DE10106522C2 - Verfahren zur Authentizitätsüberwachung von Daten in insbesondere Rechnernetzwerken - Google Patents

Description

Die Erfindung betrifft ein Verfahren zur Authentizitäts­ überwachung von Daten in insbesondere Rechnernetzwerken.

Die Überwachung der Authentizität von Daten, also deren Echtheit, spielt eine zunehmende Rolle in der Datenverar­ beitungstechnik. Dies um so mehr, als man bestrebt ist, grundsätzlich papierlos zu arbeiten. Dann ergeben sich An­ forderungen dahingehend, im Streitfall die Dokumentenecht­ heit abgespeicherte Vorlage nachweisen zu können.

Zwar liefert der Stand der Technik bisher Ansätze bei der Datensicherung, insbesondere deren Übertragung. Tatsächlich greifen solche Datensicherungsverfahren üblicherweise auf eine Verschlüsselung der Daten, auch Kryptographie genannt, zurück. Allerdings fehlen bisher konsequente Vorschläge da­ hingehend, die Dokumentenechtheit von der Erstellung einer Vorlage bis zu deren Überprüfung durchgängig zu überwachen und gegebenenfalls nachzuweisen.

Hieran ändern grundsätzlich auch die beschriebenen Verfah­ ren zur Kryptographie nichts. Denn im Rahmen der Krypto­ graphie werden grundsätzlich zwei Verfahren unterschieden.

So kennt man das sogenannte Versetzungsverfahren, bei dem die Reihenfolge der zu verschlüsselnden Zeichen in der zu­ gehörigen Datei verändert wird. Beim Ersetzungsverfahren erfährt das jeweilige Zeichen dagegen einen Ersatz durch ein anderes Zeichen, und zwar einem bestimmten Algorithmus folgend. Dieser Algorithmus wird auch als Schlüssel be­ zeichnet.

In letzter Zeit kommen vermehrt die letztgenannten Er­ setzungsverfahren zum Einsatz, so auch bei der WO 00/44128. Diese beschäftigt sich mit der sogenannten "Public Key"- Kryptographie und hofft auf diese Weise, Manipulationen am zwangsläufig zu übertragenden Schlüssel ausschließen zu können. Solche Probleme stellen sich insbesondere bei offe­ nen Rechnernetzwerken, bei denen die Daten beispielsweise per Internet (verschlüsselt) übertragen werden.

Daneben tauchen vermehrt in der Praxis dann Schwierigkeiten auf, wenn es darum geht, Dokumentenechtheit nachzuweisen. Solche Probleme stehen beispielsweise einer wachsenden Ver­ breitung des sogenannten "papierlosen Büros" entgegen. Denn dieses sieht in letzter Konsequenz vor, dass sämtliche pa­ piernen Dokumente eingescannt und ausschließlich elektro­ nisch verwaltet und abgespeichert werden.

Bisher steht kein Instrument zur Verfügung, im Auseinander­ setzungsfall einen Nachweis dahingehend führen zu können, dass beispielsweise die abgespeicherte Version eines Brie­ fes, Vertrages, einer Rechnung oder dergleichen tatsächlich dem ursprünglich eingescannten Schriftstück entspricht.

Im Rahmen der WO 01/03363 A1 wird ein Verfahren beschrie­ ben, Daten eines Digitalfiles manipulationssicher zu ge­ stalten. Zu diesem Zweck wird auf eine Zeitquelle zurückge­ griffen und im Übrigen eine Verschlüsselung der Daten in­ klusive Zeiten vorgenommen.

Die US 5 150 407 betrifft eine Speichereinheit für Bedie­ nerdaten, die mit einem Zeitstempel versehen werden. Zu­ sätzlich kommen Verschlüsselungstechniken zum Einsatz.

Der Erfindung liegt das technische Problem zugrunde, ein Verfahren zur Authentizitätsüberwachung von Daten in insbe­ sondere Rechnernetzwerken anzugeben, mit dessen Hilfe ein Nachweis dahingehend gelingt, dass beispielsweise eine be­ stimmte Datei von ihrer Erfassung bis zum Überprüfungszeit­ punkt keine Änderung oder Manipulation erfahren hat.

Zur Lösung dieser Aufgabe ist Gegenstand der Erfindung ein Verfahren zur Authentizitätsüberwachung von Daten in insbe­ sondere Rechnernetzwerken, wonach die in einem Datenfeld abgelegten Daten mit einem Zeitpunktfeld zur Speicherung ihres Erfassungs- und/oder Erstellungs- und/oder Änderungs­ zeitpunktes und mit einem Identifizierungsfeld zur Be­ schreibung der anhängenden Daten flankiert werden, wonach ferner wenigstens die im Datenfeld und im Zeitpunktfeld vorhandenen Daten verschlüsselt werden und mindestens zwei ursprüngliche Prüfzahlen bilden, einerseits zur Verschlüs­ selung der Daten als Datenprüfzahl, andererseits zur Ver­ schlüsselung des Zeitpunktes als Zeitpunktprüfzahl, und wo­ nach das Datenfeld, das Identifizierungsfeld und das Zeit­ punktfeld sowie die ursprünglichen Prüfzahlen an ein unab­ hängiges Sicherungsmodul zum Nachweis der Dokumentenecht­ heit übertragen werden.

Grundsätzlich schlägt die Erfindung also vor, die Daten ob­ ligatorisch mit einem Zeitpunktfeld und einem Identifizierungsfeld zu flankieren und sämtliche drei Datenpakete an das Sicherungsmodul zu übergeben. Dabei werden die Daten in einem Datenfeld, also einem Bestandteil eines Datensatzes, abgelegt. Datenfeld und Zeitpunktfeld bilden zusammen mit dem nachfolgend noch beschriebenen Identifizierungsfeld den betreffenden Datensatz. - Selbstverständlich umfasst die Erfindung auch die Datensicherung von auf einem einzigen Rechner befindlichen Daten, weil nur insbesondere Rechner­ netzwerke angesprochen werden.

Mit Hilfe des Zeitpunktfeldes lässt sich grundsätzlich der Entstehungszeitpunkt der zu zertifizierenden Daten festhal­ ten. Wenn große Übertragungsraten möglich sind und auch ausreichend Speicherplatz vorhanden ist, werden sowohl die Daten als auch der Zeitpunkt bzw. das Zeitpunktfeld und die zugehörigen ursprünglichen Prüfzahlen übermittelt sowie hinterlegt. Das dürfte aktuell und in Zukunft in Anbetracht der zunehmenden Übertragungsraten (vgl. UMTS) und dem Preisverfall bei Speicherplatz in der Regel der Fall sein.

Bei dem Sicherungsmodul kann es sich um ein übliches Spei­ chermedium für die Prüfzahl, insbesondere eine speziell ge­ sicherte Rechnereinheit, handeln. Damit der Absender der Daten bzw. der Prüfzahl über die ordnungsgemäße Übertragung zum Sicherungsmodul informiert wird, ist ferner vorgesehen, dass das Sicherungsmodul den Empfang der Daten und/oder der Prüfzahl gegenüber dem Rechnernetzwerk quittiert.

An dieser Stelle ist flankierend vorgesehen, dass sich ein die Daten und/oder die Prüfzahl übertragender Bediener ge­ genüber dem Sicherungsmodul identifizieren muss. Das kann im Rahmen einer sogenannten Bediener-ID erfolgen, die zuvor in dem Sicherungsmodul abgelegt und auf Zulässigkeit hin überprüft werden kann. Daneben ist es denkbar, seitens des Sicherungsmoduls nicht nur den Eingang der Daten und/oder der Prüfzahl zu quittieren, sondern auch die den Empfang bescheinigende Person zu identifizieren bzw. zu legitimie­ ren. Zu diesem Zweck schlägt die Erfindung vor, dass sich die das Sicherungsmodul überwachende Person gegenüber dem Netzwerk oder einem anderen Absender durch eine Überwacher- ID identifizieren muss. Auch in diesem Fall lässt sich die Sicherheit erhöhen, wenn die betreffende Überwacher-ID zu­ vor im Rechnernetzwerk abgelegt wurde und dann auf die Be­ rechtigung des das Sicherungsmodul überwachenden Bedieners hin überprüft wird.

So oder so erhält der Absender der Daten und/oder Schlüs­ selzahl bzw. Prüfzahl und somit Empfänger des Quittierungs­ signals regelmäßig also eine Nachricht dahingehend, dass die betreffenden Daten bzw. die Prüfzahl beim Sicherungs­ modul eingetroffen ist. Dabei ist es denkbar, dass die Prüfzahl im Rechnernetzwerk selbst erzeugt und hier paral­ lel zum Sicherungsmodul abgelegt wird. Es kann aber auch so verfahren werden, dass eine vom Rechnernetzwerk unabhängige Verschlüsselungseinheit die Prüfzahl erzeugt, an das Siche­ rungsmodul weiterleitet und von dort das Quittierungssignal empfängt und an das Rechnernetzwerk übergibt.

In der Regel wird die jeweilige Prüfzahl jedoch parallel im Rechnernetzwerk (zusammen mit den die Prüfzahl bildenden Daten) und im Sicherungsmodul abgelegt.

Größtenteils enthält das Identifizierungsfeld Angaben darü­ ber, ob es sich bei den zugehörigen Daten beispielsweise um eine vom Rechnernetzwerk originär erzeugte Datei handelt oder vielmehr ein eingescanntes Schriftstück vorliegt. Auch kann das Identifizierungsfeld Angaben über die Größe der Datei, ihren Ersteller usw. enthalten.

Damit die Dokumentenechtheit der Daten zweifelsfrei nachge­ wiesen werden kann, werden die Daten und/oder die Prüfzahl im Sicherungsmodul zertifiziert und mit Blick auf mögliche Änderungen überwacht. Das kann beispielsweise ein Notar oder grundsätzlich auch jede andere Person übernehmen, wel­ che in der Lage ist, für die Unversehrtheit und Manipula­ tionsfreiheit der im Sicherungsmodul abgelegten Prüfzahl sowie der Daten bürgen zu können.

Daten meint dabei selbstverständlich nicht nur die eigent­ lichen Datenfiles, sondern regelmäßig auch die im Zeit­ punktfeld hinterlegten Zeitangaben.

In der Regel wird die Prüfzahl mit Hilfe eines Polynomsum­ menverfahrens als Schlüssel erzeugt. Das heißt, als Schlüs­ sel kommt ein kryptographischer Algorithmus zum Einsatz, wie er beispielsweise in der WO 00/44128 beschrieben wird. Dabei wird größtenteils ein 128 Bit-Schlüssel eingesetzt, welcher zusätzlich noch mit einem Passwort als weiterer Schutz versehen werden kann. Natürlich sind auch hardware­ mäßige Lösungen denkbar und werden von der Erfindung um­ fasst.

In der Regel steht hinter dem Schlüssel jedoch ein mehr oder minder konventioneller Algorithmus, wobei grundsätz­ lich auch verschiedene Verschlüsselungsverfahren kombiniert werden können. Dieser Algorithmus lässt sich in einem vom Rechnernetzwerk sowie dem Sicherungsmodul unabhängigen Schlüsselmodul ablegen, wenn dies erforderlich sein sollte. Größtenteils steht der Schlüssel jedoch direkt im Rechner­ netzwerk zu Verfügung.

Pro auf Dokumentenechtheit zu überprüfender Datei wird - wie beschrieben - auf jeweils zwei Prüfzahlen, einerseits zur Verschlüsselung der Daten, andererseits zur Verschlüs­ selung des Zeitpunktes, zurückgegriffen. Diese beiden Prüf­ zahlen werden als Datenprüfzahl und Zeitpunktprüfzahl be­ zeichnet. Daneben kann auch noch eine dritte Prüfzahl, näm­ lich eine Identifizierungsprüfzahl, erzeugt werden, wenn die Daten bzw. die Datei zusätzlich zum Zeitpunktfeld mit dem Identifizierungsfeld flankiert werden.

Zum Zwecke des Nachweises von Manipulationen bzw. im Zuge der Überprüfung der Dokumentenechtheit an den zuvor unter Bildung der Prüfzahl verschlüsselten Daten werden diese Daten sowie gegebenenfalls ihr Erfassungs- und/oder Erstel­ lungs- und/oder Änderungszeitpunkt zum Überprüfungszeit­ punkt verschlüsselt und mit der oder den im Sicherungsmodul hinterlegten Prüfzahl(en) verglichen. Das heißt nichts an­ deres, als dass zum Nachweis der Dokumentenechtheit die zu überprüfenden Daten bzw. die Datei (welche im Rechnernetz­ werk unverändert zur Verfügung stehen) unter Rückgriff auf den damals verwendeten Algorithmus nochmals verschlüsselt werden. Dadurch wird eine einheitliche Prüfzahl unter Be­ rücksichtigung übereinstimmender Kriterien gebildet, die sich aus den dahinterstehenden Daten sowie dem Zeitpunkt ihrer Erfassung bzw. Erstellung oder Änderung ableitet. Selbstverständlich können auch zwei Prüfzahlen, einerseits für den betreffenden Zeitpunkt, andererseits die zugehö­ rigen Daten erzeugt werden.

So oder so wird die aktuelle Prüfzahl bzw. werden die beiden aktuellen Prüfzahlen mit ihren beim Notar im Siche­ rungsmodul ursprünglich abgelegten Pendants verglichen. Sollten sich an dieser Stelle Unterschiede oder Unstimmig­ keiten ergeben, so ist dies ein klarer Nachweis dafür, dass die betreffenden Untersuchungsdaten bzw. die zu überprü­ fende Datei manipuliert wurden.

Wenn an dieser Stelle auf den Vergleich von jeweils zwei Prüfzahlen (Datenprüfzahl und Zeitpunktprüfzahl) zurückge­ griffen wird, so kann sogar zwischen einer inhalts- oder zeitpunktmäßigen Manipulation unterschieden werden. Folg­ lich gelingt ein lückenloser Nachweis von der Entstehung der zu dokumentierenden Daten bis zu ihrer Überprüfung da­ hingehend, dass diese änderungsfrei sind oder eben Manipu­ lationen aufweisen. Dabei kann die Art der Manipulationen natürlich nicht nachvollzogen werden. Das ist auch nicht erforderlich. Es reicht aus, wenn mit Hilfe des Sicherungsmoduls beispielsweise ein Notar nach Vornahme des betref­ fenden Vergleichs Dokumentenechtheit bescheinigt oder eben nicht.

Ähnlich wird natürlich für den Fall verfahren, dass die im Sicherungsmodul abgelegten Daten mit den im Rechnernetzwerk belassenen Daten verglichen werden, sofern eben nicht nur die Prüfzahl übermittelt wurde, sondern auch die zugrunde­ liegenden Daten als Ganzes. Denn in einem solchen Fall vergleicht beispielsweise der Notar die im Sicherungsmodul hinterlegten Daten mit den im Rechnernetzwerk zur Verfügung gestellten ursprünglichen Daten. Liegen an dieser Stelle Abweichungen vor, so ist dies ein klares Indiz für Mani­ pulationen.

Diese lassen sich noch genauer dadurch eingrenzen, dass die Daten bzw. die Prüfzahl bekanntermaßen mit einem Eingangsstempel versehen sind, welcher den Eingang im Sicherungsmodul zertifiziert. Da zudem die betreffenden Daten größtenteils über das Zeitpunktfeld verfügen und somit ihre Entstehung zeitlich festliegt, kann unter­ schieden werden zwischen Manipulationen, die zwischen Ent­ stehung und Versand der betreffenden Daten an das Siche­ rungsmodul oder zwischen Versand und Überprüfung statt­ gefunden haben. Dabei lässt sich die erstgenannte Fehler­ quelle dann am ehesten beseitigen, wenn der Zeitraum zwischen der Erstellung der Daten und deren Übermittlung an das Sicherungsmodul so gering als möglich gewählt wird.

Schließlich empfiehlt die Erfindung, die Identität der Prüfzahlen und/oder Daten in regelmäßigen und voreinstellbaren Zeitintervallen zu überprüfen. Durch diese Vorgehens­ weise lassen sich Manipulationen rechtzeitig feststellen und eingrenzen. Hierzu tragen auch die jeweiligen Bediener- und Überwacher-ID's bei.

Im Folgenden wird die Erfindung anhand einer lediglich ein Ausführungsbeispiel darstellenden Zeichnung näher erläu­ tert; es zeigen:

Fig. 1 eine zur Durchführung des beschriebenen Ver­ fahrens besonders geeignete Vorrichtung;

Fig. 2 schematisch den verschlüsselten Speicherinhalt,

Fig. 3 einen Ablauf einer Prüfroutine zum Nachweis der Dokumentenechtheit und

Fig. 4 einen typischen Zeitablauf der Authentizitäts­ überwachung.

In den Figuren ist ein Rechnernetzwerk mit Rechnern 1, 2, 3, 4 dargestellt. Dieses Rechnernetzwerk 1, 2, 3, 4 verfügt zusätzlich über wenigstens eine Scanneinrichtung 5. Mit Hilfe dieser Scanneinrichtung 5 lassen sich beispielsweise papierne in elektronische Daten umwandeln, also u. a. Briefe oder andere geschriebene Texte einscannen. Diese Daten bzw. die Datei oder die Scanndaten werden in einem Datenfeld D abgelegt und im Rahmen des beschriebenen Verfahrens mit einem Zeitpunktfeld Z und zusätzlich einem Identifizie­ rungsfeld I flankiert, wie dies in Fig. 2 dargestellt ist. Das Zeitpunktfeld Z dient zur Speicherung des Erfassungs- und oder Erstellungs- und/oder Änderungszeitpunktes der Daten. Mit Hilfe des Identifizierungsfeldes I können die flankierten Daten beispielsweise dahingehend beschrieben werden, dass es sich hierbei um gescannte Daten handelt.

Die im zugehörigen Datenfeld D abgelegten Daten werden ebenso wie der Zeitpunkt (und die Identifizierungsinfor­ mationen) mit Hilfe eines Algorithmus verschlüsselt. Das heißt, es werden ursprüngliche Prüfzahlen N_Z ^u, N_I ^u, N_D ^u (u = ursprünglich; Z = Zeitpunkt, I = Identifizierung und D = Daten) gebildet, und zwar im Rahmen des Ausführungsbei­ spiels drei an der Zahl, nämlich eine Datenprüfzahl N_D ^u eine Zeitpunktprüfzahl N_Z ^u und eine Identifizierungsprüf­ zahl N_I ^u. Bei der Datenprüfzahl N_D ^u handelt es sich um eine Zahl, die unter Rückgriff auf den Algorithmus als Schlüssel aus den im Datenfeld D abgelegten Daten gewonnen wurde. In gleicher Weise ist die Zeitpunktprüfzahl N_Z ^u von dem im Zeitpunktfeld Z abgelegten Zeitpunkt abgeleitet. Schließ­ lich spiegelt die Identifizierungsprüfzahl N_I ^u Eigenschaf­ ten der Daten wider. - Da jedoch üblicherweise auf dieses Identifizierungsfeld I verzichtet wird, werden im Rahmen des Ausführungsbeispiels lediglich die beiden vorgenannten Prüfzahlen N_Z ^u, N_D ^u übertragen, und zwar an ein Sicherungs­ modul 6.

Das Sicherungsmodul 6 ist unabhängig von dem eigentlichen Rechnernetzwerk 1, 2, 3, 4 gestaltet. Zur Übertragung der beiden Prüfzahlen N_Z ^u, N_D ^u greift die Erfindung auf eine drahtlose Kommunikationsstrecke - wie angedeutet - zwischen Rechner 3 und Sicherungsmodul 6 zurück. Selbstverständlich kann die Übertragung der Prüfzahl(en) N_Z ^u, N_D ^u auch drahtgebunden (per Internet) erfolgen. Außerdem liegt es im Rahmen der Erfindung, die Prüfzahl N_Z ^u, N_D ^u mit Hilfe eines Speichers vom Rechnernetzwerk 1, 2, 3, 4 an das Siche­ rungsmodul 6 zu übergeben. Bei diesem Speicher mag es sich um eine Diskette, eine CD-ROM oder auch einen Festwert­ speicher handeln.

Jedenfalls ist das Sicherungsmodul 6 selbst als Speicherme­ dium für die übertragende Schlüsselzahl ausgerüstet oder beinhaltet ein solches Speichermedium. Folgerichtig handelt es sich im Rahmen des Ausführungsbeispiels bei dem Siche­ rungsmodul 6 um eine eigene Rechnereinheit, die durch ein abgeschlossenes und sie umgebendes Gehäuse 7 nochmals gegen unbefugten Zugriff gesichert ist. Um den Empfang der Prüf­ zahl N_Z ^u, N_D ^u gegenüber dem Rechnernetzwerk 1, 2, 3, 4 nach­ zuweisen, quittiert das Sicherungsmodul 6 den betreffenden Datenübergang. Im Gegensatz zum Sicherungsmodul 6 liegen die Daten - neben ihrem Schlüssel N_Z ^u, N_D ^u - im Rechnernetz­ werk 1, 2, 3, 4 unverändert vor. Dagegen beinhaltet das Sicherungsmodul 6 nur und ausschließlich die Prüfzahlen N_Z ^u, N_D ^u.

Das Sicherungsmodul 6 inklusive Gehäuse 7 befindet sich meistens in einem separaten Gebäude (weit) entfernt von dem eigentlichen Rechnernetzwerk 1, 2, 3, 4, und zwar im Zu­ griffs- und Sicherungsbereich einer autorisiertren Person. Hierbei kann es sich um einen Notar handeln, welcher die im Sicherungsmodul 6 abgelegte Prüfzahl N_Z ^u, N_D ^u zertifiziert und mit Blick auf mögliche Änderungen überwacht.

Die Vorgehensweise bei der beschriebenen Datensicherung ist in Fig. 3 schematisch aufgelistet. An den ersten Schritt der Datenerstellung unter Berücksichtigung der Datenfelder nach Fig. 2 schließt sich eine Verschlüsselung an. Diese erfasst entweder sämtliche Datenfelder D, I, Z mit eigenen Prüfzahlen N_Z ^u, N_I ^u, N_D ^u oder erzeugt jeweils eine über­ geordnete Prüfzahl. Diese ursprüngliche Prüfzahl N_Z ^u, N_I ^u, N_D ^u wird einerseits an das Sicherungsmodul 6, andererseits das Netzwerk übertragen bzw. hierin abgespeichert. - Die einzelnen Datenfelder D, I, Z mögen einen Datensatz einer relationalen Datenbank bilden, was jedoch nicht zwingend ist.

Sobald die Dokumentenechtheit der zur ursprünglichen Prüf­ zahl N_Z ^u, N_I ^u, N_D ^u gehörigen Daten nachgewiesen werden muss, findet ein Vergleich der jeweils im Sicherungsmodul 6 abge­ legten ursprünglichen Prüfzahl N_Z ^u, N_I ^u, N_D ^u mit den aktuell aus den Daten erzeugten Prüfzahlen N_Z ^a, N_I ^a, N_D ^a statt. Stimmen beide Prüfzahlen N_Z ^u, N_I ^u, N_D ^u und N_Z ^a, N_I ^a, N_D ^a jeweils überein, so bescheinigt der Notar die Dokumenten­ echtheit der im Datenfeld D abgelegten Daten. Liegt keine Übereinstimmung vor, so haben Manipulationen stattgefunden.

Im Rahmen der Fig. 2 und 3 wird nur die grundsätzliche Möglichkeit angesprochen, Prüfzahlen zu übertragen und auf Echtheit zu überprüfen. Selbstverständlich eröffnet die Erfindung auch die Möglichkeit zusätzlich oder alternativ gesamte Datensätze in gleicher Weise zu behandeln. Das ist bereits beschrieben worden und funktioniert vergleichbar. D. h., bei der Überprüfung eines im Rechnernetzwerk 1, 2, 3, 4 verbliebenen Datenfeldes E mit den im Sicherungsmodul 6 hinterlegten Daten wird praktisch genauso verfahren, wie dies für die Prüfzahlen in Fig. 3 beschrieben ist mit dem einzigen Unterschied, dass an dieser Stelle Bit für Bit ursprüngliches und aktuelles Bit der jeweiligen Daten ver­ glichen werden.

Den grundsätzlichen zeitlichen Ablauf der Authentizitäts­ überwachung macht die Fig. 4 deutlich. Im Anschluss an die originäre Datenerstellung erfolgt die Daten-/Prüfzahl­ übermittlung, gegebenenfalls flankiert mit der Bediener-ID einer übermittelnden Person. Hieran schließt sich eine Überprüfung der Bediener-ID im Sicherungsmodul 6 an. Danach wird der Empfang der Daten und/oder Prüfzahlen N_Z ^u, N_I ^u, N_D ^u seitens des Sicherungsmoduls quittiert. Gleichzeitig kann eine Überwacher-ID an das Rechnernetzwerk 1, 2, 3, 4 übertragen werden, die dort im Anschluss hieran überprüft wird.

Irgendwann erfolgt dann der Nachweis der Dokumentenechtheit und die damit einhergehende Überprüfung der im Siche­ rungsmodul 6 hinterlegten Daten mit den ursprünglichen Daten im Rechnernetzwerk 1, 2, 3, 4. Ähnliches ist bereits mit Bezug auf die Prüfzahlenüberprüfung beschrieben worden. Man erkennt, dass einzig der Zeitraum von der Daten­ erstellung bis zu Daten-/Prüfzahlübermittlung gegebenen­ falls noch Manipulationen zulässt. Deshalb wird man diesen Zeitraum so klein als möglich wählen und im Idealfall ein erstelltes Dokument bzw. zugehörige Daten unmittelbar im Anschluss an ihre Entstehung an das Sicherungsmodul 6 übertragen, d. h., diesen Zeitraum praktisch auf Null re­ duzieren.

Claims (13)

1. Verfahren zur Authentizitätsüberwachung von Daten in insbesondere Rechnernetzwerken (1, 2, 3, 4) wonach
die in einem Datenfeld (D) abgelegten Daten mit einem Zeitpunktfeld (Z) zur Speicherung ihres Erfassungs- und/oder Erstellungs- und/oder Änderungszeitpunktes und mit einem Identifizierungsfeld (I) zur Beschreibung der anhängenden Daten flankiert werden, wonach ferner
wenigstens die im Datenfeld (D) und im Zeitpunktfeld (Z) vorhandenen Daten verschlüsselt werden und mindestens zwei ursprüngliche Prüfzahlen bilden, einerseits zur Verschlüsselung der Daten (N_D ^u) als Datenprüfzahl (N_D ^u), andererseits zur Verschlüsselung des Zeitpunktes (N_Z ^u) als Zeitpunktprüfzahl (N_Z ^u), und wonach
das Datenfeld (D), das Identifizierungsfeld (I) und das Zeitpunktfeld (Z) sowie die ursprünglichen Prüfzahlen (N_Z ^u, N_I ^u, N_D ^u) an ein unabhängiges Sicherungsmodul (6) zum Nachweis der Dokumentenechtheit übertragen werden.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das Sicherungsmodul (6) als Speichermedium für die Daten und/oder die Prüfzahl (N_Z ^u, N_I ^u, N_D ^u) ausgebildet ist oder ein solches Speichermedium enthält.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeich­ net, dass das Sicherungsmodul (6) den Empfang der Daten und/oder der Prüfzahl (N_Z ^u, N_I ^u N_D ^u) gegenüber dem Rechner­ netzwerk (1, 2, 3, 4) quittiert.

4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch ge­ kennzeichnet, dass das es sich bei den in dem Datenfeld (D) abgelegten Daten um Dateien oder Scanndaten handelt.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die Daten und/oder die Prüfzahl (N_Z ^u, N_I ^u, N_D ^u) im Sicherungsmodul (6) zertifiziert und mit Blick auf mögliche Änderungen überwacht werden.

6. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass die Prüfzahl (N_Z ^u, N_I ^u, N_D ^u) mit Hilfe eines Polynomsummenverfahrens als Schlüssel erzeugt wird.

7. Verfahren nach einem der Ansprüche 1 bis 6, dadurch ge­ kennzeichnet, dass der den Schlüssel darstellende Algorith­ mus in einem vom Rechnernetzwerk (1, 2, 3, 4) sowie dem Sicherungsmodul (6) unabhängigen Schlüsselmodul abgelegt wird.

8. Verfahren nach einem der Ansprüche 1 bis 7, dadurch ge­ kennzeichnet, dass zum Zwecke des Nachweises von Manipula­ tionen an den zuvor unter Bildung der ursprünglichen Prüf­ zahl (N_Z ^u, N_I ^u, N_D ^u) abgelegten Daten diese Daten sowie gege­ benenfalls ihr Erfassungs- und/oder Erstellungs- und/oder Änderungszeitpunkt zum Überprüfungszeitpunkt nochmals ver­ schlüsselt (aktuelle Prüfzahl N_Z ^a, N_I ^a, N_D ^a) und mit der im Sicherungsmodul (6) hinterlegten ursprünglichen Prüfzahl (N_Z ^u, N_I ^u, N_D ^u) verglichen werden.

9. Verfahren nach einem der Ansprüche 1 bis 8, dadurch ge­ kennzeichnet, dass die im Sicherungsmodul (6) abgelegten Daten mit den im Rechnernetzwerk (1, 2, 3, 4) belassenen Daten verglichen werden.

10. Verfahren nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, dass die zum Sicherungsmodul (6) übertrage­ nen Daten und/oder die ursprüngliche Prüfzahl ((N_Z ^u, N_I ^u, N_D ^u) mit einem Eingangsstempel versehen werden.

11. Verfahren nach einem der Ansprüche 1 bis 10, dadurch gekennzeichnet, dass sich ein die Daten und/oder die ur­ sprüngliche Prüfzahl (N_Z ^u, N_I ^u, N_D ^u) übertragender Bediener gegenüber dem Sicherungsmodul (6) beispielsweise durch eine Bediener-ID identifizieren muss.

12. Verfahren nach einem der Ansprüche 1 bis 11, dadurch gekennzeichnet, dass sich die das Sicherungsmodul (6) über­ wachende Person gegenüber dem Netzwerk (1, 2, 3, 4) durch eine Überwacher-ID identifizieren muss.

13. Verfahren nach einem der Ansprüche 1 bis 12, dadurch gekennzeichnet, dass die Identität von ursprünglicher Prüf­ zahl (N_Z ^u, N_I ^u, N_D ^u) und aktueller Prüfzahl (N_Z ^a, N_I ^a, N_D ^a) und/oder ursprünglicher Daten sowie aktueller Daten in regelmäßigen und voreinstellbaren Zeitintervallen überprüft wird.