“Bürger können erste De-Mail-Postfächer vorregistrieren” (heise.de)

Die (…) E-Mail-Provider GMX und Web.de haben mit der Vorab-Registrierung von De-Mail-Adressen begonnen. Da die Adressen nach dem Schema Vorname.Nachname@providerxy.de-mail.de gebildet und bei Namensgleichheit derselben Provider-Kunden Nummern an den Nachnamen gehängt werden, erwarten die Provider eine große Nachfrage, …

Ich glaube Heise hat da einen, wie ich finde, wichtigen Punkt nicht erwähnt. In der Pressemitteilung von GMX bzw. Web.de, “Vorab-Registrierung für De-Mail startet” (portal.gmx.net) / (presse.web.de), steht:

Die Verwaltung dieses Postfaches erfolgt bei GMX und WEB.DE innerhalb der bekannten Mail-Umgebung.

Das heißt also, die Zugangsdaten für den GMX- bzw. Web.de-Account sind gleichzeitig auch die Zugangsdaten zu De-Mail.

Wer sich mal mit Benutzer vs. Passworte auseinandergesetzt hat, der weiß wie leicht es sein kann einen E-Mail-Account zu übernehmen. In jedem per Suchmaschine auffindbaren Datenbankdump in dem auch Zugangsdaten enthalten sind, finden sich immer Passwort-Recycler die das gleiche Passwort auch für ihren E-Mail-Account, eBay, PayPal, etc. benutzen.

Wer 123456, geheim oder lassmichrein für Passworte hält, der sollte sich mit De-Mail nicht anfreunden.

<einschub>
Nur zur Klarstellung: Dies hat nichts mit der Qualität von GMX, Web.de oder De-Mail zutun. Das eigentliche Problem ist der Benutzer, der Worte, Zahlen oder Kombinationen daraus, als Passwort benutzt und dieses auch noch recycelt, also mehrfach benutzt.
</einschub>


“De-Mail – So einfach wie E-Mail, so sicher wie Papierpost.” (cio.bund.de / PDF)

Elektronisches Einschreiben
De-Mail bietet verschiedene Versandarten, die mit einem Brief oder einem Einschreiben vergleichbar sind. Besonders wichtig ist die Versandart „De-Mail-Einschreiben“. Hier erhalten Sie eine qualifiziert elektronisch signierte, d. h. quasi vom Provider „unterschriebene“ Bestätigung darüber, wann und an wen Sie die Nachricht verschickt haben und wann sie in das Postfach des Empfängers eingestellt wurde. Damit können Sie den Eingang einer De-Mail beim Empfänger jederzeit nachweisen.d Phishing zu vermeiden.

(…)

Optimierte Prozesse
Unternehmens- und Verwaltungsprozesse zeichnen sich bisher durch Medienbrüche aus. Eine vollständig elektronische Bearbeitung ist vor allem bei juristisch relevanten Arbeitsschritten oft nicht möglich, etwa wenn die fristgerechte Zustellung eines Schriftstücks zweifelsfrei nachgewiesen werden muss.

Der ständige Wechsel von Elektronik zu Papier führt zu erheblichen Prozessverzögerungen und verursacht immensen Aufwand. Mit De-Mail können Unternehmens- und Verwaltungsprozesse ohne Medienbruch elektronisch abgewickelt werden. Die Folge: Sie optimieren Ihre Prozesse und reduzieren Ihre Kosten.

Eine Folge wird hier nicht erwähnt: Der De-Mail-Benutzer muss ständig sein Postfach kontrollieren, denn es könnte ihm eine E-Mail mit einer Fristsetzung zugestellt worden sein, wobei es dem Versender egal sein kann ob die zugestellte E-Mail gelesen wurde oder nicht — die Frist läuft trotzdem ab.

- De-Mail Einschreiben: Bei der Versandart „De-Mail Einschreiben“ sind die Versandoptionen „Versandbestätigung“ und „Zugangsbestätigung“ standardmäßig gewählt. Bei dieser Versandart erhält der Absender Bestätigungen darüber, wann er die Nachricht verschickt hat und wann sie in das Postfach des Empfängers zugestellt worden ist.

Quelle: TR – BP Postfach- und Versanddienst Funktionalitätspezifikation (bsi.bund.de / PDF / S. 18)

Technisch sollte es wohl kein Problem darstellen festzustellen ob und wann ein “De-Mail Einschreiben” wirklich gelesen wurde und nicht nur ungelesen im Postfach liegt — dies wäre dann sozusagen die Option “Rückschein / Eigenhändig”.


Und noch etwas aus dem PDF von cio.bund.de: Finde den Fehler!

De-Mail-Adressen für juristische Personen
(…)
So kann die juristische Person Organisationspostfächer oder auch individuelle Postfächer mit den Namen der Mitarbeiter einrichten. Eine De-Mail-Adresse könnte damit wie folgt lauten: „einkauf@dachdecker-mueller.de-mail.de.“

einkauf@dachdecker-mueller.de-mail.de. ist keine E-Mail-Adresse.
einkauf@dachdecker-mueller.de-mail.de ist eine E-Mail-Adresse.

Ich weiß, nur eine Korinthe. Aber die Genauigkeit bei der Schreibweise von E-Mail-Adressen ist entscheidend und kann im ungünstigstem Fall, bei Falschschreibung, sehr unangenehme Folgen haben. Jeder der länger E-Mail nutzt, hat bestimmt schon einmal elektronische Post bekommen, die nicht für ihn bestimmt war. Ich als Empfänger von schwarz.michael@mailprovider.tld habe schon öfter E-Mails, die eigentlich für michael.schwarz@mailprovider.tld bestimmt waren, erhalten. Meinem Namensvetter ist es wahrscheinlich ähnlich ergangen.

Wenn auch die Adresse einkauf@dachdeckermueller.de-mail.de vergeben wird und zwar an eine vollkommen andere Firma, dann wird es auch hier Irrläufer geben, genau so, wie es sie bei der gelben Post, auf echtem Papier, in echten Briefkästen gibt.

• Der Inhaber der Domain
  DE-MAIL.DE
  ist das “Bundesministerium des Innern”.
• Der Inhaber der Domain
  DE-MAlL.DE
  ist nicht das “Bundesministerium des Innern”.

Stichwort: Typosquatting (de.wikipedia.org)
(In meinem Beispiel geht es allerdings weniger um falsch eingetippte Zeichen, sondern eher um verbreitete Links und E-Mails auf die geantwortet wird.)

Diesen Punkt wollte ich erst gar nicht erwähnen, weil:

3.5 Versand und Empfang von Internet-E-Mails über assoziierte Internet-E-Mail-Adressen

Der Versand von Nachrichten aus dem Bürgerportal in das Internet als E-Mails mit einer eBP-A als Absenderadresse ist nicht möglich. Es ist auch nicht möglich, dass E-Mails aus dem Internet an ein Bürgerportal-Postfach zugestellt werden.

aber:

Um für einen Bürgerportal-Nutzer die Erreichbarkeit aus dem Internet zu gewährleisten, kann der Nutzer Internet-E-Mails, die an eine seiner eBP-A adressiert worden sind, vom Bürgerportal an eine assoziierte Internet-E-Mail-Adresse weiterleiten lassen (s. a. [TR BP M AcctMgmt]). Hat ein Nutzer eine assoziierte Internet-E-Mail-Adresse eingerichtet und die Weiterleitungsfunktion aktiviert, so werden vom Bürgerportal aus dem Internet angenommene E-Mails an seine assoziierte E-Mail-Adresse weitergeleitet.

Quelle: TR – BP Postfach- und Versanddienst Funktionalitätspezifikation (bsi.bund.de / PDF / S. 21)

Also ist es möglich von einer “Internet-E-Mail-Adresse” eine E-Mail an eine “eBP-A” (“Elektronische Bürgerportal-Adresse”) zu senden, die an eine “assoziierte Internet-E-Maill-Adresse” weitergeleitet wird.

Kurzform: Hat der Benutzer eine normale E-Mail-Adresse eingerichtet, so kann er auch Spam- und Phishing-Mails empfangen.

Da kann man nur hoffen dass der Otto-Normal-Benutzer zwischen “eBP-A”, “Internet-E-Mail-Adresse” und “assoziierte Internet-E-Maill-Adresse” unterscheiden kann.


Weiter aus dem PDF von cio.bund.de:

E-Mails sind unsicherer als die Papierpost und werden daher für viele Geschäftsvorfälle nicht eingesetzt.

E-Mails können ohne großen Aufwand auf ihrem Weg durch das Internet abgefangen, wie Postkarten mitgelesen und in ihrem Inhalt verändert werden. Absender und Empfänger können nie vollständig sicher sein, mit wem sie gerade kommunizieren und ob die gesendete E-Mail tatsächlich beim Empfänger angekommen ist.

Der Anteil von SPAM …

Auch das Ausspähen von Zugangsdaten zu E-Mail-Konten („Phishing“, Identitätsdiebstahl) wird immer häufiger. Dies alles hat bislang den Durchbruch von E-Mails überall dort verhindert, wo es auf Vertraulichkeit (verschlüsselt), Verlässlichkeit (angekommen) und Verbindlichkeit (eindeutige Identität) ankommt, die zusammen wichtige Voraussetzungen für die Gewährleistung von Rechtsicherheit sind.

Am Markt existierende Lösungen haben sich nicht in der Fläche durchsetzen können, da diese häufig zusätzliche Installationen auf den Rechnern der Nutzer erfordern (Zertifikate, Kartenlesegerät, etc.). Weniger als fünf Prozent des gesamten E-Mail-Aufkommens sind heute verschlüsselt.

Ich glaube hier werden zwei Dinge zusammengeworfen. Den Transportweg verschlüsseln (HTTPS) kann nur der Provider. Wenn aber eine E-Mail selber verschlüsselt werden soll, dann kommt Pretty Good Privacy (de.wikipedia.org) zum Einsatz, was eine Installation auf dem Computer des Benutzers erfordert.

Auch wenn die Übertragungswege per HTTPS verschlüsselt sind, wird meist die E-Mail im Klartext im Postfach bei dem E-Mail-Provider gespeichert und der kann alles mitlesen. Viel wichtiger wäre es also die E-Mails bei den Providern verschlüsselt zu speichern.

5.3.4 Datenspeicherung

Die Speicherung der Daten auf den Systemen des BPDA hat verschlüsselt zu erfolgen. Dies dient der Wahrung der Vertraulichkeit der Nachrichten.

Die Verschlüsselung der Daten hat unmittelbar nach Eingang auf den Systemen des BPDA zu erfolgen. Die Entschlüsselung hat lediglich zur Prüfung auf Viren oder Malware und zur Auslieferung an den Nutzer zu erfolgen. Alle Nutzerdaten müssen innerhalb des BP verschlüsselt gespeichert werden. Die Verschlüsselung muss so früh wie möglich nach dem Eintreffen der Daten im BP erfolgen.

Quelle: “TR – BP IT-Postfach- und Versanddienst Sicherheit” (bsi.bund.de / PDF / S. 11)

Bislang wird im Regelfall davon ausgegangen, dass Nachrichten über unsichere Kanäle übermittelt werden. (…) Im Gegensatz dazu liegt bei Bürgerportalen ein Hauptaugenmerk auf der sicheren Übermittlung von Dokumenten über abgesicherte Kanäle.

Quelle: “TR – BP IT-Sicherheit Übergeordnete Komponenten” (bsi.bund.de / PDF / S. 18)
(Auf “De-Mail – eine Infrastruktur für sichere Kommunikation” (bsi.bund.de) ist das Dokument als “TR – BP IT-Sicherheit Übergreifende Komponenten” verlinkt.)

Will man hohe Sicherheit, wo niemand mitlesen kann, weder beim Transport, noch bei der Speicherung, so muss etwas mehr Aufwand getrieben werden:

• Der E-Mail-Provider kennt nur den verschlüsselten Inhalt einer E-Mail, weil er sie nur in dieser Form speichert und transportiert.
• Versenden: Der Benutzer schreibt eine E-Mail auf seinem Computer. Vor der Übermittlung an den Provider wird diese von seinem E-Mail-Programm verschlüsselt.
• Empfangen: Der Benutzer lädt eine verschlüsselte E-Mail von dem Provider auf seinen Computer und entschlüsselt sie nach dem Empfang.

Und das gibt es bereits mit dem oben erwähnten Pretty Good Privacy (PGP).


Zum Abschluss noch einmal ein Zitat aus dem PDF von cio.bund.de:

De-Mail ist in der Handhabung so einfach wie die E-Mail.

Die Bedienung von De-Mail durch Bürger und Unternehmen erfolgt im einfachsten Fall durch Webanwendungen, die in der Handhabung den bekannten Angeboten von E-Mail-Providern sehr ähnlich sind und beim Nutzer keine weiteren Installationen von Hardware oder Software erfordern. Unternehmen und Behörden können ihre existierenden (internen) E-Mail-Infrastrukturen über ein sogenanntes „Gateway“ an De-Mail anschließen, sodass vorhandene E-Mail-Clients verwendet werden können.

Genau diese Bequemlichkeit halte ich für einen Fehler. Der Benutzer kann weiterhin mit den alten, u.U. über Jahre hinweg nie geänderten und evtl. bereits Dritten bekannten, Zugangsdaten seine De-Mail nutzen.

Sinnvoller und sicherer wäre eine eigens für die De-Mail eingerichtete Infrastruktur, die höhere Anforderungen an die vergebenen Passworte erfüllen muss und nicht auf alte Zugangsdaten aufbaut.

• Es müssen sichere Passworte vergeben werden. Zu einfache Eingaben wie 12345678 oder passwort werden nicht als Passwort akzeptiert.
• Der Benutzer wird regelmäßig, z.B. alle drei Monate, aufgefordert sein Passwort zu ändern.
• Von ersetzten Passworten wird der gesalzene Hash gespeichert und mit dem neuen Passwort verglichen. Bereits in der Vergangenheit verwendete Passworte werden nicht akzeptiert, damit der Benutzer nicht einfach immer wieder die gleichen Passworte vergeben kann.

Ich weiß, DAS wäre lästig — aber wer sicher kommunizieren will/muss der muss auch etwas dafür tun.


Unterm Strich kann man dem Otto-Normal-Benutzer wohl nur von der De-Mail abraten, denn er begibt sich da in Verantwortlichkeiten, deren Folgen er kaum abschätzen kann.