certificado de identidad und andere themen der IT-sicherheit

[SanLorenzo4]

als in spanien lebender geschäftstätiger wurde ich diese woche mit der anforderung konfrontiert, mir zur vereinfachung verschiedener geschäftsprozesse (insbesondere erledigung von steuerangelegenheiten) ein elektronisches certificado de identidad zuzulegen.

nach näherer beschäftigung mit dem thema, kann ich mich (nicht zum ersten mal) nicht des eindrucks erwehren, dass die computerisierung von prozessen hier voranschreitet, ohne dass die notwendige sicherheit gewährleistet wäre.

das zertifikat wird nach beantragung eines codes und authentifizierung der person mit dem code z.b. beim finanzamt oder beim SAC auf dem rechner installiert und hat die rolle einer rechtsgültigen elektronischen unterschrift.

mich würde mal interessieren, wer damit schon erfahrungen hat und insbesondere, was unsere it-freaks dazu sagen. ist sowas aus eurer sicht verantwortbar oder sollte man nicht auf andere technologien (fingerabdruck, chip-ausweis o.ä.) setzen.

das archiv mit den entsprechenden dateien kann wohl ohne allzu großen aufwand von rechner A auf rechner B portiert werden. die einzige "sicherheit", die man eingebaut hat, ist, dass die primärinstallation nur auf dem rechner vorgenommen werden kann, auf dem das zertifikat beantragt wurde.

ein anruf im call-center in madrid bestätigte mir, dass es wohl vielerorts usus ist, dass kunden ihrem gestor oder steuerberater das zertifikat für seine dienste zur verfügung stellen. der sehr freundliche mann am telefon gab mir auf die frage, ob das nicht eigentlich aus sicherheitsgründen eher nicht empfehlenswert sei, eine frage als antwort: er fragte mich, ob ich meine kreditkarte fremden personen leihen würde... der vergleich hinkt allerdings, denn die kreditkarte hat limits, während die elektronische unterschrift für alles mögliche benutzt werden kann.

in anbetracht der regen tätigkeit böser buben (und mädchen?) im it-bereich in spanien stellen sich mir die verbleibenden resthaare zu berge....

anderes beispiel, gleiche schublade: für mich unverständlich das renommierte banken hier immer noch mit 4-stelligen tan-nummern arbeiten, das war der stand der technik vor ca. 3 oder 4 jahren in D-land....

[HolgerP]

als in spanien lebender geschäftstätiger

Das gibt es in Deutschland auch.

das zertifikat wird nach beantragung eines codes und authentifizierung der person mit dem code z.b. beim finanzamt oder beim SAC auf dem rechner installiert und hat die rolle einer rechtsgültigen elektronischen unterschrift.

Das funktionier leicht abgewandelt ähnlich.

das archiv mit den entsprechenden dateien kann wohl ohne allzu großen aufwand von rechner A auf rechner B portiert werden.

Das ist auch gut so. Und Du solltest dieses 'Archiv' auch schnell sichern:
Auf CD brennen und in das Bank-Schliessfach lagen

Denn: Was würdest Du machen, wenn Dein Rechner kaputt geht
Oder wegen irgendwelcher Viren neu installiert werden muss..?

die einzige "sicherheit", die man eingebaut hat, ist, dass die primärinstallation nur auf dem rechner vorgenommen werden kann, auf dem das zertifikat beantragt wurde.

Das ist wohl eine spanische Spezialität?
Wenn ja, WIE soll das gehen?
Was ist der Unterschied zwischen einer (Erst-) Installation und der 'Archiv'-Kopie?

Gruß, Holger

PS: https://www.elsteronline.de/eportal/...istrierung.tax

[SanLorenzo4]

die fragen hab ich auch gestellt: wenn du aus irgendwelchen gründen (rechner kaputt etc.) das zertifikat nicht mehr nutzen kannst, musst du einfach ein neues beantragen und das alte wird automatisch ungültig, da nur eins pro person aktiv sein kann.

das mit dem installieren auf dem rechner, auf dem es beantragt worden ist, funktioniert wohl über cookies oder so was. jedenfalls kommt es bei der installation je nach browser und einstellungen auch zu problemen, etwa weil cookies bei neustart des browsers gelöscht oder nicht akzeptiert werden.

mir ist schon klar, dass es sowas in D auch gibt. zur authentifizierung von e-mails etc. oder meinetwegen auch zu steuersachen ok. aber eine nicht sichere elektronische unterschrift, die beliebig portiert werden kann, ist ja fast sowas wie eine generalvollmacht für unbekannt, wenn sie von bösen jungs und mädels von deinem rechner entwendet wird und die herrschaften sich zugang zu deinem postfach und code verschafft haben.

ich fürchte, gerade hierzulande wissen viele gar nicht, was sie tun oder haben eine art gottvertrauen in sachen IT.....

ich hab beim call-center des certifikat-anbieters in madrid gefragt, warum man nicht für gestorias etc. eine art begrenzte elektronische vollmacht realisieren kann. er meinte, dass sei vielleicht eine gute idee, aber derzeit geht nur "ganz oder gar nicht"....

[HolgerP]

die fragen hab ich auch gestellt: wenn du aus irgendwelchen gründen (rechner kaputt etc.) das zertifikat nicht mehr nutzen kannst, musst du einfach ein neues beantragen und das alte wird automatisch ungültig, da nur eins pro person aktiv sein kann.

ABER: Das braucht doch 'etwas' Zeit?!

Also: Entweder das Zertifikat lässt sich per Datei-Transfer 'woanders' nutzen oder nicht.
WENN JA, dann ist es egal, ob bei einer Gestoria oder auf Deinem neuen Rechner, oder?

mir ist schon klar, dass es sowas in D auch gibt. zur authentifizierung von e-mails etc. oder meinetwegen auch zu steuersachen ok.

Das ELSTER-System ist für Steuer-Angelegenheiten in Deutschland.

'Im Prinzip' ist es möglich, den Zweck eines Zertifikates einzugrenzen und es auch 'zurückzuziehen', wenn es nicht mehr vertrauenswürding ist. Das ist aber bei den
Elster-Zertifikaten auch nur teilweise der Fall...


Gruß, Holger

[SanLorenzo4]

viel zeit braucht es nicht, das geht erstaunlich fix. certificado per mail beantragen, antwort kommt unverzüglich mit dem code. NIE und pass unterm arm zum SAC, vorausgesetzt deren system funzt (was leider nicht immer der fall ist), authentifizierst du dich, gehst heim und installierst das ding. halber tag und fertig.

@thema limitieren der befugnisse: genau das halte ich für unabdingbar. gerade, wenn man das ding an dritte weitergibt, etwa an die gestoria. kann doch wohl nicht ernsthaft eine nicht einzugrenzende unterschriftsvollmacht sein...

wir haben in den letzten monaten genügend beispiele erlebt, wo parlament, großbanken und andere institutionen zum ziel von hacker-angriffen wurden. mir kann kein mensch erzählen, dass so ein ding auf einem privatrechner auch nur annähernd sicher sein kann.

merkel wurde viel belächtelt von wegen internet = neuland. technologiegeschichtlich hat sie gar nicht so unrecht. wären autos so sicher und zuverlässig wie die IT, würde ich wahrscheinlich reiten lernen, um von A nach B zu kommen.....

[Kanarienvogel]

Grundsätzlich ist es sicher - wenn du für das Zertifikat ein sicheres Passwort verwendest und das auch sicher verwahrst. NIEMAND (auch nicht dein Steuerberater, deine Sekretärin oder sonst wer) sollte Zugriff darauf haben. Eben weil es als deine persönliche Unterschrift gilt. Der Steuerberater kann von dir eine Vollmacht bekommen, für die er dann aber ein eigenes Zertifikat braucht.

Ansonsten: Sicher gibt es vielleicht auch sicherere Technologien (zum Beispiel der ganz persönliche Gang zum Finanzamt, oder notariell beglaubigte Unterschriften auf Papier-Formularen), aber als Gewerbetreibender hast du keine Wahl. Du MUSST auf das neue Verfahren umstellen (das so seit etwa vier Jahren forciert wird). Ansonsten bekommst du Mitteilungen, Bescheide und Fristsetzungen vom Finanzamt nicht mehr mit. Und bist am Ende leider der Dumme.

Und: Ja, knacken kann man jedes System. Allerdings glaube ich dann doch nicht, dass jemand in meinem Namen beim Finanzamt Spaniens eine Anmeldung macht und Geld einzahlt. Leider. Das musste ich bisher immer selbst machen...

[Lucky2020]

Ja wie o.g. gibt es noch ein extra Passwort , oder...?

4stellige TANs kenn ich nicht, aber auch hier müsste ertmal der gesamte Login geknackt werden, danach könnte man gerade mal eine Überweisung machen, mit einer Chance von 1:3333 bei 2 Fehlversuchen.

mfG

[SanLorenzo4]

bis vor ca. 3 oder 4 jahren war meine it-welt (oder jedenfalls die vorstellung darüber) noch intakt. regelmässige virenscans, 1 x pro jahr den neusten und besten kostenpflichtigen scanner, system-updates machen, firewall, passwörter wechseln....

inzwischen weiß ich, dass profis, wenn sie nur wollen, und sei es, um mit dir herumexperimentieren, in dein system reinkommen. passwörter können per key-logger ausgelesen werden, nicht jeder key-logger kann durch viren-tools ermittelt werden. mit spoofing können seiten auch sehr profesionell gefaked werden.

man muss kein volldepp sein, um dieser sache nicht gewachsen zu sein. ich wage zu behaupten, dass über 90 % aller normaluser nicht den leisesten schimmer haben, was böse buben mit dem pc und smartphone so alles treiben können. die ahnungslosigkeit der massen sieht man schon an der verbreitung von whatsapp und FB.

elster beschränkt sich ja auf steuerangelegenheiten. genau derartige beschränkungen des einsatzgebietes einer elektronischen unterschrift halte ich für unabdingbar. eine universell rechtsgültige unterschrift lege ich mir jedenfalls nicht auf meinen comp.

[enrique48]

Mit Kapersky hat man eine virtuelle Tastatur zur Verfügung so das keylogger die Passwörter nicht abfangen können. Jetzt kann ich nur hoffen das dies auch funktioniert.

[HolgerP]

Mit Kapersky hat man eine virtuelle Tastatur zur Verfügung

Soeit so gut.

ABER:

so das keylogger die Passwörter nicht abfangen können.

Da habe ich meine Zweifel:

[Achtung, technisch]
Ein Key-Logger kann an mehreren Stellen im System ansetzen:
- an der PS2-Schnittstelle
-- aber wenn man nur/auch eine USB-Tastatur hat..?!
--- und wenn man drei, vier, fünf Tastaturen anschliesst...

Das das bequem geht sieht man, wenn man eine zusätzliche USB-Maus anschliest
Oder gar zwei solcher Nager: Man kann jede Maus einzeln bewegen...

Oder:
- an der Zusammenführung aller Tastatur-Eingabe-Möglichkeiten

- an der (ev. identischen) Stelle, wojedes Programm den Tasten-Code zur eigenen
Verarbeitung abholt

Dort wirken auch die Makros für die Automatisierung von Tastatur-Eingaben.

Jetzt kann ich nur hoffen das dies auch funktioniert.

Wenn Du dann noch überlegst, wohin die Ausgabe einer 'Bildschirm-Tastatur' gehen muss, um eine Auswirkung zu haben...
Und wo ein Key-Logger angreifen wird, um alles mitzuschneiden...


Dann hast Du das selbe 'Schlangen-Öl' gekauft, was Dir auch sonst ein Viren-Scanner-Hersteller andrehen will.

Gruß, Holger

[enrique48]

Holger danke für Deine ausführliche Erklärung, sieht leider übel aus. Früher hatte man diese Probleme nicht in diesem Ausmass. Somit fahre ich gut damit das ich Zahlungen immer noch ganz altmodisch erledige sei es am Post-oder Bankschalter unter Inkaufnahme von Wartezeiten.

[el_tiburon]

@Holger: Bei Deinen Beispielen muss ja der Täter das Gerät DIREKT manipuliert haben. Dass ein Hacker von Neuseeland den USB-Port angezapft hat, ist wohl eher unwahrscheinlich

Sofern keine Software auf Windows-Basis vorgeschrieben ist, empfehle ich stets den Zugang zum Internet über Linux.
Keylogger sind ausschliesslich WINDOWS-SOFTWARE und die laufen definitiv nicht auf Linux-Geräten. So kann man Bankgeschäfte etc ganz ruhig über das Internet tätigen, und nachts ruhig schlafen.

Das war nun ein grobes Beispiel. Bitte keine Pro/Contra Unterhaltung in Bezug auf Sicherheit und Linux. Klar kann ich in meinen vier Wänden einen Herzanfall erleiden, aber ich kann nicht vom Auto überfahren werden.

[HolgerP]

@Holger: Bei Deinen Beispielen muss ja der Täter das Gerät DIREKT manipuliert haben.

Nein. Da habe ich mich wohl schlecht ausgedrückt. Mein USB-Beispiel dient nur zur "Untermalung" des Prinzips (das in WINDOWS und LINUX gleich ist):

Mehrere Eingabe-Quellen werden zusammengeführt um dann auf das Programm
zu 'wirken', das bereit ist, Eingabenzu akzeptieren.

Es ist egal, WIE das Programm auf den Rechner gekommen ist; es ist nur nötig, das es aktiv ist. Dazu braucht es nicht:

Dass ein Hacker von Neuseeland den USB-Port angezapft hat, ist wohl eher unwahrscheinlich
Sofern keine Software auf Windows-Basis vorgeschrieben ist, empfehle ich stets den Zugang zum Internet über Linux.

Aber bitte nicht blind einem Linux-System vertrauen...

Keylogger sind ausschliesslich WINDOWS-SOFTWARE und die laufen definitiv nicht auf Linux-Geräten.

Da irrst Du: https://code.google.com/p/logkeys/

What is a keylogger?

Keylogger is a software that quietly monitors keyboard input so as to log any keypresses the user makes. Keyloggers can be used by malicious attackers to sniff out passwords and other sensitive textual information, but often times the user himself (or the corporate branch) wants to monitor his computer unattended (or the employees), reliably storing any unauthorized keyboard activity for later inspection. For example, when you leave your PC just to grab a quick bite from the vending machine, you might want to know if anybody was touching it while you were gone. Or you could use it to monitor your supposedly cheating wife, or young kids while they are surfing the web. You could also use it to obtain statistics of your most pressed keys in order to create your custom Dvorak-style keyboard (I've seen that done). Perhaps you want EVERYTHING you've typed or written in the past months archived for ANY purpose... Uses are limitless.

Und im weiteren Text stehen Hinweise auf alternative Programme

Bitte keine Pro/Contra Unterhaltung in Bezug auf Sicherheit und Linux.

Ich benutze seit 20 Jahren Linux. Und ich glaube, das es sicherer sein kann als Windows, aber nicht unbedingt ist. Auch hier wird "Sicherheit" gegen "Bequemlichkeit" getauscht:

Früher war das Ändern der Netzwerk-Konfiguration einem Administrator vorbehalten. Heute kann jeder User mit einem Klick das WLAN ein-schalten

Früher durfte man keine Festplatten und andere Datenträger selbst anschliessen (bestenfalls den Lochstreifen wechseln:-). Heute wird ein USB-Stick automatisch angeschlossen.



Also: Keine Sicherheits-Vorschuss-Lorbeeren für Linux.

Gruß, Holger

[el_tiburon]

Also: Keine Sicherheits-Vorschuss-Lorbeeren für Linux.

Gruß, Holger

Nein, das bestimmt nicht! Dass Linux nicht 100% sicher ist, zeigen ja die Smartphones.
Aber auf einem gewöhnlichen Desktop, unter Mint oder Ubuntu, geht es doch ganz arg in die Richtung Paranoia, wenn man da alle Eventualitäten aufzählen möchte.

Ich nutze seit etwa einem Monat mal wieder Windows, weil ich mal wieder was mit Photoshop machen möchte, und habe schon nach dieser kurzen Zeit die Nase gestrichen voll, weil sich hier und da mal wieder ein "Gast" eingenistet hat. Diese Probleme habe ich unter Linux definitiv nicht, und wenn man das im prozentualen Verhältnis sieht, ist der Angriff auf Linux verschwindend gering. Nie im Leben würde ich mit Windows meine Bank besuchen, ja nicht einmal eine Datei mit Kennwörtern lagern.

[SanLorenzo4]

ändert alles nichts an der aussage (oder untermauert sie sogar), dass der normalbürger das nicht mehr überblickt. etwa so, als ob nur automechaniker ein fahrzeug richtig führen können.

bald kann man das internet für alles ernsthafte, vertrauliche oder wichtige über den harz kicken.

und die bösen buben sägen sich ihren eigenen ast ab.

schade um so eine vielversprechende technologie.