Rechenzentrum für De-Mail: Besuch im Käfig

Das in letzter Minute noch einmal geänderte Gesetz zur Förderung des eGovernment wurde noch am späten Donnerstagabend verabschiedet, als einige flammende Reden zum modernen Staat nur noch zu Protokoll gegeben wurden. Das Gesetz soll die De-Mail und sonstige sichere Verfahren zur Bürgerkommunikation mit Behörden und Verwaltungen etablieren. Vorab zeigte die Deutsche Telekom einigen Journalisten das Herzstück der De-Mail, die besonders sicheren Server-Räume des Systems.

In einem Frankfurter Vorort gibt es für De-Mail ein ganz besonderes Rechenzentrum. Das Gelände ist mit Zäunen abgesperrt, dahinter der Perimeterschutz gegen angreifende Bulldozer. Wer als Mensch die Gebäude betreten will, muss drei Sicherheitszonen über Vereinzelungsschleusen durchqueren, ehe er in die Serverräume kommt, in denen in langen Reihen von Racks die Server, Switches und Router stehen (die Hardware kommt von HP und Cisco). In einem von ihnen, noch einmal durch einen Drahtkäfig gesichert, stehen die De-Mail-Server der Deutschen Telekom (für Privatkunden), von T-Systems (für Geschäftskunden) und eine Plattform, auf der Entwickler neue Ideen rund um De-Mail ausprobieren. Wer den Käfig betreten will, braucht einen Begleiter: Der alleinige Aufenthalt einer Person ist untersagt und führt zum Alarm. Wenn ein Techniker eine defekte Hardware austauschen muss, soll er dies nur unter Aufsicht tun.

Im De-Mail-Käfig der Telekom sind 26 Racks mit der Hardware für die drei De-Mail-Plattformen gefüllt, ein Petabyte Speicher steht für De-Mail-Sendungen zur Verfügung. Die dreifache Menge an Racks ist leer und soll bestückt werden, wenn De-Mail an Fahrt aufnimmt. Jedes Rack ist mit eigenen Schlüsseln verschlossen, der Schlüsselkasten ist mit einem One-Time-Passwort geschützt. Irgendwo auf dem weitläufigen Gelände des Rechenzentrums steht ein weiterer Käfig voller Racks: Hier liegen die Postfächer der De-Mail-Kunden von United Internet (GMX und web.de).

Geschäftig blinkende Lämpchen künden davon, dass De-Mail abgeholt wird oder eintrifft. Die De-Mail wird dann kurzzeitig entschlüsselt, auf Viren geprüft und für die Abholung durch den Kunden gespeichert oder zu einem anderen De-Mail-System weitergeleitet (welche Software dafür zum Einsatz kommt, darüber verweigerte man jede Auskunft). Das passiert in Hunderstel Sekunden irgendwo im Speicher der 2. Zone, ehe die Mail in der 3. Zone aufbewahrt wird. Wer den illegalen Zugriff auf die De-Mail haben will, muss nach Aussage der Telekom drei verschiedene Administratoren bestechen. Wie auf Viren geprüft wird, wird nicht verraten, doch bisher waren Virenalarme "unterhalb der Wahrnehmungsgrenze", erklärt Frank Wermeyer, De-Mail-Manager für Telekom und T-Systems. Wie Christian Scharff, der Sicherheitschef von T-Systems, ist er sichtlich stolz auf die hochmoderne Anlage.

Vom BSI, das für die Konzeption von De-Mail die technischen Richtlinien erstellt hat und für die Zertifizierung der Systeme zuständig ist, referiert De-Mail-Spezialist Jens Mehrfeld. Wie alle anderen Teilnehmer der De-Mail-Seite plädiert er dafür, die "Kirche im Dorf zu lassen." Die End-to-End-Verschlüsselung, deren Fehlen die IT-Fachleute immer wieder bemängelten, sei überdacht, aber verworfen worden. Eine sichere Schlüsselaufbewahrung, das Vergessen des Passworts oder der PIN, das Löschen des privaten Schlüssels oder sein Verlust durch einen Hardware-Defekt, all dies macht nach Angaben von Mehrfeld aus der sicheren End-to-End-Verschlüsselung eine Technik, die den Normalbürger schnell überfordert. Grundsätzlich ist sie möglich: Im öffentlichen Adressverzeichnis kann jeder den Schlüssel seines X.509-Zertifikates hinterlegen, mit dem sein Gegenpart die De-Mail mit einem Klick verschlüsseln kann.

Ob all dies ausreicht, dem Gegenwind zu trotzen, den De-Mailer gerade erfahren, wird die Zukunft zeigen müssen, wenn das eGovernment-Gesetz greift. Neben den technischen Vorbehalten gibt es Ärger über das definitorische Kabinettstückchen der Verfasser des neuen Gesetzes, bestimmte Übertragungen per Gesetz als sicher zu deklarieren. Aber dafür können die Betreiber der De-Mail nichts, wird beteuert. Man will lieber auf Aufklärung setzen, was das neue System wirklich kann. (jk)