Das beA nach der BRAK-Sonderversammlung: Ärger in Berlin

Das besondere elektronische Anwaltspostfach (beA) bleibt auch nach der Sondersitzung der RAK-Präsidenten am Montag in Berlin ein Sorgenkind, das allenfalls im Schneckentempo vorwärtskommt. Noch immer steht nicht fest, wann das Postfach wieder in Betrieb genommen werden kann. Trotz Nutzungspflicht der Anwälte ist es seit Weihnachten offline. IT-Experten hatten massive Sicherheitslücken entdeckt. Mitte Juni soll es nunmehr eine erneute Sondersitzung der regionalen Kammerpräsidenten geben.

Noch vor geraumer Zeit war mit einer Inbetriebnahme des beA für Juni gerechnet worden. Das hätte jedoch vorausgesetzt, dass bis dahin auch das Gutachten der Secunet AG vorliegt und ausgewertet ist. Das externe Sicherheitsunternehmen, das die Sicherheitslücken des beA, auf welche Experten die BRAK in den vergangenen Monaten hingewiesen hatten, untersucht hat, leitet der Kammer das finale beA-Gutachten jedoch erst am Mittwoch zu. Das bestätigte Secunet-Sprecher Patrick Franitza auf Anfrage von LTO.

Was das nunmehr für den weiteren Zeitplan des beA bedeutet, erläuterte Berlins RAK-Präsident, Marcus Mollnau, nach der Konferenz: "Eine weitere Präsidentenkonferenz der BRAK wird sich voraussichtlich Mitte Juni 2018 mit den Ergebnissen der Überprüfung beschäftigen und Entscheidungen über das weitere Vorgehen treffen könnte. Ein genauer Termin für diese Konferenz steht noch nicht fest."

Transparenzantrag vertagt

Nach einem vorläufigen Zwischenbericht aus April hat Secunet laut der BRAK keine Fehler gefunden, die den grundlegenden Aufbau des beA-Systems in Frage stellen. Nach LTO-Informationen wies das System allerdings zwischenzeitlich mehr als 20 Lücken auf, davon 12 gravierender Art. Die BRAK selbst hatte in einem Schreiben an die regionalen Kammerpräsidenten im März eingeräumt, dass nach einer ersten Einschätzung des Unternehmens zum Sicherheitszustand des Anwaltspostfachs fest stehe, "dass das beA Schwachstellen hat, die wir vor dem Wiedereintritt in den online-Betrieb beseitigen werden".

Anwälte zeigten sich nach der Sondersitzung der BRAK am Montag jedoch nicht nur darüber enttäuscht, dass der Zeitpunkt der Inbetriebnahme des beA weiter in den Sternen steht, sondern auch darüber, dass ein umfassender Transparenzantrag erneut vertagt wurde. Der Antrag, der in den regionalen Kammerversammlungen mehrfach gestellt und angenommen wurde, war in der Hauptversammlung der BRAK im April auf die nächste Präsidentenkonferenz vertagt worden. Er zielt im Wesentlichen darauf ab, dass die BRAK die Quelltexte der Software zum beA vor einer Inbetriebnahme offenlegt, externe Sachverständige die Umsetzung und den Betrieb des Systems regelmäßig überwachen sowie darauf, dass die beA-Software mit allen aktuellen Betriebssystemen kompatibel gemacht und gehalten wird.

Die Präsidentenkonferenz votierte allerdings am Montag mit großer Mehrheit dafür, eine endgültige Entscheidung erst nach Wiederinbetriebnahme des beA zu treffen. Zur Begründung hieß es in einer Mitteilung, dass man nicht abschätzen könne, "welche Auswirkungen eine Veröffentlichung des Quellcodes als Open Source auf das gesamte beA-System konkret haben könnte und mit welchen Kosten dieses Vorgehen verbunden wäre." Wichtig seien diese Informationen, da Mehrkosten die gesamte Anwaltschaft belasten würden.

"Schleier der Geheimhaltung lüften"

Der Deutsche Anwaltverein (DAV) kritisierte die Entscheidung der BRAK, die Quelltexte der Software unter Umständen erst nach der Online-Scharfschaltung des beA zu veröffentlichen: "Dann würde der Effekt verloren gehen. Schließlich gilt es mögliche Sicherheitslücken vor Inbetriebnahme und nicht erst wieder danach zu schließen", so Martin Schafhausen, Vorstandsmitglied und Vorsitzender des ERV-Ausschusses im DAV im Gespräch mit LTO. Wie sinnvoll eine solche Vorabprüfung der Software sein könnte, habe schließlich Markus Drenger vom Chaos Computer Club Darmstadt e.V. letztes Jahr gezeigt. Drenger hatte seinerzeit die Sicherheitslücken des beA entdeckt.

Schafhausen zeigte sich von den Ausführungen der BRAK ernüchtert: "Es ist bedauerlich, dass die BRAK den eingeschlagenen Weg der Transparenz nicht zügig weiterverfolgt." Nach fast sechs Monaten seit Abschaltung des beA werde es Zeit, den Schleier der Geheimhaltung zu lüften, so der IT-Anwalt. Er erwartet nunmehr von der BRAK, dass sie das finale Gutachten der Firma Secunet unmittelbar nach Erhalt auch dem DAV zur Verfügung stellt: "Wir wollen auf dem Deutschen Anwaltstag Anfang Juni in Mannheim das Gutachten diskutieren. Das ist der ideale Rahmen, um beim Thema beA auf dem Weg der Transparenz voranzuschreiten", so Schafhausen zu LTO.

"Es geht letztlich darum, verlorenes Vertrauen zurückzugewinnen", ergänzte er. Da Rechtsanwälte keine IT-Sicherheitsexperten seien, sollten Gutachten von unabhängiger Seite bewertet werden. Davor dürfe das beA nicht wieder in Betrieb genommen werden.

"Kosten werden über Sicherheit gestellt"

Heftige Kritik erntete die BRAK auch von einem der Initiatoren des Transparenzantrages, dem Berliner Rechtsanwalt Michael Schinagl. Insbesondere das Kostenargument der BRAK lässt Schinagl nicht gelten: "Generell werden offenbar die Kosten über die Sicherheit gestellt und ein homogenes und damit leichter angreifbares System geschaffen", so der Anwalt zu LTO. "Die Gesamtkosten wurden bis heute nicht offengelegt."

Schinagl warf der BRAK vor, auf Zeit zu spielen: Der Transparenzantrag sei der BRAK seit Januar 2018 bekannt. Eine Kosten-Ermittlung hätte bereits erfolgen können, sei aber auch am Montag nicht mal grob skizziert worden. Vertagen sei eine beliebte Methode, zu erreichen, dass das Interesse nachlässt. Ob das Secunet-Gutachten auf dem Deutschen Anwaltstag vom 6. bis zum 8. Juni vorgestellt und diskutiert werde, bezweifelt Schinagl: Transparenz werde seitens der BRAK "effektiv verhindert."

Die BRAK versicherte in einer Pressemitteilung, das Secunet-Gutachten zu veröffentlichen. Am nächsten Montag werde sich zunächst das BRAK-Präsidium mit dem Gutachten befassen. Secunet werde an der Sitzung teilnehmen und das Gutachten erläutern. Nach Klärung möglicher offener oder unklarer Punkte werde im Anschluss das Präsidium über die Einberufung einer Präsidentenkonferenz entscheiden. Dann werde die BRAK das Gutachten veröffentlichen, hieß es. Bleibt abzuwarten, ob das auch bis zum anstehenden Anwaltstag gelingt. Das dortige Motto: "Fehlerkultur".