Grundausbildung Fachgegenstand A U S B I L D U N G. Informatik einschließlich Datenschutz & Organisation

Transkript

1 Grundausbildung Fachgegenstand A U S B I L D U N G Informatik einschließlich Datenschutz & Organisation

2 Impressum: Verleger: Land Salzburg vertreten durch die Landesinformatik Herausgeber: Dipl.-Ing. Peter Mittendorfer, Landesinformatik Mag. MBA Michael Wörgötter, Stabsstelle der Landesamtsdirektion Mag. MBA Eva Küblböck, Landesinformatik Postfach 527, A-5010 Salzburg

3 Fachgegenstand Teil 1: Technik und Datenschutz 2007/2008 Teil 1: Technik und Datenschutz Inhaltsverzeichnis 1 Die historische Entwicklung der Informatik Die Informatik-Strategie der Landesverwaltung Übergeordnetes Software Server- und Netzbetrieb Informatikstrategie Informationstechnik Grundlagen Aufbau und Arbeitsweise eines Computers Datensicherung und Archivierung Netze allgemein Netzwerk-Technik Internet Was ist das Internet? Die Entstehung des Internet Die Wege ins Internet Dienste im Internet Web Datensicherheit im Internet Signatur / Verschlüsselung Barrierefreier Internet-Auftritt (WAI-Richtlinien) Software Systemsoftware Anwendungssoftware Electronic Government (E-Government) Einführung Formen von E-Government Rechtliche Rahmenbedingungen Bürgerkarte Verwaltungssignatur Bereichsspezifisches Personenkennzeichen (bpk) Amtssignatur und Amtssiegel Elektronische Zustellung Elektronisches Bezahlen (E-Payment) Formularstyleguide

4 Fachgegenstand Teil 1: Technik und Datenschutz 2007/ Elektronischer Akt (ELAK) E-Government im Land Salzburg Datensicherheit Grundwerte Sicherheitsrisiken Schäden und Auswirkungen Vermeidung Computerviren / Spam Ergonomie am PC-Arbeitsplatz Datenschutz Die Entwicklung des Datenschutzes in Österreich Das Grundrecht auf Datenschutz Das Datengeheimnis im öffentlichen Dienst Die wichtigsten Begriffe des DSG Die Übermittlungsbeschränkungen für personenbezogene Daten Die Verpflichtung zur Datensicherung Die Kontrollorgane Die Rechte des/der Betroffenen Die Durchsetzung der Rechte des/der Betroffenen Die Meldung von Datenanwendungen und Übermittlungen Der internationale Datenverkehr Datenschutz im Internet Anhang Erlässe Intranet Bereiche lt. Bereichsabgrenzungsverordnung (BGBl. II Nr. 289/2004)

5 Fachgegenstand Teil 1: Technik und Datenschutz 2007/ Die historische Entwicklung der Informatik Der grundlegende Inhalt des Begriffes Informatik - auch Bezeichnungen wie Datenverarbeitung (DV), Elektronische Datenverarbeitung (EDV), Informationsverarbeitung (IV) und ähnliche sind nach wie vor im Sprachgebrauch - reicht weit in die kulturgeschichtliche Entwicklung des Menschen zurück: Es handelt sich um nichts anderes als die geistige Auseinandersetzung mit Informationen im weitesten Sinn. So begann bereits im Mittelalter die deutsche Kaufmannsfamilie Fugger (Kupfermonopol in Europa, Beteiligung am ostindischen Gewürzhandel, Bankier der Päpste, Kaiser Maximilians und Karls V) mit der detaillierten händischen Aufzeichnung aller Geschäftsfälle. Mit dieser Urform der Buchhaltung gelang es den Fuggern, ein gewaltiges Imperium aufzubauen, das sogar Könige finanzierte. Zunächst stand der praktische Umgang mit Zahlen im Mittelpunkt des Interesses. Die Wissenschaft der Mathematik verlangte schon frühzeitig nach Hilfsmitteln jeglicher Art, die den mühsamen Vorgang des Rechnens beschleunigen und vor allem sicherer machen sollten. Rechenmaschinen wurden gebaut: zunächst einfache Geräte, welche die Bezeichnung Maschine nach heutigem Verständnis gar nicht rechtfertigten. Später Schritt haltend mit der Entwicklung der Mechanik, der Elektrotechnik und schließlich der Elektronik immer intelligentere Anlagen, die sich schon bald nicht mehr nur auf die Verarbeitung von Zahlen beschränkten. Schriftzeichen, Bilder, Töne und sensorische Daten im weitesten Sinn sind nunmehr Gegenstand der Informationsverarbeitung geworden. Getragen wurde diese Entwicklung zu allen Zeiten von Vordenkern und Visionären, oftmals mit typischem Erfinderschicksal, oft aber auch von großem kommerziellen Erfolg gekrönt. Unterstützt von Mäzenen und Königen, später von finanzkräftigen Großmächten, deren Ziel es war, die erste bemannte Mondlandung zu realisieren, entwickelten geniale Menschen, was wir heute Computer nennen. 3

6 Fachgegenstand Teil 1: Technik und Datenschutz 2007/2008 Die Ahnentafel der Rechentechnik 1800 Jahre vor unserer Zeitrechnung sind Tontafeln entstanden, die in den Ruinen des alten Babylons gefunden wurden und schon einen intensiven Umgang mit Zahlen belegen. Nachdem zuvor das römische Zahlensystem verbreitet war, wurde erst um 1500 das in Indien entstandene und von den Arabern nach Europa gebrachte dezimale Stellenwertsystem bei uns gebräuchlich stellte Gottfried Wilhelm von Leibnitz, der am Hofe Ludwigs XIV arbeitete, eine neuartige Rechenmaschine vor, welche die vier Grundrechnungsarten beherrschen sollte. Wegen der damals aber noch ungenügenden feinmechanischen Kunstfertigkeit gelangte dieses Gerät aber nie zur Betriebsreife. Wahrscheinlich erkannte Leibnitz schon damals die Eignung des Binärsystems für das maschinelle Rechnen. Um 1833, zur selben Zeit, als Faraday erste Experimente mit der Elektrizität anstellte, entwarf Charles Babbage das Konzept eines programmgesteuerten Universalrechners. Auch er war seiner Zeit zu weit voraus: auf mechanischem Weg ließen sich seine Ideen nicht umsetzen setzte Hermann Hollerith zur Auswertung der elften amerikanischen Volkszählung erstmals Lochkartenmaschinen ein. Sortier- und Zählgeräte lasen die zuvor in Lochkarten verschlüsselten Informationen baut Konrad Zuse in Deutschland die erste funktionsfähige Datenverarbeitungsanlage mit Programmsteuerung. 1944: Mark-I, ein elektro-mechanischer Riesenrechner aus Einzelteilen und 80 Kilometern Leitungsdraht, entsteht in den USA. In 0,3 Sekunden kann er 2 Zahlen addieren, für eine Multiplikation braucht er 6 Sekunden, für eine Division 11 Sekunden. 4

7 Fachgegenstand Teil 1: Technik und Datenschutz 2007/ beginnt das elektronische Zeitalter: ENIAC, der Computer der ersten Generation besteht aus Elektronenröhren. Die Verarbeitungszeit für eine Multiplikation sinkt auf 2,8 Millisekunden. 1955: Der Transistor steht am Beginn des zweiten großen Abschnittes in der Entwicklung der Computer. Geringere Abmessungen, niedrige Betriebsspannung, verminderte Störanfälligkeit und hohe Lebensdauer leiten den bis heute anhaltenden Trend zu mehr Leistung für weniger Geld ein Hochintegrierte Schaltkreise: Speicherzellen auf einem Siliziumchip von 30 Quadratmillimetern ermöglichen eine weitere Steigerung der Computerleistung zu abermals sinkenden Kosten. Der kommerzielle Fernmeldesatellit INTELSAT verbindet 40 Länder über 2 Fernseh- und Telefonkanäle. 1981: Der IBM PC 1, mit INTEL 8088-Prozessor, 4.77 MHz, 128 kb RAM und 360 kb-diskette ist für ~ ,- zu haben. 2002: Verkauf des ein Milliardsten PCs im April (75% Firmen, 25% Privathaushalte) Die letzten 25 Jahre in der Informationsverarbeitung sind von mehreren bedeutsamen Entwicklungen geprägt. Die immer größer und komplexer gewordenen, monolithischen Großrechner treten zuerst zögernd, später umso rasanter zu Gunsten eines neuen Rechnertyps in den Hintergrund: des Personal Computers - klein, überschaubar, billig und von jedermann zu handhaben. Erste zaghafte Versuche, Computer untereinander zu verbinden, erleben einen ungeahnten Aufschwung: Computernetzwerke entstehen, Bild- und Ton-Medien und die Telefonie werden einbezogen, die Netze erstrecken sich über Länder und Kontinente. Die Hardware verliert ihre Bedeutung, sie wird austauschbar und ist nur mehr ein Kostenfaktor. Die Software wird zur beherrschenden Komponente der Informationsverarbeitung. Nach wie vor Brainware, dh. geistige Leistung von Menschen, ist sie teuer in der Herstellung und fehleranfällig. Also muss versucht werden, Standardprogramme zu schaffen, die viele AnwenderInnen ohne oder mit nur geringen Modifikationen verwenden können und sollen. 5

8 Fachgegenstand Teil 1: Technik und Datenschutz 2007/2008 Die Frage Hat sich der Computer dem Menschen anzupassen - oder der Mensch dem Computer?, die schon zu Gunsten der ersten Aussage beantwortet schien, wird neu gestellt. Einzellösungen werden nicht mehr nur von EDV-Abteilungen durch professionelle AnwendungsentwicklerInnen erzeugt, sondern auch von den AnwenderInnen mit Hilfe neu geschaffener Werkzeuge - die zwar keine jahrelange Ausbildung mehr, aber noch immer überdurchschnittliches Engagement verlangen - selbst erstellt. In diesem Spannungsfeld zeichnet sich eine Entwicklung ab, in der die Großrechner sukzessive an Bedeutung verlieren bzw. es zu einer immer stärker wachsenden Bedeutung der Client/Server-Architekturen in einer total vernetzten Informatik-Landschaft kommt. War zur Mitte der 90er Jahre Dezentralisierung in der EDV das beherrschende Thema, so zeigte sich, dass dadurch extrem hohe Total Cost of Ownership (TCO) entstanden bzw. zeigten die dadurch geschaffenen Strukturen den Hang zum Chaos bzw. Unverwaltbarkeit. Die Anschaffungskosten machen auf die Lebenszeit eines PCs nur noch 10% aus, der Rest entfällt auf Schulung, Betreuung und Reparaturen. Deshalb kommt es verstärkt zur Rezentralisierung bzw. zur sinnvollen Kombination von zentralen und dezentralen Strukturen. Die EDV-Abteilungen traditioneller Prägung verschwinden, die einzelnen Unternehmenssparten entscheiden selbstständig und eigenverantwortlich über den Informatik- Einsatz. Dienstleistungsstellen entstehen, die unternehmerisch ausgewählte Informatik-Dienstleistungen zu unternehmerisch kalkulierten Preisen anbieten. Den Baustein zu diesen neuen Architekturen stellen die durch das Internet forcierten Techniken dar. Das Internet führte überhaupt zu einer Revolution, denn plötzlich steht Informationen aus allen Teilen der Welt in Sekundenschnelle zur Verfügung bzw. kann man ohne Zeitverzögerung mit allen an das Internet angeschlossenen TeilnehmerInnen kommunizieren. Auch die Verwaltung profitiert in erheblichem Ausmaß durch das Internet - einerseits durch die raschere Kommunikation zwischen den Verwaltungseinheiten und Institutionen und andererseits insbesondere durch den Kontakt mit der/dem BürgerIn (E-Government). 6

9 Fachgegenstand Teil 1: Technik und Datenschutz 2007/ Die Informatik-Strategie der Landesverwaltung Der starke technologische Wandel der Informatik, geprägt durch den Personal Computer und der zunehmende Kommunikationsbedarf zwischen den Arbeitsplätzen erfordert eine sorgfältige Planung der Investitionen in der Informations- und Kommunikationstechnik. Im März 1996 hat die Landesregierung einen Bericht genehmigt, der die Zielsetzungen zur technologischen Neuorientierung der Landesinformatik enthält. Demnach ist die in den abgelaufenen Jahrzehnten auf Grund von technischen und anderen Rahmenbedingungen gewachsene, stark großrechnerorientierte Anwendungslandschaft zu verlassen. Damit sollte bis zum Jahr 2000 ein geregelter Übergang von einem überwiegend zentralen Informatik-Einsatz zu einem weitestgehenden Einsatz dezentraler Systeme erfolgen, wobei die Wirtschaftlichkeit und Wirksamkeit des gesamten DV-Einsatzes im Vordergrund zu stehen hatte. Die Begründung für diese Richtungsänderung war vor allem in den geänderten Bedürfnissen der AnwenderInnen und in den zusätzlichen Nutzenpotenzialen, die in den neuen Technologien wie Personal Computer, Client/Server, Netze, Internet,... stecken, zu sehen. Aus Komplexitätsgründen und damit verbundenen Kosten bzw. der Sicherung bereits getätigter Investitionen erfolgte dieser Übergang schrittweise. Anfang 1999 wurden die unter Federführung der Stabsstelle der Landesamtsdirektion in Zusammenarbeit mit der Landesinformatik erstellten Strategischen Vorgaben für die Informatik in der Landesverwaltung (N:/2002intra/strategische_vorgaben.doc) veröffentlicht, die eine Präzisierung der Informatikstrategie des Jahres 1996 darstellen und die Basis für die weitere Entwicklung auf dem Informations- und Kommunikationssektor abstecken. U.a. wurden/werden damit folgende Ziele angestrebt: Aufbau einer vollständigen Infrastruktur für die dezentralen Systeme bis 2000 und darauf basierend Erneuerung der geschäftstragenden Informationssysteme 7

10 Fachgegenstand Teil 1: Technik und Datenschutz 2007/2008 Flächendeckende Ausstattung mit PCs, vollständige Einbindung der PCs mit allen ihren Standard-Möglichkeiten Sicherheit, Systemstabilität und Verfügbarkeit von Leistungen Geregeltes Verfahren zum Übergang vom Mainframe zur Client/Server- und Internet-Architektur, Neudefinition der Rolle des Mainframes und dessen Rightsizing Einführung von benutzerfreundlichen C/S/Internet-Systemen, insbesondere durch Nutzung des breiten Marktangebotes an verfügbarer Software und Zukauf von Fremdsoftware Minimierung der personellen und finanziellen Ressourcen durch ein optimales System-Management- und Entwicklungskonzept, durch sinnvolle Konzentration und Konsolidierung der Server, sowie durch einen geregelten und sicheren Betrieb der dezentralen Welt Flexible Unterstützung bei den Änderungen in der Verwaltungsorganisation; Einsatz dezentraler Büro-, Workgroup- und Workflow-Systeme Zur Umsetzung dieser Ziele ist eine Reihe von Vorgaben zu berücksichtigen, von denen die wichtigsten im Folgenden besprochen werden. 2.1 Übergeordnetes Die Architektur der Informationssysteme der Landesverwaltung ist voll auf Internetund Intranettechnologien auszulegen Offene Systeme und auf de facto -Standards basierte Systeme sind proprietären Lösungen vorzuziehen Der Nutzen einer Lösung muss sich durch Wirtschaftlichkeit beweisen lassen Es sind günstige und schnelle 80%-Lösungen den sog. 120%-Lösungen vorzuziehen 8

11 Fachgegenstand Teil 1: Technik und Datenschutz 2007/2008 Standardsoftware ist immer dann anzuschaffen, wenn sie wirtschaftlich vertretbar ist und die Funktionalität den Anforderungen entspricht. Organisatorische Änderungen, die zum Einsatz von Standardsoftware notwendig sind, sind durchzuführen. Alle Belange der Sicherheit bezüglich des Daten- und Dokumentenschutzes sowie der elektronischen Kommunikation haben höchste Priorität und sind mit angemessenen Mitteln kurzfristig zu lösen. Der Schutz der Daten und des Datenverkehrs hat für die Landesverwaltung höchste Priorität und muss für alle TeilnehmerInnen optional verfügbar sein. 2.2 Software Die Eigenentwicklung von Applikationen ist zu Gunsten der Fremdentwicklung zu reduzieren. Dies gilt auch für die Betreuung der Software. Eine Bereinigung des bestehenden Applikationsportfolios hat zu erfolgen. Die hohe Komplexität des Betreuungsaufwandes der AnwenderInnen und der Applikationen ist zu reduzieren. Einsatz von Standardsoftware: Die mittelfristige Strategie geht davon aus, dass es zum Einsatz von Standardsoftware, wie zb. SAP R/3 kommen wird. 2.3 Server- und Netzbetrieb Die Landesinformatik hat den Server- und Netzbetrieb für die Landesverwaltung zu gewährleisten und dafür Vorsorge zu treffen, dass die eingesetzten Daten und Ressourcen vor unberechtigtem Zugriff geschützt werden. 2.4 Informatikstrategie 2012 Derzeit wird unter der Federführung der Stabsstelle der Landesamtsdirektion sowie unter Einbindung der Landesinformatik und namhafter Dienststellen eine neue Fassung der strategischen Vorgaben ("Informatikstrategie 2012") erarbeitet, die voraussichtlich im 1. Quartal 2008 in Kraft treten wird. 9

12 Fachgegenstand Teil 1: Technik und Datenschutz 2007/ Informationstechnik Grundlagen 3.1 Aufbau und Arbeitsweise eines Computers Das Wesen der Datenverarbeitung lässt sich auf die einfachen Grundschritte Eingabe Verarbeitung Ausgabe zurückführen. Diesen Elementen folgt auch der Aufbau eines Computers. Man unterscheidet daher Ein- und Ausgabegeräte sowie den die Verarbeitung besorgenden eigentlichen Rechner, oft auch CPU (Central Processing Unit) oder Zentraleinheit genannt. Der Rechner umfasst seinerseits den Prozessor, als das Gehirn und den Arbeitsspeicher oder RAM (Random Access Memory), der die ausführbaren Programme sowie die zur Verarbeitung anstehenden Daten enthält. Die Leistung einer CPU wird bei Personal Computern durch Angabe der Taktfrequenz in GHz (Gigahertz) gemessen. Zur Langzeitspeicherung von Daten dienen magnetische, optische oder magnetooptische Speichermedien (Diskette, USB-Stick, Festplatte, CD, DVD, Magnetbänder). 3.2 Datensicherung und Archivierung Das Wichtigste bei externen Datenspeichern ist die Datensicherung. Unter Datensicherung versteht man das Erstellen von Duplikaten von Daten zur Rekonstruktion im Falle des Datenverlusts (zb. durch Defekt) oder auf Grund irrtümlicher Veränderung. Im Falle der Rücksicherung werden die benötigten Daten vom Sicherungsmedium restored. Unter Datenarchivierung versteht man das Auslagern alter, nicht ständig benötigter Daten. Diese werden zunächst auf ein billiges Speichermedium kopiert und dann wird das Original gelöscht. Zum Einlesen archivierter Daten muss entweder der Archivdatenträger in ein entsprechendes Laufwerk eingelegt werden oder die Daten werden von diesem Datenträger wieder auf die Festplatte zurückkopiert. 10

13 Fachgegenstand Teil 1: Technik und Datenschutz 2007/2008 Mit fortlaufender Zeit dh. durch die lfd. Software-Updates erhält man aber immer mehr das Problem, ob man das bei der Sicherung bzw. Archivierung verwendete Datenformat später auch noch lesen kann. Lebenserwartung elektronischer Datenträger (Quelle: - theoretische Werte bei einer optimalen Lagerung: DLT 10 bis 30 Jahre DDS-2 10 bis 15 Jahre CD-RW, DVD-RW 35 bis 70 Jahre CD-R, DVD-R 70 bis 100 Jahre CD-ROM und DVD-ROM 5 bis 200 Jahre MO (3½ /5¼ ) und WORM 5 bis 100 Jahre Disketten 30 bis 100 Jahre 3.3 Netze allgemein Die moderne Informationstechnologie lebt von der totalen Kommunikation. War man in den 70er Jahren noch stolz, wenige ausgewählte Arbeitsplätze mit einem Bildschirm an einen entfernt stehenden Rechner "anhängen" zu können, so ist heute die flächendeckende Vernetzung aller DV-Arbeitsplätze Standard. Zudem sind die Datenmengen explosionsartig gewachsen, weil nicht mehr nur Daten im klassischen Sinn, sondern auch Sprache, Images (statische, in Punkte zerlegte Bilder), Töne und sogar Bewegtbilder übertragen werden sollen. Alle Arbeitsplätze sollen miteinander kommunizieren können, alle Leistungen sollen auf jedem Arbeitsplatz verfügbar sein und die notwendigen Daten dürfen nicht an einen Arbeitsplatz gebunden sein. Und diese Forderungen gelten auch über die Unternehmensgrenzen hinaus (zb: E-Government). Mittels des Internet stehen diese Möglichkeiten weltweit zur Verfügung. Innerhalb der Bundes- und Landesbehörden gibt es dazu das Corporate Network Austria (CNA), welches ein geschlossenes Behördennetz darstellt. Zur Verlängerung zu den Gemeinden hin dient in Salzburg das Salzburger Bildungsnetz; ein geschlossenes Netz für Schulen, Bibliotheken, Bildungseinrichtungen und Gemeinden. Es stellt heute zb. 11

14 Fachgegenstand Teil 1: Technik und Datenschutz 2007/2008 jeder angeschlossenen Gemeinde kostenlos das Rechtsinformationssystem des Bundes (RIS) und den Zugang zum zentralen Melderegister (ZMR) bzw. gegen Gebühren den Zugang zur Grundbuchsdatenbank (GDB) und Firmenbuchdatenbank (FDB) zur Verfügung. 3.4 Netzwerk-Technik Netzwerke stellen die erforderliche Infrastruktur für die Versorgung aller Arbeitsplätze mit allen Dienstleistungen der Informationstechnologie dar. Sie verbinden die Arbeitsplatzgeräte mit den Servern. Neben den technisch-physikalischen Komponenten (Verkabelung (Kupferkabel, Lichtwellenleiter, Funkdatenübertragung), Verteilerkomponenten (Hubs, Router, Switches), Geräteanbindungen, Zugangsverfahren, Netzwerkprotokolle), sind Sicherheitseinrichtungen (Logon, Firewall, AntiViren-Systeme) und Managementsysteme für den erfolgreichen Betrieb eines Netzwerkes erforderlich. Gängige Vernetzungstechniken innerhalb eines Unternehmens sind derzeit: Ethernet bzw. Fast Ethernet (10 bzw. 100 MBit/sec) für Arbeitsplätze mit niedrigem bis mittlerem Datenaufkommen Gigabit Ethernet (1 GBit/sec) für Hochleistungsarbeitsplätze bzw. Server WLAN ( 54 MBit/sec), funkbasierte Anbindung für Arbeitsplätze mit niedrigem bis mittlerem Datenaufkommen, Reichweite ( 100m in Gebäuden, 450m im Freien). Als das standardisierte Leitungsprotokoll hat sich TCP/IP - Transmission Control Protocol / Internet Protocol als herstellerunabhängiger, weit gehend offener Defacto-Standard durchgesetzt. Andere Leitungsprotokolle sind heute als überholt zu betrachten und werden daher kaum mehr verwendet. Das TCP/IP erzeugt einen kontinuierlichen Datenstrom zwischen den beteiligten Rechnern. Die Daten werden in kleine Pakete zerlegt und mit einer laufenden Nummer und einem Code zur Fehlererkennung ergänzt. Jedes TCP-Paket kommt in ein IP-Paket, das mit IP-Adressen von Absender und Empfänger versehen wird. Als einfaches Vernetzungsmedium für zuhause (wie auch für Handys) steht auch Bluetooth (90 kbyte/sec, Reichweite 10m) zur Verfügung. Achtung wenn Bluetooth- Gerät nicht richtig konfiguriert ist, kann es missbraucht werden 12

15 Fachgegenstand Teil 1: Technik und Datenschutz 2007/ Internet 4.1 Was ist das Internet? Internet ist ein freiwilliger Zusammenschluss von Computernetzwerken; ein weltumspannendes, ständig wachsendes Gebilde, das keinen Eigentümer hat, keinen Regeln und keiner Kontrolle unterworfen ist. Die wenigen Gemeinsamkeiten beschränken sich auf ein einheitliches technisches Netzprotokoll ( TCP/IP ) und eine Einrichtung, bei der die Namen der angeschlossenen Rechner registriert werden "INTERNIC" - Name Information Center). Mitte 1996 waren etwa 30 Millionen TeilnehmerInnen aus dem akademischen, staatlichen, kommerziellen und privaten Bereich angeschlossen, heute sind es geschätzt weltweit 800 Mio. TeilnehmerInnen (in Österreich 63% der Bevölkerung; davon surfen 3,7 Mio. regelmäßig und ~ 2Mio. täglich oder fast täglich im Internet). Das Internet ist die größte Datensammlung der Welt. Es ist chaotisch, unstrukturiert und kaum mehr überschaubar: sie enthält wissenschaftliche Datenbanken, Diskussionsforen, staatliche, kommerzielle und private Datensammlungen und ist Transportvehikel zugleich. Um sich im Universum des Internet zurechtzufinden, benützt man Suchmaschinen (zb. die nach Eingabe von Suchbegriffen darüber Auskunft geben, wo es Informationen zu diesem Begriff gibt. 4.2 Die Entstehung des Internet Die Anfänge reichen in die 70er Jahre zurück, als man in den USA die künftige Bedeutung von Kommunikationstechnologien erkannte. Das Verteidigungsministerium gründete damals ein Netzwerk, um verschiedene Forschungsvorhaben landesweit koordinieren zu können. Da es sehr praxisgerecht aufgebaut war, wuchs es rasch und wurde in der Folge in einen militärischen und einen wissenschaftlichen Zweig geteilt. Letzterer erhielt weiteren Zulauf zunächst von Universitäten aller Disziplinen und öffentlichen Stellen, später von Wirtschaftsunternehmen und Privatleuten aus aller Welt. Unterstützt wurde diese rasante Entwicklung durch die Fortschritte der Kommunikationstechnologie und durch das Erscheinen des Betriebssystems UNIX, in dem das Netzwerkprotokoll TCP/IP integriert war. 13

16 Fachgegenstand Teil 1: Technik und Datenschutz 2007/ Die Wege ins Internet So genannte Service Provider (zb. Salzburg-Online) das sind Unternehmen, die einen Zugang zum Internet anbieten, stellen das technisch-organisatorische Umfeld zur Verfügung. Das zu entrichtende Entgelt deckt auch nur diesen Bereich ab. Die Benutzung des Internet selbst ist - weil eigentümerlos - folgerichtig kostenlos. Für die Hardware und geeignete Anschlüsse zum Provider muss der/die AnwenderIn selbst sorgen. Dazu gibt es folgende leistungsfähige Zugangsmöglichkeiten: Via Standard-Telefonanschluss oder Kabel-TV: ADSL Asynchronous Digital Subscriber Line ( 768/128 kbit/sec): gleichzeitiges Surfen und Telefonieren möglich; XDSL gleiche Geschwindigkeit für Down- und Upload Kabel-TV ( 512/128 kbit/sec): voller Kabel-TV-Anschluss notwendig Via Mobilfunk (nicht jeder Dienst bei jedem Provider verfügbar): GPRS - General Packet Radio Service ( 115,2 kbit/sec) EDGE - Enhanced Data Rates for GSM Evolution ( 200 kbit/sec) UMTS - Universal Mobile Telecommunications System ( 384 kbit/sec) HSDPA - High Speed Downlink Packet Access ( 7,2 MBit/sec Download) HSUPA - High Speed Uplink Packet Access ( 3,6 MBit/sec Upload) Via Funk WLAN ( 108MBit/sec): Zugang über sog. HotSpots, innerhalb / außerhalb von Gebäuden 100m / 3km Reichweite, Vorsicht bei ungesicherten Zugängen (Anmerkung: Das Ansurfen von gv.at-adressen ist via WLAN-HotSpots der Fa. T-Mobile gratis) WIMAX ( 108MBit/sec): Reichweite bis zu 50km Via Standleitung (Geschwindigkeit nach Bedarf): fixe Internetverbindung zum Anschluss von Netzwerken ans Internet, insb. für Firmen, Institutionen,... 14

17 Fachgegenstand Teil 1: Technik und Datenschutz 2007/ Dienste im Internet Die 2 populärsten Dienste des Internets, sind und das Surfen. Daneben gibt es diverse andere Dienste (News, FTP, RSS, ). Nachrichten austauschen Dieser elektronische Postdienst ist die meistgenutzte Internet-Funktion (2005 weltweit ~ 39 Mrd. s täglich; heute bereits 75% Spam). Beliebige Nachrichten aus Text, grafischen oder anderen Daten können zwischen TeilnehmerInnen versendet, angezeigt, ausgedruckt oder gespeichert werden. Ist die/der EmpfängerIn beim Eintreffen einer Nachricht nicht am Netz, wird diese beim Provider zwischengespeichert, bis die/ der AnwenderIn das -Programm startet und seine Post herunterlädt. Eine -Adresse hat folgenden grundsätzlichen Aufbau: (atsign, commercial at, vulgo Klammeraffe) Anschrift (Domain-, Subdomainname, Land, durch Punkte getrennt) Beispiel: post@salzburg.gv.at, Josef.Hader@salzburg.gv.at Das World Wide Web www AnbieterInnen, die Informationen im Internet anbieten, um damit ihren Geschäftszweck zu unterstützen, wollen ihre Informationen möglichst übersichtlich und benutzerfreundlich darzustellen. Dafür wurde HTML (Hyper Text Markup Language) geschaffen, die Grundlage des WWW. HTML-Dokumente bestehen aus Befehlen und Text, die Text, Grafik und Multimediainhalte verbinden. Die bd. Letzteren werden nicht im Dokument selbst gespeichert, sondern nur ein Verweis, von wo diese Daten bei Bedarf zu laden sind. Solche Verweise dienen auch dazu, verschiedene Seiten mehrerer Dokumente miteinander zu verbinden. Wer die Adresse eines www-servers als URL (Uniform Resource Locator) eingibt, kann mit den in den Hypertext-Links eingebetteten URL kreuz und quer durch das "Global Village" surfen. URL-Aufbau: Protokoll :// Server / Verzeichnis / Datei Beispiel: 15

18 Fachgegenstand Teil 1: Technik und Datenschutz 2007/2008 Der Teil "Server" verweist auf die Adresse des Internet-Servers und lässt seinerseits bereits Rückschlüsse auf die Art bzw. das Herkunftsland des Informationsangebotes zu. So stellt die für Verwaltungen reservierte Bezeichnung "gv" bzw. "gov" (sog. TLD Top Level Domain) immer den Hinweis auf eine Verwaltung dar (andere Beispiele: "ac" academic, "com" commercial). Der letzte Teil einer Server-Adresse weist normalerweise auf das Herkunftsland hin "at" steht für Österreich. 4.5 Web 2.0 Web 2.0 beschreibt eher vage eine veränderte Wahrnehmung und Benutzung des Webs, mit dem Hauptaspekt aus organisatorischer Sicht: Inhalte werden nicht mehr nur zentralisiert von großen Medien erstellt und an die Massen verbreitet, sondern auch von unabhängigen Personen, die sich untereinander vernetzen. Typische Beispiele hierfür sind Wikis (zb. Wikipedia), Weblogs sowie Bild- und Videoportale (zb. Flickr, YouTube) und Tauschbörsen (zb. ebay). Der als Marketing-Schlagwort eingeführte Begriff hatte relativ großen Widerhall in den Medien. Web 2.0 bezeichnet keine spezielle Technik, etwa eine bestimmte Software- Version, sondern mehr das Zusammenwirken verschiedener Technologien und eine vermutete soziale und wirtschaftliche Entwicklung. Die beteiligten technischen Mittel können im Einzelnen unbedeutend sein. Daher wird auch kritisiert, der Begriff sei unscharf und nahezu beliebig verwendet ( Schlagwort ), um die Popularität von Angeboten oder Techniken zu fördern oder Trends zu prägen. Aus technischer Sicht bezeichnet Web 2.0 oft eine Kombination der bereits Ende der 1990er Jahre entwickelten Techniken, die durch die große Zahl breitbandiger Internetzugänge erst jetzt großflächig verfügbar sind. Im Marketing wird versucht, Vom-Push-zum-Pull-Prinzip zu gehen und Kunden etwa dazu zu bringen, Webseiten von sich aus mit zu gestalten. 16

19 Fachgegenstand Teil 1: Technik und Datenschutz 2007/ Datensicherheit im Internet Signatur / Verschlüsselung Im Internet sind infolge des uneingeschränkten Zugriffs durch alle TeilnehmerInnen keine Vertraulichkeit und kein Schutz vor unbefugtem Zugriff gegeben. Daher müssen zum einen, um die Authentizität eines Dokuments bzw. Absenders/Absenderin sicherzustellen elektronische Unterschriften (Signaturen) eingesetzt werden. Zum anderen müssen vertrauliche oder sonstige aus Sicht des Eigentümers/der Eigentümerin schützenswerte Daten durch geeignete zwischen SenderIn und EmpfängerIn vereinbarte Methoden verschlüsselt werden. Signatur 1 Eine elektronische Signatur besteht immer aus 2 Teilen: a) der geheime Teil, den nur der/die Signierende kennt (zb. auf Chipkarte), b) der öffentliche Teil (im öffentl. Verzeichnis gespeichert). Will man nun ein Dokument digital signieren bzw. in einer E-Government-Anwendung seine/ihre Identität nachweisen, so tut man dies nach Aufforderung durch Einstecken der Chipkarte in einen Kartenleser mit eigener Tastatur (muss ebenfalls den Anforderungen des Signaturgesetzes entsprechen). Zusätzlich muss der/die Signierende beim Signieren noch seinen/ihren PIN-Code eingeben, dh. man muss für diesen Vorgang etwas besitzen und etwas wissen (sog. Zwei-Faktor-Authorisierung). Der/die EmpfängerIn einer signierten Nachricht kann auf elektronischem Weg (unter Nutzung des öffentlichen Teils des Schlüssels) prüfen: die Identität des Einreichers/ der Einreicherin, ob die Signatur noch gültig ist, ob das gesandte Dokument nicht bereits verändert wurde. Das Signaturgesetz unterscheidet zwischen einfachen, fortgeschrittenen und qualifizierten elektronischen Signaturen. Als Beweismittel ist zwar auch die einfache elektronische Signatur verwendbar, der eigenhändigen Unterschrift ist aber nur die qualifizierte elektronische Signatur recht- 1 Die Ausführungen basieren auf der Novelle des Signaturgesetzes, die am in Kraft tritt. 17

20 Fachgegenstand Teil 1: Technik und Datenschutz 2007/2008 lich weitgehend gleichgestellt. Für die Erstellung sicherer elektronischer Signaturen sind in der Regel eine Chipkarte (z. B. Bankomatkarte), ein geeignetes Chipkarten- Lesegerät und spezielle Software erforderlich (Liste der eingesetzten, bereitgestellten und empfohlenen Signaturprodukte). Weiters benötigt man dafür ein qualifiziertes Zertifikat, mit dem die Identität des Chipkarten-Inhabers bestätigt wird. Für die einfache elektronische Signatur ist in der Regel auch ein von einem Zertifizierungsdiensteanbieter ausgestelltes Zertifikat erforderlich, das in signaturfähige Anwendungen integriert werden kann. Auf zusätzliche Komponenten kann jedoch meistens verzichtet werden. Eine fortgeschrittene elektronische Signatur ist eine elektronische Signatur, die a) ausschließlich dem Signator zugeordnet ist, b) die Identifizierung des Signators ermöglicht, c) mit Mitteln erstellt wird, die der Signator unter seiner alleinigen Kontrolle halten kann, d) mit den Daten, auf die sie sich bezieht, so verknüpft ist, dass jede nachträgliche Veränderung der Daten festgestellt werden kann; Eine qualifizierte elektronische Signatur ist eine fortgeschrittene elektronische Signatur, die auf einem qualifizierten Zertifikat beruht und von einer sicheren Signaturerstellungseinheit erstellt wird; Verschlüsselung Dazu verwendete Verfahren sind shttp im Bereich des WWW (Server-basierte Verschlüsselung) bzw. "S/MIME" für (Client-basierte Verschlüsselung). Gerade im Umgang mit der Behörde werden viele persönliche Daten ausgetauscht. Da aber das Internet per se keine verschlüsselte Datenübertragung kennt, müssen entsprechende Methoden darüber gelagert werden. Im Bereich des WWW (Surfen) ist die heute gebräuchliche Methode die Verschlüsselung mittels Secure Socket Layer (SSL) erkennbar durch URL-Beginn https. In 18

21 Fachgegenstand Teil 1: Technik und Datenschutz 2007/2008 diesem Fall vereinbart der Web-Server (auf Basis einer unqualifizierten einfachen Signatur softwarebasiert), wenn der/die BenutzerIn eine bestimmte Seite ansteuert, mit dem Client (PC), dass diese Informationen verschlüsselt übertragen werden. Der/die BenutzerIn hat dazu nichts zu tun. Er/Sie sieht, dass die Verbindung verschlüsselt ist zb. durch ein Schlüsselsymbol in der Browser-Statuszeile. Standard ist 128Bit-Verschlüsselung. Im Bereich des Mails wird eine der Signatur ähnliche Methode angewandt. Dazu benötigt man eine von der qualifizierten Signatur unabhängige zweite Signatur ( einfache Signatur genügt). In diesem Fall nimmt man den öffentlichen Teil der Signatur des Empfängers/der Empfängerin und verschlüsselt damit das zu versendende Mail. Die Entschlüsselung kann nur durch Anwenden des geheimen Teil des Schlüssels des Empfängers/der Empfängerin erfolgen, dh. der/die EmpfängerIn braucht dazu wieder die Chipkarte (oder auch ein Software-Zertifikat) und seinen/ihren PIN-Code (etwas besitzen/etwas wissen). 4.7 Barrierefreier Internet-Auftritt (WAI-Richtlinien) Das Internet ist "das" Informationsmedium unserer Zeit, darum soll es auch für jedermann zugänglich sein auch für Menschen mit Behinderungen. Dazu dienen die sog WAI-Richtlinien (WAI Web Accessability Initiative). Blinde Menschen können gut strukturierten text über eine Braillezeile oder ein Vorleseprogamm problemlos lesen. Wenn auf einer Web-Seite zum besseren Verständnis Bilder verwendet werden, müssen sie mit einem alternativen Text versehen werden. Sehschwache Personen (dazu zählen insbesondere ältere MitbürgerInnen) brauchen die Möglichkeit, die Schriftgröße selbst einstellen zu können. Rund 10% der Bevölkerung leiden unter Farbenblindheit. Daher benötigt man starke Kontraste und klare Schriften bzw. muss vorsichtig mit Farben umgehen. Für Personen mit motorischen Störungen, die keine Maus bedienen können, muss die Möglichkeit der Navigationsmöglichkeit mit der Tastatur gegeben sein. 19

22 Fachgegenstand Teil 1: Technik und Datenschutz 2007/2008 Ein Teil der gehörlosen MitbürgerInnen bzw. Menschen mit Lernbehinderung hat bzw. haben Probleme, lange oder komplexe Sätze sowie Fremdwörter zu verstehen; daher so einfach und unkompliziert wie nur möglich formulieren. Die Einhaltung internationaler Standards gehört ebenfalls zu den WAI-Anforderungen. Dazu zählt auch, dass korrektes HTML für die Gestaltung von Internet- Seiten verwendet wird (das gewährleistet, dass die Seiten auch mit allen Browsern und Ausgabegeräten angezeigt werden können). Ingesamt gibt es 3 WAI-Qualitätsstufen (A, AA und AAA). Internet-Auftritte der öffentlichen Verwaltung in Österreich müssen lt. E-Government-Gesetz per die Stufe A erfüllen. Um überprüfen zu können, ob eine Internet-Seite WAI-kompatibel ist, gibt es verschiedene Werkzeuge: für korrektes HMTL WAI-Richtlinien allgemein WAI-Richtlinien allgemein 20

23 Fachgegenstand Teil 1: Technik und Datenschutz 2007/ Software Was nützt einem der schnellste und neueste Rechner, wenn man kein Etwas zur Unterstützung bei der Lösung der gestellten Aufgaben hat. Um das zu erhalten, beschäftigen sich AnwendungsentwicklerInnen mit der Umsetzung der Aufgabenunterstützung in eine Form, die in erster Linie bediener- und lösungsgerecht ist, aber auch der eingesetzten Hardware (der Sprache des Prozessors) entspricht. Das Ergebnis dieses Prozesses nennt man Software. Software ist ein geistiges Produkt (deshalb im Vergleich zur Hardware der nach wie vor hohe Preis). Gerade aus der preislichen Sicht heraus hat sich die sog. OpenSource-Bewegung entwickelt. OpenSource-Software wird von ihren Entwicklern/Entwicklerinnen offen (dh. ich kann den Quellcode einsehen) zur Verfügung gestellt und kann üblicherweise auch gratis genutzt werden. Während die Software gratis ist, können Entgelte für Datenträger, Beratung, Garantien o- der sonstige Serviceleistungen verlangt werden. OpenSource-Software gewinnt weltweit insb. im Behördenbereich immer mehr an Bedeutung. Weiters gibt es auch sog. Freeware. Diese Software kann ebenfalls kostenlos genutzt werden, aber der Quellcode ist nicht ofengelegt. 5.1 Systemsoftware Systemsoftware dient der Kommunikation zwischen Hardware und Anwendungssoftware und wird üblicherweise als Betriebssystem bezeichnet. Es handelt sich dabei um auf die jeweilige Prozessorfamilie abgestimmte standardisierte Software, die ua. für folgende Dinge zuständig ist: Organisation des Startens und Herunterfahrens des Computers Organisation des Programmablaufes Verwaltung des internen und externen Speichers Dialog mit dem Benutzer/der Benutzerin Überprüfung der Benutzerberechtigung Überprüfung der Hardware auf Funktionsfähigkeit Im Personal Computer-Bereich hat sich als de facto-standard MS Windows durchgesetzt. Manche Städte (zb. München) verwenden auch OpenSource - Linux. 21

24 Fachgegenstand Teil 1: Technik und Datenschutz 2007/ Anwendungssoftware Mit der Hardware und dem Betriebssystem verhält es sich wie mit einem Auto (Hardware), das zwar ausreichend Öl (Betriebssystem) zur Schmierung, aber keinen Treibstoff hat. Dieser Treibstoff ist die Anwendungssoftware, die zur Unterstützung der Abwicklung von Aufgaben dient. Diese kann einerseits individuell (Software passt sich an die Organisation an) erstellt werden oder in Form von Standardsoftware (Organisation passt sich an die Software an) eingesetzt werden. Standard-Software kommt zwar üblicherweise preisgünstiger, setzt aber die Anpassung der Organisation an die Software voraus. Prominente Beispiele für Standard-Software sind: Textverarbeitung, Tabellenkalkulation, Datenbankprogramme, Präsentationssoftware, Grafikprogramme, Internet-Zugangssoftware, Software für das elektronische Büro). Oftmals ist Standard-Software auch nur für bestimmte Hardware-Plattformen verfügbar und es gilt zu prüfen, ob der günstige Softwarekauf nicht erhöhte Kosten für den Ankauf der geeigneten Hardware inkl. der zugehörigen Betriebskosten nach sich zieht. Da es nicht für alle Aufgabenstellungen (insb. im Behörden-Bereich) Standard-Software gibt, ist die Individualsoftwareerstellung ein unverzichtbares Muss. Individual- Software kann man entweder selbst schreiben (sofern man über das geeignete Know- How und die Zeit verfügt), bei professionellen Firmen (sog. Softwarehäusern) in Auftrag geben oder die betriebsinternen SpezialistInnen (zb. Land - Landesinformatik, Magistrat Salzburg - Amt für Datenverarbeitung) damit beauftragen. Variante 1 bietet üblicherweise den Vorteil, genau zu wissen, was man will, allerdings fehlt normalerweise das KnowHow für das Wie. Variante 2 ist gekennzeichnet durch AuftragnehmerInnen, die genau über das Wie, in vielen Fällen aber nicht über das Was Bescheid wissen. Variante 3 bietet sowohl eine hohe Aufgaben- als auch eine hohe Lösungskompetenz. Nichtsdestotrotz sollte man in jedem Fall prüfen, ob nicht geeignete Standard-Software am freien Markt verfügbar ist oder nicht in einem anderen Bundesland/ Magistrat bereits eine Software für die jeweilige Aufgabenstellung existiert. 22

25 Fachgegenstand Teil 1: Technik und Datenschutz 2007/ Electronic Government (E-Government) Einführung Mag. Wien, OSR Binder: Nicht die Bürger laufen, sondern die Akten! Land Stmk, Franz Grandits: E-Government ist die größte Verwaltungsinnovation seit Maria Theresia EU, März 2000, E-Europe 2005-Initiative: EU soll die wettbewerbsfähigste und dynamischste, auf Wissen basierende Wirtschaft der Welt werden Was heute fast schon Allgemeingut ist, nämlich das Bestellen von Waren via Internet oder auch der elektronische Geschäftsverkehr zwischen Unternehmen (E-Business), das wünschen sich BürgerInnen und Wirtschaft auch im Kontakt mit der Behörde. 63% der Unternehmen und 46% der BürgerInnen wollen mit der Verwaltung elektronisch kommunizieren (WU Wien, 02/2001). Rasch, kostengünstig und rund um die Uhr mit der Verwaltung von zu Hause in Kontakt treten das Medium Internet bringt diesen berechtigten Bürgerwunsch der Wirklichkeit einen entscheidenden Schritt näher. E-Government adressiert als Zielgruppe BürgerInnen, UnternehmerInnen aber auch die Verwaltung selbst, dh. mit anderen Worten jedermann. E-Government besteht aber nicht nur aus "schicken" Internet-Portalen der Verwaltung, sondern auch aus dahinter liegenden Prozessen. Dh. es genügt nicht, einen E-Government-Auftritt der Verwaltung zu haben, sondern es muss sich auch die gesamte Organisation an den neuen Anforderungen ausrichten. Österreich ist auf dem Gebiet des E-Government sehr aktiv was sich zuletzt im Jahr 2007 in einem Benchmarking der EU-Kommission zum Thema E-Government-Basisdienste ausdrückt, wo Österreich innerhalb der EU-Mitgliedsstaaten auf Rang 1 liegt. Doch muss bei aller E-Euphorie immer bedacht werden, dass nicht jedermann einen Internet-Zugang hat bzw. ihn benützen kann und will. E-Government ist ein zusätzlicher Kommunikationskanal mit der Verwaltung, neben dem persönlichen Erscheinen, dem brieflichen Kontakt, einem Call-Center, usw. 2 Die Ausführungen basieren auf den Novellen des e-government-gesetzes, Signaturgesetzes und AVG, die am in Kraft treten. 23

26 Fachgegenstand Teil 1: Technik und Datenschutz 2007/2008 E-Government ist kein "Selbstläufer", dh. es braucht intensives Marketing. BürgerInnen und Wirtschaft müssen auf die neuen Angebote aufmerksam gemacht werden bzw. müssen die Vorteile entsprechend kommuniziert werden. Bei neuen Anwendungen immer die elektronische An/Einbindung von BürgerInnen und Wirtschaft mitdenken. Es gibt im E-Government unterschiedliche Arten der Beziehungen: G2G - Government to Government B2G - Business to Government C2G - Citizen to Government 6.2 Formen von E-Government Kommunikation Einfachste Form von E-Government. Dabei handelt es sich um den Ersatz der Briefpost durch . Doch bereits hier stellen sich folgende Probleme: Wie weiß ich, ob der Absender des s auch der/die tatsächliche AntragstellerIn ist (Authentifizierung, Lösung qualifizierte Signatur), wie kann ich geheime Daten so versenden, dass sie nicht in falsche Hände kommen (Verschlüsselung, Lösung normale Signatur). Information Der/die BürgerIn / die Wirtschaft kann sich via Internet-Browser im Web-Angebot der jeweiligen Behörde informieren, teils durch normales Surfen, teils durch Herunterladen von Antragsformularen. Transaktion Der/die BürgerIn / die Wirtschaft erledigt die Amtsgeschäfte online. Anträge werden vom Antragsteller/von der Antragstellerin via Internet-Browser bereits elektronisch in die Systeme der Behörde eingegeben (damit entfällt die Datenerfassung für die Behörde). Die Erledigung kann ebenfalls wieder elektronisch vom Bürger/von der Bürgerin abgeholt werden. Im optimalen Fall kann er/sie sich in der Zeit von der Einreichung bis zur Erledigung jederzeit elektronisch über den Stand seines/ihres Anliegens (Sta- 24

27 Fachgegenstand Teil 1: Technik und Datenschutz 2007/2008 tus, wer, was, wann) informieren. Neuerdings spricht man auch noch von Interaktion als noch intensivere interaktive Abwicklung. 6.3 Rechtliche Rahmenbedingungen Verwaltungsreformgesetz Bereits 2002 wurden im Rahmen des Verwaltungsreformgesetzes erste wesentliche Rahmenbedingungen zur geregelten Abwicklung von Verfahren via E-Government geschaffen (ua. wurden das AVG und das ZuStG novelliert). E-Government-Gesetz Seit April 2004 gibt es das österreichische E-Government-Gesetz (E-GovG) - novelliert per Dieses Gesetz soll: der Förderung rechtserheblicher elektronischer Kommunikation dienen den elektron. Verkehr mit öffentl. Stellen unter Berücksichtigung grundsätzlicher Wahlfreiheit zwischen Kommunikationsarten für Anbringen an diese Stellen erleichtern besondere technische Mittel zur Verbesserung des Rechtsschutzes schaffen, um gegen Gefahren, die durch den verstärkten Einsatz der DV im E-Gov-Bereich entstehen, zu wirken Das Gesetz hat Bestimmungen für: die Identifikation und Authentifizierung im elektron. Verkehr mit öffentl. Stellen die Verwendung der Bürgerkartenfunktion den elektronischen Datennachweis die Besonderheiten elektronischer Amtsführung Straf- sowie Übergangsregelungen 25

28 Fachgegenstand Teil 1: Technik und Datenschutz 2007/ Bürgerkarte Um sich im Rahmen des E-Government "ausweisen" zu können, benötigt man eine elektronische Identität. In Österreich wurde dazu die sog. Bürgerkarte erfunden. Dabei handelt es sich nicht um eine Karte im landläufigen Sinn, sondern eine Funktionalität, die auf verschiedenen, dafür vorbereiteten, Karten aufgebracht werden kann (zb. Bankomatkarte, Kreditkarte). BürgerInnen identifizieren (Anmeldung) und authentifizieren (Zuordnung zur Person) bei einer Antragstellung, Abfrage, mittels der Bürgerkarte. Damit wird auch sichergestellt, dass Unbefugte Zugang zu persönlichen Daten erhalten. Die Funktionalität Bürgerkarte umfasst: die qualifizierte Signatur, Personenbindung (Stammzahl = Ableitung aus der ZMR-Nummer), Konformität zum Security-Layer. Die qualifizierte Signatur wird über die Speicherung zweier sog. Zertifikate (Datenstruktur die ua. Benutzernamen, Ausstellungsdatum, Schlüsselpaar) realisiert. Ein Zertifikat dient der sicheren elektronischen Signatur (Unterschrift), das andere zur Verschlüsselung von Nachrichten. Diese Signatur ist bis auf wenige Ausnahmen (zb. für Notariatsakte) der eigenhändigen Unterschrift gleichwertig und hat von den Behörden akzeptiert zu werden. Die Identifikation (Personenbindung) der AntragstellerInnen wird über die Speicherung der sog. Stammzahl auf der Bürgerkarte realisiert. Die Stammzahl stellt eine Ableitung aus Kennnummern verschiedener Register dar: aus der ZMR-Nummer (die ZMR- Nummer wurde im Zuge der Volkszählung 2001 für alle in Österreich gemeldeten Personen vergeben) für alle in Österreich gemeldeten natürlichen Personen, aus der Firmenbuchnummer für alle registrierten Firmen, der Vereinsregisternummer für alle vereine sowie der Ergänzungsregisternummer für alle sonstigen Personen bzw. Institutionen. Die Stammzahl ist eine von der Behörde signierte Struktur, welche ein eindeutiges Identifikationsmerkmal der Person (zum Beispiel eine Registernummer) ihren öffentlichen Signaturprüfdaten zuordnet. Die Stammzahl darf nur auf der Bürgerkarte und der Stammzahlenregisterbehörde gespeichert werden. Behörden dürfen diese Stammzahl keinesfalls speichern, sondern müssen für jeden Verfahrensbereich (lt. Bereichsabgrenzungsverordnung) eine eigene, mathematisch nicht umkehrbare Ablei- 26

29 Fachgegenstand Teil 1: Technik und Datenschutz 2007/2008 tung bilden das sog. bpk (bereichsspezifisches Personenkennzeichen). Damit sind eine Verknüpfung unterschiedlicher Verfahren und damit der "gläserne Bürger" nicht möglich Der Security-Layer stellt eine Trennung zwischen der Sicht der Applikation auf das Konzept der Bürgerkarte und der eigentlich verwendeten Bürgerkarte dar. Dieser Abschnitt richtet sich hauptsächlich an Programmentwickler und Kartenhersteller, die die Schnittstelle Security-Layer implementieren. Zur Verwendung der Bürgerkarte müssen auf dem jeweiligen PC eine spezielle Software (die Bürgerkartensoftware) und eine zertifiziertes Lesegerät installiert bzw. angeschlossen sein. Um zb. die Bankomatkarte bürgerkartenfit zu machen (Produkt a.sign Premium der Fa. a-trust) einmalig 12 und jährlich 15,60 (2005 nur 13 ). Weitere Informationen gibt es auch unter Verwaltungssignatur Die Verwaltungssignatur ist eine spezielle Ausprägung der elektronischen Signatur, die bestimmten, von der Verwaltung vorgegebenen, Sicherheitskriterien genügt. Gegenüber der Bürgerkarte wurden einige organisatorische Rahmenbedingungen (zb. Verwahrung des privaten Schlüssels so definiert, dass alternative Lösungen ermöglicht werden ohne, dass die Sicherheit des Systems als solches gefährdet wird. Damit kann auch die E-Card bzw. das Handy (in Form der sog. Handysignatur) für die Identifikation/Authentifikation im E-Government-Bereich verwendet werden. Details zur Verwendung der E-Card als kostenlose Bürgerkarte findet man unter Die Signatur via Handy wird derzeit von A1 für alle in Österreich registrierten Handys, unabhängig vom Betreiber, angeboten. Bei der Handy-Signatur braucht man zwar keine spezielle Hard- und Software auf dem eigenen PC, dafür bezahlt man einmalig 5 bzw. pro Monat 1, um diese Funktion nutzen zu können. 27

30 Fachgegenstand Teil 1: Technik und Datenschutz 2007/2008 Verwaltungssignaturen dürfen bis zum Ablauf des dazugehörigen Zertifikats, längstens jedoch bis zum 31. Dezember 2012 im Rahmen der Bürgerkartenfunktion gleichgestellt mit qualifizierten Signaturen verwendet werden. Die Verwaltungssignatur kann aber im sonstigen öffentlichen Leben nicht als qualifizierte Signatur verwendet werden. 6.6 Bereichsspezifisches Personenkennzeichen (bpk) Das bereichsspezifische Personenkennzeichen ist ein wesentliches Element für die Identifikation und Authentifizierung von Personen im E-Government. Es gäbe zwar prinzipiell bereits 2 Zahlen mit großer Verbreitung die Sozialversicherungsnummer und die ZMR-Zahl. Aus Datenschutzgründen werden sie aber nicht bzw. nicht direkt verwendet. Die ZMR-Zahl für natürliche Personen wird mit einem geheimen Schlüssel der Stammzahlenregisterbehörde verschlüsselt und als Stammzahl bezeichnet. Diese Stammzahl ist nur auf der Bürgerkarte gespeichert, sie steht der Behörde nicht nativ zur Verfügung sondern nur in Form des bereichsspezifischen Personenkennzeichens (bpk). Dh. pro Tätigkeitsbereich (siehe dazu