Präsentationsbeginn

München, 27.10.2005 Dr. Jyn Schultze-Melling LL.M. 4. Bayerischer IT-Rechtstag IT-Sicherheit und E-Government Anforderungen an Verschlüsselung und Signaturen Mit „Electronic Government“ (kurz: E-Government) hat die E-Business-Revolution die öffentliche Verwaltung erreicht. Großbritannien und die Vereinigten Staaten wollen ihren Bürgern und Unternehmen in wenigen Jahren alle Leistungen der öffentlichen Verwaltung über das Internet zur Verfügung stellen. Finnland bietet bereits Verwaltungsleistungen im Internet per Handy an. Auch andere OECD-Länder arbeiten mit Hochdruck am Ausbau ihres E-Government-Angebots. In Deutschland wird der Einsatz von E-Business-Technologien in der öffentlichen Hand vor allem auf kommunaler Ebene vorangetrieben. Nahezu jede größere Stadt oder Gemeinde ist mittlerweile mit einer eigenen Seite im Internet vertreten. In fünf Jahren werden nach Schätzungen des Deutschen Städte- und Gemeindebundes über 5.000 deutsche Städte und Kommunen online sein. München, 27.10.2005 Dr. Jyn Schultze-Melling LL.M.

IT-Sicherheit und E-Government IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen IT-Sicherheit und E-Government Grundlagen: Verschlüsselung, Signaturen und Zertifikate IT-Sicherheit und E-Government als Symbiose Technische Eckdaten Gesetzliche Hintergründe und relevante Rechtsgrundlagen Sicherheitsanforderungen bei der elektronischen Kommunikation Ausblick Entwicklung digitaler Signaturen Sicheres E-Government?

1. Grundlagen: Verschlüsselung, Signaturen und Zertifikate 01001010101011010101010110100101010101101010011010101011010101010101010100101001010010101010110101011010101010101010101010101010010101010110101010101101001010101011010100110101010110101010101010101001010010100101010101101010110101010101010101010101010100101010101101010101011010010101010110101001101010101101010101010101010010100101001010101011010101101010101010101010101010100101010101101010101011010010101010110101001101010101101010101010101010010100101001010101011010101101010101010101010101010101001010101011010101010110100101010101101010011010101011010101010101010100101001010010101010110101011010101010101010101010101010010101010110101010101101001010101011010100110101010110101010101010101001010010100101010101101010110101010101010101010101010010110101010010110101010011010110110101010101010101010101010010110101010010110101010011010110110101010101010101010101010010110101010010110001010110

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen Grundlagen: Verschlüsselung, Signaturen und Zertifikate IT-Sicherheit und E-Government als Symbiose IT-Sicherheit ist notwendiger Bestandteil eines sicheren und damit verfassungsgemäßen E-Governments E-Government kann die Grundlagen legen für eine verstärkte IT-Sicherheit auch im unternehmerischen Umfeld E-Government IT-Sicherheit

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen Grundlagen: Verschlüsselung, Signaturen und Zertifikate Mittel und Wege der elektronischen Kommunikation beim elektronischen Regieren Kommunikation per E-Mail Klageeinreichungen Verwaltungs- und Widerspruchsbescheide Anträge Gebührenerhebung Kommunikation über das Web Individuelle Information des Bürgers Staatliche Verbraucherdienste Leistungsplattformen (E-Vergabe) Sonstige Wege der elektronischen Kommunikation Elektronische Aktenführung und Archivierung Verschlüsselung als Zugriffskontrolle Authentisierung durch Zertifikate

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen Grundlagen: Verschlüsselung, Signaturen und Zertifikate Technische Aspekte der elektronischen Kommunikation

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen Grundlagen: Verschlüsselung, Signaturen und Zertifikate Arten der Verschlüsselung Bei der Asynchronen Verschlüsselung werden zwei Schlüssel gebraucht um eine Nachricht zwischen zwei Personen verschlüsselt zu senden. Der Empfänger muss zwei Schlüssel besitzen: einen öffentlichen Schlüssel (public key) und einen privaten Schlüssel (private key). Der Public Key wird von Leuten benutzt, die eine Nachricht an den Besitzer dieses Schlüssels senden wollen. Der Verschlüsselte Text ist daraufhin nur noch mit dem privaten Schlüssel entschlüsselbar und somit lesbar.

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen Grundlagen: Verschlüsselung, Signaturen und Zertifikate Funktionsprinzip der symmetrischen Verschlüsselung

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen Grundlagen: Verschlüsselung, Signaturen und Zertifikate Funktionsprinzip der asymmetrischen Verschlüsselung

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen Grundlagen: Verschlüsselung, Signaturen und Zertifikate Funktionsprinzip der elektronischen Signatur

§ 2. Gesetzliche Hintergründe und relevante Rechtsgrundlagen Die Richtlinie 2000/31/EG des Europäischen Parlaments und des Rates vom 08.06.2000 (E-Commerce-Richtlinie) regelt rechtliche Aspekte der Dienste der Informationsgesellschaft unter besonderer Berücksichtigung des elektronischen Geschäftsverkehrs. Ihr Regelungsumfang betrifft Fragen der Dienstleistungsfreiheit, der Anbieter- und Preistransparenz sowie der Anbieterverantwortlichkeit. Insoweit sind im Wesentlichen solche Rechtsfragen durch die Richtlinie geregelt worden, für die im deutschen Recht mit dem Teledienstegesetz (TDG) und dem Mediendienstestaatsvertrag (MDStV) bereits Regelungen bestanden. Für die Umsetzung der Richtlinie wurde daher auf die bestehenden Regelungen zurückgegriffen und diese entsprechend modifiziert. Die Anpassung erfolgte u. a. durch das Gesetz über rechtliche Rahmenbedingungen des elektronischen Geschäftsverkehrs (EGG). Als sog. Artikelgesetz enthält das EGG Änderungen des TDG, der Zivilprozessordnung (ZPO) sowie des Teledienstedatenschutzgesetzes (TDDSG). Eine weitere Umsetzung der E-Commerce-Richtlinie erfolgte durch die Einführung der elektronischen Form als Äquivalent zur Schriftform im BGB durch das Gesetz zur Anpassung der Formvorschriften des Privatrechts und anderer Vorschriften an den modernen Geschäftsverkehr sowie durch die Novellierung des Signaturgesetzes (SigG) und der Signaturverordnung (SigV). Im Folgenden wird daher weder auf die Electronic-Commerce-Richtlinie noch auf die genannten Anpassungsgesetze gesondert eingegangen. Vielmehr finden die einzelnen Gesetze in ihrer novellierten Fassung Berücksichtigung.

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 2. Gesetzliche Hintergründe und relevante Rechtsgrundlagen Das Verwaltungsverfahrensgesetz (VwVfG) § 3a VwVfG Regelung zur elektronischen Kommunikation § 33 VwVfG Beglaubigungen §§ 37 Abs. 2, 3 und § 44 Abs. 2 VwVfG Regelungen zum elektronischen Verwaltungsakt § 37 Abs. 4 VwVfG Erfordernis dauerhafter Überprüfbarkeit von qualifizierten Signaturen bei Verwaltungsakten § 39 Abs. 1 VwVfG Elektronische Begründung eines Verwaltungsaktes § 41 Abs. 2 VwVfG Zugang elektronischer Verwaltungsakt

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 2. Gesetzliche Hintergründe und relevante Rechtsgrundlagen Das Signaturgesetz (SigG) Einfache Signatur (§ 2 Nr. 1 SigG) Alle Daten in elektronischer Form, welche anderen Daten beigefügt oder mit Ihnen verknüpft sind und die in irgendeiner beliebigen Form der Authentifizierung dienen (z. B. auch eingescannte Unterschriften) Fortgeschrittene Signatur (§ 2 Nr. 2 SigG) Ausschließliche Zuordnung dem Signatur-Inhaber Ermöglichung der Identifikation des Signierenden Alleinige Kontrolle der Signatur durch den Inhaber erforderlich (z. B. PGP oder Email-Zertifikate) Gem. § 2 Nr. 1 SigG sind elektronische Signaturen alle Daten, die anderen elektronischen Daten beigefügt werden und zur Authentifizierung dienen. Das SigG definiert somit alle Formen der elektronischen Signatur, selbst Signaturen ohne Sicherheitswert (so z. B. auch eingescannte Unterschriften). Hierbei unterscheidet das SigG allerdings zwischen drei unterschiedlichen Sicherheitsniveaus für elektronische Signaturen: 1. einfache oder sonstige Signaturen, 2. qualifizierte elektronische Signaturen i. S. v. § 2 Nr. 3 SigG sowie 3. qualifizierte elektronische Signaturen eines akkreditierten Zertifizierungsdiensteanbieters (ZDA) gem. § 2 Nr. 3 i. V. m. § 15 SigG (im Folgenden „akkreditierte Signatur“ genannt). Für das rechtsverbindliche Handeln in elektronischer Form (siehe Abschnitt 4.2.2) sind für die Verwaltung nur die beiden letztgenannten Signaturen bedeutsam: • Qualifizierte elektronische Signaturen müssen gem. § 2 Nr. 3 a SigG auf einem zum Zeitpunkt ihrer Erzeugung gültigen qualifizierten Zertifikat beruhen und gem. § 2 Nr. 3 b mit einer sicheren Signaturerstellungseinheitwerden die Vergabe von qualifizierten Zertifikaten, ihr Inhalt und die sich hieraus ergebenden Pflichten für den Zertifizierungsdienstebetreiber geregelt. Der Zertifizierungsdiensteanbieter muss für das Angebot qualifizierter Zertifikate seinen Betrieb nur anzeigen und glaubhaft darlegen, dass er die Anforderungen des SigG erfüllt. • Akkreditierte Signaturen sind qualifizierte elektronische Signaturen i. S. v. § 2 Nr. 3 a SigG, deren Zertifikat durch einen Zertifizierungsdiensteanbieter ausgestellt wurde, der die Erfordernisse der §§ 5-14 SigG erfüllt und dieses zusätzlich in einer Vorabprüfung (freiwillige Akkreditierung) i. S. v. § 15 SigG nachgewiesen hat. Qualifizierte elektronische Signaturen eines akkreditierten Zertifizierungsdiensteanbieters bieten daher das höchste Sicherheitsniveau des SigG. Nur bei ihnen ist amtlich geprüft und bestätigt, dass der Anbieter alle gesetzlichen Anforderungen erfüllt hat. Dagegen verfügen die Verfahren zur Erstellung einer qualifizierten elektronischen Signatur lediglich über eine glaubhaft gemachte, nicht jedoch geprüfte und nachgewiesene Infrastruktur.

Qualifizierte elektronische Signaturen IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 2. Gesetzliche Hintergründe und relevante Rechtsgrundlagen Das Signaturgesetz (SigG) Qualifizierte elektronische Signaturen müssen gem. § 2 Nr. 3 a SigG auf einem zum Zeitpunkt ihrer Erzeugung gültigen qualifizierten Zertifikat beruhen und gem. § 2 Nr. 3 b mit einer sicheren Signaturerstellungseinheit erzeugt sein. Erfordernisse richten sich nach §§ 5-14 SigG ier werden die Vergabe von qualifizierten Zertifikaten, ihr Inhalt und die sich hieraus ergebenden Pflichten für den Zertifizierungsdienstebetreiber geregelt. Der Zertifizierungsdiensteanbieter muss für das Angebot qualifizierter Zertifikate seinen Betrieb nur anzeigen und glaubhaft darlegen, dass er die Anforderungen des SigG erfüllt.

Akkreditierte Signaturen IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 2. Gesetzliche Hintergründe und relevante Rechtsgrundlagen Das Signaturgesetz (SigG) Akkreditierte Signaturen sind qualifizierte elektronische Signaturen i. S. v. § 2 Nr. 3 a SigG Zusätzliche Sicherheit durch Nutzung eines Zertifizierungsdiensteanbieters, der die Erfordernisse der §§ 5-14 SigG erfüllt und dieses zusätzlich in einer Vorabprüfung (freiwillige Akkreditierung) i. S. v. § 15 SigG nachgewiesen hat. Qualifizierte elektronische Signaturen eines akkreditierten Zertifizierungsdiensteanbieters bieten daher das höchste Sicherheitsniveau des SigG Nur bei ihnen ist amtlich geprüft und bestätigt, dass der Anbieter alle gesetzlichen Anforderungen erfüllt hat. Dagegen verfügen die Verfahren zur Erstellung einer qualifizierten elektronischen Signatur lediglich über eine glaubhaft gemachte, nicht jedoch geprüfte und nachgewiesene Infrastruktur.

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 2. Gesetzliche Hintergründe und relevante Rechtsgrundlagen Das Teledienstgesetz (TDG) und Gleichstellung (BGG und BITV) § 5 TDG Teledienste sind zulassungs- und anmeldefrei § 6 TDG Impressumspflicht § 11 BGG – Gesetz zur Gleichstellung behinderter Menschen (Behindertengleichstellungsgesetz) vom 27. April 2002 (BGBl. I S. 1467) Verpflichtung zur Berücksichtigung der Bedürfnisse von Personen mit Behinderungen bei der Gestaltung von Online-Angeboten für die Bundesverwaltung. (Es ist zu erwarten, dass die Länder bald entsprechende Gesetze verabschieden.) BITV – Verordnung zur Schaffung barrierefreier Informationstechnik nach dem Behindertengleichstellungsgesetz (Barrierefreie Informationstechnik-Verordnung) vom 17. Juli 2002 (BGBl. I 2002, S. 2645) Festlegung der konkret anzuwendenden technischen Standards, die zu gestaltenden Bereiche und Arten amtlicher Information sowie die einzubeziehenden Gruppen behinderter Menschen.

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 2. Gesetzliche Hintergründe und relevante Rechtsgrundlagen Das Teledienstedatenschutzgesetz (TDDSG) § 4 Abs. 1 TDDSG, § 18 Abs. 1 MDStV Im Falle einer Online-Registrierung mit Erhebung personenbezogener Daten vor Nutzung eines Diensteangebots muss der Nutzer vor der Erhebung über Umfang, Ort und Zweck der Erhebung unterrichtet werden. Der Diensteanbieter hat auf das Recht zum Widerruf erteilter Einwilligungen hinzuweisen. § 4 Abs. 4 TDDSG Es ist sicherzustellen, dass Nutzer Teledienste gegen Kenntnisnahme Dritter geschützt in Anspruch nehmen können. Pseudonyme Nutzungs- und Bezahlverfahren müssen angeboten werden, soweit dies technisch möglich und zumutbar ist. § 6 Abs. 3 TDDSG, § 19 Abs. 4 MDStV Ein Diensteanbieter darf nur für Zwecke der Marktforschung, der bedarfsgerechten Gestaltung des Dienstes oder für Zwecke der Werbung Nutzerprofile unter Verwendung von Pseudonymen erstellen.

3. Sicherheitsanforderungen bei der elektronischen Kommunikation im E-Government

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 3. Sicherheitsanforderungen bei der elektronischen Kommunikation im E-Government Grundsätzliche Anforderungen Vertraulichkeit Integrität Authentizität Nicht-Abstreitbarkeit Weitere Anforderungen Verfügbarkeit Schriftform-Erfordernis Identifizierbarkeit Abbildbarkeit Adressierbarkeit

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 3. Sicherheitsanforderungen bei der elektronischen Kommunikation im E-Government Beispielproblem: Schriftformersatz Akkreditierte Signatur Qualifizierte Signatur § 126a BGB, § 3a VwVfG: Ersatz für gesetzlich vorgeschriebene Schriftform Auch Schriftformersatz, soweit für die Signatur die dauerhafte Überprüfbarkeit vorgeschrieben ist: Grundsätzlich möglich für Verwaltungsakte (VA) (§ 37 Abs. 4 VwVfG); bisher vorgesehen z. B. für VA für Abschluss des förmlichen Verwaltungsverfahrens (§ 69 Abs. 2 S. 2 VwVfG) und für Unterschrift des Bediensteten bei Beglaubigungsvermerk (§ 33 Abs. V Nr. 2 VwVfG) Aber: Risiko des Nicht-Bestehens der behaupteten Sicherheit => Grundsätzlich kein Schriftformersatz, soweit für die Signatur die dauerhafte Überprüfbarkeit vorgeschrieben ist

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 3. Sicherheitsanforderungen bei der elektronischen Kommunikation im E-Government Beispielproblem: Beweiseignung Akkreditierte Signatur Qualifizierte Signatur § 292a ZPO: Anschein der Echtheit der Signatur Für Nachweis qualifizierter Signatur: Inanspruchnahme der „technisch-organisatorischen” Sicherheitsvermutung nach § 15 Abs. 1, Abs. 4 SigG. Für Nachweis qualifizierter Signatur: allenfalls Bitte an den Richter möglich, vom Signaturaussteller die Vorlage der Signaturerstellungseinheit (§ 144 ZPO) und vom Zertifizierungsdiensteanbieter die Vorlage seiner Dokumentation (§ 142 ZPO) zu verlangen.

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 3. Sicherheitsanforderungen bei der elektronischen Kommunikation im E-Government Sicherheitsaspekte bei der praktischen Anwendung Interne Risiken Technische Fehler Anwendungsfehler Verlust der Schlüssel Mitlesen oder Manipulation durch Unbefugte Externe Risiken Betrugsversuche Manipulationsgefahr

IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 3. Sicherheitsanforderungen bei der elektronischen Kommunikation im E-Government Voraussetzungen für den korrekten Einsatz Organisation Integration der IT-Sicherheit in die behördlichen Abläufe „Chefsache IT-Sicherheit“ gilt auch für den Staat Technische Ausstattung Open Source vs. proprietäre Software Schlüsselmanagement im interbehördlichen Dienst Benutzerakzeptanz Sensibilität wecken und Know-how erschaffen Kontinuierliche Fortbildung und Kooperation (BSI CERT)

4. Ausblick

4. Ausblick Auswirkungen auf das E-Government IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 4. Ausblick Auswirkungen auf das E-Government PwC Deutsche Revision hat anläßlich der Weltkonferenz zur Zukunft der Städte „URBAN 21“ (4. – 6. Juli 2000 in Berlin) eine Umfrage zum Thema „Die Zukunft heißt E-Government. Deutschlands Städte auf dem Weg zur virtuellen Verwaltung“ durchgeführt, die neben dem aktuellen Stand vor allem die Planungen und Erwartungen der Kommunen für die nächsten Jahre ermittelt. Gemeinsam mit dem Deutschen Städte- und Gemeindebund wurden im Mai und Juni 2000 die 200 größten deutschen Städte befragt. 90 Städte, von denen 23 die Möglichkeit nutzten, die Fragen im Internet über eine Software der Firma InnoWIS zu beantworten, haben die insgesamt 42 Fragen beantwortet.

4. Ausblick Sicheres E-Government? IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 4. Ausblick Sicheres E-Government? Der Grund für die vergleichsweise niedrige Priorität der digitalen Signatur dürfte vor allem in der noch unklaren Ausgestaltung der entsprechenden rechtlichen Rahmenbedingungen liegen. Dabei ist die Mehrheit der Städte der Meinung, dass sich für die Verschlüsselung von Kommunikationen und Transaktionen zwischen Verwaltung und Bürgern bzw. Unternehmen Chipkarten mit digitaler Signatur vollständig (46%) oder teilweise (33 %) durchsetzen werden. Symmetrischen Verschlüsselungsverfahren werden deutlich weniger Zukunftschancen eingeräumt.

4. Ausblick Sicheres E-Government? IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 4. Ausblick Sicheres E-Government?

4. Ausblick Sicheres E-Government? IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 4. Ausblick Sicheres E-Government?

4. Ausblick Sicheres E-Government? IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen 4. Ausblick Sicheres E-Government? Fazit: IT-Sicherheit ist unabdingbare Voraussetzung für ein funktionierendes E-Government Die breite Durchdringung der Gesellschaft mit digitalen Signaturen bedingt ein sicheres E-Government Maßnahmen auf legislativer und exekutiver Ebene sind erforderlich, um E-Government voranzutreiben

Vielen Dank für Ihre Aufmerksamkeit. IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen Kontakt Vielen Dank für Ihre Aufmerksamkeit. Haben Sie noch Fragen? Dr. Jyn Schultze-Melling LL.M. Nörr Stiefenhofer Lutz Brienner Straße 28 80333 München E-Mail: jyn.schultze-melling@noerr.com Tel.: +49 (89) 28628 542 www.noerr.com

Weiterführende Informationen im Internet IT-Sicherheit und E-Government - Anforderungen an Verschlüsselung und Signaturen Weiterführende Informationen im Internet Rechtliche Aspekte der IT-Sicherheit http://www.it-sicherheitsrecht.de IT-Sicherheit allgemein http://www.itseccity.de http://www.heise.de/itsec http://www.it-sicherheit-fachzeitschrift.de/ http://www.competence-site.de/itsecurity.nsf/ http://www.bsi.bund.de/ http://www.kes.info/