§ 4 Verschlüsselung im beA und Verschwiegenheitspflicht / C. Verschlüsselung im beA

I. Ende-zu-Ende-Verschlüsselung

Rz. 14

Eine sog. Ende-zu-Ende-Verschlüsselung wird als hoher Sicherheitsstandard angesehen. Bei einer Ende-zu-Ende-Verschlüsselung wird die Nachricht vom Absender verschlüsselt und in dieser Form unverändert über mehrere Server hinweg zum Empfänger übertragen. Keiner der übertragenden Server, sog. Intermediäre, hat Einsicht in den Klartext der Nachricht – im Gegensatz zur Punkt-zu-Punkt-Verschlüsselung (auch Leitungsverschlüsselung genannt), bei der die Nachricht auf den Zwischenservern immer wieder ent- und neu verschlüsselt wird. Wirkliche Geheimhaltung bietet daher nur die Ende-zu-Ende-Verschlüsselung. An der Architektur des beA wurde kritisiert, dass dieses nicht mit einer "echten" Ende-zu-Ende-Verschlüsselung arbeitet, vgl. auch Rdn 16 f. Der Vorteil bei Nutzung des beA ist für Anwender im Gegensatz z.B. zur Nutzung des auch als sicherer Übermittlungsweg^[6] geltende De-Mail-Systems, dass ohne weiteres Zutun die Verschlüsselung und Entschlüsselung erfolgt. D.h. allein durch die Nutzung des "Speichern" oder "Senden"-Buttons erfolgt die Verschlüsselung automatisch; bei Öffnen einer Nachricht wird automatisch "entschlüsselt", wenn die rechtlichen Voraussetzungen des Nutzers gegeben sind.^[7]

Rz. 15

Die Verwendung einer Ende-zu-Ende-Verschlüsselung (sowohl der echten E2EE als auch der im beA verwendeten Form der Verschlüsselung) weist allerdings auch Gefahren auf, da beim Empfänger das ankommt, was "verpackt verschickt" wurde. Wird also ein Dokument, das Virus befallen ist, verschlüsselt versendet, wird beim Öffnen des Dokuments auch die Schadsoftware zum Vorschein kommen. Dies kann natürlich auch ungewollt geschehen; viele Kanzleien haben keinen guten Schutz vor Schadsoftware und verpacken möglicherweise auch versehentlich und unwissentlich ihre Schadsoftware in Schreiben an Kollegen. Hier können lokal installierte, aktuell gehaltene Virenscanner helfen, die Gefahr zu minimieren. Grundsätzlich schützt sich das beA-System und deren Anwender vor dieser Gefahr, da keine ausführbaren Dateien (z.B. *.exe, *.bat, *.com, *.cmd, …) in eine Nachricht übertragen werden können.

[6] § 130a Abs. 1 ZPO

[7] Z.B. in der Rolle des Mitarbeiters mit dem Recht 06 (Nachricht öffnen) und der Freischaltung des Sicherheits-Tokens.

II. Sicherheitsprobleme im beA

Rz. 16

Die BRAK entschied am 22.12.2017, nachdem durch Marcus Drenger vom Chaos Computer Club (CCC) in Darmstadt erhebliche Sicherheitsmängel am beA aufgedeckt worden waren, das beA vorübergehend offline zu schalten und die erkannten Sicherheitsmängel zu beseitigen. Diese erkannten Sicherheitsmängel wurden inzwischen beseitigt. Informationen zu den damals festgestellten Sicherheitsmängeln können auf der Seite der BRAK abgerufen werden.^[8] Das entsprechende Gutachten wurde von der Firma secunet am 18.6.2018 erstellt. Nach Behebung eines Großteils dieser Mängel wurde das beA-System zum 3.9.2018 wieder empfangsbereit freigeschaltet. Es wird seit diesem Zeitpunkt permanent Sicher­heitschecks unterzogen und technisch weiterentwickelt.

[8] https://www.brak.de/anwaltschaft/bea-erv/sicherheitsgutachten/ (Abrufstand 22.9.2022).

III. BGH "segnet" beA ab

Rz. 17

Mit Urt. v. 22.3.2021 hat der Bundesgerichtshof über die Verschlüsselungstechnik des besonderen elektronischen Anwaltspostfachs entschieden.^[9] Nach Ansicht des Bundesgerichtshofs stellt das in beA verwendete Hardware-Security-Module (HSM) eine ausreichend sichere Verschlüsselungstechnik dar. Ein Anspruch auf eine "echte" Ende-zu-Ende-Verschlüsselung besteht nach Ansicht des BGH nicht. Bereits beim Anwaltsgerichtshof in Berlin^[10] waren die klagenden Anwälte unterlegen; beim BGH führte auch ihre Berufung nicht zum Erfolg. Der Bundesgerichtshof wies in seiner Entscheidung darauf hin, dass die einfachgesetzlichen Vorgaben, insbesondere die §§ 19 Abs. 1 und 20 Abs. 1 RAVPV, eine solche Ende-zu-Ende-Verschlüsselung auch nicht verlangen würden. Die amtlichen Leitsätze der umfangreichen Entscheidung des BGH:^[11]

Zitat

"1. Der Bundesrechtsanwaltskammer steht ein Spielraum bei der technischen Ausgestaltung der Nachrichtenübermittlung mittels des besonderen elektronischen Anwaltspostfachs zu, sofern das gewählte System eine im Rechtssinne sichere Kommunikation gewährleistet."

2. Ein Anspruch von Rechtsanwälten gegen die Bundesrechtsanwaltskammer darauf, dass diese das besondere elektronische Anwaltspostfach mit einer Ende-zu-Ende-Verschlüsselung im Sinne der Europäischen Patentschrift EP 0 877 507 B1 versieht und betreibt, besteht nicht. Weder die gesetzlichen Vorgaben für die Errichtung und den Betrieb des besonderen elektronischen Anwaltspostfachs noch die Verfassung gebieten eine derartige Verschlüsselung.

3. Zur Sicherheit der Verschlüsselungstechnik des besonderen elektronischen Anwaltspostfachs."

Rz. 18

Wer sich für die gesamte Entscheidung des BGH interessiert, hat die Möglichkeit, die Urteilsverkündung z.B. auf YouTube unter folgendem Link anzusehen:

https://www.youtube.com/watch?v=evRStUggFpk (Abruf: 22.9.2022).

Die gegen diese Entscheidung eingereichte Anhörungsrüge scheiterte.^[12] Nach Ansicht...