Diskussion:Besonderes elektronisches Anwaltspostfach

message: Während ich den Abschnitt Kritik (insb. die vorhandenen Quellenangaben) überarbeitete, fiel mir auf, dass ungewöhnlich viele hiervon auf die Web-Präsenz einer einzigen Kanzlei verweisen. Vielleicht ist dies nicht völlig außergewöhnlich, da ebendiese Kanzlei ja die Kritik eben auf gerichtlicher Ebene vorgenommen hat. Bemerkenswert ist aber, dass auch eingescannte Schreiben der BRAK, Urteile und andere Texte Dritter aus deren "Archiv" verlinkt sind. Bei mir entsteht da ein leichter Eindruck von Geschmäckle. 
Im Anschluss und nach einer wikiblame-Recherche, fiel mir zusätzlich auf, dass die Beiträge von Alvadrom auch in anderen Artikeln großenteils darin bestehen, die Web-Präsenz der besgaten Kanzlei zu verlinken.
Sehe ich hier Gespenster?--Hagman (Diskussion) 17:41, 25. Jun. 2016 (CEST)
replies: text: Ja, da siehst Du Gespenster, ich bin mittendrin in der Thematik, und da brennt wirklich die Luft. --Denalos(quatschen) 18:43, 25. Jun. 2016 (CEST)
thread_title:  POV? 

message: Laut offizieller Ausage der BRAK soll das BeA im September 2016 final starten, allerdings eben nicht zur rechtsverbindlichen Nutzung.
Diese Situation macht es für den Unbeteiligten extrem unübersichtlich. Vorgesehen war, dass mit dem Start des besonderen elektronischen
Anwaltspostfachs die Nutzung quasi auch rechtswirksame Wirkung hat. Durch die aktuellen Rechtsstreite, die auch im Artikel aufgeführt sind,
wird das Anwaltspostfach nun doch nicht rechtsverbindlich zur Nutzung freigeschaltet, sondern - man könnte sagen - nur so. Wie diese Form der Freischaltung
wirken kann und ob sie nich doch noch einmal verschoben wird, ist derzeit nicht absehbar. --Denalos(quatschen) 20:58, 3. Sep. 2016 (CEST)
replies: text: Ich würd mal sagen, die BRAK weiß derzeit selber nicht, wie es genau weitergeht. Bislang gab es ja die Einstweilige Anordnung. Das zugehörige Hauptsacheverfahren ist ja meines Wissens noch nicht abgeschlossen.--Losdedos (Diskussion) 02:27, 4. Sep. 2016 (CEST)

text: Am 28. September 2016 geht der Spaß mit einem weiteren einstweiligen Anordnungsverfahren vor dem I. Senat des Anwaltsgerichtshofs Berlin in die nächste Runde bzw. in die dort anberaumte mündliche Verhandlung.--Losdedos (Diskussion) 02:31, 4. Sep. 2016 (CEST)
replies: text:  Derzeit gibt es für die Softwarehersteller auch noch absolut irgendwie mal so gar nichts zum Testen oder zum Programmieren, nichts genaues weiß man gar nicht. Entsprechend ist auch nicht im Entferntesten absehbar, wann die diversen Programmsysteme das Postfach unterstützen werden (nach Definition der Schnittstellen und Etablierung eines funktionierenden Testsystems mindestens ein dreiviertel Jahr). Vor dem Abschluss des Hauptsacheverfahrens wird das Postfach mit Sicherheit nicht rechtsverbindlich freigeschaltet. Die Einprogrammierung einer selektiven Freischaltung ist - angeblich - immens teuer, daher auch nicht so mal auf die Schnelle machbar. Das diese Aussage bei Softwarehäusern auf verständnisloses Kopfschütteln stößt, ist nachvollziehbar (wo soll das Problem einer selektiven Freischaltung sein???). Die klagenden Anwälte hatten ja auch schon gesagt, dass sie im Falle des Unterliegens (was nicht absehbar ist) vor den EuGH ziehen werden. All diese - aktuellen - Wissenstände können sich jedoch von heute auf morgen wieder ändern. --Denalos(quatschen) 11:59, 5. Sep. 2016 (CEST)
thread_title:  Rechtliche Situation im September 2016 unübersichtlich 

message: Näheres dazu dort. Die Diskussion bitte gegebenenfalls hier weiterführen, da das wohl der bessere Ort dafür sein dürfte.--Losdedos (Diskussion) 19:30, 13. Dez. 2016 (CET)
replies: text: Die Beibringung von Details, Belegen und Referenzen ist beim beA-Artikel immer mit großem Aufwand verbunden, da die BRAK scheinbar gar kein Interesse daran hat, dass das beA in den Fokus der Öffentlichkeit gelangt. Infos sind daher spärlich gesäht und in der Regel nur über Dritte zu bekommen, die das beA dann in eigenem Interesse kommentieren. In den Fachzeitschriften und Magazinen wird man erst dann etwas finden, wenn das ganze System weitreichend etabliert ist (in welchem Status auch immer). Man findet zwar immer wieder Informationen auf den Seiten einzelner Softwarehäuser, diese Informationen hier einzupflegen ist jedoch schwierig, da solche Links dann mal sehr schnell als vermeindliche SEO wieder gelöscht werden. --Denalos(quatschen) 09:05, 14. Dez. 2016 (CET)
thread_title:  Fehlende Belege / Original Research 

message: Unabhängig von der technischen Diskussion sowie der Nutzung des Systems ergeben sich grundsätzliche Haftungsprobleme, die noch einer Klärung bedürfen.
Vorausgesetzt, dass ein Softwareclient, der die Anbindung einer Fachsoftware an das beA ermöglicht, von der BRAK zugelassen wurde, ein solcher Client also
regelkonform eingesetzt werden kann bzw. darf, stellt sich die essentielle Frage der Haftungsübergänge, die sich aus verschiedenen Gründen ergibt:
* Die Daten sind Ende zu Ende verschlüsselt, der Transportdienstleister kann (per Definition) nicht auf die Daten fachlich zugreifen
* Die Datenformate, die in den verschlüsselten Paketen enthalten sind, können nur vor der Verschlüsselung und auf der Empfängerseite nach der Entschlüsselung geprüft werden
* Es ist keine definierte Verfügbarkeit spezifiziert
* Es gibt keinen öffentlich einsehbaren Verfügbarkeitsstatus
Daraus folgt:
# Alleine aus einer selbst erfolgreichen Datenübermittlung kann nicht geschlossen werden, dass die übermittelten Daten auch korrekt sind, das bedeutet, dass die Datenformate von via beA eingereichten Schriftstücken ggf. auf der Empfängerseite nicht verarbeitet werden können und somit Fristversäumnisse entstehen
# Es gibt keine effektive Möglichkeit des Virenschutzes, da die Entschlüsselung der Daten erst hinter einer Viren-/Trojanerschutz-Software erfolgt
# Eine Beweisführung bei nicht erfolgreicher Datenübermittlung ist nicht trivial, da nicht ohne weiteres festgestellt werden kann, aus welchem Grunde an welcher Stelle des Transportweges eine Übermittlung verzögert wurde oder scheiterte. Die Frage der Haftungsübergänge ist damit derzeit ungeklärt
# Einer Überlastungssituation im Bereich der beA-Server kann nicht ohne weiteres durch Hinzunahme weiterer Server begegenet werden, da der Zugriff auf das Hardwaremodul zur Schlüsselverwaltung und Umschlüsselung (HSM) prinzipbedingt einen single point of failure darstellt und aus Sicherheitsgründen auch nicht ohne weiteres repliziert werden kann bzw. darf
Für den Fall von Fristversäumnissen auf Grund fehlgeschlagener Übermittlungen gibt es zwar die Möglichkeit der Wiedereinsetzung in den vorherigen Stand, in wie weit sich dies jedoch immer realisieren läßt und welche finanziellen Schäden sich daraus ergeben und wer für diese Schäden (auf Grund undefinierter Haftungsübergänge) haftet, ist ungeklärt. Zur Versicherungsthematik liegen ebenfalls noch keine Aussagen der Versicherungsunternehmen vor.
--Denalos(quatschen) 14:42, 18. Dez. 2016 (CET)
thread_title:  ungeklärte Haftungsfragen 

message: Was macht den Beitrag des Rechtsanwalts Ralph Hecksteden mit der Kritik zur Ende-zu-Ende-Verschlüsselung zu einer ungeeigneten Quelle? Wo ist der Unterschied zu den Quellen des SIV-ERV? Und bitte nicht mit "Quelle leider nicht brauchbar, da als Referenz ungeeignet" argumentieren. Das ist ja wohl ein Hohn an Begründung. Als wissenschaftlich arbeitendes Medium sollte die WP die Originalquellen zitieren. --EearWP (Diskussion) 08:54, 13. Mär. 2017 (CET)
replies: text: Ich persönlich sehe das genauso wie der Rechtsanwalt, das Problem ist jedoch, dass das Einzelmeinungen sind, die nicht öffentlich rezipiert wurden. Wenn diese Meinung in einer Fachzeitschrift auftaucht oder in einer anderen reputablen Quelle wiedergegeben wird, dann könnte man sie vielleicht stehen lassen. So in dieser Form ist es jedoch eine unbelegte Einzelmeinung, die in der WP dann leider als Werbung für die Kanzlei angesehen wird, und sowas mag man in der WP nicht. Es geht also nicht um die Kritik an sich, sondern um die Quelle. Quellen müssen immer reputabel sein, und das sind Einzelpersonenquellen so gut wie nie. Damit möchte ich Herrn Gersheim definitiv nicht zu nahe treten, denn sein Bemühen in der Sache mag durchaus redlich sein. Ich kenne persönlich gut ein Dutzend Leute, die sich zum beA äußern könnten (und auch geäußert haben), aber all dies ist nicht öffentlich rezipiert, und daher nicht anführbar. Aus dem gleichen Grund werden in der WP zum Beispiel auch keine Forenbeiträge aufgenommen. --Denalos(quatschen) 12:11, 13. Mär. 2017 (CET)
replies: text:  "Sind wissenschaftliche Publikationen nicht oder nicht in ausreichendem Maße vorhanden, etwa bei Themen mit aktuellem Bezug, kann auch auf nicht-wissenschaftliche Quellen zurückgegriffen werden, sofern diese als solide recherchiert gelten können." https://de.wikipedia.org/wiki/Wikipedia:Belege --EearWP (Diskussion) 13:02, 13. Mär. 2017 (CET)
replies: text:  Gerade bei der soliden Recherche wird die Luft beim BeA jedoch sehr dünn. Da es keine öffentliche Dokumentation zum tatsächlichen Systemlayout gibt, ist man auf eine logische Herleitung angewiesen, die die BRAK immer als unkorrekt ohne Erbringung eines Gegenbeweises ablehnen kann. Ein wissenschaftlicher Bezug muss eine Herleitung sein, und eine solche Herleitung wird annahmenbasierend sehr schwierig. Ich kann nur betonen, dass ich das mit dem BeA in Punkto Ende zu Ende Verschlüsselung genauso sehe, aber um das in der Wikipedia unterzubringen braucht es halt mehr als eine Einzelmeinung, egal wie fundiert sie ist. Sowie irgend jemand mal diese Sache eskaliert, bin ich der Erste, der das in die WP bringt. --Denalos(quatschen) 10:36, 14. Mär. 2017 (CET)
replies: text:  Nachtrag: Der Abschnitt mit der Diskussion zur Fragwürdigkeit der Verschlüsselung stammt übrigens von mir, ich wäre also froh, wenn man das wikipediakonform untermauern könnte, ist mit der Einzelmeinung jedoch leider nicht möglich :-( --Denalos(quatschen) 18:54, 14. Mär. 2017 (CET)
replies: text:  Wieso dürfen nun Beiträge von "WERNER Rechtsanwälte Informatiker" unter Weblinks zitiert werden? Stringenz? --79.199.51.4 23:34, 5. Jan. 2018 (CET)
replies: text:  Man kommt mit dem Pflegen des Eintrags einfach nicht schnell genug nach. Die Referenz auf Werner-Rechtanwälte, gehört auch nicht in den Artikel und wurde daher von mir gelöscht. Generell sollten im Artikel gar keine Referenzen auf einzelne Anwälte drin stehen. Es gehören in den Artikel nur Referenzen auf offizielle Verlautbarungen der Beteiligten sowie Pressmeldungen. Alle Referenzen auf Kanzleien wirken in diesem Artikel ganz generell eigentümlich (oder sehen nach Werbung aus). --Denalos(quatschen) 12:38, 6. Jan. 2018 (CET)
thread_title:  Kritik 

message: Die Sätze zum 34C3 kommen so rüber, als ob die Ende-zu-Ende-Verschlüsselung erstmals Ende 2017 diskutiert worden wäre. Vielmehr ist diese Diskussion schon seit ca. zwei Jahren auf Fachkongressen in der Rechtsinformatik-Szene belegt. Siehe JurPC Web-Dok. 47/2016  Rn. 21 (http://www.jurpc.de/jurpc/show?id=20160047). --EearWP (Diskussion) 17:26, 2. Jan. 2018 (CET)
replies: text: Stimmt, ich kann mich erinnern. Das gehört dann allerdings auch in den Artikel, ich werde mal versuchen das einzubauen. --Denalos(quatschen) 17:50, 2. Jan. 2018 (CET)

text: --Denalos(quatschen) 18:02, 2. Jan. 2018 (CET)
thread_title:  Keine neuen Erkenntnisse zur Ende-zu-Ende-Verschlüsselung auf 34C3 

message: Durch die aktuellen Entwicklungen entwickelt sich der Abschnitt über die Sicherheitspannen fast zu einem Newsticker. Wenn dieses ganze Thema erledigt ist, sollte darüber nachgedacht werden, ob der Abschnitt nicht etwas eingedampft werden kann. --Denalos(quatschen) 09:33, 3. Jan. 2018 (CET)
replies: text: Deine neue Hinzufügung finde ich sehr gut und informativ; ich habe sie nur ein klein wenig neutralisiert, denn trotz der - wohl bei allen Beteiligten - vorhandenen Emotionen sollte die WP so neutral wie möglich bleiben (schon, um sie nicht angreifbar zu machen). Wenn sich das Ganze so weiterentwickelt, dann dürfte diese Historie des "Versagens" ein Dokument der Zeitgeschichte werden, dann sollte sie auch komplett erhalten bleiben (vielleicht ein klein wenig gestrafft). --Denalos(quatschen) 08:57, 9. Apr. 2018 (CEST)
replies: text: Leider war ich da einer Fehlinformation aufgesessen. Das Sicherheitsproblem war echt - aber die Information, dass Governikus nicht reagiert hätte, war wohl falsch. Ich habe beim Schulungsclient die Versionsnummer überprüft und es ist nicht mehr die alte problematische Version. Governikus hat mir geschrieben, dass sie die Version bereits im Mai 2017 gepatched hätten. Das kann ich zwar nicht im Detail überprüfen, halte ich aber für plausibel. Daher bitte ich Governikus und alle Leser_innen hier um Entschuldigung für meine voreiligen Schlüsse. --Erbguth (Diskussion) 12:14, 9. Apr. 2018 (CEST)
replies: text: Fehler passieren, wurde ja auch schnell wieder beseitigt. Denoch: Wurde irgend jemand darüber informiert, dass da ein Fehler vorhanden war, und welche Konsequenzen sich daraus ergeben und wie damit umzugehen ist? --Denalos(quatschen) 12:26, 9. Apr. 2018 (CEST)
thread_title:  Pannen straffen 

message: Die Überschrift ist irreführend, da die Gerichte keine Teilnehmer des besonderen elektronischen Anwaltspostfach sind. Die gesamte Kommunikation läuft über das elektronische Gerichts- und Verwaltungspostfach, EGVP. Das besondere elektronische Anwaltspostfach ist keine eigene Kommunikation, sondern stellt nur für Rechtsanwälte den Zugang zum EGVP hier und ersetzt für Rechtsanwälte den EGVP Bürgerclient. --Lapp (Diskussion) 17:04, 6. Feb. 2018 (CET)
thread_title:  Teilnehmer 

message: WP:WWNI Punkt 8: "Wikipedia ist kein Newsticker". - Der Abschnitt "Sicherheitspannen" hat mit den ganzen Abschnitten, die mit Am ... Januar 2018 beginnen, den Charakter eines Newstickers. Im Moment mag das angesichts der Aktualität des Themas verzeihlich sein, aber spätestens zu einem Zeitpunkt, zu dem so etwas wie eine Rückschau möglich ist, sollte stattdessen eine zusammenfassende Darstellung erfolgen. Gestumblindi 23:49, 3. Mär. 2018 (CET)
replies: text: Hallo Gestumblindi schau mal etwas weiter oben, da habe ich genau das bereits schon mal vorgeschlagen. Du hast zweifelsfrei recht mit dem Kommentar, dass das alles auf's wesentliche zusammengefaßt werden sollte. Das geht jedoch erst dann, wenn sich "alles gesetzt" hat. Nicht umsonst ist ja auch der Baustein im Artikel, der auf die stetigen Änderungen hinweist. --Denalos(quatschen) 00:18, 4. Mär. 2018 (CET)
thread_title:  Newsticker 

message: Um Editieren und Rückgängig-machen zu vermeiden, hier ein paar Vorschläge für Änderungen bzw. Ergänzungen:
=== Verschlüsselungstechnik ===
Herr Dr. Abend (für das beA zuständige Vizepräsident der BRAK) hat auf dem beAplus-Symposium in Berlin gesagt, dass er den Begriff "Ende-zu-Ende-Verschlüsselung" beim beA nicht mehr verwenden würde. 
: Hat er? Kann ich mich gar nicht dran erinnern, dass er das gesagt hat (aber da wurde viel gesagt), ich war bei dem Symposium dabei, und an diese Aussage kann ich mich wirklich nicht erinnern. Vielmehr kann ich mich eher daran erinnern, dass zum wiederholten male eine neue Form der Formulierung "Der Begriff Ende-zu-Ende-Verschlüsselung sei nicht klar definiert" vorgebracht wurde. Die anderen Referenten (insbesondere Prof. Armknecht) haben dem klar widersprochen (es ist eben keine E2EE). 
:: Meiner Erinnerung nach hat er das - aber es gibt keinen Mitschnitt --Erbguth (Diskussion) 18:48, 8. Mär. 2018 (CET)
replies: text:  Auch ich erinnere mich an diese Erklärung, habe es aber auch nicht in meinen Notizen . -- Lapp (Diskussion) 20:02, 9. Mär. 2018 (CET)

text: Das gehört an sich in die Kategorie, dass eigentlich der gesamte Artikel überarbeitet werden müsste (siehe diverse Einträge dazu hier auf der Disk). Ganz am Anfang gab es sowas wie Mitarbeiterkarten gar nicht, die kamen erst später hinzu, und das wurde nicht sauber in den Artikel eingepflegt. Die Sicherheitsarchitektur des beA ist imho ohnehin ein Graus. Ich neige dazu, dass wir das erstmal nicht anfassen, bis die Secunet ihr Gutachten vorgelegt hat, und man dann fundiertere Sachen schreiben kann. Es spricht aber nichts dagegen, schon jetzt eine definitiv falsche Darstellung zu korrigieren. eine Gesamtüberarbeitung sollte später stattfinden. --Denalos(quatschen) 18:18, 8. Mär. 2018 (CET)
replies: text: Habe einen Klammerzusatz zur Korrektur eingefügt. Eine grundsätzliche Überarbeitung kann dann ja später folgen. --Erbguth (Diskussion) 21:05, 8. Mär. 2018 (CET)

text: Es gibt den Man-in-the-middle, sowie den Angriff des Man-in-the-middle (also die Man-in-the-middle-Attacke). Der Man-in-the-middle hat seine Daseinsberechtigung und Bedeutung überhaupt nur durch den Angriff. Da dieser Begriff negativ belegt ist, gibt es die positive Variante gar nicht. Andererseits ist es (nach aktuellem Kennitnisstand) unmöglich, einen Man-in-the-middle bei einer echten E2EE zu etablieren (es gibt einfach gar nichts zwischendrin). Per Definition ist jede zwischengeschaltete Person "böse" (traue nicht dem Postboten), insofern gilt wäre - wenn man die Kommunikation als E2EE bezeichnet - das HSM ein Man-in-the-middle, wenn man das HSM nicht so bezeichnen möchte, dann darf man nicht von E2EE sprechen. --Denalos(quatschen) 15:26, 9. Mär. 2018 (CET)
replies: text:  Ich denke, man kann zwar gut begründen, warum die Bezeichnung "man in the middle" für das HSM nicht verkehrt ist. Ich halte es aber trotzdem für unglücklich, da es bereits den Angriff impliziert. Ich würde klar herausstellen, dass es kein E2EE ist - das behauptet ernsthaft niemand, der im Bereich Kryptographie arbeitet. Dann aber im Konjunktiv weiter schreiben, dass dadurch mit dem HSM eine Man-in-the-Middle Attacke durchgeführt werden könnte. --Erbguth (Diskussion) 18:23, 9. Mär. 2018 (CET)
replies: text: Das klingt total spannend. Wie muss ich mir das vorstellen? Kann man von außen über Web oder auf anderem elektronischen Wege auf das HSM zugreifen und dadurch eine Man-in-the-middle-Attacke durchführen? Ist es dann möglich, die über das HSM laufende Korrespondenz mitzulesen? Oder muss ich ins Rechenzentrum? Der Schlüssel ist ja in mehreren Teilen an Personen der BRAK ausgegeben, die zusammenwirken müssen, um Zugang zu haben. Brauche ich diese Personen oder kann ich mit einer davon oder sogar unabhängig von ihnen das HSM nutzen und Nachrichten mitlesen? --Lapp (Diskussion) 20:08, 9. Mär. 2018 (CET)
replies: text: Wenn das HSM richtig implementiert ist, ist es tatsächlich relativ sicher. Der "Man in the Middle" ist das HSM. Wenn also das HSM selbst böswillig wäre oder das HSM gehackt würde, dann könnten die Nachrichten alle mitgelesen werden. Man muss also darauf vertrauen, dass die BRAK oder Atos niemanden - also auch nicht unseren Geheimdiensten - eine Abhörschnittstelle eingebaut haben und man muss darauf vertrauen, dass die Qualität der Implementierung im HSM deutlich besser ist, als beim beA-Client. Bei einer echten Ende-zu-Ende-Verschlüsselung wäre solches Vertrauen schlicht nicht nötig. Dann müsste nur darauf vertraut werden, dass der Client richtig gebaut worden ist und dabei könnte dann OpenSource helfen. --Erbguth (Diskussion) 09:29, 9. Apr. 2018 (CEST)
replies: text:  Der entscheidende Punkt ist (wie Erbguth ganz richtig anmerkt), dass man dem HSM und der Implementierung vertrauen muss. Bei "echter" E2EE muss man niemandem vertrauen; genaugenommen ist es sogar integraler Bestandteil der E2EE, dem "Postboten" (also u.a. dem HSM) gerade eben nicht zu vertrauen. Genau das ist der essentielle Unterschied. Sicherlich gibt es (hoffentlich) keinen Web-Zugriff (erst recht nicht von außen) auf das HSM, aber wie sicher kann Technik sein? Der gesamte Code im HSM ist ja mit absoluter Sicherheit nicht von Grund auf neu geschrieben worden (was übrigens aus anderem Grunde auch wieder schlecht wäre), sondern es wurde mit Sicherheit auf etablierte Komponenten zurückgegriffen. Wie sicher (oder unsicher) selbst die besten Systeme sind, konnte man den den Spectre-/Meltdown-Bugs sehen, und von denen ist mit absoluter Sicherheit auch das HSM betroffen. Es ist annähernd unmöglich, wirklich sichere Systeme zu bauen, weil "das Gesetz der Widerwärtigkeit" fast immer irgendwann zuschlägt. Aus all den Slides (die bis dato veröffentlicht wurden) geht auch nicht wirklich hervor, welche Verwaltungskomponenten im HSM tatsächlich laufen. Wenn man mal voraussetzt (und das ist nur Mutmaßung), dass sämtliches Kodieren/Dekodieren im HSM stattfindet, dann ist noch immer ungeklärt, wo denn das User-Management (also Rechte u.a.) der ganzen Postfächer stattfindet. Wenn das auch im HSM passiert, dann muss das eine wirklich dicke Kiste sein (was nicht zu den Modellbezeichnungen passt, die man in den Dokus findet). Wenn diese Verwaltung außerhalb des HSM stattfindet, dann hat man genau hier einen weiteren Angriffspunkt (man greift dann nämlich nicht das HSM an sich, sondern die "drum herum" liegenden Verwaltungseinheiten an. Für so einen Angriff gibt's sogar einen Namen, das wäre eine "Out of Band Angriff"). Ich habe auch absolut nichts davon gehört oder gelesen, dass bei der ganzen Infrastruktur (oder dem HSM oder den Clients) ein Code Coverage stattgefunden hat (sowas ist z.B. in der Medizin und in den essentiellen Automotive-Bereichen unabdingbar). --Denalos(quatschen) 10:05, 9. Apr. 2018 (CEST)

text: Sicherlich ein guter Vorschlag, einfach machen :-) --Denalos(quatschen) 18:19, 8. Mär. 2018 (CET)
replies: text:  OK mache ich --Erbguth (Diskussion) 18:50, 8. Mär. 2018 (CET)
thread_title:  Ein paar Änderungs- bzw. Ergänzungsvorschläge 

message: Herr Dr. Abend (für das beA zuständige Vizepräsident der BRAK) hat auf dem beAplus-Symposium in Berlin gesagt, dass er den Begriff "Ende-zu-Ende-Verschlüsselung" beim beA nicht mehr verwenden würde. 
: Hat er? Kann ich mich gar nicht dran erinnern, dass er das gesagt hat (aber da wurde viel gesagt), ich war bei dem Symposium dabei, und an diese Aussage kann ich mich wirklich nicht erinnern. Vielmehr kann ich mich eher daran erinnern, dass zum wiederholten male eine neue Form der Formulierung "Der Begriff Ende-zu-Ende-Verschlüsselung sei nicht klar definiert" vorgebracht wurde. Die anderen Referenten (insbesondere Prof. Armknecht) haben dem klar widersprochen (es ist eben keine E2EE). 
:: Meiner Erinnerung nach hat er das - aber es gibt keinen Mitschnitt --Erbguth (Diskussion) 18:48, 8. Mär. 2018 (CET)
replies: text:  Auch ich erinnere mich an diese Erklärung, habe es aber auch nicht in meinen Notizen . -- Lapp (Diskussion) 20:02, 9. Mär. 2018 (CET)
thread_title:  Verschlüsselungstechnik 

message: Nicht nur die Anwälte, sondern auch deren Mitarbeiter können beA-Karten haben. Das steht an anderer Stelle auch, aber unter Sicherheitsarchitektur ist es etwas verkürzt und damit unkorrekt wiedergegeben.  
: Das gehört an sich in die Kategorie, dass eigentlich der gesamte Artikel überarbeitet werden müsste (siehe diverse Einträge dazu hier auf der Disk). Ganz am Anfang gab es sowas wie Mitarbeiterkarten gar nicht, die kamen erst später hinzu, und das wurde nicht sauber in den Artikel eingepflegt. Die Sicherheitsarchitektur des beA ist imho ohnehin ein Graus. Ich neige dazu, dass wir das erstmal nicht anfassen, bis die Secunet ihr Gutachten vorgelegt hat, und man dann fundiertere Sachen schreiben kann. Es spricht aber nichts dagegen, schon jetzt eine definitiv falsche Darstellung zu korrigieren. eine Gesamtüberarbeitung sollte später stattfinden. --Denalos(quatschen) 18:18, 8. Mär. 2018 (CET)
replies: text: Habe einen Klammerzusatz zur Korrektur eingefügt. Eine grundsätzliche Überarbeitung kann dann ja später folgen. --Erbguth (Diskussion) 21:05, 8. Mär. 2018 (CET)

text: Es gibt den Man-in-the-middle, sowie den Angriff des Man-in-the-middle (also die Man-in-the-middle-Attacke). Der Man-in-the-middle hat seine Daseinsberechtigung und Bedeutung überhaupt nur durch den Angriff. Da dieser Begriff negativ belegt ist, gibt es die positive Variante gar nicht. Andererseits ist es (nach aktuellem Kennitnisstand) unmöglich, einen Man-in-the-middle bei einer echten E2EE zu etablieren (es gibt einfach gar nichts zwischendrin). Per Definition ist jede zwischengeschaltete Person "böse" (traue nicht dem Postboten), insofern gilt wäre - wenn man die Kommunikation als E2EE bezeichnet - das HSM ein Man-in-the-middle, wenn man das HSM nicht so bezeichnen möchte, dann darf man nicht von E2EE sprechen. --Denalos(quatschen) 15:26, 9. Mär. 2018 (CET)
replies: text:  Ich denke, man kann zwar gut begründen, warum die Bezeichnung "man in the middle" für das HSM nicht verkehrt ist. Ich halte es aber trotzdem für unglücklich, da es bereits den Angriff impliziert. Ich würde klar herausstellen, dass es kein E2EE ist - das behauptet ernsthaft niemand, der im Bereich Kryptographie arbeitet. Dann aber im Konjunktiv weiter schreiben, dass dadurch mit dem HSM eine Man-in-the-Middle Attacke durchgeführt werden könnte. --Erbguth (Diskussion) 18:23, 9. Mär. 2018 (CET)
replies: text: Das klingt total spannend. Wie muss ich mir das vorstellen? Kann man von außen über Web oder auf anderem elektronischen Wege auf das HSM zugreifen und dadurch eine Man-in-the-middle-Attacke durchführen? Ist es dann möglich, die über das HSM laufende Korrespondenz mitzulesen? Oder muss ich ins Rechenzentrum? Der Schlüssel ist ja in mehreren Teilen an Personen der BRAK ausgegeben, die zusammenwirken müssen, um Zugang zu haben. Brauche ich diese Personen oder kann ich mit einer davon oder sogar unabhängig von ihnen das HSM nutzen und Nachrichten mitlesen? --Lapp (Diskussion) 20:08, 9. Mär. 2018 (CET)
replies: text: Wenn das HSM richtig implementiert ist, ist es tatsächlich relativ sicher. Der "Man in the Middle" ist das HSM. Wenn also das HSM selbst böswillig wäre oder das HSM gehackt würde, dann könnten die Nachrichten alle mitgelesen werden. Man muss also darauf vertrauen, dass die BRAK oder Atos niemanden - also auch nicht unseren Geheimdiensten - eine Abhörschnittstelle eingebaut haben und man muss darauf vertrauen, dass die Qualität der Implementierung im HSM deutlich besser ist, als beim beA-Client. Bei einer echten Ende-zu-Ende-Verschlüsselung wäre solches Vertrauen schlicht nicht nötig. Dann müsste nur darauf vertraut werden, dass der Client richtig gebaut worden ist und dabei könnte dann OpenSource helfen. --Erbguth (Diskussion) 09:29, 9. Apr. 2018 (CEST)
replies: text:  Der entscheidende Punkt ist (wie Erbguth ganz richtig anmerkt), dass man dem HSM und der Implementierung vertrauen muss. Bei "echter" E2EE muss man niemandem vertrauen; genaugenommen ist es sogar integraler Bestandteil der E2EE, dem "Postboten" (also u.a. dem HSM) gerade eben nicht zu vertrauen. Genau das ist der essentielle Unterschied. Sicherlich gibt es (hoffentlich) keinen Web-Zugriff (erst recht nicht von außen) auf das HSM, aber wie sicher kann Technik sein? Der gesamte Code im HSM ist ja mit absoluter Sicherheit nicht von Grund auf neu geschrieben worden (was übrigens aus anderem Grunde auch wieder schlecht wäre), sondern es wurde mit Sicherheit auf etablierte Komponenten zurückgegriffen. Wie sicher (oder unsicher) selbst die besten Systeme sind, konnte man den den Spectre-/Meltdown-Bugs sehen, und von denen ist mit absoluter Sicherheit auch das HSM betroffen. Es ist annähernd unmöglich, wirklich sichere Systeme zu bauen, weil "das Gesetz der Widerwärtigkeit" fast immer irgendwann zuschlägt. Aus all den Slides (die bis dato veröffentlicht wurden) geht auch nicht wirklich hervor, welche Verwaltungskomponenten im HSM tatsächlich laufen. Wenn man mal voraussetzt (und das ist nur Mutmaßung), dass sämtliches Kodieren/Dekodieren im HSM stattfindet, dann ist noch immer ungeklärt, wo denn das User-Management (also Rechte u.a.) der ganzen Postfächer stattfindet. Wenn das auch im HSM passiert, dann muss das eine wirklich dicke Kiste sein (was nicht zu den Modellbezeichnungen passt, die man in den Dokus findet). Wenn diese Verwaltung außerhalb des HSM stattfindet, dann hat man genau hier einen weiteren Angriffspunkt (man greift dann nämlich nicht das HSM an sich, sondern die "drum herum" liegenden Verwaltungseinheiten an. Für so einen Angriff gibt's sogar einen Namen, das wäre eine "Out of Band Angriff"). Ich habe auch absolut nichts davon gehört oder gelesen, dass bei der ganzen Infrastruktur (oder dem HSM oder den Clients) ein Code Coverage stattgefunden hat (sowas ist z.B. in der Medizin und in den essentiellen Automotive-Bereichen unabdingbar). --Denalos(quatschen) 10:05, 9. Apr. 2018 (CEST)
thread_title:  Sicherheitsarchitektur 

message: Sinnvoll wäre ein Verweis auf die kleine Anfrage der FDP und der Antwort der Bundesregierung darauf. 
: Sicherlich ein guter Vorschlag, einfach machen :-) --Denalos(quatschen) 18:19, 8. Mär. 2018 (CET)
replies: text:  OK mache ich --Erbguth (Diskussion) 18:50, 8. Mär. 2018 (CET)
thread_title:  kein öffentlich zugänglicher Telekommunikationsdienst 

message: Wie sollte in dem Artikel im Abschnitt Weblinks umgegangen werden, wenn es "da draußen" durchaus interessante Webseiten gibt, die umfangreich über das beA berichten, die aber über diesen speziellen Bereich hinaus quasi nicht bekannt sind? Dies auch vor dem Hintergrund, dass eine Webseite durchaus fundierte Information enthält. An sich entspricht es nicht den Regeln der WP, solche Webseiten in die Links aufzunehmen. Das Problem ist eben, das man bei einer Ausnahme sehr schnell die Tore öffnet für alle möglichen anderen Artikel. Wir hätten dann automatisch das Problem, dass jemand eine Webseite, die er mit großer Passion aufgebaut hat, via Wikipedia quasi pusht. Ist ein schwieriges Dilemma, da man ja gut von Böse nicht so ohne weiteres unterscheiden kann. --Denalos(quatschen) 18:26, 8. Mär. 2018 (CET)
replies: text: Die WP-Regel ist wohl: Was sind zuverlässige Informationsquellen?. Dort steht: Sind wissenschaftliche Publikationen nicht oder nicht in ausreichendem Maße vorhanden, etwa bei Themen mit aktuellem Bezug, kann auch auf nicht-wissenschaftliche Quellen zurückgegriffen werden, sofern diese als solide recherchiert gelten können. Die hier angesprochene Quelle kann als solide recherchiert gelten, der Autor hat beispielsweise in JurPC zum Thema veröffentlicht (beAthon - das Drama geht weiter sowie Update dazu). Man muss die Frage wertend angehen. Hier sind offenbar schon drei Stimmen für das Zitat. --Lapp (Diskussion) 20:26, 9. Mär. 2018 (CET)
replies: text:  Wenn wir mal das Wort "wissenschaftlich" weglassen, dann ist die Quellenlage im Artikel ja ziemlich gut (sogar mehr als das), absolut alles ist mit Belegen versehen, von "in nicht ausreichendem Maße vorhanden" kann man also nichtmal ansatzweise sprechen. Die Seite von Erbguth ist gut, keine Frage, aber sie liefert keine Information, die über den Artikel hinausgeht. Erbguth hat ja zwischenzeitlich selbst ergänzende Infos beim beA-Artikel hinzugefügt. Insofern ist Dein Belege-Hinweis interessant, greift hier aber nicht. --Denalos(quatschen) 11:42, 11. Mär. 2018 (CET)
replies: text:  Meiner Ansicht nach geht es bei der - als Weblink eingefügten - fraglichen Seite um die Regelungen in Wikipedia:Weblinks, nicht um Wikipedia:Belege. Zu prüfen sind insbesondere die drei Punkte von "Generell gilt" und ob gegen eine der 13 Richtlinien verstoßen wird. ME ist die Einfügung durchaus möglich, das mögen aber fachkundige Autoren entscheiden, wie sie hier ja glücklicherweise vertreten sind. Im Zweifel kann eine Dritte Meinung helfen. Kein Einstein (Diskussion) 19:44, 11. Mär. 2018 (CET)

text:  Das war das Juristische Internetprojekt Saarbrücken JIPS --Erbguth (Diskussion) 09:21, 9. Apr. 2018 (CEST)
replies: text:  Danke. Das Juristische Internetprojekt Saarbrücken halte ich für renommiert genug, um die Website umseitig aufzunehmen; gibt es noch Einwände? --Andropov (Diskussion) 10:11, 9. Apr. 2018 (CEST)
replies: text:   Es scheint jedenfalls keinen Widerstand gegen das Einbauen zu geben; wenn du das also selbst übernehmen möchtest, sollte das funktionieren. Ich schließe derweil die Anfrage bei WP:3M. --Andropov (Diskussion) 09:14, 17. Apr. 2018 (CEST)
replies: text:   Danke für die Abstimmung. Möchte den Link auf die Seite aber ungern selbst einbauen, kenne die Prozesse bei Wikipedia noch zu wenig und möchte nicht noch einmal daneben langen. Die URL ist https://erbguth.ch/bea --Erbguth (Diskussion) 02:30, 24. Apr. 2018 (CEST)
replies: text:  Verstehe ich und habe die Website eingefügt; in case of buyers' remorse please say so :) --Andropov (Diskussion) 08:35, 24. Apr. 2018 (CEST)

text:  --Denalos(quatschen) 08:51, 24. Apr. 2018 (CEST)
thread_title:  Hinzufügen externer Webseiten 

message: Spricht etwas dagegen, statt "BRAK" im Text den gängigen Begriff "Kammer" zu verwenden? --Wunschpunkt (Diskussion) 00:38, 26. Jun. 2018 (CEST)
replies: text: Kammer ist unspezifisch und kann auch die lokale Rechtsanwaltskammer, sogar Ärzte-, Steuerberater-, Wirtschaftsprüferkammer etc. bedeuten. --Lapp (Diskussion) 09:28, 26. Aug. 2018 (CEST)
replies: text: Im Artikel ist aussschließlich von der BRAK die Rede, daher ist hier keine Verwechselung möglich. Die Abkürzung 'BRAK' ist keineswegs gängig (so wie z.B. 'ZDF'), daher der Vorschlag den Lesefluß zu vereinfachen. --Wunschpunkt (Diskussion) 21:52, 26. Aug. 2018 (CEST)
replies: text: erl.; in Einzelfällen jedoch verständlich klargestellt. --Wunschpunkt (Diskussion) 01:07, 2. Sep. 2018 (CEST)
thread_title: "BRAK"

message: Größenbeschränkung von Schriftsätzen ist kein Problem des beA, sondern der zugrunde liegenden Architektur EGVP, an das das beA lediglich andockt. Das wird aus dem Abschnitt genauso wenig deutlich wie die Tatsache, dass die Begrenzung in der Praxis kaum eine Rolle spielt. Werden Schriftsätze aus Word oder einem anderen Textbearbeitungsprogramm mit PDF-Drucker in PDF überführt, entstehen nur selten zu große Dateien. Anders mag es aussehen, wenn die Schriftsätze ausgedruckt und dann mit hoher Auflösung wieder gescannt werden. --Lapp (Diskussion) 09:33, 26. Aug. 2018 (CEST)
replies: text: Der Kritikpunkt ist nicht belegt und kann daher ggf. auch entfernt werden. Der Kritikpunkt ist ein Problem des Postfachs und "der zugrunde liegenden Architektur EGVP". --Wunschpunkt (Diskussion) 23:29, 26. Aug. 2018 (CEST)
thread_title:  Größenbeschränkung von Schriftsätzen 

message: Sollte dies irgendwie (z.B. im Abschnitt "Kritik") untergebracht werden? 
Interessant ist evtl. auch der letzte Absatz im Bericht, wo es um einen "untergetauchten" Anwalt geht: 
: Der Vertreter müsste nun auf das BeA-Postfach des verschwundenen Anwalts zugreifen, zumindest auf die Metadaten, also beispielsweise die Sender und Empfänger der Nachrichten im Postfach. Doch dieser hatte sich beim BeA noch gar nicht angemeldet. Diesen Fall hatte die Bundesrechtsanwaltskammer offenbar nicht vorgesehen.
Nachdenkliche Grüße von Iva   14:06, 17. Dez. 2018 (CET)
replies: text: Ich denke, dass die Klageverschiebung erstmal nicht von so allgemeinem Interesse ist, der Artikel enthält jetzt schon viele Newsticker-Komponenten. Das mit dem untergetauchten Anwalt ist halt eine von vielen nicht vorgesehenen Komponenten im beA; es zeigt einfach nur, dass man sich bei der BRAK keine grundkonzeptionellen Gedanken gemacht hat. Wenn man ein komplexes System baut, dann betrachtet man die Welt nicht so, wie man sie gerne hätte, sondern so, wie sie ist, d.h. man berücksichtigt möglichst alle Konstellationen, genau das hat man beim beA eben nicht gemacht, und deshalb schlägt hier immer wieder das "Gesetz der Widerwärtigkeit" zu und es beißen einen Probleme in den Hintern, mit denen niemand gerechnet hat (obwohl man damit eigentlich hätte rechnen müssen). --Denalos(quatschen) 17:27, 19. Dez. 2018 (CET)
replies: text: Auch ich meine, dass wir im Artikel nicht jeden Sonderfall behandeln müssen, zumal die BRAK ja an der Beseitigung dran ist.  --Lapp (Diskussion) 10:51, 20. Dez. 2018 (CET)
thread_title:  Klageverschiebung in Artikel einarbeiten? 

message: Diese Angabe im umseitigen Artikel stimmt entweder nicht oder ist veraltet. Der MS-Edge-Browser kann (jetzt) verwendet weden. Der Internet Explorer wird nicht (mehr) unterstützt, vgl. hier. Das sollte man richtig stellen oder die pflegeaufwendigen Systemvoraussetzungen auch gleich ganz streichen und auf den beA-Onlineauftritt verlinken. --Legatorix (Diskussion) 14:03, 5. Aug. 2022 (CEST)
thread_title:  "Der Zugriff auf das beA erfolgt entweder über einen Browser (Firefox, Safari, Chrome, Internet Explorer, der Edge-Browser wird nicht unterstützt)..."