Justiz Offline

Manchmal fragt man sich schon, auf welchem Stand die Gerichte eigentlich sind.

Ging ja neulich schon durch die Presse und ich habe es auch schon angesprochen: Das Kammergericht Berlin (=Oberlandesgericht) hat sich Malware eingefangen und ist erst mal offline gegangen.

Das wird laut HEISE auch noch eine Weile so bleiben:

Emotet: Berliner Kammergericht bleibt bis 2020 weitgehend offline

Mitarbeiter des hohen Berliner Gerichts können ihre Computer nur noch als Schreibmaschine nutzen. Der Notbetrieb soll bis 2020 dauern. […]

Er rechne damit, dass die Institution “nicht vor 2020” wieder normal online gehen könne, erklärte der Präsident des Hauses, Bernd Pickel, gegenüber dem Tagesspiegel. Bis dahin wolle man den aktuellen “provisorischen Betrieb ausbauen und erträglicher machen”. […]

Die Rechtspflege funktioniere generell auch ohne das Netz, betonte Pickel in dem Interview: “Unsere Improvisationsfähigkeit ist groß.” Dies treffe allerdings auch auf die Erschwernisse während des derzeit eingerichteten Notbetriebs zu. “Alle Daten sind noch da”, sprach der Jurist von Glück im Unglück und dem prinzipiellen Erhalt des “Golds” der Kollegen. […]

Die IT-Verantwortlichen trauten sich aber noch nicht, mit dem Datenbestand wieder ans Netz zu gehen. Es sei unklar, ob sich die Malware noch darin befinde und “sich nur schlafend stellt”.

Das ist hanebüchen. Keine Firma könnte sich so etwas leisten. Im Bereich der Anbieter von was-auch-immer-online gilt die Faustregel, dass wer 72 Stunden offline ist, dicht machen kann, weil die Kunden abspringen. Normalerweise hat man da auch so etwas wie einen Disaster Recovery Plan mit einer definierten Wiederanlaufzeit, entsprechende Serviceverträge, Kaltreserven, Redundanzen und so weiter. Sowas darf wie da darf eigentlich überhaupt nicht passieren.

Stellt Euch einfach mal vor, was die Euch erzählen, wenn Ihr irgendeine Frist verpasst habt, weil der Anwalt sich Malware eingefangen hat und sich vor 2020 nicht mehr traut, ans Netz zu gehen. Oder eine Fristverlängerung haben wollt wegen „Ich trau’ mich nicht…”.

Und es zeigt, dass wir IT an vielen Stellen nicht im Griff haben. Eigentlich dürfte es gar keine Textprogramme usw. geben, die durch Malware angreifbar wäre. Eigentlich müsste das alles so gebaut sein, dass man blind auf alles draufklicken kann, ohne dass irgendetwas passieren könnte. Aber man will ja unbedingt diese Windows-Welt haben, in der alles mit allem verbunden und alles irgendwie ausführungsfähig und embedded ist und keiner mehr so genau weiß, was nun alles geht und was nicht.

Und es dürften auch keine Datenformate verwendet werden, für die es keinen Verifikator auf Übereinstimmung mit der Spezifikation gibt. Dass die da vor einem Haufen Daten stehen und nicht wissen, ob oder ob nicht, ist ein Unding.

Und auch, dass sich das Problem nicht nur auf Daten seit dem Einschleppen der Malware, sondern anscheinend auf alles bezieht, deutet darauf hin, dass man von den Rechnern aus auch alte Daten, etwa abgeschlossener Gerichtsverfahren nachträglich verändern kann.

Oder anders gesagt: Wer alte Dateien infizieren kann, der kann sie auch anderweitig verändern, verfälschen. Ich bin da ziemlich empfindlich, seit ich mal einen Richter beim nachträglichen Fälschen der Tonbandaufnahme der Verhandlung, der Manipulation von Sachverständigengutachten und faulen Sachverständigenabrechnungen erwischt habe. Wer so mit Daten umgeht ist auch nicht dagegen geschützt, dass Richter oder andere Justizangestellte Akten fälschen. Wie gesagt, ich habe es schon erlebt.

Wenn sie nicht sagen können, welche Dateien von Malware verändert wurden, können sie auch nicht sagen, welche Dateien von Richtern und Mitarbeitern gefälscht, verändert, manipuliert wurden. Man müsste wirklich mal einen Malware schreiben, die die Urteile dort nicht infiziert, sondern subtil umschreibt und verändert. (Und dann einen Turing-Test draus machen, ob Juristen die von Richtern und irgendeiner KI-Software gedudelten Urteile noch unterscheiden können.)

Und dann auch noch das:

Aktuell gilt als gesichert, dass Emotet das Netz des obersten Straf- und Zivilgerichts des Landes Berlin per E-Mail infizierte und nicht etwa via USB-Sticks, mit denen viele Richter Dokumente vom Heimarbeitsplatz mit ins Gericht nehmen und umgekehrt. Die Nutzung der portablen Speichergeräte ist trotzdem inzwischen an der Einrichtung untersagt.

Die schlepp(t)en USB-Sticks zwischen Heimarbeit und Gericht hin- und her und auf denen dann Urteile und Akten.

Neulich sagten mir die Richter eines Gerichts, dass sie eigentlich nur noch zuhause arbeiteten und nur noch zu den Verhandlungen ins Gericht kämen. Aber mal irgendwie Telearbeit nach Grundschutzhandbuch oder sowas?

Oder mal generell ein Grundschutzaudit?

Offenbar nicht.

In jeder Firma würde man sowas mindestens als grobe Fahrlässigkeit und massive Schlamperei ansehen, für sowas würde man Geschäftsführer oder Vorstandsmitglieder feuern.

Aber bei einem Oberlandesgericht geht sowas. Und das sind dann die, die anderen per Urteil vorschreiben und erzählen, was sie in IT zu tun und zu lassen, und wofür sie zu sorgen haben, welche Fahrlässigkeit sie sich vorhalten lassen müssten. Netzwerkdurchsetzungsgesetz, in 24 Stunden reagieren und so’n Zeug.

Und die Politik? Kommt mit Cyberkriegern, die im Angriffsfall zurückhacken sollen. Einer „Datenethikkommission”. Einem Digitalrat der deutschen Bundesregierung. Und einer Internetbotschafterin. Merkelsches Symbolgeschwätz.

Aber schon an einer relativ kleinen und einfach Behörde wie einem Oberlandesgericht scheitert man sowas von total und komplett.

Die IT ist enorm verfahren, und da sieht man das dann.

Was machen die denn, wenn mal was wichtigeres ausfällt?

Es ist der blanke Wahn, was da unter unser Laienpolitik alles kaputtläuft. Wetten, dass man für Frauenquoten und Genderklos dort mit voller Energie gesorgt hat?