E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Elektronische SignaturenGesetze, Normen, E-Government

LV VO 406281 Information society & E-Government

Daniel KonradA-SIT Zentrum für sichere

Informationstechnologie – Austriawww.a-sit.at

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Inhalt

• Was ist eine el. Signatur?• Rechtliche Rahmenbedingungen• Relevante Normen• Organisatorische Infrastruktur in Österreich• A-SIT• Zahlungssystemaufsicht in Österreich• Anwendungen

– E-Government, Bürgerkarte– E-Rechnung– E-Zahlungsverkehr

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Was ist eine el. Signatur ?

• „elektronische Signatur: elektronische Daten, die anderen elektronischen Daten beigefügt oder mit diesen logisch verknüpft werden und die der Authentifizierung, also der Fesstellung der Identität des Signators dienen“ (SigG §2 Z1)

• SigG technologieneutral• in Verwendung: „digitale Signaturen“,

fälschungssichere Signaturen, anhand von kryptographischen Mechanismen erstellt.

• Kryptographie: Wissenschaft von Methoden der Ver-und Entschlüsselung von Daten.

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Asymmetrische Kryptographie (Public Key Cryptography)• Öffentlicher Schlüssel (public key):

– Signaturprüfdaten– Öffentlich (z.B in einem Verzeichnis)

• Privater Schlüssel (private key):– Signaturerstellungsdaten– Geheim (z.B auf Chipkarte)

• Zertifikat:– eine elektronische Bescheinigung, mit der

Signaturprüfdaten einer Person zugeordnet werden und die Identität dieser Person bestätigt wird

• Sicherheit beruht auf komplexen mathematischen Verfahren– Z.B. RSA-Verfahren: Schwierigkeit der Primfaktorzerlegung

großer Zahlen

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Eigenschaften der elektronischen Signatur

• Authentizität– Herkunft der signierten Daten

• Integrität– Unveränderbarkeit der signierten Daten

• Nichtabstreitbarkeit– Signatur kann nicht geleugnet werden

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Grundablauf

Dokument Hashwert Signierter Hashwert Signiertes Dokument

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Sicherheit der el. Signatur

• Beruht auf– dem kryptographischen Verfahren, das für ihre Berechnung

verwendet wird und das nach dem heutigen Stand der Technik mit bestimmten Parametern ausreichend sicher ist,

– der Sicherheit des Hashwertes, der nicht zu einem weiteren Dokument passen darf,

– der Einzigartigkeit des zum Signieren verwendeten kryptographischen Schlüssels, der durch ein Zertifikat einer bestimmten Person zuverlässig zugeordnet ist, und

– der Verwendung sicherer Signaturerstellungseinheiten (z.B. Chipkarten), die nur von den berechtigten Signatorenbenützt werden können (z.B. PIN-geschützt) und die zur Erstellung elektronischer Signaturen verwendet werden.

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Tutorial, Tools

• „Infobox“: http://www.a-sit.at/signatur/tutorial/tutorial.htm

• Demo-Tools:http://demo.a-sit.at

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Rechtlicher Rahmen

• EU-Signaturrichtlinie (EU-SigRL)

• Signaturgesetz (SigG)

• Signaturverordnung (SigV)

• E-Government Gesetz (E-GovG)

• Verwaltungssignaturverordnung (VerwSigV)

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

EU-SigRL

• „Richtlinie 1999/93/EG des Europäischen Parlaments und des Rates vom 13. Dezember 1999 über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen“ (http://www.eu.int/eur-lex/de/index.html)

• Fortgeschrittene el. Signatur:a) Sie ist ausschließlich dem Unterzeichner zugeordnet;b) sie ermöglicht die Identifizierung des Unterzeichners;c) sie wird mit Mitteln erstellt, die der Unterzeichner

unter seiner alleinigen Kontrolle halten kann;d) sie ist so mit den Daten, auf die sie sich bezieht,

verknüpft, dass eine nachträgliche Veränderung der Daten erkannt werden kann;

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

EU-SigRL (2)

• Qualifiziertes Zertifikat: – ein Zertifikat, das die Anforderungen des

Anhangs I erfüllt und von einem Zertifizierungsdiensteanbieter bereitgestellt wird, der die Anforderungen des Anhangs II erfüllt;

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

EU-SigRL (3)

• Z.B: Artikel 5 Rechtswirkung elektronischer Signaturen„(1) Die Mitgliedstaaten tragen dafür Sorge, dass fortgeschrittene elektronische Signaturen, die auf einem qualifizierten Zertifikat beruhen und die von einer sicheren Signaturerstellungseinheit erstellt werden,a) die rechtlichen Anforderungen an eine Unterschrift in bezug auf in elektronischer Form vorliegende Daten in gleicher Weise erfüllen wie handschriftliche Unterschriften in bezug auf Daten, die auf Papier vorliegen, undb) in Gerichtsverfahren als Beweismittel zugelassen sind.(2) Die Mitgliedstaaten tragen dafür Sorge, dass einer elektronischen Signatur die rechtliche Wirksamkeit und die Zulässigkeit als Beweismittel in Gerichtsverfahren nicht allein deshalb abgesprochen wird,- weil sie in elektronischer Form vorliegt oder- nicht auf einem qualifizierten Zertifikat beruht oder- nicht auf einem von einem akkreditierten Zertifizierungsdiensteanbieter ausgestellten qualifizierten Zertifikat beruht oder- nicht von einer sicheren Signaturerstellungseinheit erstellt wurde.“

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

EU-SigRL (4)

• Annex I:– Anforderungen an qualifizierte Zertifikate (Inhalt)

• Annex II:– Anforderungen an Zertifizierungsdiensteanbieter, die

qualifizierte Zertifikate ausstellen (Zuverlässigkeit, Qualität, Sicherheit)

• Annex III:– Anforderungen an sichere Signaturerstellungseinheiten

• Annex IV:– Empfehlungen für die sichere Signaturprüfung

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

SigG

• Stammfassung: BGBl. I Nr. 190/1999Bundesgesetz über elektronische Signaturen

(Signaturgesetz - SigG)• 1. Novelle: BGBl. I Nr. 137/2000

• 2. Novelle: BGBl. I Nr. 32/2001

• 3. Novelle: BGBl. I Nr. 152/2001

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

SigG (2)

• Erste Umsetzung der EU-SigRL– In D SigG 1996, aber nicht RL-konform

• Definiert „sichere elektronische Signatur“ (§2 Z 3):– sichere elektronische Signatur: eine elektronische Signatur, die

a) ausschließlich dem Signator zugeordnet ist,b) die Identifizierung des Signators ermöglicht,c) mit Mitteln erstellt wird, die der Signator unter seiner

alleinigen Kontrolle halten kann,d) mit den Daten, auf die sie sich bezieht, so verknüpft ist,

daß jede nachträgliche Veränderung der Daten festgestellt werden kann, sowie

e) auf einem qualifizierten Zertifikat beruht und unter Verwendung von technischen Komponenten und Verfahren, die den Sicherheitsanforderungen dieses Bundesgesetzes und der auf seiner Grundlage ergangenen Verordnungen entsprechen, erstellt wird;

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

SigG regelt:

• 1. Abschnitt. Gegenstand und Begriffsbestimmungen• 2. Abschnitt. Rechtserheblichkeit elektronischer

Signaturen• 3. Abschnitt. Zertifizierungsdiensteanbieter• 4. Abschnitt. Aufsicht• 5. Abschnitt. Technische Sicherheitserfordernisse • 6. Abschnitt. Rechte und Pflichten der Anwender • 7. Abschnitt. Anerkennung ausländischer Zertifikate• 8. Abschnitt. Schlussbestimmungen

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

SigV

• BGBl II Nr. 2000/30• Vor allem technische Fragen

– Anhang 1 Parameter für technische Komponenten und Verfahren für sichere elektronische Signaturen

– Anhang 2 Technische Verfahren und Formate• Derzeit Änderung der SigV im

Begutachtungsverfahren

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

E-GovG

• BGBl. I Nr. 10/2004:– „Bundesgesetz, mit dem ein E-Government-Gesetz erlassen

wird sowie das Allgemeine Verwaltungsverfahrensgesetz 1991, das Zustellgesetz, das Gebührengesetz 1957, das Meldegesetz 1991 und das Vereinsgesetz 2002 geändert werden“

• Ziele: – Der elektronische Verkehr mit öffentlichen Stellen soll

unter Berücksichtigung grundsätzlicher Wahlfreiheit zwischen Kommunikationsarten für Anbringen an diese Stellen erleichtert werden.

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

E-GovG, Ziele

– Gegen Gefahren, die mit einem verstärkten Einsatz der automationsunterstützten Datenverarbeitung zur Erreichung der genannten Ziele verbunden sind, sollen zur Verbesserung des Rechtsschutzes besondere technische Mittel geschaffen werden, die dort einzusetzen sind, wo nicht durch andere Vorkehrungen bereits ausreichender Schutz bewirkt wird.

– Bei der Umsetzung der Ziele dieses Bundesgesetzes ist Vorsorge dafür zu treffen, dass behördliche Internetauftritte, die Informationen anbieten oder Verfahren elektronisch unterstützen, spätestens bis 1. Jänner 2008 so gestaltet sind, dass internationale Standards über die Web-Zugänglichkeit auch hinsichtlich des barrierefreien Zugangs für behinderte Menschen eingehalten werden.

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

E-GovG, Inhalte

• Identifikation und Authentifizierung im elektronischen Verkehr mit öffentlichen Stellen

• Verwendung der Bürgerkartenfunktion im privaten Bereich

• Elektronischer Datennachweis• Besonderheiten elektronischer Aktenführung• Strafbestimmungen• Übergangs- und Schlussbestimmungen

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Verwaltungssignatur

• Übergangsbestimmung (§ 25 E-GovG):(1) Im Rahmen der Bürgerkartenfunktion dürfen bis zum

31. Dezember 2007 gleichgestellt mit sicheren Signaturen auch Verwaltungssignaturen verwendet werden. Verwaltungssignaturen sind Signaturen, die im zulässigen Bereichihrer Verwendung hinreichende Sicherheit bieten, auch wenn sie nicht notwendigerweise allen Bedingungen der Erzeugung und Speicherung von Signaturerstellungsdaten der sicheren Signatur genügen und nicht notwendigerweise auf einem qualifizierten Zertifikat beruhen. Die sicherheitstechnischen und organisationsrelevanten Voraussetzungen für das Vorliegen einer Verwaltungssignatur im Sinne dieses Bundesgesetzes werden durch Verordnung des Bundeskanzlers festgelegt.

(2) In jenen Fällen, in welchen in einfachen Gesetzen die Verwendung einer sicheren elektronischen Signatur im Verkehr mit Behörden im Rahmen der Hoheitsverwaltung ausdrücklich verlangt wird, gilt diese Voraussetzung bis zum Ende der in Abs. 1 genannten Übergangsfrist auch bei Verwendung einer Verwaltungssignatur als erfüllt.

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

VerwSigV

• BGBl. II Nr. 159/2004:– „Verordnung des Bundeskanzlers, mit der die

sicherheitstechnischen und organisationsrelevanten Voraussetzungen für Verwaltungssignaturen geregelt werden“

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Verordnung zur el. Rechnung

• BGBl. II Nr. 583/2003– Verordnung des Bundesministers für Finanzen, mit der die

Anforderungen an eine auf elektronischem Weg übermittelte Rechnung bestimmt werden

– „Die Echtheit der Herkunft und die Unversehrtheit des Inhalts einer auf elektronischem Weg übermittelten Rechnung ist gewährleistet, 1. wenn die Rechnung mit einer Signatur versehen ist, die den Erfordernissen des § 2 Z 3 lit. a bis d Signaturgesetz entspricht und auf einem Zertifikat eines Zertifizierungsdiensteanbieters im Sinne des Signaturgesetzes beruht, ..“

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Normen

• EESSI• Common Criteria• Sichere Signaturerstellungseinheit• Signaturerstellungseinheit eines ZDA• Vertrauenswürdiges System eines ZDA

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

EESSI

• European Electronic Signature Standardization Initiative• Eine Initiative der Europäischen Kommission und des European

ICT Standards Board• Normungsarbeit: CEN und ETSI

– CEN/ISSS WS/E-Sign: Signaturerstellung und –prüfung, Certification Service Providers (CSP)

http://www.cenorm.be/cenorm/businessdomains/businessdomains/isss/cwa/electronic+signatures.asp

– ETSI SEC ESI: X.509 und qualifizierte Zertifikate, CSP Sicherheitspolitiken, Signaturformate (z.B. XML), Zeitstempel-Protokolle

http://portal.etsi.org/esi/el-sign.asp• Weitere Infos:

http://www.ict.etsi.org/EESSI_home.htm

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Common Criteria

• Gemeinsame Kriterien für die Prüfung und Bewertung der Sicherheit von Informationstechnik– ISO/IEC 15408– CC-Evaluierungen von Produkten, Systemen,

Schutzprofilen (Protection Profiles)– Verschiedene Stufen (EAL1-EAL7)

• Info: http://www.commoncriteriaportal.org

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Vertrauenswürdigkeits-stufen

• EAL1 – functionally testet• EAL2 – strukturally testet (ITSEC E1)• EAL3 – methodically testet & checked (ITSEC E2)• EAL4 – methodically designed, tested & reviewed (ITSEC E3)• EAL5 – semiformally designed & tested (ITSEC E4)• EAL6 – semiformally verified design & tested (ITSEC E5)• EAL7 - formally verified design & tested (ITSEC E6)

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Mechanismenstärke (SOF)

• Anwendbar, wenn Sicherheitsfunktionen enthalten sind, die auf einem Wahrscheinlichkeits- oder Permutationsmechanismus beruhen.

• SOF-Niedrig: Eine Stufe der EVG-Stärke von Funktionen, bei der die Analyse zeigt, dass die Funktionen einen angemessenen Schutz gegen zufälliges Brechen der EVG-Sicherheit durch Angreifer bieten, die über ein geringes Angriffspotential verfügen.

• SOF-Mittel: Eine Stufe der EVG-Stärke von Funktionen, bei der die Analyse zeigt, dass die Funktionen einen angemessenen Schutz gegen naheliegendes oder absichtliches Brechen der EVG-Sicherheit durch Angreifer bieten, die über ein mittleres Angriffspotential verfügen.

• SOF-Hoch: Eine Stufe der EVG-Stärke von Funktionen, bei der die Analyse zeigt, dass die Funktionen einen geeigneten Schutz gegengeplantes oder organisiertes Brechen der EVG-Sicherheit durch Angreifer bieten, die über ein hohes Angriffspotential verfügen.

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Schutzprofile:

CMCSO-PPCMCKG-PP

SSCD-PP

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Signaturerstellungseinheit

• Signature Creation Device (SCD)– PC mit Signaturanwendung– PDA – Mobiltelefone– Chipkarte– Spezielles Gerät mit Signaturanwendung

(Hardware Security Modul, z.B PCI Einsteckkarte)

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Sichere Signaturerstellungseinheit

• Secure Signature Creation Device (SSCD)– Laut Anhang III der EU-SigRL– Veröffentlicht im EU Amtsblatt Nr. L 175 vom

15/07/2003 S. 0045 – 0046– CWA 14169: Secure Signature Creation Devices,

version EAL 4+

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Signaturerstellungs-einheit eines ZDA

• Cryptographic Module for CSP Signing Operations (MCSO)– Implementiert EU-SigRL Anhang II f und g– Veröffentlicht im EU Amtsblatt Nr. L 175 vom

15/07/2003 S. 0045 – 0046– CWA 14167-2 (März 2002): security requirements

for trustworthy systems managing certificates for electronic signatures - Part 2: cryptographic module for CSP signing operations - ProtectionProfile (MCSO-PP)

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Vertrauenswürdiges System eines ZDA

• System Security Requirements– Implementiert EU-SigRL Anhang II f– Veröffentlicht im EU Amtsblatt Nr. L 175 vom

15/07/2003 S. 0045 – 0046– CWA 14167-1 (März 2003): security requirements

for trustworthy systems managing certificates for electronic signatures - Part 1: System Security Requirements

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Empfohlene Algorithmen und Parameter für sichere el. Signaturen

• „ESI ALGO-Paper“• ETSI Special Report SR 002 176 (März 2003)

„Electronic Signatures and Infrastructures (ESI);Algorithms and Parameters for Secure Electronic Signatures“

• Wird von neuer SigV übernommen

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Infrastruktur in Österreich

• Zertifizierungsanbieter– A-Trust, mobilkom, u.a.

• Aufsicht– Telekom-Control-Kommission, RTR GmbH

• Bestätigungsstelle– A-SIT

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Zertifizierungsdienste-anbieter

• 1 akkreditierter Anbieter für qualifizierte Zertifikate (sichere Signaturen):www.a-trust.at

• 1 Anbieter für Verwaltungssignaturen:www.a1.net/signatur

• 3 weitere aktive Anbieter:– ARGE Daten, Generali IT-Solutions, IAIK TU-Graz

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

A-Trust

• A-Trust bietet seit 15.12.2001 Zertifikate für die einfache elektronische Signatur an.

• Seit 25.02.2002 werden qualifizierte Zertifikate für sichere elektronische Signaturen ausgestellt.

• Seit 11.3.2002 Akkreditierung durch TKK• Gesellschafter:

– Österr. Banken– Oesterreichische Nationalbank– Telekom Austria– Wirtschaftskammer Österreich

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Telekom-Control-Kommission

• Die Aufsichtsstelle hat insbesondere1. die Umsetzung der Angaben im Sicherheits- und im

Zertifizierungskonzept zu überprüfen2. im Fall der Bereitstellung sicherer elektronischer

Signaturen die Verwendung geeigneter technischer Komponenten und Verfahren (§ 18 SigG) zu überwachen

3. Zertifizierungsdiensteanbieter nach § 17 SigG zu akkreditieren und

4. die organisatorische Aufsicht über Bestätigungsstellen (§ 19 SigG) durchzuführen.

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

RTR-GmbH

• Die Rundfunk und Telekom Regulierungs-GmbH (RTR-GmbH) ist seit 01.04.2001 Rechtsnachfolgerin der früheren Telekom-Control GmbH.

• Bei der Durchführung der Aufsicht bedient sich die Telekom-Control-Kommission als Aufsichtsstelle für elektronische Signaturen der RTR-GmbH

• Die RTR-GmbH hat insbesondere die Verzeichnisse der Zertifizierungsdiensteanbieter zu führen.

• Im Fall des begründeten Verdachts, dass die Sicherheitsanforderungen des Signaturgesetzes nicht eingehalten werden, kann die RTR-GmbH unmittelbar die vorläufige Untersagung der Tätigkeit eines Anbieters oder geeignete gelindere Maßnahmen anordnen.

• Info: http://signatur.rtr.at

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Bestätigungsstelle

• In technischen Fragen bedient sich die Aufsichtsstelle für elektronische Signaturen einer Bestätigungsstelle

• Bei technischen Komponenten und Verfahren für die Erzeugung sicherer Signaturen muss von einer Bestätigungsstelle bescheinigt sein, dass die Sicherheitsanforderungen erfüllt sind(§ 18 Abs. 5 SigG).

• Als erste und bislang einzige österreichische Bestätigungsstellewurde der Verein "Zentrum für sichere Informationstechnologie – Austria (A-SIT)" durch die Verordnung BGBl II 2000/31anerkannt.

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

A-SIT

• Gegründet: Mai 1999• Mitglieder:

– Bund (BMF)– OeNB– TU Graz– Steirische Wirtschaftsförderung (SFG) (seit Mitte

2003)

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Unsere Mission:

Der Verein, dessen Tätigkeit nicht auf Gewinnausgerichtet ist, bezweckt die kompetente Zusammenführung und Weiterentwicklung fachlicher Inhalte aus dem Bereich der technischen Informationssicherheit.Zielsetzung ist die umfassende Unterstützung seiner Mitglieder, des Gesetzgebers, der Behörden und der Sozialpartner.

Quelle: Statuten

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Gründungsziele

Bund OeNB TU Graz

Hoheitl.Funktion[Best.Stelle]Unterstützung-Ministerien-Verwaltung-Wirtschaft-Bürger

ZSA-Techn.GutachterUnterstützung-Oversight

KompetenzRessourcenWirtschafts-faktor Stmk

Kein neues AmtInteressensneutral

Lebensfähige, schlanke Organisation

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

About A-SIT

Position:

• Strikte Neutralität• = weisungsfrei• = wirtschaftlich unabhängig

Finanzierung:• Direkte Services: durch Auftraggeber• Allgemeine Leistungen,

Infrastruktur: durch Mitglieder

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Tätigkeitsfelder

Bestätigungsstelle§19 SiG UnterstützungBescheinigungen § 18(5)Bestätigungen

Policies, HandbücherE-Government

Begutachtung, Evaluierungsmgmt.

Awareness

InternetVeranstaltungenGutachten TKK, OeNB, DSK

Schiedsverfahren e-gov GütesiegelAnalysen, Berichte

InternationaleKooperation

Technologie-Beobachtung

BSI, ISBEU, EESSI

Algorithmen u VerfahrenPrototypen u Demos

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Aufgaben einer Bestätigungsstelle nach §19 SigG

• Bescheinigungen nach §18(5) SigG• Bestätigungen der Konformität mit SigG, SigV und

EU-RL (≠ Bescheinigung nach §18(5) SigG)• Unterstützung der Aufsicht (RTR GmbH)• Dienstleistung für Betreiber/Hersteller• Beobachtung der technologischen Entwicklung• Mitarbeit in internationalen Gremien (EESSI,

Europarat etc.)

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Was ist zu bescheinigen?

• SSCD (=Chipkarte) beim Signator (Art 2 Z6 EURL)

• Hashbildung (konfigurationsabhängig) §7(1) SigV

• Anzeige zu signierender Daten §7(2) SigV

• Auslösen des Signaturvorgangs (=PIN) §7(3) SigV

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Elemente eines Signaturerstellungssystems

DTBS(Trusted Viewer)

SSCD: “Implementiert Signaturerstellungsdaten ”

z.B. Smart-Card(1999/93/EC Annex III)

SCD(private key)Benutzer-Authentisierung

(z.B. PIN Eingabe)

Dokument

(Hashwert)

SVD export (public key/Zertifikat)

Elektronische Signatur

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Bescheinigungen nach §18(5)

• Aktuell gültig: (Stand 10/2003)– 2 Chipkarten– 5 Chipkartenleser– 4 Viewer– 1 Hardware Security Modul

• Bescheinigungen anderer bei der EU notifizierter Bestätigungsstellen werden in Österreich anerkannt

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Zahlungssystemaufsicht

• OeNB A-SIT Gründungsmitglied– Ziel: kompetente Unterstützung der

Zahlungssystemaufsicht in techn. Belangen• A-SIT erstellt Gutachten über die organisatorische

und technische Systemsicherheit im Auftrag der OeNB

• Marktbeobachtung: „New Payment“– E-Geld– Zahlungssysteme im Internet– M-Payment

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

ZSA, rechtl. Hintergrund

• Per 1. April 2002 • Rechtsgrundlage dafür ist §44a NBG

(Nationalbankgesetz)• § 44a (1) NBG: „Die OeNB ist zur Ausübung der Aufsicht

über die Zahlungssysteme verpflichtet. Die Aufsicht umfasst die Prüfung der Systemsicherheit von Zahlungssystemen.“– Betreibern von Zahlungssystemen-– Teilnehmern an Zahlungssystemen (inklusive

ausländischen)• § 44a (4) NBG: „Zahlungssystem …ist jedes System gemäß §

2 des Finalitätsgesetzes, …,sowie jede gewerbliche Einrichtung mit mindestens drei Teilnehmern, die dem elektronischen Transfer von Geldwerten dient“

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

ZSA, rechtl. Hintergrund (2)

• § 44a (2) NBG: „Systemsicherheit … ist die Summe der von den Betreibern und Teilnehmern eines Zahlungssystems zu ergreifenden Maßnahmen, die dem sicheren Umgang mit den rechtlichen, finanziellen, organisatorischen und technischen Risiken dienen, die mit dem Betrieb von einem Zahlungssystem oder mit der Teilnahme an einem Zahlungssystem verbunden sind.“

• Das Nationalbankgesetz ermächtigt unter anderem– zur Auskunftseinholung (§ 44a (7 + 8) NBG)

• über die getroffenen Maßnahmen zur Gewährleistung der Systemsicherheit und

• die Art und das Volumen der abgewickelten Zahlungen– zur Beiziehung von Sachverständigen (§ 44a (9) NBG)

=> A-SIT

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

ZSA, norm. Grundlagen

• „Core Principles“:– Empfehlung der Bank für internationalen Zahlungsausgleich

(BIZ, www.bis.org)– im Euroraum durch EZB-Ratsbeschluss verpflichtend– CP7 relevant für techn./org. Systemsicherheit

• EMSSO (Electronic Money System Security Objectives)– Sicherheitsanforderungen des Eurosystems an E-

Geldsysteme–im Euroraum durch EZB-Ratsbeschluss verpflichtend

• ESCB/CESR (Committee of European Securities Regulators) Standards – In Ausarbeitung– Werden analog zu EMSSO und CP verpflichtend werden

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

ZSA, Aufsichtsgrundsätze

• Aufsichtsgrundsätze/Leitfäden für– ARTIS– Multilaterale Kleinbetragszahlungssysteme– E-Geld– Wertpapier Clearing und Settlement Systeme (in

Ausarbeitung)– Systemrelevante Teilnahme

• Die AGs/LF sind öffentlich verfügbar: – http://www.oenb.at

@Finanzmarkt/-stabilität@Zahlungssystemaufsicht

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

AG, Beispiele

• Techn. AG (4) multilaterale Kleinbetragszahlungssysteme– Das Zahlungssystem soll die korrekte Authentisierung der

Endkunden sicherstellen.• Techn. AG (13) multilaterale Kleinbetragszahlungssysteme

– Zur Gewährleistung der Verfügbarkeit und Betriebssicherheit des Systems sollen etablierte, dem jeweiligen Stand der Technik entsprechende Maßnahmen gesetzt werden. Insbesondere soll die Verfügbarkeit der zentralen Autorisierungssysteme während der Betriebszeiten des Zahlungssystems gewährleistet sein.

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

ARTIS

• Austrian Real Time Interbank Settlement System– Zahlungen aus geld- und währungspolitischen Operationen

des ESZB– Zahlungsausgleich von Nettingsystemen: EBA (European

Banking Association)– Zwischenbankzahlungen aus dem Devisen-, Geld- und

Wertpapierhandel– Kundenaufträge mit taggleicher und finaler Verbuchung– Saldenausgleichszahlungen aus dem POS-, Bankomat- und

Kreditkarten-Clearing– Zahlungen aus Börseabrechnungssystemen– Sonst. Zahlungen aus Gründen der Risikominimierung

und/oder Dringlichkeit

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

ARTIS (2)

• Seit 2003: Elektronischer Kontozugang über Internet• Zahlungsaufträge werden mit sicherer el. Signatur

versehen

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

ZSA, weitere Systeme

• Maestro (Europay Austria, APSS)

– Umsatz 2003: 8.344 Mio EUR Zahlungstransaktionen (4x mehr als 1998), 14.460 Mio EUR Bargeldabhebungen (Steigerung seit 1998 ca. 18%)

• Weitere 10 Zahlungssysteme (inkl. E-Geld)• 3 Wertpapier Settlement Systeme• Teilnehmer (an Zahlungssystemen)• 1 Infrastrukturbetreiber

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Anwendungen der el. Signatur

• Einfache Signaturen:– E-Mail– SSL-Verbindungen

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Anwendungen

• E-Government – Bürgerkarte

• E-Rechnung

• E-Payment

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

E-Government

• Citizen-to-public administration• Business-to-public administration• public administration-to-public administration• Foreign public administration-to-public

administration

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

EU-Benchmarking

• Im Rahmen der vom ER beschlossenen Aktionspläne eEurope2002 und eEurope 2005 wurden zur Messung der Umsetzungsfortschritte 23 generelle Indikatoren festgelegt. Zusätzlich zu diesen, wurden vom Rat 20 ausgewählte E-Government Basisdienste verabschiedet.

• In den Jahren 2001 bis 2002 wurden 3 Benchmarking Studien durchgeführt, um die Fortschritte bei der Umsetzung der festgelegten E-Government Basisdienste in den EU-Mitgliedsstaaten kontinuierlich zu überprüfen. Bei der ersten Studie im Oktober 2001 nahm Österreich den 10. Platz, bei der zweiten im April 2002 Platz 13, bei der dritten im Oktober 2002 Platz 11 ein.

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

EU-Benchmarking 2004

• Veröffentlicht von Cap Gemini Ernst&Young im Jänner 2004 (Evaluierung September 2003 -Dezember 2003)

• Herausragendstes Ergebnis ist, dass sich Österreich von Platz 11 auf Platz 4 in der Gesamtwertung aller 18 Staaten, die verglichen wurden (15 EU-Mitgliedstaaten, Schweiz, Island und Norwegen) vorschieben konnte.

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

EU-Benchmarking 2004

• Die bisherigen Anstrengungen, E-Government Dienste als komplette Transaktion einschließlich elektronischer Zahlung und Zustellung anzubieten, tragen bereits die ersten Früchte. Mit 68% ist Österreich knapp hinter Dänemark (75%) und vor Schweden (67%) Ranglistenzweiter.

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Die Bürgerkarte

• Konzept für E-Government in Österreich• „Amtliches Ausweisdokument“ im Internet

– Für sichere elektronische Abwicklung von Verwaltungsverfahren (sichere Authentifizierung)

– Unterschiedliche Ausprägungen möglich:• Dzt: Chipkarte, Mobiltelefon

– Kann von Behörden oder Privatwirtschaft ausgegeben werden• zB: Studierendenausweis, Dienstkarte,

Bankkarte, ...

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Funktionen der Bürgerkarte

• Elektronische Signatur:– Sichere elektronische Signatur (zB mit

qualifiziertem A-Trust Zertifikat)– Verwaltungssignatur (zB mit A1-Bürgerkarte)

• Identifikation:– Durch Personenbindung

Weitere Informationen: www.buergerkarte.at

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Security Layer

• Technische Schnittstelle • Ermöglicht Anwendungen

Zugriff auf die Bürgerkarte• Bei Chipkarte SW auf

lokalem Rechner:„Bürgerkartenumgebung“(SW ist kostenlos unter http://www.cio.gv.at/identity/bku/erhältlich.

• Bei Mobiltelefon ist die SW amServer implementiert

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Anwendungsbeispiele

• FinanzOnline• El. Zustellung• Strafregisterbescheinigung• Meldebestätigung• Studienbeihilfe• ....

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Beispiel: FinanzOnline

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Auswahl der Bürgerkartenumgebung

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Anmeldung

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Personenbindung auslesen

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Signatur

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

PIN Eingabe

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Fertig:

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Bürgerkarte Ausblick

• Bankkarten („Bankomat-Karte“) werden Ende 2004/Anfang 2005 bürgerkartenfähig sein

• SV-Karte („e-card“) soll 2005 kommen, wird bürgerkartenfähig sein

• Verwaltungsanwendungen von Bund, Ländern und Gemeinden werden sukzessive bürgerkartenfähig gemacht.

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

E-Rechnung

• Rechnungslegungsverordnung (Voraussetzung für Vorsteuerabzugsfähigkeit):

• Signatur nach „§ 2 Z 3 Lit. a-d SigG“:a) ausschließlich dem Signator zugeordnet ist,b) die Identifizierung des Signators ermöglicht,c) mit Mitteln erstellt wird, die der Signator unter seiner

alleinigen Kontrolle halten kann,d) mit den Daten, auf die sie sich bezieht, so verknüpft ist,

daß jede nachträgliche Veränderung der Daten festgestellt werden kann

• Großes Interesse bei Telekom-Unternehmen, Energieversorgern, etc. (Einsparungspotential mind. Briefporto)

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

E-ZahlungsverkehrEPS E-Payment Standard

• EPS Version 2• Entwickelt von Studiengesellschaft für Zusammenarbeit im

Zahlungsverkehr (STUZZA) in Zusammenarbeit mit der Stabsstelle IKT Strategie des Bundeskanzleramts

• "garantierte Bezahlung" bei der der Zahlungspartner (z.B. die Bank) die Haftung für die Zahlung übernimmt.

• Das Aviso bzw. die Zahlungsbestätigung ist elektronisch signiertund kann damit als nachprüfbarer Beleg verarbeitet bzw. archiviert werden.

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

EPS

• Erlaubt Bezahlen über Online-Banking bei E-Government Anwendungen und Webshops.

• Wird von den meisten österr. Online-Banking Systemen unterstützt:

• BAWAG-PSK Gruppe• Raiffeisen Gruppe• ERSTE Bank u. Sparkassen• BA-CA Gruppe

• Info: www.stuzza.at

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

EPS Zahlungsablauf

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Ausblick:Online Banking mit Signaturkarte

• Mehr Sicherheit als bei PIN und TAN– zB gegenüber Phishing-Attacken

• Derzeit nur bei BAWAG• 2005 auch bei anderen Banken der BAWAG P.S.K.

Gruppe• Ab 2005 sind alle Bankkarten signaturfähig

E-Si

gnat

ur,

E-G

over

nmet

, E-

Zahl

ungs

verk

ehr

Ende

Ich danke für Ihre Aufmerksamkeit.