„Großes entsteht immer im Kleinen.“

Die Saarländische Landesvertretung in Berlin war Gastgeber des beAplus-Symposiums des Deutschen EDV-Gerichtstages e.V.

Der @edvgt lud alle Beteiligten und Interessierten zum Symposium in die Saarländische Landesvertretung nach Berlin ein.

Unter dem Motto: „Brauchen wir das beA+ mit besserer Software und optimierter Ausrichtung auf den Kanzleialltag?“ blickten die Referenten und zahlreiche Teilnehmer in die Zukunft.

Der Vorsitzende des EDVGT, Rechtsanwalt Prof. Ory, fasste die Sicherheitsdiskussionen zum aktuellen Anwaltspostfach beA zusammen: „Das beA (+) ist (nicht) sicher“ – „Verschlüsselung Ende-zu-Ende – gibt es doch (nicht)“ mit einem treffenden Vergleich: „Ein Dokument ist im beA durchgehend verschlüsselt…aber bei der BRAK gibt es einen Mister Minit“.

Die Vertreter der BRAK waren dabei

Im Gegensatz zu allen bisherigen Veranstaltungen, die seit dem „beAGate“ stattgefunden haben, war die BRAK hochkarätig vertreten: Vizepräsident, Dr. Martin Abend, Geschäftsführerin Julia von Seltmann und IT-Referent Hannes Müller waren anwesend und auch in den Pausen und nach der Veranstaltung zu Gesprächen bereit.

Dr. Abend informierte über den aktuellen Stand: Die secunet Security networks AG wird Ende März die ersten Ergebnisse des Gutachtens bekanntgeben. Mit einer angemessenen Vorlaufzeit, Dr. Abend sprach hier von „mindestens zwei Wochen“, soll dann das beA wieder ans Netz gehen. Zum Kanzleipostfach wäre es möglich, zumindest RA-Kapitalgesellschaften ins Register aufzunehmen, damit diese ein eigenes beA bekämen.

Dr. Abend stellte auch die Frage, wie viel die Anwaltschaft zukünftig für ein beAplus investieren will?

Auch der DAV war vertreten

Auch der DAV war durch seine Fachleute vertreten: Rechtsanwalt und Notar Ulrich Volk, Pionier des Elektronischen Rechtsverkehrs, und Mitglied des Ausschusses Elektronischer Rechtsverkehr des DAV sowie der Vorsitzende, Rechtsanwalt Martin Schafhausen, der es sich sich nicht nehmen ließ, nach einem Gerichtstermin noch in der Landesvertretung vorbeizuschauen. Für die DAV-Geschäftführung war Rechtsanwältin Ina Kitzmann dabei und auch Sebastian Reiling für die Digitale Anwaltschaft war mit von der Partie.

RAuN Volk zeigte in seinem Statement auf, wie weit Theorie und Wirklichkeit auseinanderklaffen: Die digitale Post an unterschiedliche Gerichte in Deutschland ist noch unerwünscht: Das Ausdrucken sprengt das Budget. Ein Richter dazu: „…dann kann ich mir keinen Palandt mehr anschaffen. Am besten, Sie schicken ein Fax.“ Ein Dilemma für den Anwalt, der elektronisch einreichen will, andererseits sich den Richter nicht zum Feind machen will. Die Einbindung der Mitarbeiter ist das A und O. Und auch die eigenen Gerichte sollte man einbeziehen: Wie kommt das, was man sendet, dort an? Umgekehrt: Wenn das Gericht etwas sendet, wie kommt das in der Kanzlei an? So erhalten beide Seiten Verständnis für die Situation des anderen und können sich langsam auf einander zu bewegen.

Markus Drenger gab seinen Wunschzettel bekannt

Markus Drenger, der Experte vom Chaos Computer Club Darmstadt e.V., gab einen Ausblick „was noch auf dem Zettel für ein beAplus steht“: Ende-zu-Ende-Protokoll, offene API, quelloffen, nah an verbreiteten Standards, Standard-Client soll mobilfähig und benutzerfreundlich sein. Mit dem Stichwort „security-by-design“ sollte die Sicherheit von Anfang an in der Architektur und ganzheitlich betrachtet, rechtliche Vorgaben für IT-Verfahren sollten durch Experten (z.B. BSI) entwickelt werden. Wenn Akten und Workflows in der Justiz digital sind: maschinenlesbare Justiz und Open Data. Reform PKH / Verurteilungsstatistiken: Verlaufsstatistiken (Polizei-StA-Gericht), Performance-Indikatoren, eAnhörungen, Rechtsprechungsdatenbanken, automatisierbare Verfahren (Knöllchenbot), Anordnungsregister, maschinenlesbare Anordnungen…

Diese Wunschliste wird wohl erst im Kleinen groß werden…

Professor Sorge und die Definition von „sicher“

Professor Christoph Sorge, Inhaber der juris-Stiftungsprofessur für Rechtsinformatik der Universität des Saarlandes, Vorstandsmitglied des EDV-Gerichtstages, zeigte das Sicherheits- und Risikomanagement im Elektronischen Rechtsverkehr auf. Er fragte: „Was verstehen wir eigentlich unter sicher?“ Sicherheit als Funktionssicherheit (engl. safety): System tut, was es soll, auch unter zufällig eintretenden, widrigen Bedingungen oder Sicherheit als Informationssicherheit (engl. security): System widersteht auch intelligenten Angreifern und gibt insbesondere keine Informationen preis, die es nicht preisgeben sollte. „Wie sicher ist sicher?“

Prof. Sorge hat mit seinen Studenten einige Szenarien durchgesprochen:

Ist Sicherheit erreicht, wenn…
… die Kosten für den Angreifer so hoch werden, dass der Angriff sich nicht lohnt?
>Woher kennen Sie die Kosten für den Angreifer?
>Wieso sollte der Angreifer sich rational verhalten?

…der erwartete Schaden (berechnet aus Schadenhöhe und Eintrittswahrscheinlichkeit) niedrig genug ist?
>Woher kennen Sie die Eintrittswahrscheinlichkeit?

Bestandteil eines Managementsystems für Informationssicherheit nach dem BSI-Standard:
Ist jeder einzelne Mitarbeiter in Ihrer Kanzlei mit der IT-Sicherheit befasst?
Sein Beispiel: Die Putzhilfe öffnet dem (vermeintlichen) Heizungsmonteur die Kanzleitür.

Offene Fragen:
Wer führt die Abwägung zwischen Kosten und Nutzen von IT-Sicherheitsmaßnahmen durch?
Wie detalliert sollte Sicherheitsmanagement durch Gesetz- und Verordnungsgeber geregelt werden?
Diverse Vorgaben für das beA in der RAVPV; Zu viel?; Zu wenig?; Sind die bestehenden Regelungen „richtig“?; Wie erfolgt die Rückkopplung?
Vorbildcharakter der eIDAS-Verordnung?

Welche Folgerungen ergeben sich für das beAplus?
Vertrauen in IT-Sicherheit benötigt Offenheit
– in Bezug auf Sicherheitsarchitekturen und -protokolle (!)
– in Bezug auf Details der Umsetzung und Quellcode (?)
– in Bezug auf entdeckte Sicherheitslücken (wann?)
Kryptographie (>Ende-zu-Ende-Verschlüsselung) als Königsweg, aber nicht einziger Weg

Professor Armknecht und Alternativen zum „HSM“

Professor Frederik Armknecht, Lehrstuhl Praktische Informatik der Universität Mannheim,  stellte die Ziele seines Vortrags an den Anfang:

– Kryptografische Funktionalitäten des HSM (Hardware Security Module)
– Vorstellung und Besprechung möglicher Alternativen
– Diskussionsgrundlage

Keine Ziele des Vortrags:
– Kritik am beA
– konkrete Alternativvorschläge

Anhand von anschaulichen Grafiken stellte er die symmetrische und die asymmetrische Verschlüsselung dar, erklärte die hybride Verschlüsselung und die Rolle des HSM beim beA. Auch das Umverschlüsselungsszenario und das Szenario der Proxy Re-Encryption erläuterte Prof. Armknecht anhand von Grafiken. Er zeigte mögliche kryptografische Alternativen wie Proxy Re-Encryption, Secret Sharing oder Zertifikate auf. Alle Ansätze haben unterschiedliche Vor- und Nachteile, kommen allesamt ohne HSM aus. Falls beA grundlegend überarbeitet wird, sollten diese in Betracht gezogen werden.

eIDAS-Vertrauensdienste als neue Standardverfahren

Matthias Matuschka, Direktor Öffentliche Verwaltng der Bundesdruckerei GmbH und Dr. Kim Nguyen, Geschäftsführer D-Trust GmbH und Fellow, stellten die Vertrauensdienste gemäß eIDAS vor, und als Alternative zu Smartcard und Kartenlesegerät die Möglichkeit der Fernsignatur anhand der Lösung sign-me.

De-Mail: Eine Alternative zu beA (+)?

Leslie Romeo, Head of De-Mail & Trust Services bei 1&1, warb für den Einsatz von De-Mail als Übergangslösung oder Ergänzung zum beA. Allerdings kann z.B. das elektronische Empfangsbekenntnis nicht mit De-Mail dargestellt werden.

Anforderungen an ein beA+ aus der anwaltlichen Praxis

Rechtsanwältin Sabine Ecker, Leitende Beraterin Anwaltsmarkt DATEV eG und Vorsitzende des Software-Industrieverbandes Elektronischer Rechtsverkehr (SIV-ERV) brachte die Forderungen aus Sicht der Praxis und der Anwaltssoftwarehersteller auf den Punkt:

• Technik und Recht müssen den Anforderungen des anwaltlichen Workflows entsprechen
• Die Arbeitsteilung zwischen Anwalt und ReFa darf nicht gestört werden
• Ein Kanzleipostfach muss her !
• beA+ muss nicht nur WTS-fähig sein, beA+ muss alle gängigen Systeme unterstützen
• beA+ muss mobil anwendbar sein
• Keine Mengenbegrenzung für Anlagen oder Heraufladen auf den Server der Justiz/Verwaltung ermöglichen

EGVP-Komponenten im Lichte der Sicherheitsdiskussion

Johannes Kühn, Ministerium der Justiz und für Europa Baden-Württemberg, Vorsitz der Bund-Länder-Kommission (BLK) Arbeitsgruppe IT-Standards in der Justiz, beleuchtete die EGVP-Infrastruktur und die Grundlage des Secure Access to Federate eGovernment / eJustice (SAFE). Seit 2011 nutzen 150.000 Gerichte, Rechtsanwälte, Notare, Gerichtsvollzieher, Bürger, Firmen, Kommunen, der Zoll, die Finanzverwaltung und Verwaltungsbehörden das egvp, das Zentrale Testamentsregister, das Vollstreckungsportal und die Vollstreckungsgerichte der Länder, das Zentrale Schutzschriftenregister (ZSSR), Akteneinsichtsportal, Grundbuch …

Der Elektronische Rechtsverkehr nutzt offene technische Standards. Herr Kühn wies darauf hin, dass die EGVP-Infrastruktur der Justiz von der beA-Schwachstelle nicht betroffen ist. Gleichwohl wurde eine von Herrn Drenger entdeckte Schwachstelle beim EGVP-Installer direkt geschlossen. Bei EGVP-Nachrichten ergibt sich die Authentizität einer Person aus der qualifizierten elektronischen Signatur. Die Bezeichnung des Postfachs diene nicht zur Authentifizierung des Absenders. Der bereits abgekündigte EGVP-Client werde weiterhin gepflegt und aktualisiert. Im Mai 2018 wird die BLK über den EGVP-Classic-Client entscheiden.

Blick in die Zukunft – beA ist doch erst der Anfang

Dr. Ralf Köbler, Präsident des Landgerichts Darmstadt, Vorstandsmitglied des EDVGT, warf einen Blick in die Glaskugel 2030 mit der These „Elektronischer Rechtsverkehr und die bisherigen Ansätze zur E-Akte schöpfen die dem Rechtswesen nützlichen Möglichkeiten moderner Informationstechnik nicht aus“.

In Dänemark könne man Klagen nur noch elektronisch einreichen.

Er plädierte dafür, die digitale Postkutsche abzuschaffen und einen gemeinsamen Datenraum für Parteien und Gericht zu schaffen. Dateien sollen up- und downgeloadet werden, kein Versand mehr erforderlich sein. Eine jederzeitig Akteneinsicht wäre möglich, die Akte immer verfügbar und vollständig. Allerdings müsste dann das Problem der gesicherten Netze der Länder gelöst werden: IT-Sicherheit als wesentliches Problem unserer Zeit.

Über Push-Dienste könnten Mitteilungen über Termine, Veränderungen und wesentliches Geschehen im Verfahren auf das mobile device erfolgen; gleichzeitig die automatische Eintragung dieser Informationen in den Anwaltskalender; Entscheidungsbenachrichtigung mit Tenor würde zu einer erheblichen Entlastung des Gerichtspersonals führen. Eine automatisierte Erstellung der Gerichtskostenrechnung und ePayment aller Art zur Bezahlung. Elektronische Terminsanzeigen und Gerichtstafeln im Internet und im Gericht.

Mobiles Arbeiten müsse möglich sein. Ein mobiler Zugriff auf alle Verfahrensdaten und Dokumente, verschlüsseltes WLAN in allen Gerichten, für Richter und Anwälte nutzbar, Internetzugänge für Anwälte und Publikum.

Videoconferencing soll vom Rechner am Richtertisch aus möglich sein, Gutachtenerläuterung grundsätzlich per Video und Umkehr des heutigen Verhandlungsgrundsatzes: grundsätzlich Video, falls kein schriftliches Verfahren möglich ist, nur ausnahmsweise mündliche Verhandlung, wenn persönliche Anwesenheit zwingend ist. Vernehmung behördlicher Zeugen, insbesondere Polizeibeamte, auch im Strafprozess grundsätzlich per Video.

Dr. Köbler wünscht sich etwas, das „Anwälte gar nicht mögen“: Strukturierter Parteivortrag als Norm. Kläger und Beklagter tragen in das gleiche digitale Dokument ein, geordnet nach den Tatbestandsmerkmalen der ausgewählten Anspruchsgrundlage; alternativ: Lebenslagenprinzip, z.B. der Verkehrsunfall, die Wohnraumkündigung, die Kündigung des Arbeitsverhältnisses. Es gäbe eine Spalte für die richterliche Bewertung. Für Beweisantritte sei eine Spezialsoftware erforderlich, die bereits im Teststadium sei. Ein herkömmliches Klageverfahren mit „getrennten“ Schriftsätzen sei ausnahmsweise möglich, würde aber höhere Kosten verursachen.

Er geht davon aus, dass zukünftig die Künstliche Intelligenz (KI) auch in der Justiz Einzug hält. Eine systematische Analyse der Sachverhalte zu Entscheidungen und Zuordnung zu den fall- und lösungsrelevanten Rechtsfragen. Der Anwalt könne den Fall – idealerweise in der vom Mandanten bereits aufbereiten Form – eingeben und erhalte direkt einen Vorschlag zur Sachbehandlung und erster Korrespondenz sowie automatisierter (anpassbarer) Entwurf der Klageschrift. Das Gericht erhalte mit Hilfe der KI einen automatisierten Vorschlag des prozessualen Vorgehens und Entwurf einer Entscheidung auf der Grundlage des strukturierten Parteivortrags.

Dr. Köbler verwies auf den bereits eingetreten Wandel des Anwaltsmarktes durch Legal Tech. Legal Tech sichere den Zugang zum Recht in Fällen mit niedrigen Streitwerten in einer Spezialmaterie, deren Einarbeitung nicht wirtschaftlich ist (Flugverspätung, Zugverspätung, Mietpreiserhöhung, Bußgeldportale). Seine These: es erfolge eine Konzentration der vielen individuell operierenden Startups zu wenigen großen digitalen Rechtsanbietern mit automatisierten Verfahren, aber auch mit „echten“ Anwälten.

Als Empfehlung sprach Dr. Köbler sich dafür aus, mit Bedacht und Sensibilität weiterzumachen und die Zukunft mitzugestalten. Als Justiz und als Anwaltschaft.

Diskussion mit den Referenten und Teilnehmern

Jörn Erbguth, Legal Tech Consultant, Genf, Vorstandsmitglied des EDVGT und auch Teilnehmer des #beAthon, leitete die Diskussion vor der Mittagspause und zum Abschluss der Veranstaltung. Ein blinder Rechtsanwalt wies darauf hin, dass die Client Security nicht barrierefrei sei. Dr. Abend nahm in der Diskussion Stellung: „wir nehmen die Kritik an“ und stellte auch die Frage, mit wem beAplus fortentwickelt werden könne.

Fazit:

Die Diskussion wird auf dem nächsten EDV-Gerichtstag, der vom 19. bis 21. September 2018 in Saarbrücken stattfindet, fortgesetzt. Der geschäftsführende Vorstand und die weiteren Vorstandsmitglieder sind allesamt ausgewiesene EDV-Experten und Juristen. Praktiker wie Dr. Thomas Lapp, der auch in der Arbeitsgemeinschaft IT-Recht des DAV im geschäftsführenden Ausschuss aktiv ist, stehen für einen praxisgerechten Austausch bereit, damit das beAplus zukünftig die Arbeit in den Kanzleien erleichtert.

Die Präsentationen der Referenten stehen auf der Homepage des EDVGT zum Download.