![[Illustration]](04-1-056-1.jpg)
Abbildung 1: Anwendungsszenarien der virtuellen Poststelle
E-Government wirkt in zwei Richtungen: Einerseits sollte damit die Modernisierung und Optimierung der Prozesse in der öffentlichen Verwaltung gelingen. Andererseits birgt es durch mehr Transparenz in Kommunikation und Transaktion erhebliches Potenzial, die Handlungs-, Partizipations- und Entscheidungsmöglichkeiten von Bürgern, Verwaltung und Politik deutlich zu verbessern. Die politisch-strategische Herausforderung liegt auf der Hand, Akzeptanz und Erfolg hängen entscheidend von der Qualität und Benutzerfreundlichkeit der Online-Dienstleistungen ab, dabei ist Datensicherheit ein entscheidendes Qualitätsmerkmal.
Der Einsatz moderner Kommunikationstechnologie erweist sich als geeignetes Instrument, die Effizienz und Effektivität der Verwaltungsabläufe zu erhöhen. Die elektronische Abbildung von Verwaltungsprozessen allein schafft indessen noch keine moderne Verwaltung. In einem strategischen Ansatz erfolgt die Festlegung inhaltlicher Erfordernisse und Zielsetzungen einer Verwaltungsmodernisierung, die insbesondere einhergeht mit einer Aufgabenkritik und einer Analyse der Verwaltungsprozesse sowie deren Optimierung und Reorganisation. Mit der Vorgabe des Bundeskanzlers "alle internetfähigen Dienstleistungen der Bundesverwaltung bis zum Jahre 2005 online bereitzustellen" ist die strategische Leitaussage gesetzt. Zur Unterstützung des Wandels, dem die E-Government-Initiative den Weg bereitet, wurden mit dem Umsetzungsplan zentrale Aufgaben für eine zentrale Koordination bei der Projektgruppe BundOnline 2005 im Bundesinnenministerium zusammengefasst und durch die zentrale Bereitstellung von Basiskomponenten und Kompetenzzentren ergänzt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist mit der Konzeption und Realisierung der Basiskomponente "Datensicherheit" sowie mit dem Aufbau und dem Betrieb des Kompetenzzentrums "Datensicherheit" im Rahmen der E-Government-Initiative betraut worden.
Nach der Definition im E-Government-Handbuch bezeichnet "Electronic Government (E-Government) ... die Nutzung elektronischer Informations- und Kommunikationstechnik zur Einbeziehung des Kunden in das Handeln von Regierung und öffentlicher Verwaltung". Damit sind alle Behörden aufgefordert, ihre IT-Infrastrukturen auf sicherer Basis zu öffnen und ein sicheres Dienstleistungsangebot über das Internet bereitzustellen. Akzeptanz und Erfolg von E-Government-Dienstleistungen hängen essenziell von der Qualität und Benutzerfreundlichkeit der Kommunikation ab, insbesondere ist Sicherheit hierbei als zentrales Qualitätsmerkmal zu erkennen. Die Vorteile des elektronischen Verwaltungshandelns liegen auf der Hand: Für Bürgerinnen und Bürger steht die Dienstleistung rund um die Uhr an sieben Tagen in der Woche zur Verfügung. Der Behördengang und Wartezeiten vor den Amtsstuben können damit entfallen. Bei Wirtschaft und Verwaltung können zusätzliche Rationalisierungseffekte genutzt werden.
Da vertrauliche und verbindliche Daten über das Internet übertragen werden, erwarten Bürger und Unternehmen als Kommunikationspartner der Verwaltung zu Recht, dass mit dem Angebot von Dienstleistungen über das Internet keine Einschränkungen der Vertraulichkeit und Integrität ihrer Daten oder der Verbindlichkeit des Verwaltungshandelns verbunden sind. Dies bedingt, dass die Anforderungen an organisatorische, technische und personelle Ressourcen durch die Migration zu onlinefähigen Dienstleistungen, nicht nur quantitativ, sondern auch qualitativ steigen.
Als Basis eines sicheren E-Government werden neben den üblichen Standardsicherheitsmaßnahmen heute als gängige Technologien Verschlüsselung und digitale Signatur eingesetzt, um damit Vertraulichkeit, Integrität und Authentizität zu schützen. Durch das Formanpassungsgesetz und das dritte Gesetz zur Änderung verwaltungsverfahrensrechtlicher Vorschriften ist sowohl im Privatrecht als auch im Verwaltungsrecht die qualifizierte elektronische Signatur der eigenhändigen Unterschrift gleichgestellt. Mit dem Regierungsbeschluss vom 16. Januar 2002 zur "Sicherheit im elektronischen Rechts- und Geschäftsverkehr mit der Bundesverwaltung" ist die Bundesverwaltung gefordert, elektronische Signaturen und Verschlüsselung von den Kommunikationspartnern zu akzeptieren und selbst einzusetzen. Mit diesem Beschluss werden drei Ziele verfolgt:
Der Bürger bleibt daher grundsätzlich (solange nicht gesetzliche Vorschriften z. B. eine qualifizierte Signatur verlangen oder die elektronische Kommunikation in Spezialfällen ausschließen) frei in der Wahl der von ihm eingesetzten Kommunikations- und Sicherheitstechnik; die Verwaltung ist grundsätzlich gefordert, die gesamte Bandbreite an Kommunikations- und Kryptotechnik zu bedienen.
Für den wirtschaftlichen Einsatz bei den Behörden des Bundes soll die Ausstattung der Arbeitsplätze mit interoperablen technischen Lösungen erfolgen, die alle Arten der elektronischen Kommunikation zwischen Bundesverwaltung und ihren Kommunikationspartnern ermöglichen. Die Verwaltung hat daher ihre Kommunikationsendpunkte mit einer universellen Kryptotechnik zur Ver- und Entschlüsselung, zur Signaturprüfung und -erstellung sowie zur Zertifikatsverwaltung auszustatten.
Mit der Aufrechterhaltung einer Ende-zu-Ende-Sicherheit, bei der an allen Mitarbeiter-Arbeitsplätzen die dazu notwendige Kryptotechnik zum Einsatz kommt, sind in der Praxis bisweilen erhebliche Probleme zu beobachten:
Den genannten Problemen kann man oft wirksam durch die Einrichtung zentraler Stellen (Ende-zu-Organisations-Sicherheit) begegnen, an denen kryptographisch behandelte Kommunikationsströme entschlüsselt, Signaturen verifiziert und die Informationen entsprechend weitergeleitet beziehungsweise auf dem Rückweg entsprechend verschlüsselt und signiert werden. Mit der Basiskomponente "Datensicherheit" wird ein "universelles" System für den zentralen Einsatz der Kryptographie zur Verfügung stehen; sie soll die sichere elektronische Kommunikation zwischen Behörden und externen Kontakten, wie Bürger oder Unternehmen, auf Behördenseite praktisch erleichtern und dadurch unterstützen.
Für die Kommunikation im Rahmen von E-Government sind E-Mail und Web-Applikationen als Basistechnologien anzusehen. Aus Behördensicht kann grundsätzlich von einer Präferenz für Web-Anwendungen ausgegangen werden, da damit strukturierte Daten medienbruchfrei an Hintergrundsysteme übergeben werden können. Es wird jedoch auch Prozesse geben, in denen auf eine E-Mail-Kommunikation nicht verzichtet werden kann, zumal dem Bürger die Freiheit in der Wahl der Kommunikationskanäle offen steht. Damit sind für die virtuelle Poststelle die nachstehenden Anwendungsszenarien relevant:
Abbildung 1: Anwendungsszenarien der virtuellen Poststelle
Die virtuelle Poststelle wird dazu
Als zentrale Einrichtung muss die virtuelle Poststelle in der Lage sein, organisatorische Bedingungen, zum Beispiel Vertretungsregelungen, zu berücksichtigen. Einer solchen Lösung sind allerdings auch prinzipielle Grenzen gesetzt. So ist beispielsweise durch die Entschlüsselung auf dem zentralen Gateway die Vertraulichkeit innerhalb des Intranets der Behörde nicht mehr vollständig gegeben. Bei Bedarf kann sie durch Umschlüsselung aufrechterhalten werden. Insbesondere bei hoch vertraulichen oder sensitiven personenbezogenen Informationen ist vor dem Hintergrund der Sicherheitsanforderungen und der verbleibenden Restrisiken zu entscheiden, ob der Einsatz einer virtuellen Poststelle möglich ist, die Ende zu Ende-Kommunikation als Alternative gewählt werden sollte oder ob andere Mechanismen der Absicherung einzusetzen sind. Bei Einsatz der virtuellen Poststelle ist daneben auch weiterhin eine Ende-zu-Ende-Kommunikation möglich.
Im vorliegenden "Fachkonzept für die virtuelle Poststelle als Basiskomponente Datensicherheit" (s. ![[externer Link]](../../../../images/link.gif)
www.bsi.bund.de/fachthem/egov/vps.htm#Publikationen) wird die virtuelle Poststelle in die Grobkomponenten Mail-Anwendung, Kommunikations-Gateways, Security-Server, Security-Modul sowie Administration gegliedert. Die Kommunikations-Gateways, der Security-Server und das Security-Modul bilden das Kernsystem der virtuellen Poststelle (VPS).
Die Mail-Anwendung dient der Anbindung von E-Mail-Systemen. Sie behandelt eingehende, kryptographisch vom Absender abgesicherte E-Mails durch Generierung einer Quittung und Übergabe der Quittung an das Mailsystem mit den Informationen Eingangszeitpunkt und Erfolg der Entschlüsselung/Signaturprüfung, Übergabe der Zertifikate an die Verwaltung der externen Benutzer und gegebenenfalls Versenden von Fehlermeldungen. Bei ausgehenden E-Mails werden hier die vom E-Mail Client mitgegebenen Steuerinformation in die Skriptsprache des VPS-Regelinterpreters übersetzt und gegebenenfalls Fehlermeldungen per E-Mail an den Absender versandt, wenn beispielsweise ein Empfängerzertifikat nicht gefunden werden konnte.
Die Kommunikations-Gateways werden realisiert als Mail-, Dokument und Web-Gateway und dienen der Anbindung der Mail-Anwendung, von Backend- oder Anwendungsservern beziehungsweise Web-Anwendungen. Es handelt sich um Übergabepunkte für kryptographisch behandelte E-Mails, Dokumente oder Daten und ihrer entschlüsselter beziehungsweise geprüfter Rückgabe mit der Dokumentation der Ergebnisse von Zertifikats- und Zeitstempelprüfungen. Im Security-Server werden alle sicherheitsrelevanten und kryptographischen Funktionen gesteuert oder ausgeführt. Im Security-Modul werden die notwendigen elementaren kryptographischen Funktionen und Algorithmen in einer gesicherten, manipulationsgeschützten Umgebung ausgeführt und dem Security-Server zur Verfügung gestellt. In der Administration werden Anwendungs-, Sicherheits- und Schlüsselmanagement unterschieden. Für Funktionen wie Viren- oder Content-Scanning stehen Schnittstellen zu Standardprodukten zur Verfügung.
![[Illustration]](04-1-056-2.jpg)
Abbildung 2: Funktionsskizze einer virtuellen Poststelle (VPS)
Mit Abschluss der konzeptionellen Arbeiten ging eine Marktsichtung einher, da eine lauffähige erste Version bis Ende des Jahres 2003 zur Verfügung stehen sollte. Neben den Anforderungen zur Unterstützung E-Mail-basierter Kommunikation sowie webbasierter Anwendungen sollte die Lösung natürlich auch SAGA-konform sein (Standards und Architekturen für E-Government-Anwendungen) und das Online Services Computer Interface ( www.OSCI.de) unterstützen. Bereits vor der Marktsichtung war klar, dass es bislang kein Produkt gab, welches für die kryptographische Unterstützung sowohl der E-Mail- als auch der Web-Kommunikation eingesetzt werden konnte. Es erwies sich weiterhin als zweckmäßig, zwischen Web- und Kernkomponenten einerseits und dem SMTP-Gateway zur Verarbeitung von E-Mails andererseits zu unterscheiden.
In der Bewertung der existierenden Lösungen zeigte Governikus der Firma bremen online services (bos) im Bereich der webbasierten Kommunikation die größte Deckung zu den skizzierten Anforderungen. Auch die bestehenden Rechte des Bundes an diesem Produkt flossen in die Entscheidung ein, die Web- und Kernkomponente der virtuellen Poststelle durch Fortentwicklung von Governikus zu realisieren.
Für die Bereitstellung der E-Mail-Komponente wurde in einem ergänzenden Vergabeverfahren das Produkt Julia Mail-Office der Kölner Firma InfoTesys Computer Consulting (ICC) mit hoher Konformität zu den definierten Anforderungen und eine für die geplante Integration geeigneten flexiblen Architektur ausgewählt. Die Entwicklung des VPS-Kernsystems auf der Basis des vorliegenden Konzeptes sowie die Integration der beiden Lösungen wird derzeit in einem gemeinsamen Projekt vorangetrieben. Ziel ist die Migration zu der im Konzept dargestellten Architektur, die voraussichtlich im Herbst 2004 erreicht sein wird. Danach umfasst die Gesamtlösung die Komponenten SMPT-Gateway als Mail-Anwendung, das VPS-Kernsystem, ein VPS-Authentisierungsmodul mit Client- und Serverkomponente, ein VPS-Verifikationsmodul mit Client- und Serverkomponente, ein OCSP/CRL-Relay, einen OSCI-Manager (bestehend aus Client-Enabler, OSCI-Postfach und Backend-Enabler) sowie den Secure Messenger (vgl. Abb. 3).
![[Illustration]](04-1-056-3.jpg)
Abbildung 3: Komponenten der Integration von Governikus und Julia Mail-Office zu einer virtuellen Poststelle
OSCI-Manager und Secure Messenger unterstützen die Implementierung von OSCI-1.2-basierten Anwendungen. Sollen Anwendungen, die nicht OSCI-basiert arbeiten, eingebunden werden, kann das Dokumenten-Gateway genutzt und das VPS-Authentisierungsmodul beziehungsweise VPS-Verifikationsmodul in die Client- oder Serveranwendung integriert werden. Der OSCI-Client-Enabler ist eine auf den Client-Rechner applizierte Anwendung, welche die Aufgabe hat, die Eingabedaten – beispielsweise aus einer Bildschirmmaske – in das OSCI-Datenformat "einzupacken", die erforderlichen Verschlüsselungen vorzunehmen und gegebenenfalls Signaturen anzubringen. Für die Signaturerzeugung spricht er den Kartenleser des Kunden an. Zum Lieferumfang der VPS des Bundes gehört auch als Plug-in für den Client-Enabler der Secure Messenger, der eine Übertragung von Textnachrichten mit den OSCI-Mechanismen realisiert und als Web-Mail-Anwendung angesehen werden kann.
Der OSCI-Manager realisiert gemeinsam mit dem Kernsystem und dem OSCP/CRL-Relay die Rolle des Intermediärs aus dem OSCI-Protokoll. Zu den Kernaufgaben gehören die "Öffnung des äußeren Briefumschlags" und die Überprüfung von Transportsignaturen. Der OSCI-Manager kann OSCI-Postfächer anlegen und verwalten, in denen Nachrichten auch in verschlüsselter Form bei asymmetrischen Kommunikationsszenarien zwischengespeichert werden. Die Nutzdaten der Kommunikation werden entsprechend des Rollenprofils des OSCI-Intermediärs innerhalb des OSCI-Managers nicht entschlüsselt.
Der OSCI-Backend-Enabler öffnet in Kooperation mit dem VPS-Kernsystem den "inneren Briefumschlag" der OSCI-Datensätze und bereitet die jetzt im Klartext vorliegenden Nutzdaten zur weiteren Verarbeitung durch das Hintergrundsystem auf. Die Integration des VPS-Kernsystems sowie die Einbindung des OSCI-Backend-Enablers in die Hintergrund-Anwendung erfolgt durch einen anwendungsspezifischen Adapter, über den die Verarbeitungssysteme angeschlossen werden können.
Die Realisierung einer E-Government-Anwendung stellt sich für eine Behörde als Anwendungsentwicklungsprojekt dar, welches die Gestaltung von Front- und Backends und die Einbindung oder Entwicklung von Hintergundsystemen umfasst. Die virtuelle Poststelle ist die Basiskomponente zur sicheren Abwicklung der Kommunikation und damit Sicherheitsdienstleister für E-Government-Anwendungen. Sie stellt Komponenten für Client-/Server-Anwendungen sowie Schnittstellen zu Hintergrund- und Archivierungssystemen zur Verfügung. Sie sollte nicht als universelle E-Government-Maschine missverstanden werden, die jede E-Government-Dienstleistung bereitzustellen in der Lage wäre.
Weiterführende Informationen zur virtuellen Poststelle finden Sie über das Portal des Bundes unter www.bund.de/BundOnline-2005/Basiskomponenten-und-Kompetenzzentren-.7194.htm und auf den Seiten des BSI unter www.bsi.bund.de/fachthem/egov/vps.htm
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2004#1, Seite 56
| 