Unterlagen zur Auswahl von unsicheren Webserverzertifikaten

Auf Ihren Webservern verwenden Sie ein TLS Zertifikat mit einer Verschlüsselungsstärke von 2048bit. Am 01.12.2023 wurde dieses Zertifikat erneuert und läuft ein Jahr lang. Ich gehe daher auch davon aus, dass dieses ein Jahr genutzt werden wird.
Mit der Nutzung von 2048bit werden Sie ab Januar 2024 (also in weniger als 4 Wochen) nicht die Empfehlungen/Vorgaben der BSI Richtlinie TR-02102-1 umsetzen. Dort wird angegeben, dass Schlüsselstärken der von Ihnen gewählten Größe auch nur noch übergangsweise für das Jahr 2023 gültig sein sollen.
Ich gehe daher davon aus, dass Sie sich im Rahmen eines dokumentierten Abwägungsprozesses dazu entschlossen haben, trotzdem die vom BSI als nicht mehr sicher eingestufte geringere Schlüsselstärke einzusetzen.
Ich erbitte Unterlagen, die diese Entscheidungen und mögliche Gründe beinhalten könnten.

Ergebnis der Anfrage

Die Behörde sieht keine Notwendigkeit in einer starken Verschlüsselung. Wohlgemerkt eine Behörde, die öffentliche Informationen für die Bevölkerung bereitstellt. Auch wenn ein MITM nicht ganz trivial ist, so ist er doch durchführbar.

Behörden haben in Ihrem Verhalten anderen Richtlinien zu folgen, als private Webseiten wie FragDenStaat.de. Wohlgemerkt verwendet FragDenStaat.de Zertifikate mit Laufzeiten von 3 Monaten und nicht 1 Jahr und hat auch keinen staatlichen Auftrag zuverlässige Informationen zu verbreiten.

Inwiefern 2048bit noch "sicher" sind oder nicht wird auch in der Fachpresse aktuell diskutiert (https://www.heise.de/news/BSI-Verwirrun…). Ebenso, ob die BSI Richtlinie als Empfehlung oder Vorgabe für Behörden zu lesen ist.

Immerhin will die Behörde nachrüsten.

Anfrage erfolgreich

  • Datum
    2. Dezember 2023
  • Frist
    10. Februar 2024
  • 3 Follower:innen
Marcel Langner
Antrag nach dem Akteneinsichts- und Informationszugangsgesetz (AIG), BbgUIG, VIG Guten Tag, bitte senden Sie mi…
An Landrat des Landkreises Dahme-Spreewald Details
Von
Marcel Langner
Betreff
Unterlagen zur Auswahl von unsicheren Webserverzertifikaten [#294036]
Datum
2. Dezember 2023 12:24
An
Landrat des Landkreises Dahme-Spreewald
Status
Warte auf Antwort — E-Mail wurde erfolgreich versendet.
Antrag nach dem Akteneinsichts- und Informationszugangsgesetz (AIG), BbgUIG, VIG Guten Tag, bitte senden Sie mir Folgendes zu:
Auf Ihren Webservern verwenden Sie ein TLS Zertifikat mit einer Verschlüsselungsstärke von 2048bit. Am 01.12.2023 wurde dieses Zertifikat erneuert und läuft ein Jahr lang. Ich gehe daher auch davon aus, dass dieses ein Jahr genutzt werden wird. Mit der Nutzung von 2048bit werden Sie ab Januar 2024 (also in weniger als 4 Wochen) nicht die Empfehlungen/Vorgaben der BSI Richtlinie TR-02102-1 umsetzen. Dort wird angegeben, dass Schlüsselstärken der von Ihnen gewählten Größe auch nur noch übergangsweise für das Jahr 2023 gültig sein sollen. Ich gehe daher davon aus, dass Sie sich im Rahmen eines dokumentierten Abwägungsprozesses dazu entschlossen haben, trotzdem die vom BSI als nicht mehr sicher eingestufte geringere Schlüsselstärke einzusetzen. Ich erbitte Unterlagen, die diese Entscheidungen und mögliche Gründe beinhalten könnten.
Dies ist ein Antrag nach dem Akteneinsichts- und Informationszugangsgesetz Brandenburg (AIG), dem Brandenburgischen Umweltinformationsgesetz (soweit Umweltinformationen betroffen sind) und dem Verbraucherinformationsgesetz (soweit Verbraucherinformationen betroffen sind). Sollte dieser Antrag Ihres Erachtens gebührenpflichtig sein, bitte ich Sie, mir dies vorab mitzuteilen und dabei die Höhe der Kosten anzugeben. Meines Erachtens handelt es sich bei dieser Anfrage um einen einfachen Fall, der darum nach der Akteneinsichts- und Informationszugangsgebührenordnung (AIGGebO) kostenfrei zu beantworten ist. Mit Verweis auf § 6 Abs. 1 AIG möchte ich Sie um eine unverzügliche Antwort bitten, spätestens aber innerhalb eines Monats. Sollten Sie für diesen Antrag nicht zuständig sein, bitte ich Sie, ihn an die zuständige Behörde weiterzuleiten und mich darüber zu unterrichten. Ich widerspreche ausdrücklich der Weitergabe meiner Daten an sonstige Dritte. Mit Verweis auf AIG §7 Abs. 3 möchte ich Sie hiermit um eine Antwort per E-Mail bitten. Ich möchte Sie um eine Empfangsbestätigung bitten und danke Ihnen für Ihre Mühe! Mit freundlichen Grüßen Marcel Langner Anfragenr: 294036 Antwort an: <<E-Mail-Adresse>> Laden Sie große Dateien zu dieser Anfrage hier hoch: https://fragdenstaat.de/a/294036/ Postanschrift Marcel Langner << Adresse entfernt >> << Adresse entfernt >>
Mit freundlichen Grüßen Marcel Langner
Marcel Langner
Sehr geehrte Damen und Herren, für meine Informationsfreiheitsanfrage „Unterlagen zur Auswahl von unsicheren Webs…
An Landrat des Landkreises Dahme-Spreewald Details
Von
Marcel Langner
Betreff
AW: Unterlagen zur Auswahl von unsicheren Webserverzertifikaten [#294036]
Datum
6. Januar 2024 01:04
An
Landrat des Landkreises Dahme-Spreewald
Status
E-Mail wurde erfolgreich versendet.
Sehr geehrte Damen und Herren, für meine Informationsfreiheitsanfrage „Unterlagen zur Auswahl von unsicheren Webserverzertifikaten“ vom 02.12.2023 (#294036) konnte ich noch keine Antwort von Ihnen verzeichnen. Die gesetzliche vorgesehene Regelantwortfrist wurde damit überschritten. Den Eingang meiner Anfrage bei Ihnen kann ich nachweisen. Bitte informieren Sie mich über den Stand meiner Anfrage. Mit freundlichen Grüßen Marcel Langner
Marcel Langner
Sehr geehrte Damen und Herren, für meine Informationsfreiheitsanfrage „Unterlagen zur Auswahl von unsicheren Webs…
An Landrat des Landkreises Dahme-Spreewald Details
Von
Marcel Langner
Betreff
AW: Unterlagen zur Auswahl von unsicheren Webserverzertifikaten [#294036]
Datum
22. Januar 2024 16:41
An
Landrat des Landkreises Dahme-Spreewald
Status
E-Mail wurde erfolgreich versendet.
Sehr geehrte Damen und Herren, für meine Informationsfreiheitsanfrage „Unterlagen zur Auswahl von unsicheren Webserverzertifikaten“ vom 02.12.2023 (#294036) konnte ich noch keine Antwort von Ihnen verzeichnen. Die gesetzliche vorgesehene Regelantwortfrist wurde damit überschritten. Den Eingang meiner Anfrage bei Ihnen kann ich nachweisen. Bitte informieren Sie mich über den Stand meiner Anfrage. Mit freundlichen Grüßen Marcel Langner Anfragenr: 294036 Antwort an: <<E-Mail-Adresse>> Laden Sie große Dateien zu dieser Anfrage hier hoch: https://fragdenstaat.de/a/294036/

Ein Zeichen für Informationsfreiheit setzen

FragDenStaat ist ein gemeinnütziges Projekt und durch Spenden finanziert. Nur mit Ihrer Unterstützung können wir die Plattform zur Verfügung stellen und für unsere Nutzer:innen weiterentwickeln. Setzen Sie sich mit uns für Informationsfreiheit ein!

Jetzt spenden!

Landrat des Landkreises Dahme-Spreewald
Sehr geehrter Herr Langner, danke für den Hinweis, den Sie in Ihrer Mail beschrieben haben. Ich habe den Sachverh…
Von
Landrat des Landkreises Dahme-Spreewald
Betreff
Antw: (Unverschluesselt) AW: Unterlagen zur Auswahl von unsicheren Webserverzertifikaten [#294036]
Datum
24. Januar 2024 12:49
Status
Anfrage abgeschlossen
Sehr geehrter Herr Langner, danke für den Hinweis, den Sie in Ihrer Mail beschrieben haben. Ich habe den Sachverhalt geprüft und bestätige, dass derzeit ein Zertifikat mit 2048 bit Schlüssellänge für unsere Website dahme-spreewald.info verwendet wird. Die öffentliche Webseite des Landkreises dient der Information und nicht dem Austausch sensibler Informationen unter Kommunikationspartnern. Somit entfällt die zwingende Notwendigkeit einer starken Verschlüsselung zur Gewährleitung der Vertraulichkeit. Mit dem verwendeten Zertifikat kann jedoch – und das ist die wichtigere Aufgabe dieser Zertifikate bei Websites – die Authentizität des Domainbetreuers (in diesem Fall der Brandenburgische IT-Dienstleister, der die Webseite in unserem Auftrag hostet) nachgewiesen werden. Sollte das Zertifikat kompromittiert werden, wird es durch den Zertifikatsausteller gesperrt und es wird unverzüglich ein neues erstellt. Der Zulässigkeit dieser Vorgehensweise scheint sich auch der von Ihnen verwendete Dienstleister fragdenstaat.de anzuschließen, denn er verwendet auch noch ein Zertifikat mit 2048 Bit Schlüssellänge. Ansonsten gebe ich Ihnen allerdings recht, dass allein schon aus rein formalen Gründen ein längerer Schlüssel angebracht ist. Wir werden unseren Hoster darauf aufmerksam machen und ein Zertifikat mit mindestens 3000 Bit Schlüssellänge verlangen. Mit freundlichen Grüßen