Das knallt: Die De-Mail wird mit Waffen gesichert!<\/p>\n
Das Deutschlandradio berichtet<\/a> \u2013 ebenso wie bereits Detlef Borchers f\u00fcr heise.de <\/a>(vgl. auch\u00a0hier<\/a>) vom Besuch „im\u00a0\u00a0Frankfurter DE-Mail-Rechenzentrum mit Sicherheitsz\u00e4unen und regelrechten Panzersperren“, dem De-Mail-Serverzentrum von Telekom und United Internet:<\/p>\n Wer den Server-K\u00e4fig im Frankfurter Rechenzentrum betreten will, ben\u00f6tigt einen Begleiter. Hier ist in allen Bereichen das Vier-Augen-Prinzip vorgeschrieben. Selbst wenn ein Techniker eine defekte Festplatte austauschen will, darf er das nur unter Aufsicht tun. Mit bewaffneten Sicherheitskr\u00e4ften auf dem Rechenzentrumsgel\u00e4nde will die Telekom die Botschaft sichtbar demonstrieren: De-Mail ist sicher. Fragen nach den Sicherheitsrisiken durch das zweimalige Entschl\u00fcsseln und erneute Verschl\u00fcsseln der DE-Mails wiegelt Sicherheitschef Christian Scharff denn auch ab.<\/p><\/blockquote>\n Bewaffnete<\/strong> Sicherheitskr\u00e4fte! Regelrechte Panzersperren<\/strong>! K\u00e4fige<\/strong>! Bruce Schneier nennt solche augenf\u00e4lligen „Sicherheitsma\u00dfnahmen“ „Security Theater<\/a>„:<\/p>\n the practice of investing in countermeasures intended to provide the feeling of improved security while doing little or nothing to actually achieve it.<\/p><\/blockquote>\n Das passt auch hier. Denn Gefahr droht den De-Mail-Nachrichten weniger von \u00dcberf\u00e4llen mit Panzern, sondern auf elektronischem Wege. Wer auf diesem Zugang zu den wenigen zentralen Servern erlangt, hat Zugriff auf die dort jeweils unverschl\u00fcsselt vorliegenden Daten. Eine Ende-zu-Ende-Verschl\u00fcsselung, das hei\u00dft eine L\u00f6sung auf der Ebene der Daten selbst, machte all diese martialischen Anforderungen wie die an die „Wanddicken“ (so der Chaos Computer Club in der Anh\u00f6rung zum De-Mail-Gesetz) unn\u00f6tig.<\/p>\n Entsprechend schimpft Peter Welchering<\/a>, Journalist des Deutschlandradios:<\/p>\n Ich habe\u00a0die [Sicherheitsma\u00dfnahmen] als falsches Sicherheitsverst\u00e4ndnis mit Zutrittskontrollen, Perimeterschutz und allem Pipapo empfunden. Die Datensicherheit ist eben nicht gew\u00e4hrleistet. Und da kann dann auch ein bewaffneter Mitarbeiter, der durch das Rechenzentrum patrouilliert, eigentlich wenig ausrichten. Also da wird eigentlich ein kleiner Etikettenschwindel, was Datenschutz und Datensicherheit angeht, veranstaltet. Das sollte man nicht tun.<\/p><\/blockquote>\n (Etwas ganz Anderes ist das am\u00fcsante Format, in dem diese \u00c4u\u00dferungen fallen: Der Journalist des Deutschlandradios Peter Welchering wird interviewt von Manfred Kloiber, einem anderen Journalisten des Deutschlandradios. Kennt man in K\u00f6ln nicht den sogenannten „Kommentar<\/a>„?<\/em>)<\/p>\n Und wirklich: Die Gefahr droht von innen. Etwa von einem Provider, der seinen Auftrag, „Sicherheit“ zu gew\u00e4hrleisten, falsch versteht. So sagt der bereits erw\u00e4hnte „Sicherheitschef“ Christian Scharff\u00a0dem Deutschlandradio<\/a>:<\/p>\n „Die Daten, die eingehen, werden auf dem entsprechenden Server auf Spam<\/strong> und auf Viren gepr\u00fcft und dann umgehend wieder verschl\u00fcsselt, bevor sie irgendwo gespeichert werden….“<\/p><\/blockquote>\n Wenn dem wirklich so sein sollte, w\u00e4re das h\u00f6chst bedenklich. Die De-Mail-Provider d\u00fcrfen nach \u00a7 3 Abs. 4 Nr. 3 De-Mail-Gesetz <\/a>nur die Einwilligung der Nutzer einholen betreffend „die Pr\u00fcfung seiner Nachrichten auf Schadsoftware“, das hei\u00dft auf Viren. Hintergrund dieser sehr ungew\u00f6hnlichen und immer wieder kritisierten zwangsweisen Erm\u00e4chtigung durch die Nutzer ist \u2013 vordergr\u00fcndig \u2013 der von den Diensteanbietern zu gew\u00e4hrleistende Schutz des De-Mail-Systems als Ganzes (vgl. BT-Drs. 17\/3630<\/a>, S. 27).<\/p>\n Aus dem Kommentar<\/a>\u00a0(K \u00a7\u00a03 Rdnr. 30):<\/p>\n [Der Schutz] des Gesamtsystems wie aller Beteiligter, seien sie Anbieter oder Nutzer […] rechtfertigt es, die Nutzung an das Einverst\u00e4ndnis zu koppeln (Spindler, CR 2011, 309\/312; zur Problematik bei E-Mail vgl. Hoeren\/Sieber\/ Stadler 12.1 Rdnr.\u00a048). Voraussetzung ist freilich, dass die Kontrolle der Nachrichten auf \u201eSchadsoftware\u201c im engeren Sinne begrenzt bleibt, das hei\u00dft auf Viren und \u00e4hnliche Computersch\u00e4dlinge, die unmittelbar das E-Mail-System und die angeschlossenen Computer zu gef\u00e4hrden oder zu sch\u00e4digen geeignet sind. Eine Kontrolle auf sonst unliebsame \u2013 selbst kriminelle \u2013 Inhalte darf damit nicht verbunden sein.<\/strong><\/p><\/blockquote>\n Genau das leistete freilich die hier in Aussicht gestellt Kontrolle auf „Spam“\u00a0\u2013 Nachrichten \u00fcbrigens, f\u00fcr deren Transport der Absender nach der gesamten Konzeption des De-Mail-Gesetzes gezahlt hat, fast soviel wie f\u00fcr einen Brief. Und wer beurteilt, was „Spam“ ist und was nicht? Ist es Aufgabe von Praktikanten bei der Telekom, die \u00fcber den Server laufenden De-Mail-Nachrichten nach hierauf hindeutenden Schl\u00fcsselw\u00f6rtern („Penis“, „Viagra“, „Nigeria“) zu durchsuchen?<\/p>\n Dann sind Panzersperren und Pistolen wahrlich nur\u00a0Sicherheitstheater<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":" Das knallt: Die De-Mail wird mit Waffen gesichert! Das Deutschlandradio berichtet \u2013 ebenso wie bereits Detlef Borchers f\u00fcr heise.de (vgl. auch\u00a0hier) vom Besuch „im\u00a0\u00a0Frankfurter DE-Mail-Rechenzentrum mit Sicherheitsz\u00e4unen und regelrechten Panzersperren“, dem De-Mail-Serverzentrum von Telekom und United Internet: Wer den Server-K\u00e4fig … Weiterlesen