Für die rechtsverbindliche und sichere Kommunikation zwischen Behörden und Unternehmen bedarf es mehr als gut gemeinter Willenserklärungen. Vielmehr gilt es, Standards zu verabschieden und Softwareprodukte zu entwickeln. Das hat auch die Bundesverwaltung erkannt und im Rahmen von Bund Online 2005 die Virtuelle Poststelle des Bundes (VPS) entwickelt. Dabei handelt es sich nicht um irgendeine Stelle für die zentrale Abwicklung der gesamten elektronischen Kommunikation der Bundesbehörden. Vielmehr ist sie ein Sicherheits-Gateway, ein modulares Softwarepaket ohne "Gesicht" beziehungsweise eine Middleware, die für Client- und Backend-Systeme kryptografische Dienste zur Verfügung stellt.

Sie unterstützt sowohl die E-Mail- als auch die Web-Kommunikation. Die Kern- und Web-Komponenten der VPS basieren auf der Software "Governikus 2.0" der Firma Bremen Online Services, für die E-Mail-Welt wurde das Mail-Gateway "Julia Mail Office" von ICC integriert.

Die VPS-Version 2.0 ist seit Februar 2005 freigegeben und steht allen Bundesbehörden lizenz- und pflegekostenfrei zur Verfügung. Gemäß Kabinettsbeschluss vom 9. März 2005 sind alle Bundesbehörden sogar verpflichtet worden, die VPS für Signatur und Verschlüsselung einzusetzen. Auch die Länder und Kommunen können das Produkt auf Basis eines Rahmenvertrags zwischen Bremen Online Services und dem Koopa ADV nutzen. Elf Bundesländer machen davon bereits Gebrauch. Meist gilt das erworbene Nutzungsrecht auch für die Kommunen des jeweiligen Landes. In Zeiten leerer Haushaltskassen ist damit eine wichtige Voraussetzung für die breite Nutzung geschaffen.

Die VPS-Architektur

Das VPS-Kernsystem stellt für zahlreiche Module, Fachanwendungen und Systeme kryptografische Dienste zur Verfügung. Hier werden die eigentlichen Verschlüsselungsoperationen vorgenommen. Die Kommunikation der anderen Module und Anwendungssysteme mit dem VPS-Kernsystem erfolgt über die XML-Schnittstelle Document Interface (DI). Die Gültigkeit von Zertifikaten prüft ein OCSP/ CRL-Relay, das den Bundesbehörden zentral zur Verfügung gestellt wird. Für die Nutzung ist es unerheblich, ob der jeweilige Verzeichnisdienst Online-Auskünfte nach OCSP oder Sperrlisten (CRLs) bereitstellt.

Die Authentisierungskomponenten nehmen zertifikatsgestützte Authentisierungen vor. Diese Funktion kann von Web-basierenden Anwendungen genutzt werden, die je nach Er- gebnis Zugriffsrechte steuern (Autorisierung). Die Verifikationskomponenten überprüfen die Gültigkeit von elektronischen Signaturen.

Die OSCI-Server- und -Client-Komponenten unterstützen die Kommunikation auf Basis des OSCI-Transportprotokolls (Online Services Computer Interfaces), wobei sich die konsequente Trennung in die Kommunikationsrollen Client, Vermittler (Intermediär) und Backend als großer Vorteil herausgestellt hat. So können neutrale Dritte die Intermediärsrolle wahrnehmen und bestimmte VPS-Funktionen unter Wahrung der Vertraulichkeit zentral bereitstellen.

Das E-Mail-Gateway entschlüsselt und verifiziert eingehende E-Mails. Ausgehende E-Mails können ebenfalls an zentraler Stelle signiert und verschlüsselt werden. Damit erübrigen sich erfreulicherweise E-Mail-Plug-ins auf den Arbeitsplatz-PCs im Behördennetz. Das Gateway wird als zusätzlicher SMTP-Mail-Server zwischen Internet und Intranet platziert.

Einsatzszenarien

Ein Einsatz der VPS ist immer dann angezeigt, wenn die elektronische Kommunikation verschlüsselt, signiert oder zeitgestempelt erfolgen soll, wenn also besondere Anforderungen an Vertraulichkeit, Integrität und Verbindlichkeit gestellt werden. Prädestiniert ist die VPS für Verwaltungsprozesse, bei denen der Schriftform Genüge getan werden muss, also die eigenhändige Unterschrift durch eine qualifizierte elektronische Signatur zu ersetzen ist.

Zunächst unterstützt die VPS den Austausch verschlüsselter und signierter (SMTP-)E-Mails. Dieses Szenario ist insbesondere für die "unstrukturierte" Kommunikation mit einer offenen Benutzergruppe geeignet. Problematisch hierbei ist, dass für die qualifizierte elektronische Signatur zusätzliche und in der Regel kostenpflichtige E-Mail-Plug-ins eingesetzt werden müssen - ein Nachteil, der entfällt, wenn beide Partner die entsprechenden VPS-Komponenten verwenden.

Ein interessantes Szenario ist die "OSCI-Web-Mail-Kommunikation", die sich schnell und einfach realisieren lässt. Die VPS-Client-Komponenten lassen sich dabei über Java Web Start herunterladen. Zusätzliche Plugins sind nicht erforderlich. Die Verwaltung der Postfächer, in die OSCI-Nachrichten eingestellt und aus denen sie abgeholt werden, obliegt dem OSCI-Manager. Dessen Betrieb kann - im Sinne der Intermediärsrolle - von Behörden beziehungsweise Unternehmen selbst oder zentral von Dritten übernommen werden. Der Reiz der Lösung liegt in ihrer Einfachheit, Flexibilität und schnellen Realisierbarkeit. Nach diesem Szenario kann seit Dezember 2004 der elektronische Rechtsverkehr mit dem Bundesverwaltungsgericht und -finanzhof abgewickelt werden. Als Client kommt das "Elektronische Gerichts- und Verwaltungspostfach" (EGVP) zum Einsatz. Das EGVP ist eine Java-Applikation, die den VPS-Client integriert und somit der VPS für den Nutzer ein "Gesicht" gibt.

In einem dritten Szenario werden die OSCI-Nachrichten (etwa Anträge) automatisch aus den Postfächern ab- gerufen und in Fachverfahren eingespeist. So lassen sich beispielsweise Workflow-, Dokumenten-Management- oder Formularsysteme anbinden. Typische Einsatzbereiche sind strukturierte Antrags- und Genehmigungsverfahren. Darüber hinaus ließe sich die VPS auch für die sichere Maschine-Maschine-Kommunikation (etwa für automatisierte Meldeverfahren) einsetzen.

Die VPS ist aber auch ohne OSCI-Mechanismen nutzbar. Dieses Szenario ist insbesondere dann angezeigt, wenn bereits etablierte Verfahren um kryptografische Funktionen erweitert werden sollen oder der Einsatz von OSCI nicht möglich ist. In diesem Fall wird das VPS-Kernsystem direkt vom Fachverfahren angesprochen. Darüber hinaus können Authentisierungs- und Verifikationskomponenten verwendet werden.

Im fünften Einsatzszenario werden über die DI-Schnittstelle die Dienste des VPS-Kernsystems als "Kryptografie-Server" für interne Fachverfahren verwendet. Ein VPS-Client mit OSCI-Funktionen ist dazu nicht erforderlich. Auf diese Weise lassen sich Zeitstempel einholen, Zertifikate verifizieren oder Dokumente verschlüsseln. So können die für eine sichere und beweiskrafterhaltende Langzeitspeicherung elektronisch signierter Dokumente notwendigen Prüf-, Verifikations- und Zeitstempelfunktionen mit Hilfe des VPS-Kernsystems realisiert werden.

Beispiel aus der Praxis

Die Physikalisch-Technische Bundesanstalt (PTB) stellt im Internet unter dem Kurznamen Ex-Info den Herstellern, Betreibern und Gutachtern explosionsgeschützter Geräte/Betriebsmittel neben einem Informations- und Rechercheportal ein Antragsverfahren für die Zertifizierung (Ex-Info Vorgang Online) zur Verfügung.

Die VPS lässt sich sehr gut in J2EE-basierende Anwendungsumgebungen integrieren. Diese J2EE-Applikation basiert auf dem internen Fachverfahren CATC (Computer Aided Testing and Certification). Um im Rahmen des Verfahrens Dokumente (Antragsunterlagen, Baubeschreibungen oder Prüfergebnisse) sicher und rechtsverbindlich austauschen zu können, wurde die VPS gemäß Szenario drei in das Verfahren integriert.

Vertrauliche Antragsstellung

Wenn die Nutzer des Fachverfahrens im Zuge der Antragsstellung oder -bearbeitung Dokumente verschlüsselt und signiert übermitteln möchten, erfolgt ein entsprechender Funktionsaufruf des VPS-Clients über Java Network Launching Protocol (JNLP) zur interaktiven Auswahl und Signatur der zu übermittelnden Dokumente. Der VPS-Client ist ein Java-Applet und beinhaltet die OSCI-Client-Enabler-Bibliotheken sowie alle notwendigen Funktionen zur lokalen Verschlüsselung und Signaturerzeugung. Der in die Fachanwendung integrierte VPS-Client wird initial oder im Update-Fall über Java Web Start geladen.

Problem Langzeitarchivierung

Die Dokumente werden entsprechend dem OSCI-Protokoll mit einer Transportverschlüsse- lung versehen und an den Intermediär (OSCI-Manager) übermittelt. Der Absender erhält eine Eingangsbestätigung. Ein für das Fachverfahren entwickelter, auf OSCI-Enabler-Bibliotheken basierender Adapter prüft auf dem Intermediär regelmäßig, ob neue OSCI-Nachrichten eingegangen sind, und übernimmt die darin enthaltenen Dokumente nach Entschlüsselung unter der entsprechenden Vorgangsnummer in das Fachverfahren. Dabei werden die Dokumente und Signaturen automatisch auf Integrität und Zertifikatsgültigkeit geprüft.

Für die im Rahmen der Zertifizierung bei der PTB eingegangenen beziehungsweise erstellten Dokumente besteht teilweise eine Aufbewahrungsfrist von 30 Jahren. Über diesen Zeitraum muss der Rechtszustand elektronisch signierter Dokumente erhalten bleiben. Zwar zeigte das vom Bundesministerium für Wirtschaft und Arbeit geförderte Projekt "Archisig" bereits technisch machbare und rechtlich anerkannte Lösungsansätze auf, von einem Durchbruch kann aber noch keine Rede sein. Nun hat die PTB unter dem Projektnamen "Archisafe" die Ergebnisse von "Archisig" aufgegriffen und entwickelt generische Vorgehensmodelle, Schnittstellen und Datenstrukturen für Archivobjekte.

Insbesondere die Datenstrukturen sind so zu gestalten, dass - neben den eigentlichen Nutzdaten - alle Zertifikatsinformationen und Verifikationsergebnisse dokumentbezogen verkehrsfähig über einen langen Zeitraum aufbewahrt werden können. Auch im Archivbereich werden aller Voraussicht nach VPS-Komponenten für die kryptografischen Funktionen zum Einsatz kommen.

Kommunikationsstrategie

In den VPS-Einführungsprojekten hat sich deutlich gezeigt, dass ein wesentlicher Erfolgsfaktor die Entwicklung einer klaren Kommunikationsstrategie ist. Erst wenn eindeutig dokumentiert ist, wer mit wem und mit welchem Schutzbedarf kommuniziert, kann man die Kommunikationskanäle und Nutzungsfunktionen anforderungsgerecht und vor allem prozessorientiert gestalten. Dabei stellt die VPS nicht einfach ein Tool für eine spezifische Lösung dar, sondern kann - aufgrund ihrer Funktionalität und mit Blick auf die Sicherheit - ein zentrales Gateway (Single-Point-of-Contact) für die Behörden- und Unternehmenskommunikation sein.

Hier hat die Verwaltung noch einige Hausaufgaben zu machen. Zu viele unterschiedliche Kommunikationsmechanismen fordern die Unternehmen infrastrukturell heraus. Demnach gilt es, das Standardisierungspotenzial der VPS - zumal sie auf Bundes-, Landes- und kommunaler Ebene verfügbar ist - stärker zu nutzen.

Fazit: Mittlerweile ist es technisch machbar, die Kommunikation zwischen Wirtschaft und Verwaltung sicher und rechtsverbindlich abzuwickeln. Die Werkzeuge sind vorhanden, so dass die Behörden den Zugang für die Übermittlung elektronischer Dokumente gemäß dem Verwaltungsverfahrensgesetz eröffnen können.(kf)