Die Zahl der Phishing-E-Mails nimmt beständig zu. Das Phänomen wird weltweit zum Problem. Die Schäden sind so enorm, dass die Politik in aller Welt beginnt, sich mit Phishing zu beschäftigen; leider nicht koordiniert.

Doch wird Phishing inzwischen auch zum Politikum. So fordert Martina Krogmann (CDU) nun, das wer Phishing-Mails aussendet, selbst strafbar ist, weil erst der Vermögensschaden zu einer Strafbarkeit führe. Der Satz "Diese hinterlistige Abzocke im Internet ist hochkriminell und muss sofort aufhören" lässt allerdings schon die Ungegorenheit der Forderung erkennen. Insbesondere verkennt Frau Krogmann die internationale Dimension des Phishing, die sich nicht mit solchen Parolen bekämpfen lässt.

Die Bundesnotarkammer schlägt vor, den Geschäftspartner zu identifizieren und dazu die qualifizierte elektronische Signatur breit anzuwenden. Wenn Online-Banking aber von der qualifizierten elektronischen Signatur abhängig wäre, dann hätten wir noch kein Online-Banking, weil die Technologie nicht im Browser implementiert ist. Darüber hinaus bietet die qualifizierte elektronische Signatur im Falle des Phishing keinen über SSL hinausgehenden Schutz, denn auch SSL verifiziert (auch basierend auf X.509v3), ob die Daten tatsächlich von dem Rechner kommen, der als der Bank-Rechner bezeichnet wird. Der Irrtum des Phishing-Opfer ist also auch mittels SSL aufzulösen. Das Problem ist vielmehr, dass das Phishing-Opfer gerade dies nicht tut.

Carola Ernesti meint, § 202a StGB reiche aus. Es gehe nur noch darum, dass der Versuch in § 202a StGB nicht strafbar sei. Der Wortlaut ist zwar passend, aber das Kriterium einer Überwindung eines Zugangshindernisses greift nicht, denn das Phishing-Opfer gibt ja die Daten freiwillig ein. Es findet gerade kein Bruch von Gewahrsam statt.

Rolf Jürgen Franke versucht es mit den §§ 269, 270 StGB, denn der Versuch ist strafbar. Dies hat viel für sich, denn der Phisher benutzt die abgefangen Credentials (Pin/Tan) um sie an eine neue Erklärung anzuhängen. Die §§ 269, 270 StGB sind parallel zum Urkundenbegriff ausgestaltet. Die durch das Credential gesicherte Erklärung kommt gerade nicht vom Empfänger. Aber auch hier gilt, dass die Zusendung der Phishing-E-Mail eine reine Vorbereitungshandlung ist.

Ich bin der Meinung, dass es sich letztlich um einen Betrug und/oder Computerbetrug (§§ 263, 263a StGB) handelt. Hier allerdings fehlt es an der Unmittelbarkeit zwischen Täuschungshandlung und Vermögensverfügung, da die Tat des § 269 StGB dazwischen liegt. Die Unmittelbarkeit wurde aber eingeführt, um den Tatbestand des versuchten Betruges nicht uferlos werden zu lassen. Das Kriterium der Unmittelbarkeit könnte man für anachronistisch halten, denn es bewirkt letztlich, dass aberwitzige Betrügereien mit vielen Zwischenhandlungen und einem grossen Vertrauen auf die Dummheit der Menschen (® Einstein) nicht erfasst werden können. Lässt man also die Unmittelbarkeit weg, dann setzt der Phisher mit dem Zusenden der E-Mail schon zu einem Betrug an. Damit ist man aber bei einer Abwägung zwischen zwei Übeln: Eine Aufweichung der Unmittelbarkeit führt zur ungewollten Kriminalisierung vieler Handlungen, aber sie wird wohl kaum eine Phishing-Mail verhindern.

Der Kernpunkt des Phishing liegt aber eindeutig in der Täuschung mit anschliessender Vermögensschädigungsabsicht. Phishing ist dabei die optimale Ausnutzung einer Schwäche in der Benutzerführung von Browsern und in HTML - Mails. Es nutzt Schwächen der internationalized domain names (IRI), indem das russische A zwar eine andere Domain ergibt, aber im Browser als A dargestellt wird. Phishing nutzt die Tatsache, dass die Browser auch dann ein gelbes geschlossenes Schloss anzeigen, wenn der Browser den von Verisign zertifizierten Server des Phishers besucht, denn es wird der Name nicht angezeigt. Es nutzt Fehler in der Gestaltung von Bankseiten, denn dort werden Frames verwendet und man kann die eigene Seite in diese Frames hineinladen. Da der Focus auf einen Bank-Frame gesetzt wird, zeigt der Browser eine valide SSL-Verbindung an. Erst wenn man in das Phishing-Fenster klickt, verschwindet die Sicherung, aber wer merkt das noch?

Letztlich handelt es sich also um ein Problem der Browser und Mail-Software. Dazu gibt es auch schon einige Initiativen. Die Prominenteste unter ihnen ist wohl Antiphishing.org. Dort kann man sehen, dass die technischen Probleme rund um das Phishing von einer sehr breiten Koalition von Firmen und Organisationen angegangen wird. Wenn die Politik helfen will, dann soll sie den Universitäten Geld geben, damit die Unis und ihre Entwickler und Studenten an der Lösung teilnehmen können. Code is Law sagt Lessig und er meint: Die Technik hat ein Problem geschaffen und kann es auch wieder beseitigen. Eine deutsche Beteiligung kann deutsche Aspekte in die Diskussion bringen. Resourcen für diejenigen, die zur Beseitigung des Problems beitragen können, sind wesentlich effektiver, als das Geld in ein neues Gesetz zu stecken, das die Phisher ohnehin nicht beeindrucken dürfte.

Bis dahin finde ich die Initiative des LKA Rheinland-Pfalz zu Phishing interessant: In einer Pressemitteilung werden eine ganze Reihe von Tips und Verhaltensregeln gegeben. Das LAWgical hat versucht einen solchen Angriff nachzuvollziehen und auch schon ein Anti-Phishing Tools gefunden.

Das eGovernment treibt weiter blüten. In Frankreich kann man sich auf einem zentralen nationalen Service ummelden. Man muss sich also nur eine Adresse merken und spart sich die Suche auf der Site von Kleinwölferode. Allerdings kann man das Zertifikat der Finanzverwaltung nicht zur Authentifizierung benutzen. Also gilt es, sich ein weiteres Passwort zu merken. Single-sign on in der Verwaltung wäre ein Vorteil, begegnet aber datenschutzrechtlichen Bedenken.

Heute gab es eine Pressemitteilung des Bundesverwaltungsgerichts, dass zwischen Gericht und Vertreter des Bundesinteresses beim Bundesverwaltungsgericht (VBI) nunmehr EGVP eingesetzt werde. Jeder, also auch Anwälte und Bürger könnten nun mittels EGVP mit dem Gericht kommunizieren. Neugierig geworden, wollte ich mir die Spezifikation anschauen. Bei EGVP ist zwar das OSCI-Format als Spezifikation in der FAQ angegeben. Aber der Link zu OSCI fehlt. Bei OSCI angekommen fällt mir der ®-Klecks hinter dem Namen auf. Gut, denke ich, hat W3C® auch.

OSCI ist ein Projekt der Stadt Bremen. Es soll auch für andere mitentwickelt werden und die Benutzung durch das BVerwG bezeugt einen beachtlichen Erfolg. Auf der Seite osci.de findet man alle notwendigen XML Schemata. Das ist ebenfalls ein Zeichen von Qualität.

Dann kommt das Kapitel "Warum OSCI"?
OSCI bietet eine erhöhte Sicherheit im Gegensatz zu bisherigen Kommunikationsprotokollen. Dies geschieht durch die Trennung von Nutz- und Inhaltsdaten beim Transport und eine sehr gute Sicherung der Signatur durch die Berechung in einem äußerst aufwändigen Verfahren.

Das klingt, als wäre es aus dem Lastenheft für SOAP und Web Services abgeschrieben. Allerdings findet man keinen Hinweis auf die Spezifikationen. Denn Ziel von SOAP ist eben die Trennung von Nutz- (Header) und Inhalts- (body) daten. Vielleicht benutzen die Bremer ja wirklich diese Spezifikationen, aber sagen tun sie's nicht. Wenn sie weder SOAP noch WSDL benutzen, dann müssen sie sich schon die Frage gefallen lassen, warum das Rad neu erfunden wurde.

Die Folgen kann man schön an einem Dokument der IDABC sehen, welches ein Gateway zwischen dem europäischen IDA-Link und dem deutschen OSCI zeigt. Würden beide Systeme SOAP und WSDL benutzen, dann bräuchten sie kein Gateway.

Das Dokument zur European Interoperability Framework for pan-European eGovernment Services bringt vielleicht eine Milderung. Dort wird explizit die Forderung nach Open Standards erhoben. OSCI ist auf einem guten Weg, aber vielleicht kann die Verbindung zu Organisationen wie dem W3C noch verbessert werden, damit die Eigenentwicklung genau dort ansetzt, wo sie ansetzen soll.

Von hier aus sei ausserdem angeregt, dass die Verwaltung ein zentrales Register für die XML Schemata der Verwaltung schafft, damit auch hier Parallelentwicklungen vermieden und Transformationen vereinfacht werden. Die KBST sammelt nur Projekte und leider keine Daten.

Inter Alia hat mich auf das Legal SEO Blog aufmerksam gemacht, einen Ableger von Justia.com. Das Weblog beschäftigt sich ausschließlich mit Suchmaschinenoptimierung (Search Engine Optimization) für juristische Online-Angebote. Besonders interessant ist dort gerade der fünfteilige Artikel "60 Essential Free Competitive Intelligence Resources for Your Legal Desktop" (Teile 1 / 2 / 3 / 4 / 5).

juritel.com ist ein neues interessantes Informationsangebot zum französischen Recht. Man sieht der site zwar an, dass noch nicht alles so etabliert ist, aber der Aufbau ist vielversprechend. Es handelt sich um ein kommerzielles Projekt, das durchaus Ähnlichkeiten zum JIPS aufweist. Die Zusammenarbeit mit Anwälten verschiedener Sprengel erscheint jedenfalls als gute Idee. Leider ist der Newsfeed nicht frei als RSS verfügbar, sondern nur gegen eine Registrierung zur Einbindung in eine Web-site. Es sieht also so aus, als sollten die Werbeeinnahmen nicht allzu stark geschmählert werden.