Strecke zwischen Nutzer und seinem De-Mail-Provider; und zum anderen die „interne“ Strecke zwischen zwei De-Mail-Providern.

Für den Kommunikationskanal zwischen Nutzer und seinem Provider gibt es die sicherheitstechnische Anforderung, dass die Kommunikation über einen gegenseitig authentisierten und vertraulichen Kanal erfolgen muss, wie beispielsweise SSL/TLS. Dies kann aber auch über OSCI-Transport realisiert werden. Die technische Umsetzung und damit die Wahl des Transportprotokolls und auch der verwendeten Datenformate können individuell zwischen De-Mail-Provider und Nutzer erfolgen. Auch können Absender und Empfänger prinzipiell unterschiedliche Protokolle/Datenformate und damit auch Client-Anwendungen nutzen. De-Mail-Provider müssen als Client-Anwendungen mindestens Webbrowser mit HTTPS unterstützen. Darüber hinaus sind auch E-Mail-Clients mit SMTP für den Versand und POP3 bzw. IMAP für den Empfang von Nachrichten – jeweils über einen sicheren Kommunikationskanal eingesetzt – möglich. Im Gegensatz zum Kommunikationskanal zwischen Nutzer und De-Mail-Provider sind die Protokolle und Datenformate zwischen zwei De-Mail-Providern genau spezifiziert, so dass alle Provider einheitlich (interoperabel) untereinander kommunizieren können.

Zur Absicherung des Kommunikationskanals zwischen zwei De-Mail-Providern kommt SSL/TLS zum Einsatz. Über diesen sicheren Kommunikationskanal wird SMTP zum Übermitteln der Nachrichten und als Datenformat das Standard-E-Mail-Format (Internet Message Format) eingesetzt.

Status

Das Projekt „Bürgerportal“ wird von der deutschen Bundesregierung zusammen mit privatwirtschaftlichen Partnern realisiert. Das Projekt wurde im November 2008 erstmals auf dem IT-Gipfel in Darmstadt öffentlich vorgestellt. Am 4. Februar 2009 wurde ein entsprechender Gesetzentwurf der Bundesregierung beschlossen.[33]

Statt dem bisherigen Gesetzentwurf zur Regelung von Bürgerportalen ist nun ein neuer Gesetzentwurf mit dem Namen „Entwurf eines Gesetzes zur Regelung von De-Mail-Diensten und zur Änderung weiterer Vorschriften – De-Mail-Gesetz” bei den Verbänden und Vereinen zur Kommentierung.

Die Financial Times Deutschland berichtete im September 2009, dass die Deutsche Post AG das Gesetzgebungsverfahren verzögerte um der eigenen Dienstleistung E-Postbrief einen Startvorteil zu verschaffen.[34]

Ein De-Mail-Pilotprojekt im Raum Friedrichshafen lief ein halbes Jahr (Oktober 2009 bis März 2010). Die Pilot-Systeme stehen den bisherigen Nutzern noch zur Verfügung.

Im Jahr drauf wurde das De-Mail-Gesetz (Gesetz zur Regelung von De-Mail-Diensten und zur Änderung weiterer Vorschriften vom 28. April 2011) beschlossen und trat am 3. Mai 2011 in Kraft.[35]

Die Einführung von De-Mail war zunächst für Frühjahr/Sommer 2011 geplant, jedoch verzögert sich diese schon seit einigen Monaten. Das BSI begründet dies mit dem langwierigen Zertifizierungsprozess der von den künftigen De-Mail-Providern zur Prüfung vorgelegten Dienste und rechnet nun Ende 2011 mit der ersten Akkreditierung.[36]

Kritik

Technische Konzeption

De-Mail verwendet zur Absicherung der Kommunikation sowohl zwischen Nutzer und Provider als auch zwischen zwei Providern gegenseitig authentisierte und verschlüsselte Kommunikationskanäle. Beim Versand wird daher der Nachrichteninhalt erst auf Provider-Seite integritätsgesichert und für den Provider des Empfängers verschlüsselt. Auch muss der Provider des Empfängers den Nachrichteninhalt vor Übertragung an ihn wieder entschlüsseln, prüfen und wiederum verschlüsseln. Hierbei kommt keine sogenannte Ende-zu-Ende-Verschlüsselung zustande.

Jedoch kann der Nutzer auch bei De-Mail seine Nachrichten selbst signieren und Ende-zu-Ende-verschlüsseln. De-Mail unterstützt diese Operation u. a. durch einen Verzeichnisdienst, in dem Nutzer eigene Verschlüsselungszertifikate veröffentlichen können. Ein Prüfdienst für die qualifizierte elektronische Signatur soll es dem Nutzer einfach machen, die elektronische Unterschrift zu verifizieren.

Falls eine Nachricht vom Nutzer nicht verschlüsselt wurde, ist es prinzipiell möglich, dass Mitarbeiter der Provider die Nachrichten mitlesen oder verändern können. Dieser Gefahr soll durch technische und organisatorische Maßnahmen begegnet werden, die im Zertifizierungsverfahren überprüft werden. So muss der Provider u.a. durch die Umsetzung eines geeigneten Rollenkonzeptes und anderer technischer Maßnahmen nachweisen, dass einzelne Mitarbeiter eines Providers nicht auf die Nachrichten der Nutzer zugreifen können.[37]

De-Mail ist technisch nicht kompatibel zu dem etablierten elektronischen Gerichts- und Verwaltungspostfach EGVP, mit dem die elektronische Kommunikation mit Gerichten und Verwaltung bereits heute realisiert wird. Eine Schnittstelle ist wohl jedoch geplant. Eine Kommunikation zwischen De-Mail und regulären E-Mail-Adressen wird nicht möglich sein.[38]

Datenschutz

Vor der Einrichtung eines De-Mail-Briefkastens muss man sich identifizieren, was bei einem normalen Briefkasten oder bei dem Versand von Briefen nicht erforderlich ist.[39] Aufgrund der Architektur von De-Mail fließen alle Daten und Kontakte auf die Person rückführbar an einer zentralen Stelle zusammen; die Verwendung mehrerer, nicht in Verbindung zu bringender Identitäten ist nicht möglich.[40]

Die hinterlegten persönlichen Daten des Nutzers sind für eine Vielzahl von Sicherheitsbehörden und Geheimdiensten ohne richterliche Anordnung anforderbar (§ 113 TKG), die Identität hinter einer De-Mail-Adresse ist für über 1.000 Behörden in einem Onlineverfahren abrufbar (§ 112 TKG), in dem täglich 12.000 Zugriffe auf Kundendaten erfolgen.[41] Der De-Mail-Gesetzentwurf[42] sieht in § 16 sogar die Namhaftmachung des Postfachinhabers auf Anfrage Privater vor – für die Post oder einen E-Mail-Anbieter wäre eine solche Auskunft eine schwerwiegende Verletzung des Datenschutzes.

Eine Vorratsspeicherung aller De-Mail-Briefwechsel (vergleiche § 100 TKG) schließt der Gesetzentwurf nicht normenklar aus.

Kennung und Passwort zu einem De-Mail-Postfach sind auf Anforderung einer Strafverfolgungsbehörde, einer Polizeibehörde, des Bundesamts für Verfassungsschutz, des Bundesnachrichtendienstes oder des Militärischen Abschirmdienstes ohne richterliche Anordnung herauszugeben (§ 113 TKG). Die im De-Mail-Postfach liegenden Dokumente und Informationen sind damit keineswegs so geschützt wie Papierdokumente oder Briefe in der eigenen Wohnung. Das Recht zur Passwortabfrage besteht zwar bei allen E-Mail-Konten. Dort kann man sich aber mit anonymen Postfächern, multiplen Identitäten und ausländischen Konten vor Zugriffen schützen, was bei De-Mail nicht möglich ist.

Obwohl die Beantragung einer De-Mail-Adresse freiwillig sein soll, wird befürchtet, dass Behörden und Unternehmen, die ihre Leistungen bisher anonym oder ohne Überprüfung der Kundenangaben angeboten haben, faktisch schrittweise eine personengebundene und identitätsgeprüfte E-Mail-Adresse zur Voraussetzung des Angebots ihrer Leistungen machen werden. Ziel des Vorhabens ist dem Bundesinnenministerium zufolge tatsächlich, „die nicht-anonyme und sichere elektronische Kommunikation zum Normalfall” zu machen.[43] Die eindeutige Identifizierung im Internet kann beispielsweise zum Ausschluss bestimmter Kundengruppen genutzt werden, etwa wegen angeblich mangelnder Bonität oder auch nur wegen Missliebigkeit oder Kritik am Unternehmen.

Der Arbeitskreis Vorratsdatenspeicherung zieht das Fazit, von der Benutzung von De-Mail könne „nur abgeraten werden”.[44] Um einen faktischen Zwang zur Nutzung von De-Mail zu verhindern, müsse der Dienst boykottiert werden, damit er sich nicht durchsetze.

Umsetzung

An der Umsetzung des Dienstes ist mit der Deutschen Telekom ein früherer Staatsbetrieb beteiligt.[45] Die Strato AG kritisierte die angewandte Zulassungspraxis, nachdem sie selbst nach eigenen Angaben von der Teilnahme ausgeschlossen worden war.[45]

Hinterfragt wird zudem die Vertrauenswürdigkeit eines E-Mail-Dienstes, der in enger Zusammenarbeit mit dem Innenministerium angeboten wird, da selbiges Ministerium auch anstrebt, die Online-Durchsuchung einzuführen. Die Deutsche Telekom AG ist zudem in mehrere Datenschutzskandale verwickelt,[46][47] darunter eine Überwachungsaffäre, so dass Zweifel an der sicheren Einhaltung des Fernmeldegeheimnisses geäußert werden. Dennoch kann der gesetzlich geforderte Nachweis eines Datenschutzkonzepts für De-Mail-Provider[33] die Vertrauenswürdigkeit gegenüber anderen E-Mail-Anbietern steigern.

Rechtliche Aspekte

Die Folgen der Nutzung von De-Mail hängen hauptsächlich davon ab, welche Beweiskraft De-Mail zugemessen wird. Das ist noch ungeklärt.

Juristen wie Wolfgang Steppling, der Vizepräsident des Oberverwaltungsgerichts Rheinland-Pfalz, kritisieren die im Gesetz vorgesehene Möglichkeit, behördliche Bescheide ohne Empfangsbestätigung elektronisch zuzustellen. Damit könnten Bescheide in Bestandskraft erwachsen, ohne dass der Betroffene überhaupt davon erfährt. Denn im Unterschied zum herkömmlichen Briefkasten wären für die laufende Überwachung des elektronischen Postfachs technische und finanzielle Voraussetzungen erforderlich, deren Schaffung und Aufrechterhaltung vom Bürger nicht ohne weiteres verlangt werden kann.[48]

Keine Aussagen werden zur Veränderung der Zustellfiktion gemacht, deren Frist, anders als bei der Papierpost, auch an Sonn- und Feiertagen gelten könnte.[49]

Ungeklärt ist auch, wer die Beweislast für einen Missbrauch tragen soll. Der Chaos Computer Club befürchtet, dass die Beweislast – ähnlich wie beim Missbrauch von EC-Karten – beim Verbraucher (Anwender) liegen könnte.[50]

Finanzierung

Bislang unklar ist noch, wie der Betrieb des Dienstes langfristig finanziert wird.[45] Der Gesetzentwurf weist für Unternehmen auf das Einsparpotential durch Wegfall des Briefportos hin und geht davon aus, dass der Versand von Nachrichten für den Bürger portofrei ist.[33] Möglicherweise wird der Dienst um eine elektronische Frankierung („e-Porto“) ergänzt.[51] Auch eine Beteiligung der Unternehmen an den Kosteneinsparungen der Behörden wird geprüft. Durch eine Aufteilung in kostenlose Basis- und kostenpflichtige Mehrwertdienste könnten zusätzliche Einnahmen erzielt werden.

Konkurrenzangebote

E-Postbrief

Beobachter sehen durch De-Mail das Briefeschreiben auf Dauer gefährdet; der erwartete Niedergang der herkömmlichen Briefpost werde nach Christian Schlesiger „die Deutsche Post in ihren Grundfesten erschüttern“.[52] Nicht zuletzt deshalb hat das Unternehmen ein Konkurrenzprodukt mit ähnlichen Sicherheitsmerkmalen auf den Markt gebracht: Den E-Postbrief, der am 14. Juli 2010 den Betrieb aufnahm. Mitunter wurde der Unterschied von E-Postbrief und De-Mail in der Öffentlichkeit nicht wahrgenommen.[53][54]

Siehe auch

Weblinks

Einzelnachweise

  1. ↑ a b IT-Beauftragte der Bundesregierung - Häufig gestellte Fragen. Abgerufen am 5. November 2011.
  2. ↑ a b c d e f Technische Richtlinie – Postfach- und Versanddienst Funktionalitätsspezifikation
  3. ↑ Bürgerportale und die EU-Dienstleistungsrichtlinie auf www.cio.bund.de
  4. ↑ a b c Technische Richtlinie – IT-Basisinfrastruktur Interoperabilitätsspezifikation
  5. ↑ Funktionen und technische Details von De-Mail. Abgerufen am 23. Juli 2010. „Mit De-Mail sind verschiedene Versandarten möglich[...]: [...] De-Mail[...] De-Mail-Einschreiben[...] Weiterhin kann ein Absender auch folgende Optionen vor dem Versand einer De-Mail wählen: Persönlich[...] Absender-bestätigt“
  6. ↑ [TR BP IO] Technische Richtlinie Interoperabilitätsspezifikation Postfach- und Versanddienst eines Bürgerportals, Entwurf, Version 0.99. Bundesamt für Sicherheit in der Informationstechnik (BSI) (2009). Abgerufen am 23. Juli 2010. „Übersicht über die Header von Bürgerportal-Nachrichten“
  7. ↑ Technische Richtlinie – Accountmanagement Funktionalitätsspezifikation
  8. ↑ Technische Richtlinie – Identifizierungsdienst Funktionalitätsspezifikation
  9. ↑ Technische Richtlinie – Datensafe Funktionalitätsspezifikation
  10. ↑ BSI, Eine Übersicht über die technischen Vorgaben zur Gewährleistung der sicheren Kommunikationsinfrastruktur, 15. Juni 2010.
  11. ↑ BfDI, De-Mail Kriterienkatalog, 19. Januar 2010.
  12. ↑ BSI, Zertifizierung als Auditor De-Mail.
  13. ↑ ULD, Gütesiegel beim Unabhängigen Landeszentrum für Datenschutz – Sachverständigenregister.
  14. ↑ https://www.gmx.de-mail.de/ De-Mail-Provider-Website von GMX,
  15. ↑ http://www.govmail.de-mail.de/ De-Mail-Provider-Website von Mentana
  16. ↑ https://www.t-online.de-mail.de/ De-Mail-Provider-Website der Deutschen Telekom
  17. ↑ https://www.t-systems.de-mail.de/ De-Mail-Provider-Website von T-Systems
  18. ↑ https://www.web.de-mail.de/ De-Mail-Provider-Website von WEB.de
  19. ↑ De-Mail – so einfach wie E-Mail und so sicher wie Papierpost. IT-Beauftragte (CIO) der Bundesregierung. Abgerufen am 25. Juli 2010. „[...] die bis jetzt am De-Mail-Projekt beteiligten Provider GMX (www.gmx.de-mail.de), Mentana (www.govmail.de-mail.de) , T-Home (www.t-online.de-mail.de), T-Systems(www.t-systems.de-mail.de) und WEB.de (www.web.de-mail.de)“
  20. ↑ GMX De-Mail
  21. ↑ WEB.DE De-Mail
  22. ↑ Bürger können erste De-Mail-Postfächer vorregistrieren, heise online, 6. Juli 2010
  23. ↑ Telekom startet Registrierung für rechtssichere De-Mail, heise online, 13. Juli 2010
  24. ↑ Deutsche Telekom De-Mail
  25. ↑ Sigmail De-Mail
  26. ↑ Unternehmer-Magazin Creditreform
  27. ↑ Deutsche Post - E-Postbrief: Häufige Fragen abgerufen am 29. August 2010
  28. ↑ [1]
  29. ↑ De-Mail – so einfach wie E-Mail und so sicher wie Papierpost. IT-Beauftragte (CIO) der Bundesregierung. Abgerufen am 25. Juli 2010. „Rechtliche Voraussetzung für die Zulassung ist ein Gesetz. Es konnte als Bürgerportal-Gesetz in der letzten Wahlperiode vom Bundestag aus Zeitgründen nicht mehr verabschiedet werden.“
  30. ↑ [2] Sicherheitsfunktionen
  31. ↑ De-Mail-Web-Seite des BSI
  32. ↑ Charlie Kaufman, Radia Perlman, Mike Speciner: Netzwerksicherheit: Private Kommunikation in einer öffentlichen Welt. Prentice Hall PTR, Upper Saddle River, New Jersey 2002 (Originaltitel: Network security: private communication in a public world), ISBN 0-13-046019-2, S. 123-124.
  33. ↑ a b c Drucksache 174/09 - Entwurf eines Gesetzes zur Regelung von Bürgerportalen und zur Änderung weiterer Vorschriften. Bundesrat, 20. Februar 2009, abgerufen am 25. Juli 2010 (PDF).
  34. ↑ Financial Times Deutschland: Post torpediert Regierungsprojekt, abgerufen am 24. September 2009 (kostenpflichtig)
  35. ↑ Gesetz zur Regelung von De-Mail-Diensten und zur Änderung weiterer Vorschriften vom 28. April 2011 (BGBl. I S. 666)
  36. ↑ Aussagen des BSI an die "Wirtschaftswoche"
  37. ↑ Technische Richtlinie – IT-Sicherheit Übergeordnete Komponenten
  38. ↑ Fortschritte bei der De-Mail – Hybridmail: Briefpost per E-Mail wird billiger als Standardporto – Golem.de S. 2 (6. Juli 2010). Abgerufen am 6. Juli 2010.
  39. ↑ vorratsdatenspeicherung.de: Stellungnahme des Arbeitskreis Vorratsdatenspeicherung, Seite 12 f.
  40. ↑ vorratsdatenspeicherung.de
  41. ↑ bundesnetzagentur.de: Jahresbericht 2009 der Bundesnetzagentur, Seite 128
  42. ↑ netzpolitik.org: De-Mail-Gesetz – Referentenentwurf vom 2. Juli 2010
  43. ↑ E-Government 2.0 - Das Programm des Bundes S. 15. IT-Stab im Bundesministerium des Innern (2006). Abgerufen am 25. Juli 2010. „Bürger-Portale geben Bürgerinnen und Bürgern im Internet ein Gesicht. Sie machen die nicht-anonyme und sichere elektronische Kommunikation zum Normalfall [...]“
  44. ↑ Stellungnahme zur Dialogveranstaltung „Datenschutz und Datensicherheit im Internet“ S. 12. Arbeitskreis Vorratsdatenspeicherung (AK Vorrat) (16. Januar 2010). Abgerufen am 25. Juli 2010. „De-Mail und elektronischer Personalausweis können nicht für besseren Selbstdatenschutz eingesetzt werden. Umgekehrt kann von der Benutzung dieser Angebote nur abgeraten werden.“
  45. ↑ a b c Thomas Wendel: Heftige Kritik an Bundes-E-Mail. Financial Times Deutschland, 9. Oktober 2008, abgerufen am 25. Juli 2010 (kostenpflichtig).
  46. ↑ Spitzelaffäre: Telekom wollte Bewegungsprofile von Journalisten und Aufsichtsräten erfassen, Spiegel Online, 29. Mai 2008
  47. ↑ Telekom-Skandal: Diebe klauten 17 Millionen T-Mobile-Kundendatensätze, Spiegel Online, 4. Oktober 2008
  48. ↑ Witte: In: Neue Juristische Wochenschrift. Nr. 18, 2009, S. III.
  49. ↑ [3] Jürgen Kuri: Rechtssichere Bürger-E-Post De-Mail: Besonderheiten und Fallstricke (heise.de, 13. Juli 2010)
  50. ↑ E. Jung: Regierungspläne zum IT-Gipfel „Nie mehr Spam”. Sueddeutsche.de, 20. November 2008, S. 2, abgerufen am 25. Juli 2010: „"Wir befürchten, dass ähnlich wie bei EC-Karten dem Bürger pauschal die Beweislast im Missbrauchsfall auferlegt wird", sagt Frank Rosengart vom Chaos Computer Club.“
  51. ↑ Michael Marth: De-Mail: Das Ende der Warteschlange. Focus Online, 9. Oktober 2008, abgerufen am 25. Juli 2010: „Die Finanzierung soll über ein sogenanntes „e-Porto“ erfolgen – vergleichbar mit einer virtuellen Briefmarke. „Es ist wahrscheinlich, dass der De-Mail-Versand für Bürger zumindest von einigen Anbietern weitgehend kostenfrei angeboten wird“, sagt Paris.“
  52. ↑ Christian Schlesiger: De-Mail-System: Kampf um die elektronische Post. Wirtschaftswoche, 4. Juni 2009, S. 1, abgerufen am 25. Juli 2010: „Und wie die drahtlose Technik vor 18 Jahren [...] so wird De-Mail das Briefeschreiben auf Dauer nahezu auslöschen – und die Deutsche Post in ihren Grundfesten erschüttern.“
  53. ↑ Arndt Ohler (13. Juli 2010): Post gibt Startschuss für Online-Brief. Frankfurter Allgemeine Zeitung. Abgerufen am 22. Juli 2010. „Neben der Deutschen Post bieten auch andere Unternehmen wie die Deutsche Telekom, GMX und Web.de das neue De-Mail-Verfahren an“
  54. ↑ Tina Klopp (8. Februar 2010): Online-Brief für 20 Cent. ZEIT ONLINE GmbH. Abgerufen am 23. Juli 2010. „Im Sommer soll es soweit sein: Die Deutsche Post will die schon länger diskutierte DE-Mail ab Juni bundesweit anbieten.“

´


Wikimedia Foundation.

Игры ⚽ Поможем написать курсовую

Schlagen Sie auch in anderen Wörterbüchern nach:

  • Mail-order bride — is a label applied to a woman who publishes her intent to marry someone from another, usually more financially developed, country.[1] This term is considered offensive by some definitions.[2] The mail order bride industry is the economic trade of …   Wikipedia

  • Mail (application) — Mail Mail 5.0 under Mac OS X Lion Developer(s) Apple Inc …   Wikipedia

  • Mail.ru — Для термина «Mail» см. другие значения. Mail.ru URL: mail.ru Коммерческий …   Википедия

  • Mail.Ru Агент — Главное окно программы Mail.Ru Агент Тип Система мгновенного обмена сообщениями Разработч …   Википедия

  • Mail Art — [mɛɪl aː(ɹ)t] (engl. „Postkunst“), von ihrem Mitbegründer Ray Johnson auch Correspondence Art [kɔɹɛs pɔndns] (engl. „Korrespondenzkunst“) genannt, ist Kunst per Post und somit die sublimste Form der Korrespondenz. Inhaltsverzeichnis 1 Definition …   Deutsch Wikipedia

  • Mail.com — Type Webmail Provider Headquarters Chesterbrook, PA Area served Worldwide Industry Internet …   Wikipedia

  • mail — [ maj ] n. m. • 1080; lat. malleus « marteau, maillet » 1 ♦ Vx Marteau. 2 ♦ Anciennt Maillet à manche flexible pour pousser une boule de buis, au jeu qui porte son nom. Par ext. Le jeu lui même, voisin du croquet, en vogue en France du XVIIe au… …   Encyclopédie Universelle

  • Mail truck — Mail van redirects here. For mail trains in the US, see Railway post office. For post trains in the UK, see Travelling Post Office. USPS service delivery truck in a residential area of San Francisco, California …   Wikipedia

  • Mail.ru — Type Public corporation (LSE: MAIL) Founded 1998 Headquarters …   Wikipedia

  • Mail.app — Mail Entwickler: Apple Computer Aktuelle Version: 3.5 (930.3) (28. Januar 2009) Betriebssystem: Mac OS X Kategorie …   Deutsch Wikipedia

  • Mail.ru Агент — Главное окно программы Mail.ru Агент Тип …   Википедия

Share the article and excerpts

Direct link
… Do a right-click on the link above
and select “Copy Link”