Ein Archiv, das eine Änderung nicht verschweigen kann

Die Prüfkette

Jede Handlung am Archiv wird ein Eintrag in einem Journal: jede aufgenommene Nachricht, jede Suche, jeder Export und Ausdruck, jede Markierung und Notiz, jede Änderung der Aufbewahrungsrichtlinie, jede Sperre, jede Löschung, jede Prüfung und jeder Abholungslauf. Jeder Eintrag trägt die Prüfsumme seines Vorgängers. Wird ein Eintrag geändert, umgestellt oder entfernt, stimmen alle folgenden nicht mehr.

Arbeiten mehrere zugleich am selben Archiv – das Fenster, die Kommandozeile, ein geplanter Lauf –, hängt jeder seinen Eintrag dort an, wo die Kette in diesem Moment endet. Keiner schreibt über den Eintrag eines anderen.

Das Journal liegt ausserhalb der Datenbank und übersteht deren Verlust. Die Datenbank ist nur ein Index und lässt sich jederzeit aus den Pack-Dateien neu aufbauen.

Siegel mit Ed25519

In regelmässigen Abständen – nach einer festgelegten Zahl von Einträgen, mindestens aber täglich – wird ein Siegel genommen: eine Ed25519-Signatur über den Kopf der Kette und die Zahl der Einträge in diesem Moment. Ein Siegel belegt, dass die Kette zu diesem Zeitpunkt genau diesen Inhalt hatte. Der öffentliche Schlüssel liegt jedem Siegel bei und lässt sich einer Prüferin getrennt übergeben.

Zeitstempel von aussen

Die Uhr des eigenen Rechners lässt sich von jeder Person mit Administratorrechten zurückstellen. Ein Siegel, das nur diese Uhr kennt, sagt also: „Wir sagen, dass es damals so war.“

Deshalb holt jedes Siegel zusätzlich einen Zeitstempel nach RFC 3161. Die Zeit stammt dann von einer Zeitstempelstelle, nicht vom Mac, und aus der eigenen Aussage wird eine, die ein Dritter bestätigt. Voreingestellt ist SwissSign; ist die Stelle nicht erreichbar, fragt MailVault DigiCert und danach FreeTSA. Übertragen wird nur ein Hashwert, nie eine Nachricht.

Eine andere Stelle lässt sich je Archiv festlegen, und wer bewusst ohne Netz arbeitet, schaltet das Zeitstempeln ab. Der Kontrollbericht nennt die Stelle mit Namen, und trägt ein Siegel keinen Zeitstempel, weist ihn der Compliance-Bericht als offen aus.

mailvault policy "Archiv.mailvault" --timestamp-authority https://tsa.example.ch

Für Unterlagen auf veränderbaren Datenträgern verlangt die Schweizer Geschäftsbücherverordnung genau das: dass der Zeitpunkt der Speicherung unverfälschbar nachweisbar ist, zum Beispiel durch Zeitstempel (Art. 9 Abs. 1 lit. b Ziff. 2 GeBüV).

Prüfen und tief prüfen

Eine Prüfung liest die Kette und die Siegel neu und rechnet sie nach. Eine tiefe Prüfung liest zusätzlich jede Nachricht aus den Pack-Dateien, setzt sie zusammen und vergleicht sie mit der Prüfsumme, die bei der Aufnahme gebildet wurde. Das ist die Prüfung, die einen beschädigten Datenträger findet, bevor es jemand anders tut.

mailvault verify "Archiv.mailvault" --deep

Prüfen, wo nichts geschrieben werden kann

Ein Archiv an einem Ort, an dem nichts geschrieben werden kann – auf einem gesperrten Datenträger, in einem schreibgeschützt geöffneten Disk-Image, auf einmal beschreibbaren Medien oder in einem Ordner ohne Schreibrecht –, öffnet MailVault schreibgeschützt. Es lässt sich lesen, durchsuchen, prüfen, drucken und exportieren. Eine Sicherung oder eine Kopie, die der Revision übergeben wurde, lässt sich so tief prüfen, ohne dass jemand sie verändern könnte, auch nicht aus Versehen.

Was mit einer solchen Kopie geschieht, wird nicht in ihrem Prüfjournal festgehalten, denn auch dorthin kann nichts geschrieben werden. MailVault sagt das neben dem Namen des Archivs und bei jedem Export, statt es stillschweigend zu übergehen.

Ebenfalls schreibgeschützt öffnet ein Archiv, das eine neuere Version von MailVault geschrieben hat. Eine ältere Version kann es lesen; beim Schreiben könnte verloren gehen, was die neuere festhält.

Der Kontrollbericht

Die Schweizer GeBüV verlangt, dass Informationsträger regelmässig auf Integrität und Lesbarkeit geprüft werden (Art. 10 Abs. 1). Eine Prüfung, die niemand ansieht, erfüllt das nicht. MailVault führt die tiefe Prüfung deshalb als Kontrolle durch, die eine Person auslöst, und setzt daraus einen Bericht als PDF:

• welches Archiv, mit Kennung, Ort, Zahl der Nachrichten und Anhänge und den eingestellten Regelwerken,
• welche Prüfungen bestanden, welche nicht und welche offen sind,
• welche Anforderungen organisatorisch sind und deshalb bei Ihnen liegen,
• die Beweismittel: Kopf der Kette, letztes Siegel, Signatur und, falls vorhanden, der Zeitstempel mit der Stelle, die ihn ausgestellt hat,
• wer die Kontrolle durchgeführt hat, wann und wo, und eine Zeile für die Unterschrift.

Der Bericht erscheint in Deutsch, Englisch, Französisch, Italienisch oder Spanisch. Ein unterschriebener Bericht, der einen anderen Kopf der Kette nennt als das Archiv, handelt von einem anderen Archiv.

Was die Kette nicht beweist

Sie beweist nicht, dass eine Nachricht das ist, was ein Mailserver zugestellt hat. Das ist eine eigene Aussage, und sie gilt nur für Nachrichten, die das Archiv als Nachrichten erhalten hat. Mail, die aus einer Outlook-Datei nachgebildet wurde, ist eine getreue Wiedergabe der Felder, die Outlook aufbewahrt hat; ihre Prüfsumme ist die Prüfsumme dieser Wiedergabe. Der Compliance-Bericht trennt beides unter „Herkunft der Nachrichten“, und er sagt es in dem Bericht, den eine Prüferin liest.

Nachrechnen ohne MailVault

Das Format ist dokumentiert, und die Dokumentation liegt der App bei. Kette und Siegel lassen sich mit sha256sum und einer beliebigen Ed25519-Implementierung nachrechnen, ohne unsere Software. Ein Nachweis, den nur der Hersteller prüfen kann, wäre keiner.