elektronisch Signieren Panik oder Perspektive?

Transkript

1 elektronisch Signieren Panik oder Perspektive? IHK Potsdam Unternehmertag Brandenburg Jens Lietzmann SIDATO

2 Über SIDATO secure operations Beratungsunternehmen Datensicherheit und der Organisation elektronischer Abläufe in Unternehmen Qualifizierter elektronischer Signatur GDPdU (elektronische Betriebsprüfung) Datenschutzbeauftragter gem. BDSG Vertrieb von Sicherheitsprodukten biometrischer USB-Stick -Archiv (gesetzeskonform) Über 15 Jahre Erfahrung in der Telekommunikation, Internet und der Sicherung von Datenkommunikation Seit 2004 selbständig als Berater Kontaktdaten: Tel Fax Mobil Stauffenbergallee 3, Rangsdorf SIDATO 2

3 Der geschäftliche Postverkehr 2005 FAX 33% 58% Brief 9% Studie Arthur Andersen SIDATO 3

4 Grundsätzliches elektronische Kommunikation hat heute einen wesentlichen Stellenwert. , Internet, Datenaustausch,... Zugriffsgeschwindigkeit und der Wunsch auf umgehende Information steigt rasant an. Preise, technische Details, Kontaktdaten, Statistiken,... Vereinfachung von geschäftlichen Abläufen durch elektronische Transaktionen birgt Gefahren für den Nutzer und Anbieter. , ebanking, eshops, egovernment, ELSTER,... SIDATO 4

5 Anforderung an elektronische Kommunikation Authenzität - Der Initiator einer Information ist eindeutig gekennzeichnet. Integrität - Die Herkunft der Information ist überprüfbar. Nachweisbarkeit - Veränderungen des Inhaltes einer Information ist erkennbar. Vertraulichkeit - Die Einsichtnahme der Information durch Dritte wird verhindert. SIDATO 5

6 elektronische Signatur - Rechtsgrundlage BGB 126 a Zulässigkeit einer elektronischen Signatur gleich der handschriftlichen Unterschrift. Signaturgesetz SigG gesetzliche Grundlagen für die Bereitstellung und Anwendung der elektronischen Signatur GDPdU Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen Was wie wie lange muss elektronisch zur Verfügung gestellt werden? GoBS Grundsätze ordnungsgemäßer BuchführungsSysteme SIDATO 6

7 Arten der elektronischen Signatur Einfache elektronische Signatur Eingescannte handschriftliche Unterschrift Unreguliert Fortgeschrittene elektronische Signatur Identifizierung des Signaturinhabers Verhinderung von nachträglicher Änderung von Daten KEINE Rechtswirksamkeit GnuPP; PGP Qualifizierte elektronische Signatur (q.e.sig.) Eindeutiges Personenzertifikat Mit zertifizierten Signaturprodukten erstellt Rechtliches Pendant zur eigenhändigen Unterschrift RECHTSWIRKSAM Qualifizierte elektronische Signatur mit Anbieterkennzeichnung Zusätzliche Personenauthentifizierung durch ein akkreditierten ZDA (Zertifizierungs-Dienste-Anbieter od. TRUSTCENTER) RECHTSWIRKSAM SIDATO 7

8 Vorteile einer rechtswirksamen Signatur Beweiskraft von elektronischer Post eindeutige Kennzeichnung von Dateien (Integrität) Rechtswirksame Bereitstellung elektronischer Dokumente Revisionssichere Archivierung von Dokumenten und Dateien Sicherheit und Beweiskraft bei elektronischen Transaktionen Zugangskontrollen und Zugriffsschutz SIDATO 8

9 Zertifizierung einer elektronischen Signatur Trustcenter Registrierungsstelle Weitergabe der Antragsunterlagen an ein akkreditiertes ZDA Telesec Antragstellung Identifizierung Kontrolle der notwendigen Unterlagen Antragsannahme SIGNTRUST + PIN Versendung der Signaturkarte und der PIN (getrennt) auf dem Postweg Soweit erforderlich wird optional die notwendige Hard- und Software mitgeliefert SIDATO 9

10 Signieren eines Dokumentes PIN-Nr. Internet Privater Signaturschlüssel Kartenlesegerät Öffentlicher Signaturschlüssel Signatursoftware SIDATO 10

11 Empfang einer signierten Nachricht Trustcenter Internet Empfänger OCSP- Datenbankabfrage Privater Signaturschlüssel Öffentlicher Signaturschlüssel Prüfvorgang der Signatur mit dem öffentlichen Schlüssel des Initiators Prüfdokumentation ORIGINALDOKUMENT Signiertes Unverändertes Archivierungsfähiges SIDATO 11

12 Verschlüsselungsprinzip (asymmetrisch) 1 Signatur-Schlüsselpaar befindet auf der Signaturkarte Dieses Schlüsselpaar gibt es NUR auf der Signaturkarte! Jedes Schlüsselpaar ist eindeutig genau einem Nutzer / Inhaber zugeordnet (authentifiziert) Privater Schlüssel öffentlicher Schlüssel Sender signiert Dokument über eine sog. Hashfunktion (SHA-1) Prüfdokumentation bestätigt die Echtheit des Dokumentes ein Hashwert ist eine Prüfsumme) =>eindeutige Kennzeichnung Dokument wird mit einer Prüfsoftware geöffnet und die Signatur geprüft. Verschlüsselung des Dokumentes mit dem RSA-verfahren mit dem privaten Schlüssel Mit dem öffentlichen Schlüssel kann der Empfänger das Dokument entschlüsseln. SIDATO 12

13 Zertifikatsprüfung / Prüfdokumentation SIDATO 13

14 Zertifikatsprüfung / Prüfdokumentation 2 3. SIDATO 14

15 Zusammenfassung Die qualifizierte elektronische Signatur ist eine Art von Siegel für digitale Daten. Ein spezielles mathematisches Verfahren dient zur Erzeugung eines Schlüsselpaares (privater und öffentlicher Schlüssel) Das Signaturschlüsselpaar ermöglicht die Überprüfung, ob Daten verfälscht wurden. Ein Schlüsselpaar gibt es nur genau einmal für eine natürliche oder juristische Person. Die eindeutige Zuordnung der Signatur zu einer Person wird durch ein Signatur- Zertifikat eines Trustcenters beglaubigt. Mit der qualifizierten elektronischen Signatur wird ein unterschriebenes "digitales Dokument erstellt oder der sichere elektronische Zugriff für auf persönliche Daten gewährleistet. Das Signatur-Zertifikat erhält der Signaturschlüssel-Inhaber in Form einer Chip- Karte. Über öffentlich erreichbare Telekommunikationsverbindungen (z. B. Internet) ist jederzeit die Echtheit und Gültigkeit der Signatur nachprüfbar. Für die Nutzung der elektronischen Signatur müssen organisatorische Maßnahmen getroffen werden. Die eingesetzte Technik zum Signieren muss zertifiziert sein. SIDATO 15

16 PRAXIS: Technische Ausstattung Kartenlesegerät PC / Notebook Signatursoftware Signaturkarte SIDATO 16

17 PRAXIS: Anwendungsbereiche 1 Exporte digital Schnelle und komfortable Antragstellung des "Ursprungszeugnisses" (UZ) mit einer elektronischer Signatur direkt bei der IHK online Elster Einkommenssteuererklärung online Online-Mahnbescheid Gläubiger beantragen online gerichtliche Mahnbescheide. Berufsausbildungsverträge (BABV) online übermitteln Online-Zugriff auf IHK 24 Informations- und Servicedienste für Mitglieder (Chamber-Card) Vertragsverhandlungen und Abschlüsse online - OCTANE Verhandlungen und Verträge über elektronischen Vertragsdienst Online-Renten-Abfrage (BfA / Deutsche Rentenversicherung) SIDATO 17

18 PRAXIS: Anwendungsbereiche 2 Emissionshandel ausschließlich elektronisches Verfahren auf Basis der qualifizierten elektronischen Signatur. Umsatzsteuer-Voranmeldung online Handelsregister Online Notare müssen ab 2007 (Bayern und BW ab 2006) HR-Eintragungen online vornehmen. E-Vergabe für Ausschreibungen Ausschreibungen der öffentlichen Verwaltung werden zukünftig ausschließlich online und signaturgestützt abgewickelt. Elektronische Rechnungsstellung elektronischer Versand von umsatzsteuerrelevanten Rechnungen Zeit-Geld-Vorteil: keine Portokosten und verbesserter Workflow Archivierung von s und elektronischen Dokumenten Elektronisches Einschreiben Beweiskräftiges Versenden von s und Dokumenten SIDATO 18

19 Grundsätze ordnungsgemässer Buchführung(GoB) Die Buchführung muß klar und übersichtlich sein. Sie muß jederzeit von einer verständigen Person nachvollziehbar sein. Die Buchführung muß in einer lebenden Sprache abgefaßt sein. Sie darf nicht in Latein geführt werden, wohl aber in Englisch, Italienisch, Griechisch, Russisch usw. Die Buchführung muß mit urkundensicheren Schreibmaterialien verfaßt werden. Also kein Bleistift, Tintenkiller u. ä. Der Jahresabschluss muß übersichtlich gegliedert sein. Buchungen dürfen nicht unleserlich sein. Wenn Fehler gemacht wurden, dann dürfen diese Angaben nur mit einem einfachen Strich durchgestrichen werden, so daß die ursprüngliche Eintragung immer noch lesbar ist. Kein Kleksen! Kein Durchschreiben! Alle Geschäftsfälle müssen fortlaufend, vollständig, richtig, zeitgerecht und sachlich geordnet erfaßt werden. Kasseneinnahmen und ausgaben sind täglich zu erfassen. Alle Kreditgeschäfte (vor allem Rechnungsein- und -ausgänge) sind gesondert zu erfassen. Keine Buchung ohne Beleg. Belege müssen fortlaufend nummeriert werden. Belege müssen geordnet 10 Jahre lang aufbewahrt werden. Das gilt auch für elektronische Buchführung! SIDATO 19

20 Beispiel: Elektronische Rechnungsstellung Anforderungen an die elektronische Rechnungsstellung Abs.3 UStG ; GDPdU ; Schreiben vom BMF v (Pflichten für den Erzeuger) Jede Rechnung ist elektronisch zu signieren! WARUM? AO ; GoBS (Pflichten für den Empfängers) Die Signatur ist zu prüfen Die Prüfung ist zu dokumentieren! Der elektronische Beleg ist bis zu 10 Jahre aufzubewahren! 3. GoB ( Grundsätze ordnungsgemäßer Buchführung) SIDATO 20

21 Resultierende Anforderungen GDPdU - Anforderungen und betroffene Vorgänge Digital gespeicherte Daten maximal 10 Jahre aufzubewahren In dieser Zeit Z3-fähig zu halten ab 2002 für den Einsatz von IDEA sicherzustellen! Datenträgerüberlassung Überlassung der steuerrelevanten Daten auf einen maschinell verwertbaren Datenträger Mittelbarer Datenzugriff maschinelle Auswertung der Daten nach der Vorgabe durch die Finanzbehörde, durch den Steuerpflichtigen oder einen beauftragten Dritten am DV-System des Steuerpflichtigen; nur Lese-Zugriff Z3 Z2 A R C H I V Unmittelbarer Datenzugriff selbst, unmittelbar auf dem DV-System des Steuerpflichtigen; nur Lese-Zugriff SIDATO 21 Z1

22 Was umfasst die Archivierung? Betroffen sind steuerrelevante und geschäftsrelevante Vorgänge: Alle kfm. Vorgänge per Kfm. Begleitschreiben in s Finanzbuchhaltung Kostenrechnung Anlagenbuchhaltung Angebote Lieferscheine Verträge Lohn- und Gehalts-Abrechnung Faktura-Ausgänge Artikelbewegungen-Inventur Produktions-Vorgänge SIDATO 22

23 Keine Panik...! Wie? Die Betriebsprüfer kommen? SIDATO 23

24 Lösungsansatz Nutzen Sie die elektronische Signatur Datensicherheit Transaktionssicherheit Compliance Organisieren Sie Ihre EDV rechtzeitig und strukturiert IKS internes Kontrollsystem Elektronische Betriebsprüfung (IDEA) Archivieren Sie Ihre s Beachten Sie Ihre Unternehmenssicherheit Datenschutz Brandschutz Zugriffsschutz SIDATO 24

25 Vielen Dank für Ihre Aufmerksamkeit FRAGEN? SIDATO 25