Missing Link: Aus für De-Mail – warum das „@“ das eingekringelte „e“ besiegte

Das De-Mail-Gesetz wird außer Kraft gesetzt. Ende 2026 wird der letzte verbleibende, aber juristisch wichtige Schritt vollzogen, die 2012 gestartete De-Mail aus dem Verkehr zu ziehen. Das für Behörden wie für Bürger verbindliche Mailsystem war 2023 gestorben, als der letzte De-Mail Provider aufgab. Der kühne Traum der Werber und Logo-Designer, dass das eingekringelte e der De-Mail das @ der E-Mail ablösen wird, war lange vorher in der harten Realität des Internets an einer Klippe zerschellt. Nicht die mangelnde Nutzerfreundlichkeit, sondern die Zustellfiktion grub der De-Mail ein frühes Grab.

Was De-Mail war und wie es funktionierte, kann nach dem nunmehr im Bundestag beschlossenen Aus am besten bei der Behörde nachgelesen werden, die die De-Mail konzipierte und die Mail-Provider kontrollierte. Noch hat das Bundesamt für Sicherheit in der Informationstechnik seine Informationsseite über ein einfaches elektronisches Mail-System nicht abgeschaltet, das Sender wie Empfänger authentifiziert, Nachrichten verschlüsselt verschickt und diesen Vorgang vom Abschicken bis zum Empfang nachweisbar macht. Toll, dass es so etwas gibt, wenn die Deutsche Post Briefe nur gelegentlich in den Kasten wirft, möchte man sagen. Seit 2025 ist bekanntlich die Zustellfiktion geändert worden: Seit diesem Jahr gelten Verwaltungsakte per Postsendung von Behörden erst vier Tage nach Absenden als bekanntgegeben. Klingt banal, ist aber für die Einhaltung von Einspruchs- und Zahlungspflichten von größter Bedeutung.

De-Mail: Zustellfiktion mit Tücken

Genau an diesem Punkt scheiterte De-Mail bereits in der Konzeptionsphase. Die elektronische Zustellfiktion wurde durch das De-Mail-Gesetz so gestaltet, dass eine rechtsverbindliche Behördenmail dann als zugestellt gelten sollte, wenn sie von der Behörde an einen authentifizierten Empfänger abgeschickt wird, unabhängig davon, wann der Empfänger seine Mailbox öffnet und die Mail liest bzw. öffnet. Die programmiertechnisch simple Rückmeldung, der von der Briefpost her bekannte Rückschein, wurde verworfen, um die Behörden zu entlasten. Stattdessen gab es nur eine Verpflichtung der De-Mail-Provider, eine eintrudelnde De-Mail an das normale Mail-Postfach ihrer Kunden zu melden, auch das ohne Speicherung eines Zeitstempels. Die De-Mail nutzenden Bürgerinnen und Bürger waren klar benachteiligt.

Neben diesem Kardinalfehler schlich sich bei der Konzeption der De-Mail ein weiterer Fehler der Verantwortlichen ein. Wenn es um Amtsgeschäfte und die Kommunikation zwischen Bürgern und Behörden geht, warum dann nicht die Behörden weiter entlasten und die De-Mail öffnen und auf Viren scannen? Dass dies „kurzzeitig“ und überdies nicht bei der Behörde, sondern bei einem BSI-zertifizierten Provider geschieht, sollte die De-Mail-Bürger beruhigen. Geschnüffelt wird nicht, vertraut uns doch einfach, so die verwegene Annahme. Und weil Vertrauen mit großem V geschrieben wird, war beim Start der De-Mail keine Möglichkeit zur Verschlüsselung vorgesehen. Sie wurde erst 2015 nachträglich eingebaut, als sich die mangelnde Akzeptanz der De-Mail deutlich abzeichnete. Da hatten Kritiker wie der Chaos Computer Club längst ein vernichtendes Urteil über das De-Mail-System gefällt, da hatten die Enthüllungen von Edward Snowden das Misstrauen im Umgang mit staatlichen Institutionen erhöht.

Dabei war der Start der De-Mail auf der IFA 2012 in Berlin hübsch inszeniert. Die Telekom hatte einen hellen Schreibtisch aufgestellt, um den herum ein Licht waberte, wenn ein Antragsteller den zur Registrierung nötigen Ausweis vorlegte. Das dabei sämtliche Vornamen der Ausweis-InhaberInnen zu langen De-Mail-Adressen zusammengesetzt wurden, störte niemanden. Eher störte es, dass neben den später zertifizierten De-Mail-Anbietern 1&1 (United Internet) und Mentana-Claimsoft die Deutsche Post auf der CeBIT 2013 mit ihrer E-Brief ein nahezu identisches Angebot vorstellte, das eigentlich alle Voraussetzungen der De-Mail erfüllte, aber mit PostIdent ein Registrierungsverfahren nutzte, das vom BSI nicht zugelassen war. PostIdent existiert noch heute, z.B. für die Einrichtung der elektronischen Patientenakte, während E-Brief und E-Safe im Jahre 2022 eingemottet wurden. Im selben Jahr zeigte die Telekom den wenigen am Thema interessierten Journalisten das Rechenzentrum, in dem die De-Mail-Server in einem eigenen Hochsicherheitstrakt werkelten. Der Bericht „aus dem Käfig“ sorgte für Ärger, weil Heise-Leser prompt den geheim zu haltenden Standort nannten, an dem fast die gesamte De-Mail der Republik bearbeitet wurde.

Obwohl 2015 die De-Mail um die Verschlüsselung mit PGP erweitert wurde und die Deutsche Rentenversicherung als größte Behörde De-Mail zu nutzen begann wuchs die Zahl der Bürgerinnen und Bürger weiterhin nur zögerlich. Daran änderte auch das e-Government-Gesetz nichts, das bis zum Stichtag am 24. März 2016 alle Behörden dazu verpflichtete, mindestens einen De-Mail-Postkasten anzubieten. Schließlich wurden auch die Gerichte im Jahr 2018 dazu verdonnert, den toten Gaul zu satteln. Diese Bezeichnung für De-Mail ließ sich übrigens Telekom-Chef Tim Höttges Anfang 2021 einfallen, bevor die Telekom als weitaus größter De-Mail-Anbieter, mit T-Systems auf Behörden- wie mit auf Bürgerseite mit der Adresse @t-online.de-mail.de die Ställe ausmistete. Davon konnte kurzfristig Mentana-Claimsoft profitieren, die Tochter von Francotyp-Postalia, die zwischenzeitlich bereits das elektronische Behördenpostfach (beBPo) entwickelt hatte. Doch 2023 zog sie sich als letzter Anbieter von De-Mails zurück. Wer heute die entsprechende Angebotsseite aufruft, erhält die Nachricht, dass das De-Mail-Angebot zum 31. Dezember eingestellt wird – Neuregistrierungen sind nicht mehr möglich.

(nen)