Das E-Government- Gesetz aus kritischer Datenschutzsicht

Transkript

1 IT-Sicherheitstag Oktober 2013, DVZ M-V GmbH Das E-Government- Gesetz aus kritischer Datenschutzsicht Gabriel Schulz Stellvertreter des Landesbeauftragten für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern

2 Agenda Der Rahmen: Das Artikelgesetz E-Government-Gesetz D -Gesetz Verwaltungsverfahrensgesetz SGB I und Abgabenordnung E-Government in Mecklenburg-Vorpommern

3 Gesetz zur Förderung der elektronischen Verwaltung sowie zur Änderung weiterer Vorschriften

4 Aus der Begründung (BT-Drs. 557/12) Definition E-Government ist die Abwicklung geschäftlicher Prozesse im Zusammenhang mit Regieren und Verwalten (Government) mit Hilfe von Informations- und Kommunikationstechniken über elektronische Medien

5 Aus der Begründung (BT-Drs. 557/12) Motivation Die Erwartungen an die Verwaltung, den Bürgerinnen und Bürgern, den Unternehmen sowie anderen Verwaltungen elektronische Dienste zu eröffnen, sind hoch. Es ist daher ein Gebot der Bürgernähe, dass staatliche Verwaltungen Bürgerinnen und Bürgern im privaten, ehrenamtlichen und wirtschaftlichen Alltag die Möglichkeiten zur Nutzung elektronische Dienste zu erleichtern. Medienbrüche sind für Bürgerinnen und Bürger, Unternehmen und Beschäftigte der Verwaltung aufwendig und teuer und erhöhen den Ressourcenverbrauch erheblich.

6 Aus der Begründung (BT-Drs. 557/12) Lösung die elektronische Kommunikation mit der Verwaltung soll durch Abbau bundesrechtlicher Hindernisse erleichtert werden medienbruchfreie Prozesse vom Antrag bis zur Archivierung nutzerfreundliche, ebenenübergreifende Verwaltungsdienstleistungen aus einer Hand Verpflichtung der Verwaltung zur Eröffnung eines elektronischen Zugangs Schriftformersatz durch weitere Verfahren neben der qualifizierten, elektronischen Signatur Regelungen zur elektronischen Akte

7 Artikelgesetz Art. 1: Gesetz zur Förderung der elektronischen Verwaltung (E-Government-Gesetz) Art. 2: Änderung des D -Gesetzes Art. 3: Änderung des Verwaltungsverfahrensgesetzes Art. 4: Änderung des Ersten Buches Sozialgesetzbuch Art. 7: Änderung der Abgabenordnung Art. 30: Evaluierung Art. 31: Inkrafttreten

8 Artikel 1 Gesetz zur Förderung der elektonischen Verwaltung (E-Government-Gesetz EGovG)

9 Art. 1: E-Government-Gesetz Geltungsbereich für Bundesbehörden (zusammenfassend im Gesetz: Behörden des Bundes ) für Behörden der Länder, wenn diese Bundesrecht als eigene Angelegenheit (Art. 84 GG) oder im Auftrag des Bundes (Art. 85 oder 108 III 3 GG) ausführen für Gemeinden und Gemeindeverbände, wenn diese Bundesrecht ausüben Regelungen des EGovG sind subsidiär gegenüber inhaltsgleichen oder entgegenstehenden Regelungen des Bundes

10 Art. 1: E-Government-Gesetz Geltungsbereich Differenzierungen im Gesetz zwischen Behörden des Bundes und Behörden, die Bundesrecht anwenden nur für Behörden des Bundes gelten bspw. - 2 Abs. 2 (elektronischer Zugang über eine D -Adresse) - 2 Abs. 3 (Identitätsfeststellung über den npa) - 6 (elektronische Aktenführung) - 7 (Übertragen und Vernichten des Papieroriginals) - 8 (Akteneinsicht) - 9 (Optimierung von Verwaltungsabläufen) - 11 (gemeinsame Verfahren) - 16 (Barrierefreiheit)

11 Art. 1: E-Government-Gesetz 2 Elektronischer Zugang zur Verwaltung jede Behörde muss ab dem 1. Juli 2014 einen Zugang für die Übermittlung elektronischer Dokumenten schaffen (bspw. -Postfach, EGVP-Postfach, Elster, Portallösung) jede Behörde muss ab dem 1. Juli 2014 in der Lage sein, qualifiziert signierte Dokumente zu empfangen, zu prüfen, zu bearbeiten und aufzubewahren zur Eröffnung eines elektronischen Zugangs durch Bürgerinnen und Bürger: siehe Änderung des D -Gesetzes ( 7 Abs. 3)

12 Art. 1: E-Government-Gesetz 4 Elektronische Bezahlmöglichkeiten fallen bei elektronisch durchgeführten Verwaltungsverfahren gebühren an, muss die Behörde mindestens ein sicheres elektronisches Zahlungsverfahren anbieten, bspw. - Überweisung - Lastschrift - EC-Karte - Kreditkarte - weitere elektronische Bezahlsysteme

13 Art. 1: E-Government-Gesetz 5 Nachweise in elektronischer Form bei elektronisch geführten Verwaltungsverfahren können vorzulegende Nachweise elektronisch eingereicht werden stammen die erforderlichen Nachweise von einer deutschen öffentlichen Stelle, können sie direkt von dort eingeholt werden Achtung: Grundsatz der Datenerhebung beim Betroffenen! - die Einwilligung des Betroffenen ist erforderlich - die Einwilligung kann elektronisch erklärt werden - die Einwilligung ist zu protokollieren

14 Artikel 2 Änderung des D -Gesetzes

15 Art. 2: D -Gesetz 3 Eröffnung eines D -Kontos zur Prüfung der Identität des Nutzers nun zugelassen: - amtlicher Lichtbildausweis - eid-funktion des npa - dem Lichtbildausweis gleichwertige Dokumente - sonstige geeignete technische Verfahren mit gleichwertiger Sicherheit wie der amtliche Lichtbildausweis - qualifizierte elektronische Signatur? - Was sind gleichwertige Dokumente?? - Was sind geeignete technische Verfahren? - Wie soll eine Signatur die Identität einer Person nachweisen?

16 Art. 2: D -Gesetz Identitätsprüfung durch Unterschrift? Ich bin Gabriel Schulz

17 Art. 2: D -Gesetz 5 Postfach- und Versanddienst um D als Unterschriftenersatz zuzulassen, wurden mit 5 Abs. 5 die Regelungen zur Bestätigung der sogenannten sicheren Anmeldung (vgl. 4) erweitert der DMDA bestätigt die sichere Anmeldung des Absenders und signiert dessen D mit allen Anhängen mit seiner eigenen qualifizierten Signatur Details dazu später (siehe Änderung des 3a VwVfG)

18 Art. 2: D -Gesetz 5 Abs. 3 D -Verschlüsselung Klartext!!! Ende-zu-Ende-Sicherheit nur optional

19 Art. 2: D -Gesetz 7 Verzeichnisdienst / Zugangseröffnung die Zugangseröffnung muss der DMDA auf Verlangen des Nutzers mit einem geeigneten Zusatz im Verzeichnisdienst veröffentlichen aber: laut Gesetzesbegründung (vgl. BT-Drs. 17/13139 S. 17) gilt bereits das Senden einer D an eine Behörde als konkludente Zugangseröffnung der Zugangseröffnung gilt pauschal für die gesamte Verwaltung (bspw. i. S. v. 3a VwVfG, 36a Abs. 1 SGB I, 87a Abs. 1 Satz 1 AO) Rücknahme der Entscheidung durch den Nutzers ist möglich die Rücknahme muss der DMDA ebenso veröffentlichen? - Warum ist die konkludente Eröffnung nicht im Gesetz geregelt?? - Warum ist keine behördenspezifische Zugangseröffnung möglich? - Wie erfolgt die Rücknahme bei konkludenter Einwilligung?

20 Artikel 3 Änderung des Verwaltungsverfahrensgesetzes

21 Art. 3: Verwaltungsverfahrensgesetz 3a Elektronische Kommunikation durch Rechtsvorschrift angeordnete Schriftform kann durch die elektronische Form ersetzt werden dazu musste das Dokument bisher in jedem Fall mit einer qualifizierten elektronischen Signatur versehen werden nun kann die Schriftform auch ersetzt werden - durch elektronische Formulare i. Z. m. der eid-funktion des npa oder - indem elektronische Dokumente per D mit Versandart gem. 5 Abs. 5 D -Gesetz versendet werden oder - mit sonstigen sicheren Verfahren gem. Rechtsverordnung der Bundesregierung mit Zustimmung des Bundesrates

22 Art. 3: Verwaltungsverfahrensgesetz 3a Schriftformersatz (Formulare) eine Erklärung wird in einem elektronischen Formular abgegeben, das die Behörde über ein öffentliches Netz zur Verfügung gestellt hat der Betroffene hat sich mit der eid-funktion des npa ausgewiesen Diese Erklärung gilt als rechtswirksam unterschrieben! - Was hat die Identität des Absenders mit der Authentizität der von ihm übermittelten Information zu tun? - Kann die Behörde die Manipulationssicherheit des Formulars wirklich sicherstellen???

23 Art. 3: Verwaltungsverfahrensgesetz Authentizität eines Dokuments durch Identitätsnachweis?

24 Art. 3: Verwaltungsverfahrensgesetz 3a Schriftformersatz (D ) um D als Unterschriftenersatz zuzulassen, wurden mit 5 Abs. 5 die Regelungen zur Bestätigung der sogenannten sicheren Anmeldung (vgl. 4 D -Gesetz) erweitert der DMDA bestätigt die sichere Anmeldung des Absenders und signiert dessen D mit allen Anhängen mit seiner eigenen qualifizierten Signatur - Was hat die Identität des Absenders mit der Authentizität der von ihm übermittelten D zu tun? - Warum sollte die Unterschrift eines Dritten (die des DMDA) die eigene Unterschrift ersetzen können???

25 Art. 3: Verwaltungsverfahrensgesetz Unterschrift durch Dritte? Kaufvertrag Ich, Gabriel Schulz, kaufe dieses Auto. (Postbote)

26 Artikel 4 und 7 Änderung des SGB I Änderung der AO

27 Art. 4: Erstes Buch Sozialgesetzbuch 36a Abs. 2 und 2a Schriftformersatz Schriftformersatz wird genau wie in 3a VwVfG geregelt auch hier werden neben der QES auch Formulare/eID-Funktion, D und die sonstigen sicheren Verfahren zugelassen zusätzlich gilt hier aber: - als Identitätsnachweis kann anstelle des npa die elektronische Gesundheitskarte verwendet werden - Erfolgt bei der Ausgabe der Gesundheitskarte eine vergleichbar sichere Identitätsprüfung wie beim npa? - Ist die Gesundheitskarte somit wirklich als Identitätsnachweis geeignet???

28 Art. 7: Abgabenordnung 30 und 87a Abgabenordnung Schriftformersatz wird ähnlich wie in 3a VwVfG geregelt auch hier werden neben der QES auch Formulare/eID-Funktion, D und die sonstigen sicheren Verfahren zugelassen hier ist aber insbesondere das Steuergeheimnis zu berücksichtigen: - 30 Abs. 1 AO: Amtsträger haben das Steuergeheimnis zu wahren - 87a Abs. 1 AO: elektronisch übermittelte Steuerdaten sind zu verschlüsseln? Werden Steuerdaten beim Versand mit D unbefugt? offenbart, wenn sie beim DMDA (kurzzeitig) entschlüsselt werden?

29 Art. 7: Abgabenordnung Die Lösung des Problems 30 und 87a Abgabenordnung neuer 30 Abs. 7 AO: Werden dem Steuergeheimnis unterliegende Daten über D -Dienste versendet, liegt keine unbefugte Offenbarung, Verwertung und kein unbefugter Abruf vor... neuer Satz in 87a Abs. 1 AO Die kurzzeitige Entschlüsselung zum Zwecke der Überprüfung auf Schadsoftware verstößt nicht gegen das Verschlüsselungsgebot!! Sicherheit wird per Gesetz definiert

30 Zweites Gesetz zur Änderung des Landesverwaltungsverfahrensgesetzes (Referentenentwurf vom 26. September 2013)

31 Landesverwaltungsverfahrensgesetz (Referentenentwurf) 3a Elektronische Übermittlung (wie 3a VwVfG Bund) durch Rechtsvorschrift angeordnete Schriftform kann durch die elektronische Form ersetzt werden dazu musste das Dokument bisher in jedem mit einer qualifizierten elektronischen Signatur versehen werden nun kann die Schriftform auch ersetzt werden - durch elektronische Formulare i. Z. m. der eid-funktion des npa oder - indem elektronische Dokumente per D mit Versandart gem. 5 Abs. 5 D -Gesetz versendet werden oder - mit sonstigen sicheren Verfahren gem. Rechtsverordnung der Bundesregierung mit Zustimmung des Bundesrates

32 Landesverwaltungsverfahrensgesetz (Referentenentwurf) 3b Elektronische Aktenführung (wie 6 EGovG Bund) Behörden des Landes sollen Akten elektronisch führen gilt nicht für Behörden, bei denen es langfristig unwirtschaftlich ist 3c Umgang mit Papieroriginalen (wie 7 EGovG Bund) an Stelle von Papieroriginalen soll elektronisch gespeichert werden Papierdokumente sollen vernichtet oder zurückgegeben werden, sobald rechtliche Gründe nicht dagegen sprechen

33 Landesverwaltungsverfahrensgesetz (Referentenentwurf) 99 Elektronische Zustellung elektronische Zustellung durch Übermittlung per D gegen Abholbestätigung gem. 5 Abs. 9 D -G die absendende Behörde hat vom DMDA eine Versandbestätigung nach 5 Abs. 7 D -G und eine Abholbestätigung zu verlangen die Abholbestätigung genügt als Nachweis der Zustellung auch ohne Abholbestätigung gilt das Dokument am dritten Tag nach der Absendung als zugestellt als Nachweis der Zustellung dient die Versandbestätigung (oder ein Vermerk der absendenden Behörde in den Akten zum Sendezeitpunkt und zur D -Adresse des Ziel-Postfachs!!)!! Problem der fragwürdigen konkludenten Zugangseröffnung auch hier

34 Landesverwaltungsverfahrensgesetz (Referentenentwurf) 99 Elektronische Zustellung aus der Begründung zu 99: - beim Versand besonders schutzwürdiger Daten kann es erforderlich sein, zusätzliche Schutzvorkehrungen wie z. B. eine Ende-zu-Ende-Verschlüsselung zu treffen - Insofern sind die Empfehlungen der Beauftragten für den Datenschutz des Bundes und der Länder zu beachten. Handreichung zum datenschutzgerechten Umgang mit besonders schützenswerten Daten beim Versand mittels D ( blob=publicationfile)

35 Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern Johannes-Stelling-Str Schwerin Telefon: Telefax: Internet: