Atos sagt Teilnahme am BeAthon ab: beA-Kri­sen­sit­zung jetzt ohne beA-Macher

Zwei Tage vor dem sog. beAthon hat die Bundesrechtsanwaltskammer (BRAK) mitgeteilt, dass der technische Dienstleister der BRAK, die Firma Atos, seine Teilnahme an der Veranstaltung abgesagt hat. Auch die von Atos beauftragte Subunternehmerin Governikus sei von dem französischen IT-Unternehmen, das mit der Umsetzung des besonderen elektronischen Anwaltspostfachs (beA) beauftragt ist, angewiesen worden, dem beAthon fern zu bleiben. 

Stattfinden soll die Veranstaltung dennoch. Wer auf Antworten gehofft hatte, soll nun nur noch Fragen stellen können. So soll nach Ansicht der BRAK ein Fragenkatalog an Atos erarbeitet werden, den die BRAK dem Dienstleister danach zur Beantwortung übergeben will.

Vor Weihnachten hatte die BRAK das System vom Netz genommen, nachdem man gravierende Sicherheitsmängel festgestellt und dann noch selbst verschlimmert hatte. Die Client Security ist unsicher, die behauptete Ende-zu-Ende-Verschlüsselung, eigentlich Hauptmerkmal der Software, zumindest grundlegend gefährdet, da die BRAK offenbar Zugang zu allen privaten Schlüsseln und damit den eigentlich vertraulichen Nachrichten ihrer Rechtsanwälte hat. Seitdem ist unklar, ob und wie das System repariert und anschließend wieder online gehen kann. Nach der Vorstellung der BRAK sollte sich ein Fahrplan für das weitere Vorgehen aus dem beAthon am Freitag ergeben.

BRAK: Fragen und Vorgehensweisen zur Vorlage an Atos erarbeiten

Dass im Rahmen einer Nachmittagsveranstaltung die Lösung für ein offenbar über Jahre fehlerhaft konstruiertes System erarbeitet werden könnte, bezweifelten Experten bereits im Vorfeld. Erst am Mittwochmorgen hatte der Deutsche Anwaltverein seine Forderung wiederholt, einen technischen Fachbeirat einzusetzen und in der Zukunft über einen einzelnen beAthon hinaus regelmäßige unabhängige Begutachtungen einzuführen. Auch die intransparente Besetzung der Veranstaltung war - nicht zuletzt in sozialen Netzwerken - kritisiert worden. Nun dürfte es noch schwieriger werden, aus dem beAthon konstruktiv weitere Schritte zur Wieder-Inbetriebnahme eines sicheren Systems abzuleiten.

Die "kritischen Experten", die nach dem Plan der BRAK "in den Prozess zur Klärung sicherheitsrelevanter Fragen eingebunden" werden sollten, sollen nun "zusammen mit den Gutachtern der BRAK" Fragestellungen und Vorgehensweisen erörtern", heißt es seitens der BRAK. Die sollen danach an Atos übergeben und beantwortet werden.

Am 22. Januar habe Atos die BRAK darüber informiert, dass das Unternehmen – trotz bisher erteilter mündlicher Zusage – nicht am beAthon teilnehmen werde. Trotz Bemühungen der BRAK sei der Dienstleister auch am 23. Januar bei seiner Absage geblieben. Die Beziehung zwischen Auftraggeberin und Auftragnehmerin ist zwischenzeitlich sehr angespannt. Die BRAK hat die Zahlungen an Atos seit Dezember eingestellt, die Einleitung rechtlicher Schritte wird geprüft.

Der Präsident der BRAK, Ekkehart Schäfer, bedauerte die Absage sehr. "Gerne hätten wir gemeinsam mit externen Kritikern die von Atos zur Verfügung gestellte Lösung zur Behebung der Problematik in der Verbindung zwischen der beA-Komponente Client-Security und beA-Webanwendung erörtert und gegebenenfalls weitere Schritte bis zur erneuten Inbetriebnahme des beA diskutiert." Die im Rahmen eines Updates des französischen IT-Unternehmens entwickelten Vorschläge werde man nicht ohne weitere Überprüfung online gehen lassen, sicherte er erneut zu. 

Die BRAK bleibt in ihrer Mitteilung auch dabei, dass es in der Diskussion um die Verbindung der beA-Komponente Client-Security mit der beA-Webanwendung gehen soll. Ursache der gemeldeten Sicherheitsrisiken sei im Wesentlichen ein Schwachpunkt eines Zertifikats, das für die Anmeldung zur beA-Plattform benötigt wird. Ob neben der Verbindung auch die Komponenten des Systems untersucht werden sollen, ergibt sich aus der Mitteilung nicht.

Was bisher geschah

Das Postfach sollte ursprünglich bereits im Jahr 2016 online gehen. Der Start verzögerte sich zunächst wegen technischer Probleme, dann aufgrund mehrerer Klagen von Anwälten. Erst nachdem eine Verordnung u.a. zur Regelung der Nutzungspflicht nachgeschoben wurde, konnte es losgehen.

Kurz vor Weihnachten vergangenen Jahres nahm die BRAK das System dann vom Netz, nachdem man gravierende Sicherheitsmängel festgestellt hatte. Zu diesem Zeitpunkt waren nach Angaben der BRAK von den rund 165.000 Anwälten in Deutschland erst rund 65.000 angemeldet. 

Seit dem 1. Januar dieses Jahres sind die Anwälte verpflichtet, in dem System eingehende Schriftstücke gegen sich gelten zu lassen. An dieser gesetzlichen Regelung hält das Bundesjustizministerium bislang auch fest, für einen Machbarkeitsvorbehalt sieht man dort keinen Anlass. Die BRAK sichert zu, dass niemand Zugriff auf das System hat. Das Elektronische Gerichts- und Verwaltungspostfach (EGVP) soll zumindest bis Ende Mai weiterlaufen.

Zahlen sollen sie Anwälte für das System trotzdem. Die BRAK will die Umlage auch 2018 abrufen, sie liegt derzeit bei 58 Euro pro Jahr und Anwalt. Anträge mehrerer regionaler Kammern, die das für nicht vermittelbar halten, waren nicht erfolgreich. Die BRAK erklärte, die Kosten fielen "unter anderem für die Entwicklung des beA-Systems, den Betriebsaufwand der Rechenzentren und den Support durch einen Service Desk" an und damit unabhängig davon an, ob das Postfach online ist oder nicht.

Die rund 165.000 Anwälte in Deutschland zahlen seit 2015 jährlich einen gesonderten Beitrag zuzüglich zum Kammer-Beitrag. Laut der BRAK haben sie bislang insgesamt rund 32,5 Millionen Euro geleistet. Die BRAK habe davon an den technischen Dienstleister rund 20,5 Millionen Euro für die Entwicklung und den Betrieb des Systems gezahlt. Die weiteren Aufwendungen für die Realisierung des Systems betrügen seit Beginn des Projektes rund 5,5 Millionen Euro. Laut der BRAK dienen die derzeit noch zur Verfügung stehenden liquiden Mittel dem Betrieb und der Weiterentwicklung des beA in den kommenden Jahren.