Hotfix Anwaltspostfach K0005078-12150 für Log4j-Schwachstelle im beA (KSW Toolkit)

[#1]

Innerhalb von DATEV Anwalt classic ist das javabasierte KSW-Toolkit von der log4j-Schwachstelle betroffen. Das ist eine Software der Bundesrechtsanwaltskammer, die wir zur Anbindung des beA-Postfachs nutzen.

Mit dem Hotfix K0005078-12150 haben wir einen zusätzlichen Startparameter für JAVA aufgenommen, der gem. BSI-Empfehlung die potenzielle Nutzbarkeit der log4j-Schwachstelle effektiv unterbindet. Eine fehlerbereinigte Version von Log4j stellen wir bereit, wenn diese durch die Bundesrechtsanwaltskammer getestet und freigegeben wurde.

Der Hotfix wurde für DATEV Anwalt classic 12.14 (Service-Release, 25.11.2021) bereitgestellt und am 14.12.2021, 18:15 Uhr ausgeliefert. Mit älteren Versionen kann der Hotfix nicht installiert werden.

Bitte installieren Sie den Hotfix schnellstmöglich. Da es sich um ein Security Hotfix handelt, erfolgt nach einem Tag eine Hinweismeldung, dass das Hotfix installiert werden muss. Nach drei Tagen erfolgt eine Zwangsinstallation.

Die Anleitung zum Installieren von DATEV-Hotfixes finden Sie im DATEV Hilfe-Center: Dok.-Nr. 1071225.

Hinweis:

Im Service-Release DATEV Anwalt classic 12.15 (Auslieferung 30.12.2021) ist diese Änderung ebenfalls enthalten.

[#2]

Hallo Frau Kubisch,

was passiert mit dem Hinweis und der Zwangsinstallation, wenn Anwalt Classic 12.12 installiert ist? Dafür gibt es ja keinen Hotfix.

Gruß aus Hamburg

[#3]

Hallo @zippo ,

unabhängig von dem Hinweis sollten Sie, wenn Sie das Anwaltspostfach für die beA-Kommunikation nutzen, auf das aktuelle Servicerelease (und dann den Hotfix) updaten.

Ich kenne die Installation zu wenig, um Ihre Frage sicher zu beantworten, aber ich glaube nicht, dass zwangsweise SR + Hotfix installiert wird. 

Freundliche Grüße

Carsten Groß
Entwicklung DATEV Anwalt

[#4]

Hallo Zippo,

ich verstehe nicht, warum Sie nicht mir der aktuellsten Version der Software arbeiten wollen? 

Die Version 12.12. wäre Stand 30.09. 

Allein das Einspielen der SR bis zur 12.14 würde gerade auch die Arbeit mit der Schnittstelle zum beA und damit zu den Postmappen sehr erleichtern; ganz abgesehen von der Bereinigung lästiger Fehlerbilder.

Nicht zu unterschätzen ist, dass mit (fast) jedem SR auch neue Funktionen ausgeliefert werden.

[#5]

>ich verstehe nicht, warum Sie nicht mir der aktuellsten Version der Software arbeiten wollen? 

Grundsätzlich richtig! Erst recht, wo gefühlt im Monatstakt beA-bedingte-Updates rausgeschoben werden.

Die schmerzhafte Erfahrung lehrt: Wenn neben der Anwalts-Software auch Steuerprogramme eingesetzt werden, ist häufig mit dem Anwalts-Update auch (mehr oder weniger) zwingend ein generelles (Steuerprogramm-)Update verbunden. Dies kann nicht - zumindest nicht offensichtlich - erkannt werden.

Und mal "gerade mal so" ein vollständiges Update durchzuführen, ist häufig mit Nebenwirkungen - zumindest aber mit Aufwand - verbunden. Eigentlich habe ich gute Erfahrungen gemacht, mit Updates mal besser zu warten. Häufig lohnen zumindest die neuen Features allein den Aufwand mE leider nicht.

Btw

Update 1): Was macht eigentlich die 64bit-Kompabilität des Kommunikationstools (Ex-EMailTool)?

Update 2): Arbeitet die DATEV eigentlich daran, dass der unsäglich "Zugegangen"-Zustand beseitigt wird? Es kann doch nicht sein, dass für einen zuverlässigen Zugangsnachweis jedes Mal diese vorsintflutliche beA-Webschnittstelle geöffnet werden muss (Heute mal etwas genervt ...)

[#6]

---

@Felix_Richter  schrieb:

....

Btw

Update 1): Was macht eigentlich die 64bit-Kompabilität des Kommunikationstools (Ex-EMailTool)?

---

Ich verstehe Punkt 4.1. aus dem Hilfe-Dokument so, dass die 64Bit-Version freigegeben ist.

---

@Felix_Richter  schrieb:

....

Update 2): Arbeitet die DATEV eigentlich daran, dass der unsäglich "Zugegangen"-Zustand beseitigt wird? Es kann doch nicht sein, dass für einen zuverlässigen Zugangsnachweis jedes Mal diese vorsintflutliche beA-Webschnittstelle geöffnet werden muss (Heute mal etwas genervt ...)

---

Hängt nach meinen Informationsstand noch bei der BRAK; solange diese die Schnittstelle nicht entsprechend erweitert wird's schwierig.

By the way: haben Sie den Status "Zugegangen" mit den Daten auf der WebSeite der BRAK verglichen?  Sie werden feststellen, dass die Daten Identisch sind; in allen anderen Fällen erhält die Nachricht diesen Status nicht.  

Daher ersparen wir uns bei unkritischen Schriftsätzen (98%) den Gang auf die Webseite und laden nur in kritischen Fällen den Eingangsnachweis herunter.  Durch den Wegfall der Signatur der Exportdatei lässt sich durch den zeitnahen Export keine zusätzliche Sicherheit generieren.  Da die Frage der Fristsäumnis i.d.R. während der Aufbewahrungsfrist auf dem Server der BRAK auftritt lässt sich die Eingangsbestätigung auch dann noch sichern.

[#7]

> ich verstehe Punkt 4.1. aus dem Hilfe-Dokument so, dass die 64Bit-Version freigegeben ist.

https://apps.datev.de/help-center/documents/1080014

Stand 09.11.2021 lt. Ziffer 2.2 zumindest nicht:

Ausnahme:

Das gilt nicht für DATEV Anwalt E-Mail Tool. DATEV Anwalt E-Mail Tool können Sie weiterhin nur mit der 32-Bit Installation von Microsoft Office nutzen.

>Daher ersparen wir uns bei unkritischen Schriftsätzen (98%) den Gang auf die Webseite und laden nur in kritischen Fällen den Eingangsnachweis herunter. 

Ja, dito hier. Ist aber trotzdem kein Zustand. Betrifft ja auch nicht nur DATEV, sondern alle Hersteller.

[#8]

Hallo @Felix_Richter,

wir haben zwischenzeitlich eine Version des E-Mail Tools, die unter 64Bit-Office läuft. Da es sich dabei zum großen Teil um eine Neuschreibung handelt, haben wir es noch nicht für alle Anwender freigegeben. Dies planen wir für das erste Quartal 2022. Wir könnten Ihre Kanzlei allerdings auch vorher manuell freischalten. Melden Sie sich bei Interesse bitte im Programmservice Anwalt.

Was den "Zugegangenzustand" betrifft muss ich sagen, dass wir daran nicht arbeiten. M.E. können wir mit den uns zur Verfügung stehenden Mitteln den Zugang nicht rechtssicher nachweisen. Besserung verspricht hier der VHN2, der Vertrauenswürdige Zugangsnachweis 2. Er enthält beim Versand nicht nur Angaben zum Berufsträgerattribut des Absenders, sondern auch Informationen über die versendeten Attachments. Diese Informationen sind dann auch in der Laufzettelantwort des Gerichts (also der Eingangsbestätigung) enthalten.

Wie sich das dann genau darstellt, kann ich zum jetzigen Zeitpunkt nicht sagen.

Freundliche Grüße

Carsten Groß
Entwicklung DATEV Anwalt

[#9]

Hallo @Carsten_Groß ,

>wir haben zwischenzeitlich eine Version des E-Mail Tools, die unter 64Bit-Office läuft. 

Perfekt, gute Neuigkeiten.

>M.E. können wir mit den uns zur Verfügung stehenden Mitteln den Zugang nicht rechtssicher nachweisen. 

Danke für den sehr denkwürdigen Hinweis. Natürlich aus Herstellersicht nachvollziehbar - aber aus Anwendersicht eben völlig unbefriedigend.

[#10]

---

@Felix_Richter  schrieb:

...

>M.E. können wir mit den uns zur Verfügung stehenden Mitteln den Zugang nicht rechtssicher nachweisen. 

Danke für den sehr denkwürdigen Hinweis. Natürlich aus Herstellersicht nachvollziehbar - aber aus Anwendersicht eben völlig unbefriedigend.

---

wenn ich mit ganz spitzer Nadel dagegen halte:   Konnten Sie in der analogen Welt den Zugang eines Dokuments rechtssicher nachweisen? Vielleicht einmal davon abgesehen, dass die Zustellung per Gerichtsvollzieher denkbar gewesen wäre/ist, ist mir keine Übertragungsform bekannt, die tatsächlich rechtssicher war/ist.