Qualifizierte elektronische Signaturen - Elektronisch kommunizieren ohne Sicherheitslücken

Deutsche Post – Geschäftsfeld Signtrust Signtrust Box Signtrust Net Signtrust Set SIGNTRUST UST NTR 7 Mustermann 123 n 456 SIG n 123 erma 7 12345 123456 st 45 Mu Produkte www… Datei Signatur Elektronisches Signieren privater Schlüssel Sender Datei Mail Datei Verifikation Datei verifiziert öffentlicher Schlüssel Empfänger Verifizieren Deutsche Post – Geschäftsfeld Signtrust Signtrust Box Signtrust Net Signtrust Set SIGNTRUST UST NTR 7 Mustermann 123 n 456 SIG n 123 erma 7 12345 123456 st 45 Mu Produkte www… Datei Signatur Elektronisches Signieren privater Schlüssel Sender Datei Mail Datei Verifikation Datei verifiziert öffentlicher Schlüssel Empfänger Verifizieren

Elektronisch kommunizieren ohne Sicherheitslücken Die Menge an digitalen Dokumenten in Unternehmen wächst stetig. Die qualifizierte elektronische Signatur macht Online-Daten dabei zu offiziell anerkannten Dokumenten. Und hilft so, die Effizienzpotenziale des digitalen Dokumentenmanagements freizusetzen. Die vernetzte Wirtschaft baut immer stärker auf den Austausch elektronischer Dokumente und Daten. Die Kommunikation zwischen Unternehmen und ihren Lieferanten, mit Behörden und Kunden wird immer häufiger digital abgewickelt. Unternehmen verschicken ihre Angebote und Rechnungen ins E-Mail-Postfach ihrer Kunden statt sie per Post zu versenden. Lieferanten tauschen über das Internet Bestelldaten aus, und Finanzinstitute, Verwaltungen und Gerichte gehen dazu über, Akten, Protokolle und juristische Schriftsätze in elektronischer Form anzufordern. Solche sensiblen digitalen Dokumente müssen mindestens dasselbe leisten, was ein Brief per Einschreiben kann: Alle Beteiligten wollen eindeutig wissen, von wem eine Sendung gekommen ist. Niemand soll die Dokumente auf Ihrem Weg über die verschiedenen elektronischen Netzwerke unbemerkt manipulieren können. Nur der soll sie am Ende lesen, an den sie adressiert sind – und dazu muss er ihren Empfang auch sicher bestätigen können. Das Internet allein ist hierzu nicht in der Lage. IT-Experten warnen, dass eine E-Mail noch weniger privat ist als eine Postkarte. Zudem sind herkömmliche digitale Dokumente nicht oder nur eingeschränkt rechtsverbindlich – ihnen fehlt die gültige Unterschrift. Hier kommt die qualifizierte elektronische Signatur ins Spiel, an die der Gesetzgeber hohe Anforderungen stellt: Beim Signatur- Verfahren unterschreibt der Nutzer elektronische Daten mit Hilfe einer speziellen Software – rechtsgültig wie bei einer Urkunde von Hand. Danach sind unbemerkte Manipulationen nicht mehr möglich. Denn die Signatur zeigt eindeutig, wer unterschrieben hat. Die dafür nötige technologische Infrastruktur selbst aufzubauen widerspricht natürlich dem Gedanken einer schlanken, kostentransparenten Unternehmensorganisation, die ihre eigenen Leistungen auf die Kernkompetenzen beschränkt. Outsourcing-Spezialisten übernehmen nicht nur den Aufbau und die Pflege eines digitalen Dokumentenmanagements und binden das System in die internen Arbeitsabläufe ein. Sie sorgen auch für das Herzstück – die Möglichkeit, digitale Dokumente mit Hilfe der qualifizierten elektronischen Signatur zu versiegeln. Die Deutsche Post betreibt das Trustcenter „Signtrust“, das nach den Hochsicherheitsstandards der zuständigen Bundesnetzagentur akkreditiert ist. In einem speziellen Rechenzentrum in Darmstadt werden alle Daten und die Zertifikate für die Überprüfung der Signatur verwaltet. Die IT- Experten der Deutschen Post haben in den vergangenen Jahren viel Erfahrung mit komplexen unternehmensinternen Prozessen gesammelt und gelten als Spezialisten für das digitale Dokumentenmanagement. Signtrust-Kunden melden sich mit ihren persönlichen Daten zunächst im Internet an und müssen dann nur einmal zur nächsten Post-Filliale gehen, um ihre Identität mit dem „Post- Ident“-Verfahren bestätigen zu lassen. Ein Post-Angestellter lässt sich dazu den Ausweis vorlegen und leitet die eingegebenen Daten an das Trustcenter weiter. Jetzt wird im akkreditierten Trustcenter der Post ein unverwechselbares Signatur-Schlüssel-Paar erzeugt und der Person mittels eines Zertifikats zugeordnet. Dieser Prozess findet nicht nur hinter physischen Sicherheitsschleusen statt, sondern ist auch bestens gegen Hacker abgeschirmt, denn die Daten werden unveränderbar auf einer sicheren Smart-Card gespeichert, der Signtrust Card. Mit dieser Karte kann der Inhaber nun seine Dokumente so abzeichnen, als würde er sie von Hand unterschreiben – die Signtrust Card ist sozusagen der Füller für die elektronische Signatur. Alle Empfänger eines solchen signierten Dokuments müssen nur online beim Trustcenter anfragen, ob die Signatur gültig ist. So können sie die Identität des Signaturinhabers prüfen. Die elektronische Signatur lässt sich auch auf verschiedene Unternehmensgrößen und Branchenanforderungen zuschneiden: Die Deutsche Post etwa bietet als Einsteigerpaket „Signtrust Set“ für kleine Unternehmen, Freiberufler oder Einzelunternehmer an. Neben der Smart-Card und dem Kartenleser für den eigenen PC ist eine spezielle Software zum Signieren von Dokumenten im Paket enthalten. Außer für elektronische Geschäftsprozesse ist die Signatur-Technik etwa im Gesundheitswesen einsetzbar: In Österreich hat die Deutsche Post unlängst die Zertifikate für die neue elektronische Sozialversicherungskarte „e-card“ beigesteuert. In Deutschland laufen derzeit Pilotprojekte für die Ausgabe elektronischer Heilberufsausweise an Ärzte. Mit der Karte lassen sich Dokumente für Unbefugte zusätzlich unleserlich machen. Denn zur qualifizierten elektronischen Signatur kann eine ausgefeilte Verschlüsselungstechnik eingesetzt werden: Wer eine digitale Nachricht verschicken will, benutzt einen öffentlichen Schlüssel um sie zu codieren. Jeder kann nun sehen, mit welchem Schlüssel das Dokument verschlüsselt worden ist – um es zu öffnen, braucht der Adressat dann wieder seinen eigenen privaten Signtrust- Schlüssel. Auf dem Chip der Signtrust-Karten lassen sich auch besondere Befugnisse des Besitzers hinterlegen – oder Zugangsbeschränkungen: zum Beispiel die Höchstsumme, bis zu der ein Karteninhaber Verträge abschließen darf. Indes muss nicht zwangsläufig jedes Dokument einzeln auf diese Weise signiert werden. Für stark standardisierte, häufig vorkommende Geschäftsprozesse funktionieren auch Massensignaturen, so genannten Batchsignaturen. Dabei gibt der Anwender nicht für jede Signatur einzeln den Signatur-PIN ein, sondern er setzt den Prozess einmal in Gang und kann dann beliebig viele Dokumente abzeichnen. Batchsignaturen eignen sich vor allem für die elektronische Rechnungsverarbeitung oder die Archivierung. Bei elektronischen Rechnungen verlangt das Umsatzsteuergesetz ausdrücklich eine qualifizierte elektronische Signatur. Bei der Archivierung muss der Mitarbeiter, der Papier-Dokumente einscannt, beim Scannen regelmäßig per Signatur bestätigen, dass die Originale echt sind. Solche Massensignaturen bietet die Post unter dem Namen „Signtrust Net“ an. Das Verfahren läuft komplett automatisch ab: Kunden schicken ihre Dokumente direkt gesichert über das Internet an das Trustcenter, das sie signiert und zurück schickt. Als Application Service Providing (ASP)- Lösung verursacht diese Variante keinerlei Hardware-Kosten, die ansonsten zumindest für Kartenleser anfallen, die am PC angeschlossen werden müssen. Kunden zahlen nur ein Entgelt pro Signatur. Bei elektronischen Rechnungen übernimmt die Post den kompletten Dienst vom Trustcenter aus, inklusive IT- Infrastruktur und Personal, Zertifizierung und Sicherheitsgarantie. Die ASP Lösung ist keine Einmalinvestitionen, sondern verursacht nur variable, mengenabhängige Mietkosten. Signtrust Net ist nach Signatur Gesetz (SigG) und Signatur Verordnung (SigV) zertifiziert. Ein internationales Wirtschaftsprüferunternehmen führte in 2006 eine umfangreiche Prüfung der Verfahren zur Erzeugung elektronischer Signaturen durch und zertifizierte Anfang 2007 den ASP-Dienst Signtrust Net. Die Vorgaben aus dem Umsatzsteuergesetz werden durch diese Prüfungen vollständig erfüllt. Die Deutsche Post hat sich in den vergangenen Jahren nicht nur zu einem weltweiten Logistikdienstleister, sondern auch zu einem der führenden Anbieter von Outsourcing-Lösungen für Dokumentenmanagement entwickelt. Wer das Dokumentenmanagement an einen externen Dienstleister wie die Deutsche Post übergibt, kann nicht nur seine internen Abläufe nachweislich optimieren, sondern auch Kosten einsparen. Denn die Dokumentenlogistik-Spezialisten der Post digitalisieren Papierdokumente preiswerter, speichern sie auf speziellen Hochleistungsservern und legen die elektronischen Daten mit den besten verfügbaren Systemen ab. So sind alle notwendigen Daten jederzeit für die unternehmenseigenen Abläufe abrufbar, und es bleibt mehr Zeit für das eigentliche Kerngeschäft. Nach einer aktuellen Studie der Unternehmensberatung IDC wenden europäische Betriebe bis zu 15 Prozent ihres Umsatzes für das Dokumentenhandling auf. Etwa für die Suche nach älteren Unterlagen: Nach Berechnungen der Fachhochschule Berlin kostet das pro Seite im Schnitt immerhin 1,66 Euro. Kein Wunder, dass der Markt für Projekte zum Geschäftsprozess- Outsourcing (GPO) in Deutschland rasant wächst: Bis 2009 wird er nach IDC- Analysen um über 17 Prozent jährlich zulegen. Es gibt eine Menge aufzuholen: Die USA und Großbritannien haben Experten zufolge etwa fünf Jahre Vorsprung. Alle Fragen rund um ein externes digitales Dokumentenmanagement sind Vertrauenssache, denn Arbeitsunterlagen – also Rechnungen, Personal- und Kundenakten, Produktdokumentationen oder Schadensberichte – sind meist eng an interne Prozesse gekoppelt. Grundlage für einen durchgängigen elektronischen Workflow im Unternehmen bildet die frühzeitige Digitalisierung des eingehenden Informationsstroms. Die Deutsche Post bietet hierfür unter anderem den „Digitalen Posteingangs-Service“ an. Eingehende Briefe werden in posteigenen Digitalisierungsstationen gescannt und sofort in den elektronischen Workflow des Kunden weiter geleitet. Vorgänge lassen sich so schneller abschließen, weil die Unterlagen in kürzerer Zeit beim zuständigen Sachbearbeiter ankommen und direkt am Bildschirm bearbeitet werden können. Der Digitale Posteingangs-Service bildet die Grundlage für weitere interne elektronische Prozesse. So etwa das komplette Kreditorenmanagement, das die Deutsche Post für Unternehmen und Verwaltungen anbietet: Eingehende Papierrechnungen werden in den posteigenen Digitalisierungsstationen bearbeitet. Anschließend wird der Inhalt geprüft und die Datensätze werden entsprechend aufbereitet.