Compyblog

technisches Versagen in der Justizverwaltung: Für Anwälte soll zum Jahreswechsel ein digitales Postfach starten, wo Anwälte verpflichtend teilnehmen müssen, und dann irgendwelche Nachrichten dort von Gerichten eingeworfen bekommen. Weil digital ja viel effizienter ist als das alte, analoge System.

So weit, so verständlich. Weniger verständlich ist, dass die Software, die die BundesRechtsAnwaltsKammer BRAK zur Verbindung mit dem Sysem verteilt: Die bringt erstmal eigene SSL-Zertifikate mit, was ja noch okay wäre. Uneigentlich sind die aber nicht sauber extern signiert, sondern es gibt da ein separat zu installierendes Root-Zertifikat. Und für den 'Server' eine Domain bealocalhost.de die eigentlich immer auf localhost verweisen sollte. Oh, und dann agiert die Software irgendwie noch als Proxy mit Verschlüsselung in beide Richtungen, bringt also sowohl einen öffentlichen, als auch dazu passenden privaten Schlüssel mit. Spätestens damit ist die Software völlig unsicher, denn jeder, der den privaten  Schlüssel extrahiert bekommt, kann damit beliebige Inhalte signieren, die dank installiertem Root-Zertifikat jeder Anwaltsrechner für vertrauenswürdig erachtet. Da werden Erinnerungen an Superfish und ähnliche Rechner-Verwanzungen wach.

Es ist wohl etwas dran, wenn man sagt, Iudex non calculat. Der Jurist möge besser nicht rechnen. Wer auch immer in der BRAK auf die Idee kam, diese Umsetzung zu verlangen, sollte das mit dem Rechnen besser sein lassen.