Frage zu PGP-Verschlüsselung

[xxMuahdibxx]

@snaxilian ach Extra3 zu Stuttgart21 nur göttlich.

 

[snaxilian]

Den Teil kenne ich nicht, ich bezog mich eher auf "Die Anstalt" vom 29.01.2019, da ging es allgemein um die Bahn aber S 21 hatte ausreichend Sendezeit bekommen.

 

[BeBur]

Ein Nachteil von PGP ist aber, dass die Mails zwar verschlüsselt sind aber nicht eindeutig die Identität geklärt ist. Nur weil du $Behörde was schickst, kann $Behörde nicht eindeutig verifizieren, dass DU wirklich DU bist.

Dafür war doch dann der Perso gedacht, der kann doch theoretisch signieren, oder habe ich das falsch im Kopf? Extrem schade, dass an sich gute Ansätze zur digitalen Infrastruktur so mies umgesetzt worden sind.

 

[xxMuahdibxx]

jo war die Anstalt ... schau zu viel von den beiden

 

[snaxilian]

kann doch theoretisch signieren, oder habe ich das falsch im Kopf?

Ach ja, stimmt da war ja was^^
Ja, mit einem passenden vertrauenswürdigen Smartphone mit NFC und der AusweisApp oder einem passenden Kartenleser kann man sich einen PGP Key signieren lassen.

Aber Behörde <-> Behörde nutzt Fax oder im worstcase plaintext Mail oder das EGVP und dessen Anbindungen an ähnliche Dienste wie das BeA oder eben DE-Mail.
Wo käme man da hin wenn man bereits vorhandene Techniken nutzen würde anstatt das Rad neu zu erfinden und ein paar Kanten dran zu packen zzgl. bissl Wirtschaftsförderung hier und da.

Manch andere Behörden oder Institutionen erproben intern den Matrix Messenger aber vermutlich wird der auch nur intern zur Anwendung kommen weil da auch das Problem besteht der Identitätsfeststellung.

Aber gesetzt den Fall, dass der Chip in meinem Perso noch funktionsfähig ist, ich die PIN noch habe, die App und ein Gerät zum auslesen habe und mir meinen PGP-Key habe signieren lassen und wider Erwarten den public key der passenden Behörde finde und dort jemand am anderen Ende auch die Mails abruft und liest setzt dies voraus, dass in den IT-Systemen dort ebenfalls die (Sub)CA von Governikus hinterlegt ist damit eine Überprüfung des eigenen signierten Keys möglich ist.
Meine Erfahrung lässt mich darauf tippen, dass es am letzten Punkt scheitern wird. Die Alternative wird also sein, dass $Behörde eine Webanwendung bereit stellt wo man sein Anliegen eintippern kann, Anhänge hochladen und den Spaß so mit nPA/ePA + PIN signieren bzw. anmelden.
Vorteil dabei ist einfach, dass sich der Anwender, also Bürger, sich nicht mit Dingen wie PGP auseinander setzen muss sondern es vergleichsweise einfach funktioniert.
Solche Systeme müssen für die breite Bevölkerung ohne große technischen Kenntnisse nutzbar sein, damit diese angenommen werden.

 

[andy_m4]

Die Alternative wird also sein, dass $Behörde eine Webanwendung bereit stellt wo man sein Anliegen eintippern kann, Anhänge hochladen und den Spaß so mit nPA/ePA + PIN signieren bzw. anmelden.

Aber für sowas in der Art wäre ja De-Mail gedacht. Nur das es eben nicht "pro Behörde" ist, sondern eben quasi übergreifendes einheitliches System.
Und De-Mail ist als gescheitert anzusehen. Dabei krankt es gar nicht nur daran, das die Bürger es nicht benutzen wollen, sondern auch selbst in den Behörden die Verbreitung und Umsetzung eher bescheiden ist.

Ob das dann mit nem behördenspezifischen Webportal besser läuft wage ich da ernsthaft zu bezweifeln. Vor allem da auch die Akzeptanz in der Bevölkerung noch geringer sein wird, wenn jedes Amt sein eigenes Süppchen kocht.

 

[snaxilian]

Behörden nutzen (intern) ja auch das EGVP aber das hat ein Gateway zu DE-Mail aber ja DE-Mail ist eine Totgeburt. Als end-to-end versprochen ist es das defacto nicht und dann diese lächerlichen Preise wo man fast nen Euro zahlen soll damit die Mail auch tatsächlich ankommt? Außerdem hat man halt als Bürger mehr Nach- als Vorteile.
Ansonsten verschweigen Behörden oft genug einfach ihre DE-Mailadressen oder wissen gar nicht, dass diese so etwas haben mangels ausreichender Kommunikation und Schulungen.
Den ganzen Kram nutzen nur die Institutionen und Berufsgruppen, die es nutzen müssen aufgrund irgendwelcher Vorgaben.

Es muss ja auch nicht immer jede Behörde was eigenes haben, zumindest auf kommunaler Ebene hab ich hier eine Webseite als Einstiegspunkt.

Neben der Akzeptanz weil jede Webseite pro Behörde, Stadt, etc ggf. etwas anders aussieht geht es aber auch um die technische Realisierbarkeit und damit leichte Benutzbarkeit.

Gehen wir mal aus der Blubberblase computerbase.de raus in die breite Bevölkerung die nicht diese ganzen technischen Feinheiten kennen und damit umzugehen wissen sondern die beim Browser öffnen dir nicht sagen können was davon jetzt die Adresszeile ist und was die Suchleiste von Google ist weil sie nicht tagtäglich vor'm PC sitzen und sich damit beschäftigen sondern einen PC nur rudimentär benutzen. Natürlich ist es da einfacher wenn ich denen eine Webseite gebe wo ich überall Hinweise, Tutorials etc. einbinden kann einmalig oder wo im Zweifelsfall der Bürger/Kunde/Anwender meine Hotline anrufen kann und ich nur und ausschließlich die Webseite supporten muss und nicht irgendein beliebiges Emailprogramm mit PGP.

 

[andy_m4]

und nicht irgendein beliebiges Emailprogramm mit PGP.

Mein Punkt war ja nicht, das man besser PGP verwenden sollte, sondern das wenn der Staat schon bei De-Mail beweist das er es nicht hinkriegt, dann sehe ich schwarz das das bei nem Webportal wesentlich besser läuft.

Trotzdem geb ich Dir recht. Wenn überhaupt irgendwie realistischerweise umzusetzen ist und auch akzeptiert wird (da einfach genug zu bedienen), dann ist das vermutlich so ein Webportal.

 

[Bob.Dig]

@andy_m4 Eigene Webportale sind doch schon längst Realität, beim Finanzamt, der Krankenkasse und vielen weiteren. Außerdem wird halt auch an einem gemeinsamen Webportal gearbeitet für Bund, Ländern und Kommunen, ist aber etwas still geworden drum.

 

[snaxilian]

schwarz das das bei nem Webportal wesentlich besser läuft.

Nur wenn dafür ein eigenes Protokoll und Software entworfen wird wie bei DE-Mail etc., dann sehe ich da auch schwarz^^
Aber solange klassische vorhandene Webtechnologien verwendet werden, wird's nicht allzu schlimm werden hoffe ich.

 

[andy_m4]

Eigene Webportale sind doch schon längst Realität, beim Finanzamt, der Krankenkasse und vielen weiteren.

Ja. Du hast nicht unrecht. Ist aber trotzdem noch jenseits von weit verbreitet. Hängt auch stark von der jeweiligen Einrichtung ab. Krankenkassen sind bei der Digitalisierung relativ gut dabei. Bei Behörden sieht es eher mau aus, auch wenns da vereinzelt positive Beispiele.

Nur wenn dafür ein eigenes Protokoll und Software entworfen wird wie bei DE-Mail etc., dann sehe ich da auch schwarz^^

Immerhin hat man mit DE-Mail eine Blaupause, wie man es nicht machen sollte :-)

Aber solange klassische vorhandene Webtechnologien verwendet werden, wird's nicht allzu schlimm werden hoffe ich.

Irgendein node-js-Kram mit hippen Framework. Was soll da schon schiefgehen. :-)

 

[snaxilian]

Das hippe Framework ist aber ein Problem des Betreibers und nicht mein Problem als Konsument/Kunde/Bürger, da ich nur den Service verwende und dafür nur ein Gerät mit beliebigem Browser benötige. Ob auf Serverseite jetzt nen Apache, nginx, tomcat, node.js oder sonst was läuft ist mir das relativ egal^^