Elster mit Unterschrift

Elster, Coala, Wiesel ... und das noch mit Unterschrift

Ab dem 1. Januar des kommenden Jahres gibt's die Elster auch mit Signatur. Gemeint ist natürlich das inzwischen berühmt-berüchtigte Elster-Verfahren, zur Abgabe von Steueranmeldungen und -erklärungen auf elektronischem Wege.

Wie euch vermutlich größtenteils bekannt sein dürfte, sind Umsatzsteuervoranmeldungen sowie Lohnsteueranmeldungen bereits seit Beginn des Jahres 2005 auf elektronischem Wege an die Finanzverwaltung zu übermitteln. Die bis dato gewohnte Abgabe auf totem Baum war - zumindest abgesehen von Ausnahmegenehmigungen, wenn man keinen Computer besitzt - plötzlich nicht mehr zulässig.

Weiter wurde der Ruf des Verfahrens dadurch nicht besser, dass die Übermittlung ohne jede Authentifizierung statt fand bzw. nach wie vor so statt findet. Ganz im Gegenteil, etliche Datenschutzbeauftragte und weitere Anhänger dieses Zirkels liefen dagegen Sturm - zuerst ohne große Resonanz.

Nach einer Weile kippte jedoch dann auch die Meinung der Steuerverwalter um, man bemühte sich plötzlich eine Lösung zu finden: die Authentifizierung sollte eingeführt werden, ElsterOnline war geboren - zuerst im Rahmen einer Pilotphase seit etwa Ende September 2005. Ab dem kommenden Jahreswechsel 2005/2006 soll dann der Produktivbetrieb folgen.

Bis zum Jahreswechsel räumten einige Oberfinanzdirektionen auch ein, dass man wieder das gewohnte Papierformular abgeben dürfe, wenn einem die Onlineübermittlung so gar nicht zusagt - Vorreiter war hier das Land Nordrhein-Westfalen.

Coala mit Unterschrift

Der Pilotbetreib erstreckte sich erst über die Länder Bayern, Berlin, Hessen, Nordrhein-Westfalen und Sachsen - gut so, dann durfte ich als Franke wenigstens von Anfang an dabei sein...

Um mitmischen zu können, musste man sich erstmal anmelden, das heißt: Steuernummer, Geburtsdatum und E-Mail-Adresse hinterlassen. Daraufhin bekommt man einen Aktivierungs-Code (per Snail-Mail) und eine Aktivierungs-ID (per E-Mail).

Weiter müssen wir uns zwischen drei Möglichkeiten entscheiden, wie unser privater Schlüssel gesichert werden soll. ElsterOnline bietet uns

• Signaturkarte (... und Kartenleser; "ELSTER-Plus")
• ELSTER-Stick (das ist ein USB-Dongle mit integriertem Kryptochip; "ELSTER-Spezial")
• Software-Zertifikat (ELSTER-Basis)

Ich hab mich für die kostengünstigste Möglichkeit entscheiden - das Softwarezertifikat. Natürlich mit dem Nachteil, dass es auch am unsichersten ist - aber ich will ja eh nur testen ...

Sobald man Aktivierungs-Code und Aktivierungs-ID in Händen hält, kann's weitergehen. Erster Login. Certificate Request. Fertig.

Wir haben jetzt einen mittels PIN geschützten PKCS#12-Container, der zwei private Schlüssel und die dazugehörigen X.509-Zertifikate enthält. Jeweils ein Paar zum Verschlüsseln, eines zum Signieren - wobei wir nur das Letztere wirklich brauchen. Verschlüsselt wird mit dem Public-Key der Clearingstelle und ansonsten symmetrisch.

Wie das Datenübermittlungsverfahren selbst funktioniert, darauf möchte ich hier nicht mehr näher eingehen. Stattdessen sei auf neko's Artikel in der DS #084 verwiesen.

Wie lautet die logische Fortsetzung aus XML, GZIP, 3DES, PKCS#7, Base64 und HTTP? Genau, es kommt PKCS#1, XML-DSig, SHA1 und RSA zum Einsatz. Naja, hätte schlimmer kommen können - es handelt sich ja um lauter zugängliche Sachen. openssl und die libxmlsec1 kümmern sich um die Details.

Soviel zur Theorie.

Die Implementierung war dann doch zum Teil non-trivialer Natur, es gab' kaum Leute, die sich sonst noch mit dem Thema beschäftigen. In Kombination mit Open Source dann eigentlich keinen mehr. Schade eigentlich. Beispiele, wie das Ergebnis aussehen soll? Fehlanzeige. Fehlermeldungen? Nichts sagend. Naja, hätte wohldokumentierter sein können - zugegeben, war ja noch der Anfang der Pilotphase, von daher will ich mal nicht weiter meckern.

Side Effect: Ich könnte jetzt digital signierte Umsatzsteuervoranmeldungen abgeben (wenn ich ein Unternehmen hätte). Jedem, der eines hat, sei geraten, das möglichst schnell zu tun. Wer nämlich einmal eine Voranmeldung mit Signatur eingereicht hat, wird bei dessen Steuernummer ein Marker gesetzt, dass keine Unsignierten Anmeldungen mehr ohne Nachfrage verarbeitet werden.

Soll heißen: bis auf weiteres wird man zur Signatur nämlich nicht verpflichtet - wer also immer ohne Signatur einreicht, erfährt keinen Vorteil.

ElsterOnline will mehr werden

Jaja, ElsterOnline will noch groß und stark werden. Mehr als ein Internet-Portal zur Vergabe von PKCS#12 Containern. Gegenwärtig gibt's bereits die Möglichkeit, die Umsatzsteuervoranmeldung sowie die Lohnsteueranmeldung in ein Java-Applet zu erfassen und zu übermitteln. Hessen bietet seine Steuerkontenabfrage.

Kommen sollen noch die Lohnsteuerbescheinigungen, die sog. Zusammenfassende Meldung (zwecks innergemeinschaftlichem Warenverkehr), signierte Kommunikation, etc.

Der Begriff "persönliches elektronisches Finanzamt" machte schon die Runde - mal sehen, was uns noch so erwartet.

Fazit

Alles in allem ist die Umsetzung der digitalen Signatur ganz gut gelungen. Es ist zwar grundsätzlich nach wie vor möglich, Anmeldungen mit fremder Steuernummer abzugeben, nachdem das dafür vorgesehene Feld nicht mit der Steuernummer übereinstimmen muss, für die das Zertifikat ausgestellt wurde. In diesem Fall ist jedoch zumindest nachvollziehbar, von wem der Fall kam, da bekannt ist, an wen das Zertifikat ausgestellt worden ist.

Die Abgabe dahingehend zu beschränken, dass nurmehr für die eigene Steuernummer abgegeben werden kann, ist nicht zielführend - ansonsten kann der Steuerberater nichts mehr übermitteln (oder er muss Zertifikate und PIN-Codes sammeln).

Die Dokumentation ist nicht unbedingt prikelnd, aber es gibt wichtigere Baustellen.

Bei der Konzipierung wurde auf offene Verfahren gesetzt - keine proprietären Verfahren, eigene Dateiformate, etc.pp

Wer von euch also regelmäßig eine Steueranmeldung abzugeben hat, möglichst umgehend beim ElsterOnline-Portal anmelden und mit Signatur übermitteln.

PS: Wer das Ganze einfach selbst mal ausprobieren will, dem sei ein Blick auf die libgeier empfohlen.

von stesie <stesie@brokenpipe.de>

published under the GNU Free Documentation License