Mit dem Kabinettsbeschluss vom 9. März 2005 sind alle Bundesbehörden aufgefordert, elektronische Signaturen und Verschlüsselung als Instrumente der sicheren Kommunikation bedarfsgerecht bereitzustellen. Alle Bundesbehörden stehen damit in der Verantwortung die elektronische, internetgestützte Kommunikation abzusichern, sodass den Anforderungen von Datenschutz und Datensicherheit Rechnung getragen wird. Im Rahmen der Initiative BundOnline2005 wurde das BSI mit der Entwicklung der Basiskomponente Datensicherheit beauftragt, um den Kryptographie-Einsatz zu vereinheitlichen und zu vereinfachen. Seit Dezember 2005 ist die Lösung als virtuelle Poststelle (VPS) in der Version 2.2 verfügbar. Für die Konzeption wurden Unterstützungsleistungen der IBM Global Services in Anspruch genommen. Für die Realisierung der Kern- und Web-Komponenten wurde die Firma bremen online services GmbH & Co. KG (bos) beauftragt, die Komponenten auf Basis ihres Produkts Governikus zu entwickeln. Die Firma InfoTeSys Computer Consulting GmbH (ICC) realisierte die Mail-Komponente der VPS auf der Basis ihres Produkts JULIA MailOffice. Alle beteiligten Partner sind nach wie vor in die Anwendungsbetreuung und Weiterentwicklung der VPS eingebunden.
Kontinuität in Anwendung und Beratung zur VPS ist auch nach dem Ende von BundOnline2005 gewährleistet. So ist etwa die Inanspruchnahme der Beratungsleistungen des Kompetenzzentrums Datensicherheit (CC-DS), das von der secunet Security Networks AG betrieben wird, nach wie vor über den entsprechenden Rahmenvertrag möglich, nunmehr allerdings auf Selbstzahlerbasis durch die Bedarfsträger.
Der rechtsverbindliche Rahmen für Pflege und Weiterentwicklung der VPS besteht ebenfalls fort. Ende 2005 wurde der Pflegevertrag des Bundes mit bos verlängert. Damit sind die notwendigen Serviceleistungen weiterhin gewährleistet. Geringfügig angepasst wurde das Prozedere beim Abruf von Beratungsleistungen durch Bedarfsträger bei Einsatz und Integration der VPS in die jeweiligen Fachanwendungen. Selbstverständlich steht das BSI mit Unterstützung des CC-DS wie bisher in allen Phasen der Projektanbahnung, -durchführung und -abwicklung mit gewohnter Qualität und Expertise beratend zur Seite.
Kryptographische Komponenten, die aufgrund ihrer Benutzerfreundlichkeit und ihrer Integrationsfähigkeit in Anwendungen tatsächlich eingesetzt werden, sind ein wesentlicher Schlüssel für die Verbesserung der Kommunikationssicherheit nicht nur im E-Government. Die Formate der im Rahmen von E-Government ausgetauschten Daten können sehr unterschiedlich sein. Diese reichen von unstrukturierten E-Mail-Texten mit beliebigen Anhängen bis hin zu "geformten" Datenstrukturen, die sich innerhalb der Behörde direkt in den Workflow eines Fachverfahrens einspeisen lassen. Entsprechend diesen unterschiedlichen Anforderungen ist die VPS in mehrere Teilkomponenten untergliedert, die wahlweise einzeln und unabhängig voneinander oder auch gemeinsam im Verbund betrieben werden können.
Zentralisierte Bereitstellung von Sicherheitsmechanismen durch eine virtuelle Poststelle
Die auf dem offenen Standard OSCI (Online Service Computer Interface) basierende Komponente eignet sich insbesondere für die sichere Übertragung von Daten, die über eine Web-Schnittstelle – zum Beispiel über ein HTML-Formular – direkt eingegeben werden können. Der zweite Bestandteil der VPS nutzt das E-Mail-Transferprotokoll SMTP und eignet sich daher vor allem für die Übertragung heterogen unstrukturierter Informationen (E-Mail mit Anhängen). Beiden Komponenten gemeinsam ist jedoch, dass sie – gleichgültig ob sie unabhängig voneinander oder im Verbund betrieben werden – die angesprochenen Sicherheitsanforderungen erfüllen. Eine ausführliche Beschreibung der technischen Einzelheiten der VPS findet sich im Fachkonzept für die virtuelle Poststelle sowie in weiteren am Ende des Beitrags aufgeführten Dokumenten [1,3,4,8,11].
Die Web-VPS eignet sich insbesondere für die Integration in behördeneigene Fachverfahren. Insofern handelt es sich dabei also um eine Middleware mit wohldefinierten Schnittstellen, über die der Datenaustausch mit externen Clients erfolgt. Eine der ersten dieser Client-Anwendungen, die unmittelbar auf der VPS als Basiskomponente aufsetzt, ist das Elektronische Gerichts- und Verwaltungspostfach (EGVP) in der aktuellen Version 2.0 vom November 2005. Es wird bislang vom Bundesverwaltungsgericht und vom Bundesfinanzhof zur sicheren Kommunikation verwendet. Das EGVP ermöglicht es Gerichten und Verfahrensbeteiligten Dokumente (wie Schriftsätze, Beweismittel und sonstige Anlagen) sicher, schnell und in rechtsverbindlicher Form auf elektronischem Wege über das Internet auszutauschen [2].
Ausgehend von der grundsätzlichen Nichtförmlichkeit des Verwaltungsverfahrens nach § 10 Verwaltungsverfahrensgesetz (VwVfG) war elektronisches Verwaltungshandeln stets zulässig, außer es war die Förmlichkeit eines Verfahrens und damit in der Regel Schriftlichkeit vorgeschrieben. Während im Zivilrecht bereits mit § 126a Bürgerliches Gesetzbuch (BGB) (in Verbindung mit dem Signaturgesetz –SigG) durch die elektronische Form eine Gleichstellung der eigenhändigen Unterschrift mit der qualifizierten elektronischen Signatur erfolgt war, wurde deren Anwendung im öffentlichen Recht für unzulässig gehalten.
Das Dritte Gesetz zur Änderung verwaltungsverfahrensrechtlicher Vorschriften (3. VwVfÄndG vom 21. November 2002, BGBl. I, S. 1323, Neufassung vom 23. Januar 2003) enthält neben detaillierten Änderungen einiger Fachgesetze analog § 126a BGB mit § 3a VwVfG nun eine Generalklausel, die das Haupthindernis für elektronisches Verwaltunghandeln, nämlich die Schriftform, im Wesentlichen beseitigte (vgl. [6,7,12]). Nach § 3a Absatz 1 VwVfG ist elektronisches Verwaltungshandeln – "die Übermittlung elektronischer Dokumente" – zulässig, "soweit der Empfänger hierfür einen Zugang eröffnet hat". Damit wird für alle Beteiligten ein Zwang ausgeschlossen, die Voraussetzungen für die elektronische Kommunikation zu schaffen, und so die Haushaltsautonomie und die mediale Selbstbestimmung des Bürgers gewahrt [12]. Nach § 3a Absatz 2 Satz 1 VwVfG kann die Schriftform grundsätzlich durch die elektronische Form ersetzt werden, wenn das elektronische Dokument mit einer qualifizierten Signatur nach dem SigG versehen wird.
Hat eine Behörde etwa ihre E-Mail-Adresse im Briefkopf angegeben (und gleichzeitig keine "Sperrerklärung" abgegeben), so erklärt sie damit konkludent die Bereitschaft, Eingänge auf dem elektronischen Weg anzunehmen. In diesem Fall muss durch organisatorische und technische Maßnahmen sichergestellt werden, dass eine ordnungsgemäße und damit auch zeitgerechte Bearbeitung der Eingänge erfolgt, was den Umgang mit signierten Dokumenten einschließt.
Bei der Betrachtung des Eingangs und der Verwaltung elektronisch signierter Dokumente sind unterschiedliche Ablaufstadien zu betrachten, in denen die VPS die Bearbeitung an zentraler Stelle erleichtert. Das vom Bürger erstellte und signierte Dokument kann von der VPS kryptographisch bearbeitet werden (Signaturprüfung und Entschlüsselung). Auch die Mitteilung der Behörde an den Bürger wird über die VPS verschlüsselt und signiert und gegebenenfalls über einen Mail-Gateway an den Bürger gesendet.
Über den Anwendungsbereich des § 3a VwVfG hinaus besteht auch im verfahrensrechtlichen Bereich der Schriftsätze und weiterer Dokumente im Gerichtsverfahren über § 130a der Zivilprozessordnung (ZPO) die Möglichkeit der rechtsverbindlichen elektronischen Kommunikation mit den Gerichten. Dafür ist die Ausfüllung der Verordnungsermächtigung in § 130a Absatz 2 ZPO durch Bundes- sowie Landesregierungen für ihre Bereiche notwendig. Gemäß § 130a Absatz 1 Satz 2 ZPO "soll" das jeweilige Dokument dabei mit einer qualifizierten Signatur versehen werden.
Zahlreiche Länder wie auch der Bund haben bereits davon Gebrauch gemacht, und sowohl den Zeitpunkt bestimmt, von dem an elektronische Dokumente eingereicht werden können, als auch die für die Bearbeitung der Dokumente geeignete Form. Beim Bund gehört dazu der Bundesgerichtshof, das Bundesverwaltungsgericht sowie der Bundesfinanzhof und das Deutsche Patent- und Markenamt. Von den Bundesländern haben neben Nordrhein-Westfalen und Rheinland-Pfalz derzeit weitere sechs Länder eine entsprechende Verordnung für den elektronischen Rechtsverkehr erlassen.
Die VPS dient zudem der datenschutzgerechten Umsetzung elektronischer Verwaltungskommunikation. Unter Leitung des Landesbeauftragten für den Datenschutz Niedersachsen wurde 2004 die Handreichung "Die virtuelle Poststelle im datenschutzgerechten Einsatz" fertiggestellt [10]. Diese bietet neben einem kurzen Einstieg in die Funktionalität der VPS einen Überblick über den Rechtsrahmen und die datenschutzrechtliche Einordnung der VPS, Anforderungen an die VPS aus Sicht des Datenschutzes und der Datensicherheit sowie notwendige Begleitmaßnahmen. Abschließend erfolgt eine datenschutzrechtliche Bewertung eingeführter Anwendungsszenarien.
Die VPS verwendet neben den bekannten Protokollen SMTP und HTTP(S) auch das Online Service Computer Interface (OSCI), welches maßgeblich im E-Government zum Einsatz kommt. Durch die Verwendung des so genannten "doppelten Briefumschlags" (vgl. Abbildung) kann hierdurch der Intermediär als neutraler Vermittler Mehrwertdienste wie Zertifikatsprüfungen oder die Bereitstellung von Postfächern anbieten, ohne dass man Einbußen bezüglich der Sicherheit hinnehmen müsste . Der Intermediär hat keinen Zugriff auf verschlüsselte Inhaltsdaten, die sich im inneren Umschlag befinden.
Doppelter Briefumschlag ("Vier-Augen-Prinzip") in der elektronischen Kommunikation per E-Mail
Die Datenschutzbeauftragten des Bundes und der Länder empfehlen den Einsatz von OSCI für die datenschutzgerechte Ende-zu-Ende-Sicherheit im E-Government [9]. Danach sind standardisierte Verfahren der Datensicherheit und ihre Interoperabilität für die Zukunft des E-Government von zentraler Bedeutung. OSCI sei beispielhaft und wegweisend, da dieser E-Government Standard eine durchgehende Sicherheit vom Versand bis zum Empfang einer Datenübermittlung gewährleiste.
Die Aufbewahrung und Archivierung von Akten ist für den Bereich der öffentlichen Verwaltung kein Neuland. Aktenordnungen und Aktenpläne bestimmen die Anforderungen an die behördliche Schriftgutverwaltung auf der Ebene der Bundesländer. Auf oberster Bundesebene ist dies durch die Gemeinsame Geschäftsordnung der Bundesministerien (GGO) geregelt, die ihrerseits durch die Registraturrichtlinie ergänzt wird, die das Bearbeiten und Verwalten von Schriftgut in Bundesministerien regelt (s. a. S. 26ff in [13]).
In einigen fachspezifischen Bereichen wie etwa dem Sozialversicherungsbereich (Sozialgesetzbuch IV, §§ 100a-d) finden sich Hinweise auf Grundsätze ordnungsgemäßer Aufbewahrung, die allerdings noch nicht (fort-)entwickelt wurden. Schließlich wurde mit dem Justizkommunikationsgesetz 2005 die Möglichkeit eingeführt, in der Justiz eine durchgängige elektronische Aktenführung zu realisieren. Besondere Regelungen für die Aufbewahrung und Archivierung der elektronischen Akten fehlen dabei allerdings noch. Es ist jedoch davon auszugehen, dass hier grundsätzlich (und sicherlich mindestens) die Anforderungen an Integrität, Authentizität, (dauerhafte) Lesbarkeit und (je nach Anwendungsfall) Vollständigkeit zu gewährleisten sein werden.
Während der rechtliche Rahmen für die Aufbewahrung und Archivierung elektronischer Akten somit grundsätzlich bislang nicht näher festgelegt ist, um die notwendige Rechtssicherheit vor allem für die aufbewahrungs- und archiverungspflichtigen Behörden zu schaffen, bestehen für den Bereich der technischen Archivierung bereits grundsätzliche Empfehlungen. So enthalten etwa zwei Erweiterungsmodule zum DOMEA-Konzept der KBSt technische Aspekte zur Aussonderung und Archivierung elektronischer Akten (Organisationskonzept 2.0, vgl. www.kbst.bund.de).
Revisionssichere Archivierung wird bei solchen Archivsystemen angenommen, die nach den Vorgaben der Allgemeinen Abgabenordnung und der Grundsätze ordnungsgemäßer DV-gestützter Buchführungssysteme (GoBS) Daten und Dokumente sicher, unverändert, vollständig, ordnungsgemäß, verlustfrei reproduzierbar und datenbankgestützt recherchierbar verwalten [14]. Im Projekt ArchiSig wurden Empfehlungen zur rechtsverbindlichen Aufbewahrung und Archivierung elektronisch signierter Daten erarbeitet, die in einem weiteren, bei der Physikalisch-Technischen Bundesanstalt (PTB) betriebenen Projekt ArchiSafe umgesetzt werden sollen (vgl. www.archisig.de und www.archisafe.de).
Während sich die rechtliche Landschaft demnach bislang mit konkret geregelten Anforderungen zur rechtsverbindlichen und sicheren Aufbewahrung und Archivierung zurückhält, können Verwaltungsorganisationen im technischen Bereich bereits auf einige Realisierungsvorschläge zurückgreifen.
Positiv kann an dieser Stelle jedenfalls festgehalten werden, dass jedenfalls auch ein behördeninternes Fachverfahren wie ein Archivierungssystem die Dienste der VPS als "Kryptographieserver" zur Beschaffung der für eine rechtsverbindliche Archivierung notwendigen Verifikationsdaten nutzen kann. Dazu zählen beispielsweise die Einholung von Zeitstempeln, die (lückenlose) Verifikation von Zertifikaten mit Zertifikatskette bis zur (ggfs. BNetzA-)Wurzel, die OCSP-Responses oder Sperrlisten sowie auch die Verschlüsselung von Dokumenten. Damit bietet die VPS als zentrales Gateway für den Ein- und Ausgang elektronischer Post einer Behörde grundsätzlich alle notwendigen Funktionen, um die, je nach Anforderung aus dem jeweiligen Fachverfahren, notwendigen Verifikationsdaten zur Aufbewahrung und Archivierung zur Verfügung zu stellen.
Der Einsatz der VPS in einer zunehmenden Anzahl von Anwendungsumgebungen trägt verstärkt dazu bei, rechtliche und technische Sicherheit und Anwenderfreundlichkeit in der elektronischen Kommunikation zu schaffen. Daher ist die VPS als wichtiger Baustein in das Beratungsangebot des BSI integriert. Die dauerhafte Sicherstellung der Pflege und Weiterentwicklung der VPS erfolgt zentral durch das BSI. Hier werden auch wesentliche Informationen aus der Praxis gebündelt sowie der Erfahrungsaustausch der Anwender konzentriert.
Für einen dauerhaften Erfolg wird es entscheidend sein, dass Hersteller von Anwendungssoftware das Angebot der offenen VPS-Schnittstellen nutzen. Erste Schritte hierzu sind zum Beispiel durch das entsprechende Erweiterungsmodul DOMEA und VPS bereits vollzogen. Als Nächstes wird es auch darauf ankommen, bedarfsgerechte Client-Module für die VPS bereitzustellen und dabei den Anwender noch stärker in den Fokus zu rücken. Das Angebot durch die Deutsche Rentenversicherung Bund, das OCSP/CRL-Relay als Verbindungsstelle zwischen VPS und den Verzeichnisdiensten der Trustcenter zentral zu betreiben, ist hierfür ein wichtiger Meilenstein.
Kryptographische Komponenten, die aufgrund ihrer Benutzerfreundlichkeit und ihrer Integrationsfähigkeit in Anwendungen tatsächlich eingesetzt werden, sind ein wesentlicher Schlüssel für die Verbesserung der Kommunikationssicherheit, nicht nur im E-Government. Die virtuelle Poststelle versteht sich als ein – im mehrfachen Wortsinne – zentrales Angebot in diesem Prozess.
Umfassende Informationen über Projekt und Produkt "Basiskomponente Datensicherheit" werden in der jeweils aktuellen Version auf der BSI-Web-Seite www.bsi.bund.de/fachthem/egov/vps.htm bereitgestellt. Weitere Informationen liefern: www.virtuelle-poststelle-bund.de, www.egvp.de, www.osci.de und www.kbst.bund.de
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2006#2, Seite 38