Mitternachtshacking

Ich habe lange gewartet, bevor ich mich heute dazu aufgerafft habe, De-Mail zu kommentieren. Das liegt daran, dass DE-Mail einige brauchbare Ideen hatte und ich erst die konkreten Pläne der Umsetzung abwarten wollte bevor ich das Projekt verbal in Grund und Boden ramme. Inzwischen sind die wichtigsten Karten auf dem Tisch und wenn nicht noch ein Wunder (oder ein typisches Zypries-Gesetz) passiert, dann ist De-Mail so eine Fehlgeburt wie die meisten IT-Großprojekte der Bundesregierung und wird uns wie die Gesundheitskarte oder Elster oder der ePass zwangsweise auf’s Auge gedrückt.

Zuerst zu den guten Ideen: Fehlende rechtssichere E-Mail Kommunikation ist schon länger ein Hindernis in der wirtschaftlichen Entwicklung hier in Deutschland. Insbesondere die im Signaturgesetz geforderte fortgeschrittene digitale Signatur mit ihren komplexen und umfangreichen Sicherheitsanforderungen hat sich als massiver Hemmschuh herauskristallisiert. Die fehlenden Smartcards und teuren Signaturkomponenten sind ein weiteres Problem, insbesondere die gedachte Kopplung mit dem Personalausweis oder der Gesundheitskarte hat nicht gerade für Vertrauen in der Bevölkerung gesorgt.

Die Umsetzung ist jedoch alles andere als vertrauenerweckend

Zum einen behält das Bundesinnenministerium die Federführung des Projekts. Das betrifft sowohl die E-Mail Adresse als auch den geplanten sicheren Datenspeicher „De-Safe“. Im Ergebnis werden wir zwar vermutlich eine per Gesetzesdefinition rechtssichere Kommunikation bekommen, die dafür leider nicht vertraulich sein wird. Ich bin sicher, mit De-Mail sieht Schäuble die einmalige Chance, einen Schnüffelstaat Orwell’scher Dimension einzurichten und der paranoide Verfassungsfeind wird sich diese Möglichkeit vermutlich nicht entgehen lassen wollen.

Dann ist das BSI für die Akkreditierung der De-Mail Anbieter zuständig. Das BSI, das sind die mit den BSI Grundschutzkatalogen. Die Umsetzung des Grundschutzes ist recht umfangreich und verlangt so viele Ressourcen, dass sich voraussichtlich nur große Provider eine solche Zertifizierung leisten wollen. Die Parallelen zur typischen Wirtschaftspolitik in Deutschland, bei der großen Konzernen das Geld nachgeworfen wird, auch wenn diese die Arbeitsplätze ins Ausland verlagern während gleichzeitig der Mittelstand vor die Hunde geht ist frappierend.

Ein weiterer grundsätzlicher Fehler im Design ist die fehlende lebenslange universelle Adresse. Der Aufbau der Adresse soll nach dem Format „erika.mustermann.123@providerxy.de-mail.de“ erfolgen. Die Nummer ist notwendig, um verschiedene Nutzer gleichen Namens zu unterschieden. Bei einem Providerwechsel erhält der Nutzer jedoch eine neue Mailadresse, die alte Adresse wird vermutlich nach einigen Monaten wieder freigegeben. Ein Nutzer gleichen Namens kann so potentiell Zugriff auf wichtige Mails seines Namensvetters erhalten.

Am meisten aber amüsiert mich die Vorstellung, für De-Mail-Mails auch noch Porto zu bezahlen. Ich bin ja gespannt, wie man einem an Flatrate gewöhnten Internet-Nutzer vermitteln will, für eine De-Mail-Mail Geld zu bezahlen, auch wenn es nur 10 Cent sein sollten wenn es bei Web.de und GMX kostenlose Postfächer für jeden gibt.

Warum etwas wie De-Mail trotzdem kommt!

Die Behörden suchen schon seit geraumer Zeit eine günstige Möglichkeit, digital aber rechtssicher mit dem Bürger zu kommunizieren. Die vom Gesetzgeber gestellten Anforderungen an digitale Signaturen sind jedoch so hoch, dass außer ein paar Datev-Steuerberater und die Finanzbehörden niemand sie erfüllen will. Die Kosten dafür liegen einfach in keinerlei Verhältnis zum Nutzen für den Bürger. Weil der Staat aber immer mehr Arbeit auf den Bürger verlagern will, erfolgt das eben per Gesetz.

Beispiel Elster. Ich habe selten in meinem Leben eine so grottenschlecht gestrickte peinliche Software gesehen, wie die erste Version der Elster-Software. Eigentlich sollten sich die verantwortlichen Pappnasen in Grund und Boden schämen. Trotzdem wurden Unternehmen per Verordnung verpflichtet, ihre Umsatzsteuererklärung zukünftig mit dieser Dreckssoftware digital einzureichen. Ohne digitale Signatur, ohne ausreichende IT-Sicherheit, ohne zuverlässige Identitätskontrolle, das war alles scheißegal. Für die Unternehmen gab es die Kosten, für die Finanzbehörden den Vorteil.

Das gleiche wird jetzt mit De-Mail auch passieren. Warum noch ein teures Einschreiben verschicken, wenn man dem Bürger irgendwelche Mails einfach in sein De-Mail-Postfach stecken kann. Mit der Zustellung in das De-Mail Postfach ist die Mail zugestellt. Ob der Bürger darüber irgendwie informiert werden kann, z.B. per SMS oder selbst dran denken muss, täglich in das De-Mail-Postfach zu gucken ist doch den Behörden egal. Und wenn der Bürger vergisst ins Postfach zu gucken und damit Fristen versäumt … selber schuld. Die Behörden profitieren, für den Bürger wird alles schlechter.

Natürlich ist das den aufgeklärten Internetnutzern recht egal. Deshalb wird es in absehbarer Zeit eine nette Verordnung geben. Beispielsweise, dass Steuererklärungen nur noch digital über einen De-Mail Account eingereicht werden können. Wenn der Bürger also zuviel gezahlte Steuern zurück will, dann nur via De-Mail. Und schon kann man die anderen Mails auch rechtssicher zustellen.

Ich fürchte, De-Mail wird noch ein schönes Ärgernis