Gesellschaft für Informatik e.V.

Lecture Notes in Informatics


BIOSIG 2007: Biometrics and Electronic Signatures Proceedings of the Special Interest Group on Biometrics and Electronic Signatures 12.-13. July 2007, Darmstadt, Germany P-108, 97-104 (2007).


2007


Editors

Arslan Brömme (ed.), Christoph Busch (ed.), Detlef Hühnlein (ed.)


Contents

Die elektronische steuererklärung (ELSTER) - status und ausblick, openelster

Christine Randlkofer

Abstract


ELSTER ist als \?Elektronische Steuererklärung“ bereits bundesweit bekannt. Nahezu alle steuerlich relevanten Daten können von Bürgern und Unternehmen elektronisch abgegeben werden. Mehrere Millionen Datensätze werden inzwischen jährlich über ELSTER übermittelt. Um hohe Datensicherheit zu gewährleisten, hat ELSTER bereits Anfang 2006 eine PKI-basierte elektronische Authentifizierung und Verschlüsselung eingeführt. Jeder ELSTER-Anwender kann über vom ELSTER-Trustcenter ausgegebene elektronische Zertifikate authentisiert werden, sensible Daten können auf diese Weise verschlüsselt werden. Besitzt der Anwender bereits eine Signaturkarte, so kann auch diese verwendet werden. Derzeit prüft die Steuerverwaltung, die von ELSTER ausgegebenen Zertifikate und die ELSTER-Sicherheitsinfrastruktur auch anderen Behörden zur Nutzung in ihren eGovernment-Anwendungen zur Verfügung zu stellen. Diesen soll es damit ermöglicht werden ebenfalls starke Anwender-Authentisierung und elektronische Signatur zu integrieren, ohne eigene Zertifikate auszugeben und eigene Verfahren zur Anwendung dieser Zertifikate entwickeln zu müssen. Dieses Verfahren trägt den Arbeitstitel \?OpenElster“. 97 Die Verwendung von Zertifikaten und Chipkarte als Mittel zur Authentisierung von Nutzern gegenüber Dienstanbietern ist gemeinhin als sicheres Verfahren anerkannt. Viele eGovernment-Projekte leiden unter der mangelnden Verbreitung qualifizierter elektronischer Signaturen. Mögliche Nutzer besitzen keine Signaturkarte und sind wegen der hohen Kosten, dem schwierigen Prozedere bei der Beschaffung und den oftmals nicht ersichtlichen Vorteilen nicht zur Anschaffung entsprechender Karten bereit. Unabhängig davon wird von den Behörden oftmals eine qualifizierte elektronische Signatur gefordert, obwohl lediglich eine gesicherte Authentifizierung des Anwenders notwendig wäre. Zudem ist auch bei Verwendung einer Signaturkarte immer noch eine weitere Registrierung (Mapping der Zertifikatsdaten auf die Ordnungsbegriffe der Behörde) notwendig. ELSTER bietet derzeit die Möglichkeit, dass sich Bürger und Unternehmen über ein Web-Portal bei der Steuerverwaltung direkt registrieren. Je nach gewünschtem Funktionsumfang können die Anwender hierzu eine Signaturkarte, einen USB-Stick mit Signaturfunktion oder einen von der Steuerverwaltung kostenlos zur Verfügung gestellten Soft-Token (ein asymmetrisches Schlüsselpaar auf Softwarebasis mit zugehörigem Zertifikat) benutzen, um den kompletten Datenverkehr mit dem Finanzamt über eine eindeutige Authentifizierung abzuwickeln. Die Steuerverwaltung hat hierzu eine eigene PKI-Infrastruktur aufgebaut, die kostenlos für jeden Bürger Zertifikate herausgibt. Diese Zertifikate und die Technologie zur Anwendung dieser Zertifikate für Authentisierung und elektronischer Signatur könnten auch für andere von Behörden betriebene eGovernment-Anwendungen eingesetzt werden. Für eine eGovernment-Anwendung würden sich damit folgende Vorteile ergeben: $\bullet $Die Anwendung könnte auf eine hohe Anzahl von bereits ausgegebenen Zertifikaten zurückgreifen (ca. 350.000 Zertifikate bei einem Zuwachs von ca. 30.000 Zertifikaten/Monat, Stand März 2007) $\bullet $Anwender die noch nicht über ein ELSTER-Zertifikat verfügen, könnten sich über das ELSTER-Web-Portal kostenlos, einfach und schnell ein Zertifikat auf Softwarebasis besorgen. Für höhere Sicherheit könnte über einen Online-Shop ein USB-Stick mit Signaturfunktion bezogen werden, der die gleiche Sicherheit wie eine 98 Signaturkarte bietet. Das zur Anwendung nötige Zertifikat wird kostenlos durch ELSTER ausgegeben. $\bullet $Zur Anwendung von zertifikatsbasierten Sicherheitsverfahren ist auf Anwenderund Serverseite Software nötig, welche ein Authentisierungsprotokoll (Challenge / Response) durchführt und elektronische (nicht qualifizierte) Signaturen erzeugt bzw. prüft. Die auf Clientseite hierzu nötige Software (Java-Klassen) würde von der Steuerverwaltung zur Verfügung gestellt werden. Auf Serverseite könnte die eGovernment-Anwendung über Web-Services die Authentisierung prüfen und die Verifikation von signierten Daten vornehmen. Eigene IT-Infrastruktur (Hardware, Software, Verzeichnisdienst) und Betriebspersonal wäre damit nicht nötig. $\bullet $Es wäre auch möglich, dass die eGovernment-Anwendung auf bereits bei ELSTER verwendete Signaturkarten zurückgreifen könnte. Die von der Steuerverwaltung zur Authentisierung/Signatur-Prüfung bereitgestellten Web-Services würden in diesem Fall automatisch das Trustcenter des Signaturkartenherausgebers abfragen. Die eGovernment-Anwendung müsste sich nicht um die komplexe Einbindung unterschiedlichster Signaturkarten kümmern. Die Signaturkarten aller namhaften deutschen Trustcenter werden bereits jetzt unterstützt. 2 Modular und offen - ein attraktiver Weg Die ELSTER-Technologie ist modular aufgebaut und setzt ausschließlich auf Standardtechnologien. Komplexe Kommunikationsprotokolle und aufwendige Applikationspakete sind nicht notwendig. Der mögliche OpenElster-Authentifizierungsclient könnte auf allen Java-fähigen Clientsystemen arbeiten. Er würde alle Details des Umgangs mit Schlüsseln und Zertifikaten kapseln. Die zum Betrieb einer PKI nötigen Verfahren (Registrierung von Anwendern, Ausgabe/Sperrung von Zertifikaten, Zertifikatserneuerung und Betreiben von Verzeichnisdiensten) würden von der Steuerverwaltung vorgenommen werden. Für die serverseitig nötige Prüfung der Authentisierung/Signatur würden Web-Services zur Verfügung stehen, die auf Servern der Steuerverwaltung gehostet würden. Die OpenElster-Software selbst kodiert keinerlei Wissen oder auch nur Annahmen über konkrete eGovernment-Prozesse und Anwendungen, sondern liefert \?nur“ Security- Kernfunktionalität. Hierdurch werden Freiräume für die Implementierung der eigentlichen Anwendung geschaffen, z.B. eines Web-Portals. Dies macht in der Regel ein (internes) Systemhaus. Als Integrator kennt dieser die eGovernment-Prozesse im Detail, ist aber nicht unbedingt 99 Experte für automatisierte IT-Sicherheit auf Basis von PKI. Mittels der OpenElster- Software kann der Integrator aber die notwendigen Sicherheitsfunktionen und -prozesse in die jeweilige eGovernment-Anwendung flexibel und transparent und damit für den Endanwender weitgehend unsichtbar integrieren. Im folgendem werden ein Anwendungsbeispiel und die Funktionalität von OpenElster näher beschrieben. 3 Anwendungsbeispiel - Web-Portal Der Bürger erwartet von einer dienstleistungsorientierten Behörde einen einfachen und plattformunabhängigen Zugang zu dem Leistungsangebot - rund um die Uhr, personalisiert und ohne aufwendige Softwareinstallation beziehungsweise Updates. Dies kann über ein Web-Portal realisiert werden. Dieses Web-Portal könnte von der Behörde bzw. von einem von ihr beauftragten Dienstleister unter Einbindung des OpenElster-Authentifizierungsclients (ESiCl1) bzw. durch Aufruf von Web-Services des OpenElster Authentifizierungsdienstes (WIESEL) realisiert werden (siehe Bild).


Full Text: PDF


Last changed 04.10.2013 18:14:16