Bürger-E-Post De-Mail soll "geprüfte statt geglaubte Sicherheit" bringen

Die Bundesregierung ist der Meinung, dass der geplante verschlüsselte De-Mail-Dienst auch in Zeiten des Bundestrojaners und der Vorratsdatenspeicherung das Vertrauen der Bürger verdient hat. Generell werde es sich um eine "sichere dezentrale Lösung" handeln, die "von staatlich zertifizierten und akkreditierten Providern aus der Privatwirtschaft bereitgestellt wird, schreibt das federführende Bundesinnenministerium in seiner heise online vorliegenden Antwort auf eine Anfrage der FDP-Bundestagsfraktion. Die Liberalen wollten darin unter anderem wissen, ob sich die Bundesregierung "angesichts des von ihr in dieser Wahlperiode massiv ausgeweiteten Telekommunikations-Überwachungsregimes" und erweiterter polizeilicher Ermittlungsbefugnisse im Online-Bereich überhaupt noch als "vertrauenswürdiger Ansprechpartner in Angelegenheiten elektronischer Kommunikation" durch eine Mehrheit der Bürger verstanden sehe.

Der Staat schaffe generell nur "einen rechtlichen Rahmen und die regulatorischen Voraussetzungen für eine vertrauenswürdige elektronische Kommunikation für alle", setzt das Innenministerium dem nun entgegen. Die vorgeschriebene Zertifizierung der einzelnen Dienste und Komponenten der De-Mail-Provider aus der Wirtschaft ermögliche "geprüfte statt nur geglaubte Sicherheit". Darüber hinaus hebe sie das Sicherheits- und Datenschutzniveau, garantiere die weitgehende Einheitlichkeit des Angebots und fördere die Transparenz. Nutzer hätten ferner die Möglichkeit, sich einen "De-Mail-Provider ihres Vertrauens auszuwählen". Bisher haben vor allem große Provider wie die Deutsche Telekom oder 1&1 Interesse signalisiert, die "sichere Bürger-Mail" in ihr Portfolio aufzunehmen.

Heute schon vorhandene Möglichkeiten zum Verschlüsseln und elektronischen Signieren von E-Mails mit teils frei verfügbaren und von der Bundesregierung geförderten Softwarelösungen wie GnuPG reichen laut dem Innenministerium nicht aus für einen Masseneinsatz. Auch bei Verfahren wie dem "Elektronischen Gerichts- und Verwaltungspostfach" (EGVP) oder Mailversand via OSCI (Online Services Computer Interface) handle es sich um begrenzte, auf verschiedene Weisen und auf unterschiedlichen Sicherheitsniveaus verwendbare Lösungen. Die Akzeptanz solcher Systeme bei den Bürgern sei entsprechend gering.

Die mit De-Mail geplante einheitliche Infrastruktur ermögliche dagegen die vertrauliche und verbindliche elektronische Kommunikation "aller mit allen" auf einer Datenschutzebene. Da gängige verschlüsselte E-Mails zudem etwa auf dem Transportweg gelöscht werden könnten, sei ihre Rechtsverbindlichkeit für zahlreiche Geschäfts- und Verwaltungsprozesse nicht ausreichend. Die akkreditierten Anbieter könnten den Nutzern zudem die meist gescheute Arbeit mit der Installation von Verschlüsselungssoftware oder der Verwaltung zugehöriger Zertifikate und Schlüssel abnehmen. Ein gängiger Webbrowser oder E-Mail-Client könne für den sicheren Nachrichtenaustausch verwendet werden. Pseudonyme E-Mail-Adressen ohne Namen und Vornamen der Nutzer seien Teil des Konzepts. Zudem werde für die Kommunikation mit Behörden die Teilnahme am De-Mail-System nicht verpflichtend.

Beim vorgesehenen Zusatzangebot eines zertifizierten virtuellen Dokumentensafes ("De-Safe") bei den nach Kriterien des Bundesamts für Sicherheit in der Informationstechnik (BSI) geprüften Providern betont die Bundesregierung, dass ein solcher immer eindeutig einem De-Mail-Konto zugeordnet sei und "nur Zugriffe durch den Inhaber" desselben gestatte. Die Kunden könnten darin De-Mails und andere elektronische Dokumente "langfristig, sicher und vertraulich ablegen". Bei Bedarf stehe es dem Nutzer auch offen, Dateien zusätzlich vorab clientseitig zu verschlüsseln. Vergleichbar übergreifende Ansätze seien aus anderen Ländern bislang nicht bekannt.

Details hat das Innenministerium erstmals zur möglichen Implementierung des Verfahrens in Städten und Gemeinden verraten, die das Projekt anfangs skeptisch sahen. Demnach könne sich eine Behörde oder eine ganze Kommune bei einem Anbieter ein Mail-Konto für juristische Personen einrichten, das selbst Unterpostfächer für verschiedene Abteilungen, Referate oder Mitarbeiter enthalten könne. Dafür sei der Einbau eines Gateways erforderlich, das "in einer einfachen Version als Open-Source-Software bereitgestellt werden soll". Auf den Arbeitsplatzrechnern in der Verwaltung sei in der Regel keine zusätzliche Software nötig. Im laufenden Betrieb würden den Behörden dann voraussichtlich Kosten für den Versand von De-Mails anfallen, wobei gegebenenfalls Flatrates mit den Providern vereinbart werden könnten. Insgesamt ergäben sich aber "erhebliche Porto- und Prozesskosteneinsparungen". Erfahrungswerte verspricht sich das Ministerium vom Mitte 2009 startenden Pilotprojekt in Friedrichshafen. (Stefan Krempl) / (Stefan Krempl) / (jk)