"Impuls für sichere Infrastruktur"

Datum

21.12.2010

Frau Rogall-Grothe, warum bedarf es überhaupt der Mitwirkung der Bundesregierung bei der Entwicklung eines sicheren Mailsystems? Kann die Privatwirtschaft so etwas nicht alleine stemmen?

Wir beobachten, dass Sicherheitsfunktionen wenig in der Fläche verbreitet sind. Über 95 Prozent aller E-Mails werden heute immer noch unverschlüsselt versendet, können also auf ihrem Weg durch das Internet abgefangen, wie Postkarten mitgelesen und in ihrem Inhalt verändert werden. Außerdem können Absender und Empfänger nie vollständig sicher sein, mit wem sie gerade kommunizieren und ob die gesendete E-Mail tatsächlich beim Empfänger angekommen ist. Aus diesem Grund ist es so wichtig, dass der Staat hier mit dem De-Mail-Gesetz einen Impuls für das Entstehen einer sicheren und flächendeckend verfügbaren Infrastruktur gibt.

Wäre nicht mindestens ein Projekt auf europäischer Ebene erforderlich, um sicheren Mailverkehr auch außerhalb Deutschlands zu ermöglichen?

Eine wichtige Anforderung war und ist, dass De-Mail auf internationalen E-Mail-Standards basiert, die heute bereits in der Fläche vorhanden sind. Dadurch sollen die Hürden für die weitere Internationalisierung möglichst gering gehalten werden. Außerdem werden die De-Mail-Konzepte auch international eingebracht, zum Beispiel in ein durch die EU gefördertes Projekt, bei dem es um die Interoperabilität unterschiedlicher Lösungen für sichere elektronische E-Mail in Europa geht. Unabhängig davon steht die Zulassung als De-Mail-Provider allen interessierten Unternehmen aus der Europäischen Union offen. Der internationale Einsatz von De-Mail ist also einfach möglich.

Inwieweit haben Sie bei Ihren Planungen zwischen Privatmenschen und Unternehmen als Nutzern von De-Mail unterschieden?

Beides haben wir bei der Konzeption sehr ernst genommen: Für die privaten Anwender war die einfache Nutzung eine der wichtigsten Anforderungen an De-Mail. Im „Look and Feel“ unterscheidet sich die De-Mail nur unwesentlich von der normalen E-Mail. Sie melden sich mit Benutzername und Passwort an einem Webportal an, sehen ihr Postfach und können anfangen, sichere De-Mails zu verschicken. Ohne dass irgendwelche Zusatzinstallationen auf dem Computer erforderlich sind. Für Unternehmen war es unter anderem wichtig, dass De-Mail in interne IT-Systeme integriert werden kann. Unternehmen und andere Organisationen können bei Bedarf ihre existierenden IT-Systeme direkt über ein „Gateway“ an den De-Mail-Provider ihrer Wahl anbinden. Erfahrungen aus der Pilotierung von De-Mail haben gezeigt, dass dies mit verhältnismäßig geringem Aufwand möglich ist.

Welche zentralen Erkenntnisse hat die lokale Pilotierung in der Stadt Friedrichshafen gebracht, die von Oktober 2009 bis März 2010 lief?

Ziel der Pilotierung war es, die technische und organisatorische Machbarkeit und Akzeptanz von De-Mail zu zeigen. Das ist auch gelungen. Mit T-Home, GMX, WEB.DE und T-Systems haben sich vier Provider beteiligt und so gezeigt, dass die Umsetzung machbar ist. Von den beteiligten Unternehmen – darunter große Unternehmen wie HUK24, CosmosDirect und ZF – sowie von den privaten Nutzern haben wir viele positive Rückmeldungen bekommen. Im Nachgang der Pilotierung haben bis heute mehr als 700.000 Privatnutzer bei T-Home, GMX und WEB.DE ihre De-Mail-Adresse vorab reserviert. Dies zeigt deutlich das Bedürfnis nach einem solchen Service.

Ab wann können die ersten De-Mails verschickt werden?

Das Kabinett hat am 13. Oktober 2010 den Regierungsentwurf des De-Mail-Gesetzes beschlossen. Das Gesetz könnte damit Ende des ersten Quartals 2011 in Kraft treten. Anschließend könnten die De-Mail-Provider dann die Zulassung beim Bundesamt für Sicherheit in der Informationstechnik beantragen, die sogenannte  Akkreditierung. Wenn das erfolgt ist, können die ersten „echten“ De-Mails verschickt werden.

Mit wie vielen Providern, die sich akkreditieren lassen möchten, rechnen Sie für das kommende Jahr zum De-Mail-Start?

Bisher haben die Deutsche Telekom AG mit T-Systems und T-Home, United Internet mit WEB.DE und GMX, Mentana Claimsoft sowie die Deutsche Post AG angekündigt, sich als De-Mail-Provider akkreditieren zu lassen. Wenn wir Ende 2011 einen De-Mail-Verbund von diesen Providern haben, wäre das ein schöner Erfolg. Mittel- und langfristig werden es aber ganz sicher mehr sein.

Warum soll es neben der Standard-De-Mail auch noch ein De-Mail-Einschreiben geben?

Bei einer Standard-De-Mail ist gewährleistet, dass der Inhalt verschlüsselt übermittelt wird und die Identität der Kommunikationspartner sicher ist. Das reicht für die meisten Anwendungsfälle aus. Beim De-Mail-Einschreiben kann der Nutzer zusätzlich nachweisen, dass ein bestimmter Inhalt zu einem bestimmten Zeitpunkt beim Empfänger eingegangen ist. Diese Funktionalität braucht man nicht immer, aber wenn man sie braucht, ist es sehr hilfreich, sie auch elektronisch nutzen zu können.

Was passiert mit einer De-Mail, deren Anhang einen Virus enthält?

De-Mails werden beim De-Mail-Provider automatisiert auf Viren überprüft. Der Nutzer wird beim Versand der Nachricht darauf hingewiesen, dass die Nachricht bzw. der Anhang einen Virus enthält und die Nachricht nicht versendet wird. Wird der Virus erst beim Empfang oder vor dem Abruf der Nachricht erkannt, werden sowohl der Empfänger als auch der Absender darüber informiert.

Können Adressaten den Empfang einer bestimmten De-Mail verweigern?

Das ist bei De-Mail so wie bei einem normalen Brief. Wie beim Brief haben Sie auch bei De-Mail einen Briefkasten, in den man etwas hineinwerfen kann. Bei Post durch Behörden ist es etwas anders. Die Verwaltung kann hier nur dann etwas per De-Mail zusenden, wenn der Bürger oder die Bürgerin vorher erklärt hat, dass er oder sie solche Vorgänge von der Behörde über De-Mail bekommen möchte. Andernfalls muss die Verwaltung weiterhin den Postweg nutzen.

Bedeutet De-Mail das Ende von Spam?

Eine entscheidende Voraussetzung für Spam ist die Anonymität der Absender. Genau das ist bei De-Mail nicht mehr möglich. Die Absender sind eindeutig identifiziert. Wenn Sie also von jemandem weiterhin De-Mails zum Beispiel mit Werbung bekommen, obwohl Sie das erklärtermaßen nicht wollen, können Sie dagegen vorgehen.

Wie bewerten Sie den Ausstieg der Deutschen Post aus dem De-Mail-Entwicklungsprojekt?

Die Deutsche Post AG hat erklärt, dass sie vorhat, sich als De-Mail-Provider akkreditieren zu lassen. Wichtig ist, dass wir im Ergebnis mit De-Mail eine breite Basis von Providern bekommen, um damit die Sicherheitsfunktionen endlich mehr in die Fläche zu bekommen.

Täuscht der Eindruck, dass die Deutsche Post mit dem "E-Postbrief" im Wesentlichen schon heute umgesetzt hat, was Sie mit dem De-Mail-Standard erst noch auf den Weg bringen wollen?

Die Post selbst sagt, dass sie beim E-Postbrief die Konzepte und Vorgaben von De-Mail in der jetzt vorliegenden Version berücksichtigt hat. Insofern ist es nicht überraschend, dass der E-Postbrief nach De-Mail aussieht. Um Sicherheit in die Fläche zu bekommen, brauchen wir aber klare Regeln im Hinblick auf organisatorische und technische Sicherheit, die für alle De-Mail-Provider in gleicher Weise gelten und in einem transparenten Verfahren überprüft werden. Das ist eine wichtige Voraussetzung für das Entstehen von Vertrauen in die Sicherheit und Qualität, die provider-übergreifend angeboten wird. Genau das bewirkt De-Mail.

(Die Fragen stellte Michael Milewski)