Geht mit De-Mail die E-Post ab?

von Jürgen Höfling

Share
04.12.2008

Geht mit De-Mail die E-Post ab? Mit »De-Mail« initiiert das Bundesinnenministerium ein Intranet, das die rechtsverbindliche Mail-Kommunikation zwischen Behörden, Unternehmen und Bürgern ermöglichen und dennoch so leicht bedienbar sein soll wie heutige E-Mail-Systeme.

(Fortsetzung des Artikels von Seite 3)

Die meisten Teilnehmer am Wirtschaftsverkehr – darunter auch große Unternehmen – schicken ihre elek­tro­postalischen Mitteilungen immer noch ohne Kuvert, will heißen: ohne Verschlüsselung. Dabei ist die digitale Kuvertierung mehr als überfällig und auch längst nicht so kompliziert, wie vielfach angenommen (siehe InformationWeek, 8/2008, Seite 27ff). Gleichwohl schließt aber die Verschlüsselung lediglich unbefugte Mitleser aus, eine rechtsverbindliche elek­tronische Kommunikation, die im Streitfall auch vor Gerichten Beweiskraft hat, fordert viel mehr, beispielsweise Garantien für eine unverfälschte Übermittlung der Inhalte, die Möglichkeit einer korrekten Identifikation der Kommunikationspartner und die zweifelsfreie Nachvollziehbarkeit des Versands einer Nachricht. Für Teilbereiche des Verwaltungshandelns gibt es in Deutschland schon seit einigen Jahren digitale Fachanwendungen, so beispielsweise das elektronische Gerichts- und Verwaltungspostfach (virtuelle Poststelle), die elektronische Steuererklärung und das Deutsche Verwaltungsdiensteverzeichnis. In der Regel sind diese Fachanwendungen mit erheblichem Installationsaufwand verbunden – es muss Software auf den Arbeitsplatzrechner aufgespielt werden – und es ist eine regelmäßige Programmpflege erforderlich.

Keine Installation von Client-Software

Mit dem Projekt »De-Mail« (sprich: De-Eh-Mail) sollen diese Einschränkungen nun fallen. Mit De-Mail will das deutsche Bundesinnenministerium (BMI) zusammen mit seiner Unterbehörde BSI sowie privatwirtschaftlichen Internetdienstleistern eine gesetzliche und technische Grundlage für eine Kommunikationsplattform für Firmen, Behörden und Bürger schaffen, die auf den weltweit akzeptierten und vertrauten Elementen der E-Mail aufsetzt, gleichzeitig aber um Bestandteile angereichert ist, welche die Plattform rechtsverbindlich machen. De facto ist eine geschlossene Benutzergruppe für den abgesicherten E-Mail-Verkehr vorgesehen, also quasi ein E-Mail-Intranet. Im Gegensatz zu den oben genannten Fachanwendungen muss im Rahmen des De-Mail-Projekts keine spezielle Software auf den Arbeitsplatzrechnern geladen werden. Zur Kommunikation können Web-Browser oder auch die gewohnten E-Mail-Clients eingesetzt werden. »Die Erfahrungen der vergangenen Jahre haben gezeigt, dass eine flächendeckende Verbreitung von Systemen, bei denen Software installiert und gepflegt und womöglich verschiedene Softwarelösungen auch noch parallel am Arbeitsplatz vorgehalten werden müssen, nur schwer zu erreichen ist«, sagt Dr. Heike Stach, die zuständige Projektleiterin im Berliner Innen­ministerium.

Integration oder Konfrontation

Dr. Heike Stach, De-Mail-Projekt­leiterin im BMI: »Fachanwendungen auf der Basis des OSCI-Standards können ohne Probleme in De-Mail einge­bunden werden.«

Heike Stach betonte ebenso wie Martin Schallbruch, IT-Direktor im Bun­desinnenministerium, auf einem Presseseminar zu De-Mail in den Berliner Räumen des Branchenverbands Bitkom, dass existierende Fachanwendungen für die rechtsverbindliche digitale Kommunikation nach wie vor auf ihren Spezialgebieten ihre Berechtigung hätten und nicht in Konkurrenz zu dem De-Mail-Projekt stünden. Im Gegensatz zu Stimmen, die Anfang November auf einem Forum des Bundesverbands deutscher Internet-Portale im Berliner Rathaus zu hören waren, sieht man im BMI allerdings nicht, wie diese Fachanwendungen, die beispielsweise auf der E-Government-Software Governikus der Firma bos (bremen online services) aufsetzen, die Intentionen von De-.Mail voll abdecken könnten. Einer breiten Akzeptanz stünde einfach die schwere Handhabbarkeit für den normalen E-Mail-Benutzer entgegen. Die Firma bos, die einst aus der IT-Abteilung des Bremer Senats ausgegründet worden ist, sieht das anders: »Govello (die Nachrichtenübermittlungssoftware von bos, d.R.) transportiert Nachrichten und deren Anhänge so einfach wie ein E-Mail-Programm«, heißt es bei den Bremern. Die Hansestadt Bremen jedenfalls will die mit Governikus geschaffenen Infrastrukturen für den verschlüsselten Nachrichten- und Dokumentenaustausch auch nutzen, um die digitalen Notwendigkeiten der EU-Dienstleistungsrichtlinie umzusetzen (ein Ziel, das sich unter anderem auch De-Mail gesetzt hat). Die »Governikus-Fraktion« sieht eine besondere Stärke ihrer Produkte in dem in vielen deutschen E-Government-Projekten verwendeten OSCI-Standard. OSCI bedeutet ausgeschrieben »Online Services Computer Interface«. Diese Norm beschreibt Strukturen von Verwaltungsdaten auf der Basis von XML und des Webservice-Standards SOAP. Damit soll das Zusammenspiel beim Nachrichtenaustausch auf internationaler Ebene gewährleistet werden. Die De-Mail-Projektgruppe verwendet nach eigener Aussage nur international gängige Protokolle und hält die Kritik der Governikus-Leute nicht zuletzt in puncto OSCI für völlig daneben: »Wir sehen in unserem Projekt ausdrücklich auch einen OSCI-Client vor, sodass Fachanwendungen auf der Basis des OSCI-Standards ohne Probleme in De-Mail eingebunden werden können«, sagt Heike Stach.

Zertifizierung der De-Mail-Dienstleister

De-Mail soll Behörden ebenso offen stehen wie Unternehmen, aber auch jedem Bürger. Die technischen Mechanismen sollen für den Endanwender vollständig kaschiert werden, sodass dieser kaum mehr tun muss als heute bei einer offenen E-Mail. Bei der Erstregistrierung für den Dienst ist in geeigneter Form die Identität nachzuweisen, wie es heute beispielsweise bei der Eröffnung eines Bankkontos erforderlich ist. Der Verzeichnisdienst von De-Mail wird durch den jeweiligen Dienstleister geführt. Dort kann auch der öffentliche Schlüssel eines Nutzers abgelegt werden, den ein Empfänger zur Dechiffrierung einer digital signierten Nachricht benötigt. Die (qualifizierte) digitale Signatur ist bei De-Mail eine Option, keine Verpflichtung. Ebenso gibt es bei der Authentisierung schwächere und stärkere Optionen. Neben dem Versand soll unter De-Mail auch ein sicherer langfristiger Aufbewahrungsdienst (Dokumentensafe) angeboten werden. Der gesamte E-Mail-Versand soll in den Händen privater Dienstleister liegen. Diese müssen für eine Zulassung dem BSI nachweisen, dass sie die gesetzlichen Vorschriften des De-Mail-Verkehrs sowohl in sicherheitstechnischer als auch in datenschutzrechtlicher Hinsicht erfüllen. Alle drei Jahre muss die Zertifizierung erneuert werden. Sicherheitstechnische Vorschriften beziehen sich beispielsweise auf die einzusetzenden Abwehrmechanismen gegen Schadsoftware. Die datenschutzrechtlichen Vorschriften orientieren sich am deutschen Datenschutz-Gesetz. Als Versandform soll der (zumindest für Unternehmen und Behörden kostenpflichtige) De-Mail-Dienst wie bei der gelben Post einen Normalbrief und einen Einschreibebrief anbieten. Entsprechende Versand- und Zustell-Bestätigungen erlauben die Nachvollziehbarkeit der Kommunikation. Ein Privatnutzer kommuniziert mit dem Internetdienstleister, den er oder sie auch wechseln können, über eine SSL/TLS-verschlüsselte Verbindung. Grundsätzlich ist aber nach Darstellung von Heike Stach auch eine durchgängige Verschlüsselung, die vom Absender an seinem Arbeitsplatz selbst ausgelöst wird, bis hin zum Empfänger-Arbeitsplatz möglich. De-Mail-Nachrichten lassen sich für alle Vorgänge nutzen, die rechtliche Konsequenzen haben (können), ob das Kaufverträge, Mahnungen, Voll­streckungsandrohungen oder der digital niedergelegte Widerspruch gegen einen Steuerbescheid sind. Das System ist konzeptionell übrigens nicht auf Deutschland beschränkt. Ulrich Dietz, Präsidiumsmitglied beim Branchenverband Bitkom, kann sich das System auch sehr gut als IT-Sicherheits-Exportschlager vorstellen. Erste Pilotprojekte sind für 2009 geplant, im Jahre 2010 sollte das System dann in der Fläche laufen, meint Martin Schallbruch vom Bundesinnenministerium. Werbemüll gibt es bei De-Mail übrigens keinen. Und wenn, dann ist der Verursacher schnell auszumachen und der Ausschluss ist ihm sicher. So jedenfalls die Theorie.