Elektronische Einschreiben
Bis Ende 2010 soll ein Bürgerportalgesetz verabschiedet werden, das die Anforderungen an Dienste für rechtsverbindliche E-Mails definiert. Schon jetzt bietet die Deutsche Post ihren „E-Postbrief“ für Bürger und Unternehmen an. Voraussichtlich Anfang 2011 soll die „De-Mail“ folgen, ein System, für das die Deutsche Telekom, GMX und Web.de bereits Voranmeldungen entgegennehmen.
- Detlef Borchers
Rechtsverbindliche E-Mail im Internet bedeutet, dass Versender und Empfänger über eine externe Prozedur sicher identifiziert wurden und diese Identifikation dann auf den E-Mail-Verkehr ausgedehnt wird. Dazu hat eine Arbeitsgruppe im Innenministerium schon vor einigen Jahren „Deutschland-Mail“ entwickelt und mit möglichen Anbietern diskutiert. Zu diesem Kreis gehörten Telekom und Post sowie etliche Internet-Provider.
Im Verlauf der Diskussionen entschloss sich die Post, lieber ein eigenes System zu entwickeln, das den Gedanken der Verbindlichkeit aufnimmt, ihn aber auf Basis eigener Geschäftsbedingungen realisiert. Denn der Konzern befürchtete, durch ein gemeinsam mit Internet-Providern verwirklichtes System die eigene Briefpost zu kannibalisieren. E-Postbrief und De-Mail sind miteinander verwandt, unterscheiden sich aber in einigen wichtigen Punkten. So ist der E-Postbrief ein Hybridsystem: Ist der Empfänger kein E-Post-Teilnehmer, wird die Mail ausgedruckt und ihm per Briefpost zugestellt.
Die Telekom testete das „De-Mail“ getauften Systems in Friedrichshafen mit 812 Teilnehmern, zu denen Behörden, Firmen und Bürger gehörten. Die Stadt Friedrichshafen verschickte per De-Mail Rundschreiben, die nach dem Waffenrecht allen Waffenbesitzern zugestellt werden müssen, sowie elektronische Aufenthaltsbestätigungen. Als größter Arbeitgeber der Region testete die ZF Friedrichshafen AG das System mit „elektronischen Lohntüten“. 50 Bürger sendeten elektronische Schadensmeldungen an den Versicherer HUK24. Die Testläufe verliefen zur Zufriedenheit der Beteiligten. Bemängelt wurde allerdings das Fehlen gesetzlicher Grundlagen, die es gestatten, gegen einen elektronischen Behördenbescheid per Mail Einspruch zu erheben. Dies wird erst nach Verabschiedung des Bürgerportalgesetzes rechtskonform sein.
Drei Teile
De-Mail besteht aus drei Komponenten. Der zentrale Dienst setzt sich aus dem De-Mail-Postfach und dem Versandsystem zwischen den akkreditierten Diensteanbietern zusammen, die das Bundesamt für Sicherheit in der Informationstechnik (BSI) zertifiziert. Das hat hierzu 42 technische Richtlinien und Prüfmodule erarbeitet. Zusätzlich gibt es eine Prüfung durch eine „sachverständige Stelle für Datenschutz“ und eine Endabnahme durch den Bundesbeauftragten für Datenschutz.
De-Mail wird ergänzt durch De-Safe, eine vertrauenswürdige, auf 100 MByte begrenzte Dokumentenablage für die Aufbewahrung wichtiger elektronischer Dokumente in besonders sicherer Form. De-Mail-Provider müssen diesen Dienst nicht anbieten. Tun sie es, so können sie sich zwischen einem Dokumentensafe „light“ und einer Langzeitarchivierung entscheiden, die über mehrere Jahrzehnte geht. Auch für De-Safe gibt es technische Richtlinien und Zertifizierungen. Im Anwendertest in Friedrichshafen entpuppte sich De-Safe als beliebte Anwendung, der Bürger mehr vertrauen als ihrem PC oder ihren Archivmedien. Dort wurde die Begrenzung auf 100 MByte als störend empfunden.
Die dritte Komponente ist De-Ident, der juristisch eindeutige Identitätsnachweis. Zur Registrierung eines De-Mail-Accounts muss der interessierte Bürger mit einem Formular und seinem Personalausweis oder Pass zu einer Behörde gehen. Diese bestätigt die Identität und schickt das Formular zum De-Mail-Anbieter. Nach der Registrierung wird aus De-Ident ein Servicedienst des Providers: Auf Anforderung des Bürgers kann dieser beispielsweise einen signierten Nachweis an einen Online-Shop schicken und so bestätigen, dass der Besteller über 18 Jahre alt ist.
Für De-Ident müssen sich Antragsteller mit ihrem vollen Namen registrieren und bekommen eine Mail-Adresse wie erika.mustermann@provider-XYZ.de-mail.de. Pseudonyme sind zusätzlich zu beantragen und werden mit pn gekennzeichnet, also pn_zwiebeltuete@provider-XYZ.de-mail.de. Behörden und Firmen beziehungsweise juristische Personen erhalten einen Domain-Namensraum wie moebelhaus-mustermann.de-mail.de und können den lokalen Teil der Adresse frei wählen, aber auch individuelle Adressen der Mitarbeiter eintragen.
Untereinander kommunizieren die De-Mail-Provider via SMTP über einen gegenseitig authentisierten und verschlüsselten Kommunikationskanal. Bürger verwenden entweder einen Webbrowser und HTTPS als Protokoll oder einen E-Mail-Client, der SMTP/TLS beherrscht. Behörden nutzen den Protokollstandard OSCI (Online Services Computer Interface), der in vielen Fachverfahren eingesetzt wird.
Ein Problem
Aller Verschlüsselung und Vertraulichkeit zum Trotz gibt es einen Moment, in dem jede De-Mail nach Versand und vor Zustellung im Klartext lesbar ist. In der Funktionsbeschreibung von De-Mail heißt es: „Nach Entgegennahme der transportgesicherten Nachricht wird eine Kopie der Nachricht temporär entschlüsselt und die Integrität der Nachricht beziehungsweise der Inhalt beispielsweise auf Malware geprüft. Anschließend verwirft der Provider des Empfängers die entschlüsselte Nachrichten-Kopie und legt die transportgesicherte Nachricht in das Postfach des Empfängers ab.“
Diese Regelung zielt darauf ab, dass E-Mail nicht nur rechtssicher zugestellt wird, sondern die Mails obendrein virenfrei sind und das System frei von Spam aller Art bleibt. Zur Rechtssicherheit kommt eine Inhaltssicherheit. Das soll Bürgern die Nutzung von De-Mail schmackhaft machen, birgt aber eine ganze Reihe von Problemen. Das beginnt damit, dass dieses Klartext-Lesen ein Bruch des Fernmeldegeheimnisses sein kann und die Nichtweiterleitung einer als Spam erkannten, doch rechtmäßig versandten Mail eine strafbare Nachrichtenunterdrückung im Sinne von Paragraf 206 StGB. Die angedachte automatische Prüfung mit Virenscannern und Spam-Meldern verkennt zudem, dass die Systeme, die jede Mail öffnen können müssen, sehr problematisch sind und ein gefundenes Fressen für potenzielle Angreifer. Im Sinne der Rechtssicherheit wäre eine End-to-End-Verschlüsselung die bessere Lösung.
Zudem fehlt in den derzeit verfügbaren Unterlagen (siehe c’t-Link), was passiert, wenn dieser Prüfschritt fehlschlägt. Die offizielle Aussage, dass hier kein Problem auftreten kann, weil alles auf Servern passiert, die staatlich überprüften Sicherheitsstandards entsprechen und gegen Missbrauch abgeschottet sind, ist außerordentlich unbefriedigend. Man stelle sich das Szenario vor, das ein Gebührenbescheid vom Ordnungsamt vorliegt, dieser aber vom Prüfsystem des De-Mail-Providers als virenhaltig markiert ist. Öffnen oder nicht? Oder eine Mail, die nicht beanstandet wurde, zerlegt nach dem Öffnen den Computer nach allen Regeln der Kunst. Wer ist dann in der Lage, einer absendenden Behörde zu beweisen, dass er ihre De-Mail nicht lesen konnte, weil nach dem Abruf der Mailbox das Dateisystem beschädigt wurde?
Noch ein Problem
Zu diesem grundsätzlichen Design-Problem gesellt sich ein juristisches, die sogenannte Zustellfiktion. Unternehmen verschicken Kündigungen und Behörden verschicken Bescheide oder Vorladungen, die Fristen für einen Widerspruch setzen. Die Zustellfiktion besagt, dass ein herkömmlich auf Papier verschicktes Schriftstück nach drei Tagen dem Empfänger bekannt sein sollte und gesetzte Fristen dann wirksam werden.
Wie bei der Papierpost gilt die Zustellfiktion des Verwaltungszustellungsgesetzes auch bei De-Mail, wie der Referentenentwurf deutlich macht. Ein E-Bescheid ist nach drei Tagen zugestellt, auch wenn der Bürger in dieser Zeit nicht in sein De-Mail-Postfach schaut. Anders als bei der Papierpost gilt diese Frist auch an Sonn- und Feiertagen, zu denen der vorliegende Referentenentwurf keine Aussagen macht. In ihm wird lapidar formuliert: „Zum Nachweis der Zustellung dient die elektronische Versandbestätigung oder ein Vermerk der absendenden Behörde in den Akten, zu welchem Zeitpunkt und an welchen Zugang das Dokument gesendet wurde. Der Empfänger ist über den Eintritt der Zustellfiktion nach Satz 1 zu benachrichtigen.“
Will der Bürger nachweisen, dass ein Bescheid nicht sein Postfach erreicht hat, reicht die Glaubhaftmachung einer nicht oder verspätet erfolgten Zustellung wie bei der Briefpost nicht mehr aus, weil ein „Vollbeweis“ erforderlich ist. Im Kommentar des Referentenentwurfes heißt es: „Damit übernimmt der Empfänger in Fällen, in denen das Verwaltungsverfahren auf sein Verlangen in elektronischer Form abgewickelt werden muss, die Beweislast für den Nichtzugang oder verspäteten Zugang des elektronischen Dokuments. Auf diese Weise wird der missbräuchlichen Widerlegung der Zustellungsfiktion, zum Beispiel um eine Genehmigungsfiktion eintreten zu lassen, entgegengewirkt.“
Die Neufassung der Zustellfiktion ist die eine Seite der Medaille. Die andere Seite besteht darin, dass der teilnehmende Bürger auch bei ausgehenden Briefen die volle Beweislast übernimmt, zumindest dann, wenn er mit einer Behörde kommuniziert. Er muss nachweisen, dass er die Mail abgeschickt hat. Hierzu kann er bei seinem De-Mail-Provider gegen eine Zusatzgebühr eine digital signierte Versandbestätigung anfordern und sich zusätzlich vom Provider der Behörde eine Empfangsbestätigung schicken lassen. Die signierte Zustellbestätigung geht raus, sobald die Nachricht in dem Eingangs-Postfach gespeichert oder via OSCI-Gateway an ein Fachverfahren übergeben wird. Versand- und Zugangsbestätigung enthalten den Hashwert der ursprünglichen Nachricht und den Datumsstempel der Übermittlung beziehungsweise der Ablage in einem Postfach.
Noch strenger
Verglichen mit dem E-Postbrief ist De-Mail übrigens noch konziliant. Die Post fordert die Nutzer in ihren Geschäftsbedingungen auf, mindestens einmal werktäglich den Eingang in seinem Nutzerkonto zu kontrollieren. Dementsprechend sei von einer Kenntnisnahme spätestens am Werktag nach Eingang im Nutzerkonto auszugehen. Die Pflicht, mindestens einmal am Tag in den elektronischen Postkasten zu schauen, passt zum modischen „Always-On“. Dazu gehört auch die Tatsache, dass sich der E-Postbrief der Deutschen Post ohne eigenes Mobiltelefon nicht nutzen lässt, weil die Post auf die HandyTAN zur sicheren Anmeldung beim E-Postfach setzt.
Die Geschäftsbedingungen enthalten noch mehr heikle Passagen. Dort ist nämlich zu lesen, dass die Post als Betreiber des E-Postbriefs zum Telekommunikationsdiensteanbieter wird und als solcher zur Herausgabe von Nachrichten etwa an Verfassungsschutzbehörden verpflichtet sei. Es gilt also nicht das Briefgeheimnis, das nur auf richterliche Anordnung zu umgehen wäre. Nach dem Löschen kann eine Nachricht zwar gesperrt werden, aber weiterhin gescheichert bleiben. Außerdem können laut Geschäftsbedingungen zur Datensicherung angelegte Kopien noch länger existieren.
Empfangsbereit
Auch für mit Unternehmen wird die Einführung von De-Mail- oder des E-Postbriefs einiges ändern. Das macht der Referentenentwurf deutlich, in dem eine Anpassung des Bürgerlichen Gesetzbuches angedacht ist, damit ein Gegenseitigkeitsprinzip greifen kann: Ein Unternehmer, der via De-Mail einem Kunden etwa eine Rechnung schickt, muss umgekehrt für diesen auch per De-Mail erreichbar sein.
Im Referentenentwurf findet sich die Annahme, dass 80 Prozent aller deutschen Behörden in den nächsten fünf Jahren die Kommunikation via De-Mail anbieten werden. Zusammen mit 20 Prozent der Bundesbürger, die sich ein De-Mail-Postfach zulegen, soll allein der Staat 20 bis 40 Millionen Euro Portokosten sparen. Verglichen damit sind die 22,1 Millionen, die die Provider in den Aufbau von De-Mail stecken sollen, wenig. Denn die Bürger haben bei der kostenpflichtigen De-Mail einen lebenslang gültigen Mail-Account.
Mit 15 Cent für eine Basis-Mail ohne die Zuschläge für Quittungen oder die Gebühren für den De-Safe präsentiert sich De-Mail günstiger als der E-Postbrief, der 55 Cent kosten soll. Auch wirbt die Post nicht mehr mit einer lebenslang gültigen Mail-Adresse wie im Jahre 2000, als sie epost.de startete, das 2005 wieder eingestellt wurde.
Die Bürger dürften allerdings den neuen E-Mail-Diensten kritisch gegenüberstehen. Während Unternehmen und Behörden viel Porto sparen, bekommen Privatkunden mehr Pflichten aufgebürdet als bei der Zustellung der Papierpost und müssen einem System vertrauen, von dem noch nicht bekannt ist, ob es wirksam gegen Angriffe und Spam-Attacken geschützt ist und die Korrespondenz dort sicher aufgehoben ist.
