-
Die Erfindung betrifft ein Verfahren und eine Vorrichtung zum elektronischen Integritätsschutz, umfassend ein Client-Computer-System, das für digitale Informationen einen Integritätsschutz erlangen soll, mit einem zugriffsgesicherten Server-Computer-System, das einen Dienst bereitstellt, das über das Internet mit dem Client-Computer-System verbunden ist, und das keinerlei Zugriff zulässt, außer über definierte Schnittstellen.
-
Gebiet der Erfindung:
-
Bei elektronischer Datenverarbeitung werden oft Nachweise über eine erfolgte, oder auch nicht erfolgte, Transaktion gefordert. Im Geschäftsverkehr ist die Authentizität von Dokumenten von hoher Bedeutung. Dokumente wie Verträge sind immer schon von mehreren Personen unterzeichnet bzw. notariell beglaubigt worden, um die Authentizität und Integrität und damit Unanfechtbarkeit sicher zu stellen.
-
Mit der Umstellung von geschäftlicher Dokumentation auf elektronische Medien ist tritt dieses Problem vermehrt auf. Zu Beginn der elektronischen Übermittlung galten nur Faxe als verbindlich, da hier eine Punkt-zu-Punkt Verbindung über eine kontrollierte Infrastruktur unterstellt wurde.
-
E-Mails hingegen galten lange Zeit als unsicher, da die Unversehrtheit des Inhalts nicht gewährleistet werden konnte. Der Inhalt von e-Mails konnte auf dem Weg vom Absender zum Empfänger über verschieden Infrastrukturen und Ländergrenzen hinweg verändert werden, ohne dass dem Empfänger dies aufgefallen wäre.
-
Mit der Verbreitung von E-Mail als Hauptkommunikationsweg zwischen Geschäftspartnern musste und wurde schließlich ein Weg gefunden, mit dem der Empfänger einer Mail prüfen kann, ob der Inhalt seit der Absendung verändert wurde. Dies geschieht heute durch elektronische Signaturen mit Hilfe von qualifizierten Zertifikaten.
-
Während diese im Rahmen eines einzelnen IT-Systems oft noch leicht zu erbringen sind, indem Transaktionsprotokolle abgespeichert werden, die zusätzlich noch verschlüsselt oder mit einer Signatur versehen sind, so dass Manipulationen verhindert werden, ist dies bei Netzwerk übergreifenden Systemen nicht mehr so einfach möglich in heterogenen Umgebungen. Auch ist es denkbar dieses Transaktionsprotokoll auf Medien zu schreiben, die lediglich einmal beschrieben, jedoch mehrfach ausgelesen werden können.
-
Jedoch gibt es beim Austausch von Daten über mehrere Systemgrenzen hinweg oder beim Nachweis gegenüber Dritten derzeit keine standardisierten Verfahren.
-
Beispiele:
- • Nachweis von zugeordneten IP-Adressen eines Internet-Anschlusses bei Vorwürfen von Urheberrechtsverletzung
- • Nachweis, dass dem Kunden die Belehrung über seine Rücktrittsrechte nach Fernabsatzgesetz zugeschickt wurden
- • Rechtzeitige Absendung einer Information
- • Nachweis, dass ein Kunde sich bei einem Email-Newsletter angemeldet hat
- • Nachweis über erfolgte elektronische Beauftragungen.
-
Neben dem Einsatz von elektronischer Kommunikation hat sich in den letzten Jahren allerdings ebenfalls die Bedeutung von telefonischen Absprachen erhöht. Hierzu einige Beispiele
- • Disponenten von just-in-time Logistik müssen sich auf kurzfristig telefonisch aktualisierte Liefertermine verlassen können.
-Automatisierte Steuerung von Systemen, die über das Internet erreichbar sind muss durch nachweislich korrekte Steuerinformationen in Echtzeit erfolgen. Dies setzt eine synchrone, integritätsgesicherte Machine-to-machine-Kommunikation voraus.
- • Telefonmarketing muss rechtlich bindend nachweisen, dass ein Kunde einem Vertragsabschluss zugestimmt hat.
- • Ein fälschlich angemahnter Kunde möchte nachweisen, dass er seine Zustimmung zu einem Telefongeschäft nicht gegeben hat.
- • Ein Aktieninhaber möchte sicherstellen, dass er die telefonische Kauforder auch wirklich in dieser Form gegeben hat.
- • Inhalte von angeordneten Lawful Interception Überwachungen müssen gesichert werden.
- • Während einer Telefonkonferenz mit verschiedenen Teilnehmern werden Beschlüsse gefasst, die eindeutig abgelegt werden sollen.
- • Gerichtsprotokolle sollen unverfälschbar abgelegt werden.
-
Solche Informationen, die mittels des gesprochenen Wortes übertragen werden sind heutzutage noch nicht rechtssicher belegbar.
-
Die
WO 2011/005869 offenbart ein Verfahren, bei dem Anhand von bio-metrischen Daten, die zu einem Unterzeichner passen, eine Signaturanfrage überprüft wird, und genehmigt wird, wenn die bio-metrischen Daten zueinander passen, um dann ein Dokument zu signieren. Die
US 2011/ 0231 645 A1 offenbart ein Verfahren bei dem eine dritte vertrauenswürdige Partei Zeitdaten in digitale Daten einbringt.
-
Folglich besteht ein Bedarf an solchen Systemen.
-
Überblick über die Erfindung:
-
Aufgabe der vorliegenden Erfindung ist es, ein System bereitzustellen, das den Nachweis einer Transaktion auch systemübergreifend durchführt. Gelöst wird diese Aufgabe durch eine Vorrichtung und ein Verfahren nach den unabhängigen Ansprüchen.
-
Im Folgenden ist zu beachten, dass der Begriff Dienst (auch Service) in der Informatik allgemein eine technische, autarke Einheit, die zusammenhängende Funktionalitäten zu einem Themenkomplex bündelt und über eine klar definierte Schnittstelle zur Verfügung stellt, beschreibt.
-
Typische Beispiele sind hier z. B. Webservices, die Funktionalitäten für Dritte über das Inter- bzw. Intranet verfügbar machen, Netzwerkdienste, Systemdienste oder auch Telekommunikationsdienste.
-
Im Einzelnen handelt es sich bei der Erfindung um Verfahren zum elektronischen Integritätsschutz, umfassend ein Client-Computer-System, das für digitale Informationen einen Integritätsschutz erlangen soll, mit einem zugriffsgesicherten Server-Computer-System (auch eNotar genannt), das einen Dienst bereitstellt, das über das Internet oder Intranet mit dem Client-Computer-System verbunden ist, und das keinerlei Zugriff zulässt, außer über definierte Schnittstellen.
-
Die Zugriffssicherheit kann durch unterschiedliche Maßnahmen erreicht werden. Einerseits ist festzulegen, dass das Computersystem durch entsprechende Firewalls und Gateways geschützt ist. Ferner ist zu beachten, dass das Betriebssystem gehärtet ist und lediglich definierte Ports bereitstellt, über die eine Kommunikation erfolgen kann. Auch ist sicherzustellen dass das Servercomputersystem in einem räumlich gesicherten Bereich abgestellt ist, so dass ein räumlicher Zugriff nicht möglich ist.
-
In der Regel handelt es sich um ein bekanntes Computersystem, auf dem entsprechende Betriebssysteme laufen, die Dienste im Internet bereitstellen können.
-
Die Kommunikation zwischen Client und Serversystem kann auf zwei Weisen erfolgen:
- -asynchron: die anfallenden Informationen deren Integrität geschützt werden sollen werden zu einem beliebigen Zeitpunkt an das Serversystem geschickt und dort verarbeitet.
- -synchron: die anfallenden Informationen werden unmittelbar nach deren Entstehen an das Serversystem weitergeleitet und dort verarbeitet. D.h. es gibt nur eine sehr kurze Zeitverzögerung, die von der Verarbeitung und dem Netzwerk abhängen. In der Regel ist die Verzögerung in Echtzeit oder unterhalb von wenigen Sekunden.
-
Das Verfahren umfasst die Schritte:
- -Senden der digitalen Informationen über eine Netzwerkschnittstelle über das Internet an das Server-Computer-System. Hierbei wird in der Regel ein definiertes Protokoll verwendet, das auf bestimmte Schnittstellen beschränkt ist. Ferner ist zu beachten, dass in einer bevorzugten Ausführungsform eine Autorisierung und oder Authentifizierung erfolgt, so dass nicht jedes Client-Computersystem auf das Server-Computersystem Zugriff hat.
-
Diese an das Serversystem gesandten Informationen umfassen den gesamten Inhalt, d.h. z.B. ein elektronisches Dokument mit Kauforder.
- - Empfangen der digitalen Informationen über eine Netzwerkschnittstelle durch das Server-Computer-System.
- - Bereitstellen von Zusatzdaten, umfassend Zeitangaben und/oder Identitätsinformationen und umfassend eine Signatur der digitalen Informationen. Diese Zusatzdaten, die man auch als Stempel bezeichnen kann, berücksichtigen in der Regel die Uhrzeit und das Datum sowie die Kommunikationsform, die Identität des Client-Computersystems, und deren Kennung bzw. deren Benutzerkennung, falls es mehrere Benutzer gibt, die auf diesem Client Computersystem arbeiten.
- - Senden der Zusatzdaten an das Client-Computer-System. Nachdem die Zusatzdaten erstellt wurden, werden diese als Bestätigung an das Client-Computersystem weiter gesendet. In einer alternativen Ausführungsform können diese Zusatzdaten auch an einen Empfänger-Clientcomputersystem gesendet werden. Dieses Empfänger-Client-Computersystem ist in der Regel der Empfänger der digitalen Daten, die vom Client-Computersystem erstellt wurden. Es ist auch denkbar, dass das Server-Computersystem die digitalen Informationen unmittelbar an das Empfänger Client-Computersystem sendet.
- - Abspeichern der Zusatzdaten auf einem persistenten Speichersystem, das keinerlei Veränderungen zulässt. Hierdurch soll sichergestellt werden, dass die Zusatzdaten und insbesondere die Signatur nicht im Nachhinein verändert werden. Bei diesem Speicher handelt sich unter Umständen um einen Write-Once-Read-Multiple Datenspeicher, der durch Festplatten, Bänder, Optische Medien oder Ähnliches erzeugt werden kann. Auch kann für diesen Datenspeicher eine entsprechende Signatur vorhanden sein, die immer konsistent gehalten wird, um Manipulationen zu vermeiden. Diese Signatur verändert sich nach jedem Beschreiben und wird dann sicher abgelegt. Hierbei können die Signaturen in einem kryptografischen System (Crytopcard, TPM) abgespeichert werden, die für die Überprüfung der Konsistenz des Datenspeichers verwendet werden.
-
In einer vorteilhaften Ausführungsform stellt das Verfahren eine Schnittstelle bereit, die ein Auslesen der Zusatzdaten ermöglicht, um einen Überprüfungsprozess vorzunehmen. So ist es möglich nach einem längeren Zeitraum zu überprüfen, welche Form die ursprünglichen Daten hatten bzw. ob die Daten noch mit der Signatur übereinstimmen oder bereits manipuliert wurden. Diese Schnittstelle kann in der Regel auch die Möglichkeit enthalten eine Signatur der Zusatzdaten erneut zu erzeugen, um den Nachweis zu führen, ob es sich bei den digitalen Informationen noch um die Identischen handelt, die ursprünglich an das Server-Computersystem übermittelt wurden.
-
In einer vorteilhaften Ausführungsform wird zusätzlich zu den Zusatzdaten und der Signatur, die digitale Information selber auf dem Speichersystem abgespeichert. In einer vorteilhaften Ausführungsform wird der Zeitpunkt der Speicherung auf dem Speichersystem abgespeichert und gegebenenfalls ebenfalls mit einem entsprechenden Zertifikat versehen.
-
In einer vorteilhaften Ausführungsform muss sich das Client-Computer-System authentifizieren und/oder autorisieren, bevor die digitalen Informationen übermittelt werden, wobei diese Informationen als Identitätsinformationen dienen können, und/oder wobei definierte Protokolle verwendet werden.
-
In einer vorteilhaften Ausführungsform wird zur Bestätigen einer Absenderadresse, durch das Server-Computer-System die Absenderadresse aus den digitalen Informationen und/oder dem Protokoll extrahiert und diese mit Zeitinformationen signiert auf dem Speichersystem gespeichert, um einen Nachweis zu ermöglichen, dass das Client-Computer-System zu einem bestimmten Zeitpunkt unter einer bestimmten IP-Adresse erreichbar war.
-
In einer vorteilhaften Ausführungsform erzeugt das Client-Computer-System bei der Übertragung der digitalen Informationen einen Verweis auf ein weiteres Client-Computer-System, an den die Zusatzdaten und/oder die digitalen Informationen weiterzuleiten sind.
-
In einer vorteilhaften Ausführungsform fließen in die Zusatzdaten eine oder mehrere der folgenden Informationen ein
- • eine Benutzerkennung
- • Uhrzeit und Datum der Übermittlung
- • Absendendes Computersystem, Netzwerkkennung, wie absendende IP-Adresse und IP-Port;
und wobei eine oder mehrere der folgenden Informationen an das Client-Computer-System und/oder das Speichersystem zurückgeliefert werden
- • nur die digitale Signatur der eingelieferten Kundendaten
- • die eingelieferten Kundendaten selber
- • die Metadaten
- • die digitale Signatur der Metadaten.
-
In einer vorteilhaften Ausführungsform bilden mehrere Client-Computer-Systeme eine Prozesskette, bei der jedes Client-Computer-System die digitalen Informationen weiterverarbeitet, wobei jedes Client-Computer-System die Informationen an das Server-Computer-System sendet, so dass dieses die Zusatzdaten für jeden Prozessschritt speichert. Hierbei wird vorzugsweise eine Identität für den Prozess festgelegt, indem die einzelnen Zusatzdaten zugeordnet werden. Somit kommunizieren die Client-Computersysteme unter Verwendung dieser Identität, damit eine korrekte Zuordnung der Signaturen zum Prozess erfolgt.
-
Wenn von den Client-Computer-Systemen der Absender und der Empfänger die digitale Signatur liefern, so kann das Server-Computer-System zusätzlich die Integrität bestätigen, indem die digitalen Information oder die Signaturen miteinander verglichen werden. Somit kann sichergestellt werden, dass auf dem Kommunikationsweg keinerlei Informationen verändert bzw. manipuliert wurden.
-
Es wird somit in einem Computernetzwerk eine Beglaubiger-Funktion, auch eNotar genannt, die auf einem aus dem Netzwerk erreichbaren Computersystem implementiert ist, bereitgestellt.
-
Die Funktionalität ist in ihrer Funktionsweise vom Netzwerk unabhängig und wird durch Ausfälle oder (auch mutwillig herbeigeführte) Fehlfunktionen andere Computersysteme nicht beeinträchtigen.
-
Die Beglaubiger-Funktion wird von anderen Netzwerkteilnehmern herangezogen, um Daten beglaubigen zu lassen. Wenn es sich dabei um Protokolldaten eines Systems handelt, wird dadurch auch das Auftreten von Ereignissen beglaubigt.
-
Zur Beglaubigung reicht der Benutzer die zu beglaubigenden Daten beim eNotar-System ein.
-
Das eNotar-System fügt den eingereichten digitalen Informationen bzw. Daten (im Folgenden Kundendaten genannt) weitere Informationen wie z.B. Einreichungsuhrzeit und -Datum hinzu und signiert diese ergänzten Kundendaten anschließend mittels einer digitalen Signatur. Es ist zu beachten, dass das eNotar-System nicht im Kontrollbereich des Klienten bzw. des Systems ist, das die Datenmenge, die mit einem Stempel zu versehen sind, versendet. Das eNotar-System ist in der Regel zwar über das Internet erreichbar steht jedoch in einem gesicherten Bereich und wird durch eine unabhängige Organisation oder einen Dienstleister betrieben, so dass Manipulationen auszuschließen sind. Das eNotar-System ist somit außerhalb des Kontrollbereichs der Teilnehmer, die an diesem digitalen Verfahren teilnehmen.
-
In einer bevorzugten Ausführungsform werden die Rahmenbedingungen für elektronische Signaturen eingehalten. Das Signaturgesetz (Gesetz über Rahmenbedingungen für elektronische Signaturen, kurz SigG oder SigG 2001) hat den Zweck, Rahmenbedingungen für elektronische Signaturen zu schaffen. Ziel ist es, durch die Nutzung elektronischer Signaturen erhöhte Rechtssicherheit für den internetbasierten Geschäftsverkehr (E-Commerce), sowie elektronische Prozesse der öffentlichen Verwaltung (E-Government) zu erhalten. Das Signaturgesetz und die zugehörige Signaturverordnung (SigV) legen Anforderungen für Zertifizierungsdienstanbieter (ZDAs), Produkte für elektronische Signaturen, sowie für Prüf- und Bestätigungsstellen, die die Einhaltung bzw. Umsetzung dieser Anforderungen prüfen, fest. Zertifizierungsdienste im Sinne des Signaturgesetzes sind die Ausstellung von qualifizierten Zertifikaten und qualifizierten Zeitstempeln, d. h. das Signaturgesetz regelt ausschließlich die Erbringung dieser Zertifizierungsdienste. Das Signaturgesetz definiert neben der (einfachen) elektronischen Signatur, die fortgeschrittene elektronische Signatur, die erhöhten Anforderungen an die Sicherheit genügen muss, und die qualifizierte elektronische Signatur, eine fortgeschrittene elektronische Signatur, die auf einem qualifizierten Zertifikat beruht und mit einer sicheren Signaturerstellungseinheit (SSEE) erstellt wurde. Ein digitales Zertifikat ist ein digitaler Datensatz, der bestimmte Eigenschaften von Personen oder Objekten bestätigt und dessen Authentizität und Integrität durch kryptografische Verfahren geprüft werden kann. Das digitale Zertifikat enthält insbesondere die zu seiner Prüfung erforderlichen Daten.
-
In einer weiteren bevorzugten Ausführungsform sind die digitalen Informationen digital gespeicherte, gesprochene Worte, die vorzugsweise als digitale Audiodatei ausgebildet sind, zB. MP3.
-
Hierbei kann die Audiodatei durch eine Applikation auf einem PC oder Smartphone erzeugt werden, wobei das gesprochene Wort digitalisiert und zur Signierung an das Server-Computer-System gesendet wird, und wobei vorzugsweise die Verbindung zum zentralen System automatisch verschlüsselt ist.
-
In einer weiteren Ausführungsform werden die Audiodatei durch einen Telefondienstleisters erzeugt, indem vorzugsweise während eines Gespräches ein oder beide Teilnehmer durch Eingabe einer Tastenkombination am Endgerät die Aufzeichnung und Digitalisierung starten, und/oder wobei vorzugsweise durch eine weitere Tastenfolge der Dienst deaktiviert und die gespeicherte Aufzeichnung zum Signieren an das zentrale System verschickt wird.
-
In einer weiteren Ausführungsform erfolgt nach der Aktivierung oder Deaktivierung zunächst eine Ansage, die für beide Parteien hörbar ist, die über den Status der Aufzeichnung informiert.
-
In einer weiteren bevorzugten Ausführungsform sind die digitalen Informationen Steuer und Rückmeldeinformationen der Kommunikation zwischen autonomen Computersystemen im sogeannten „Internet-der-Dinge“. Diese Machine-to-Machine Kommunikation erlaubt es Clientsystemen eigenständig Informationen über Inter- oder Intranet zu versenden und damit Aktionen auszulösen. Dies reicht von der Nachbestellung von Lebensmittel von einem leeren Kühlschrank, über die Ersatzteilbestellung eines Warenwirtschaftsystems in der fertigenden Industrie bis hin zum Verladen von Containern in Seehäfen. Im Falle fehlerhafter Lieferungen, kann anhand des eNotars der Fehler verfolgt werden.
-
Weit verbreitet sind Public-Key-Zertifikate nach dem Standard X.509, welche die Identität des Inhabers und weitere Eigenschaften eines öffentlichen kryptographischen Schlüssels bestätigen. Attributzertifikate enthalten dagegen keinen öffentlichen Schlüssel, sondern verweisen auf ein Public-Key-Zertifikat und legen dessen Geltungsbereich genauer fest. Im Kontext elektronischer Signaturen wird der Begriff Zertifikat technikneutraler aufgefasst (siehe Abschnitt Rechtliche Aspekte im Artikel Public-Key-Zertifikate), so dass sich ein Zertifikat nicht notwendigerweise auf einen kryptographischen Schlüssel beziehen muss, sondern allgemein Daten zur Prüfung einer elektronischen Signatur enthält. In der Praxis handelt es sich jedoch immer um Public-Key-Zertifikate.
-
Die vom eNotar hinzugefügten Daten und die digitale Signatur werden nachfolgend Stempel genannt. Der Stempel wird wahlweise an einen oder mehrere Empfänger gesendet:
- • Der einliefernde Benutzer erhält in der Regel einen Stempel
- • der Empfänger, falls Informationen an einen Empfänger gesendet werden, erhält den Stempel.
- • Eine in der Managementdatenbank hinterlegte Kontaktinformation (siehe Seite 19). Auf der Basis von Absenderdaten oder anderen Regeln können in der Managementdatenbank Kontaktinformationen hinterlegt sein, an die der Stempel weitergereicht wird.
-
Die Integrität kann bei Bedarf weiter gesteigert werden:
- • Der eNotar kann auch eine zusätzliche Speicherung der gestempelten Kundendaten vornehmen. In einer ersten möglichen Ausführungsform werden die Stempel erzeugt und an den Klienten bzw. an die Empfänger zurück gesendet. In diesem Falle ist es Aufgabe des Klienten bzw. des Empfängers die Daten zu verwalten. Dieser Ansatz gibt jederzeit die Möglichkeit manipulierte Daten zu überprüfen, da deren Stempel bzw. deren Signatur im Falle einer Manipulation nicht mehr übereinstimmen würde. Es kann jedoch passieren, dass Unterlagen verloren gehen, diese können dann durch den eNotar-Server wieder bereitgestellt werden, wenn dieser eine zulässige Speicherung der gestempelten Kundendaten vornimmt.
- • Der eNotar kann die Zustellung der Kundendaten an einen Empfänger übernehmen. Der eNotar bestätigt dabei das Vorliegen einer Datenmenge (Logdatei, Email, Auftragsbestätigung, etc.) zu einem bestimmten Zeitpunkt. Diese Datenmenge kann um weitere Metadaten, wie unten beschrieben, erweitert werden.
-
Figurenliste
-
im Folgenden werden die Figuren beschrieben. Die Figuren dienen der Beschreibung der Ausführungsformen.Die Figuren haben keinerlei beschränkende Absicht sondern sollen lediglich das Verständnis der Erfindung verbessern.
- 1 zeigt ein Client-Computersystem, das eine Datenmenge an ein Server-Computersystem übermittelt. Das Server-Computersystem erzeugt auf der Basis der Daten und der Uhrzeit eine Signatur, die in einer Datenbank abgespeichert wird.
- 2 zeigt eine Ausführungsform bei der zwei Client-Computer Systeme mit dem Server-Computersystem kommunizieren und Informationen austauschen;
- 3 zeigt eine Prozesskette bei der mehrere Client-Computersysteme digitale Daten verarbeiten und das Server-Computersystem die Signaturen verwaltet.
- 4 zeigt ein Ausführungsbeispiel bei dem die Kommunikationsadresse zu einem bestimmten Zeitpunkt gespeichert wird, um nachzuweisen, dass ein Computer zu einem bestimmten Zeitpunkt erreichbar war.
-
Beschreibung einer möglichen Ausführungsform
-
Die 1 zeigt ein Client-Computersystem, das digitale Informationen bzw. eine Datenmenge an ein Server-Computersystem sendet (eNotar). Diese Datenmenge wird zusammen mit der Uhrzeit durch eine Signatur zu einem Stempel bzw. Zusatzdaten umgewandelt. Diese Zusatzdaten bzw. Stempel werden in einer Datenbank abgespeichert. Das Client-Computersystem erhält dann diese Zusatzdaten bzw. den Stempel und kann somit nachweisen, dass bestimmte Daten zu einem bestimmten Zeitpunkt in dieser Form vorhanden waren.
-
Die Erfindung, die vorzugsweise als Dienst im Internet bereitgestellt wird, besteht vorzugsweise aus mehreren Software-Komponenten. Das Internet selbst stellt lediglich die Infrastruktur zur Verfügung. Ein Nutzen für die Anwender entsteht erst dadurch, dass, basierend auf der Struktur des Internets, dem Anwender verschiedene Dienste zur Verfügung stehen. Dienste sind somit Bereitstellungen von Funktionalitäten.
-
Die Komponenten arbeiten wie folgt zusammen:
- 1. Die Annahme-Komponente nimmt die Kundendaten vom Benutzer an und stempelt diese. Hierbei werden die oben beschriebenen Ansätze verfolgt, bei denen vorzugsweise eine Signatur und Empfangsdaten und Zeitpunkt ermittelt werden. Anschließend werden die Kundendaten und / oder der Stempel an den Benutzer, den Empfänger oder die Speicherkomponente geschickt.
- 2. Die Speicherkomponente speichert die angelieferten Daten in der Datenbank.
- 3. Die Entnahmekomponente dient zum Auslesen jeglicher Informationen aus der Datenbank.
- 4. Die Managementdatenbank koordiniert das Zusammenspiel der einzelnen Komponenten.
-
Die Annahmekomponente nimmt die Daten an (siehe 2). Es gibt eine Softwarekomponente, die ein zur Annahme von Kundendaten geeignetes Protokoll implementiert. Im Fall von Protokoll-Daten bieten sich hier üblicherweise Industrie-Protokolle wie zum Beispiel Syslog an. Für jedes Protokoll wird eine separate Komponente implementiert. Es sind natürlich auch andere Protokolle denkbar wie SMTP, FTP, http/s und Andere, die eine effiziente Übertragung von Daten erlauben. Hierbei ist zu beachten dass die Annahmekomponente so ausgebildet ist, dass nicht jegliche Benutzer Zugriff darauf haben. Es bedarf somit einer Authentifizierung oder Autorisierung des Zugriffes eines Benutzers auf das System. In der Regel sind alle Teilnehmer angemeldet und können somit sicherstellen, dass sie über die richtigen Schnittstellen angesprochen werden können. Die Authentifizierung kann zum Beispiel durch eine Signatur des Absenders bzw. Auftraggebers sichergestellt werden. Die Annahmekomponente kann auch automatisierbare Schnittstellen (APIs)bereitstellen. Diese können für die automatisierte Entgegennahme von Informationen von Client-Computersystemen dienen. Diese Machine-to-machine (M2M) Kommunikation erlaubt es, den eNotar in die automatisierte Prozesskette z.B. von Billing- oder Logistikprozessen zu integrieren.
- • Die Annahmekomponente kann auch die Weiterleitung der Kundendaten an einen Empfänger übernehmen. Für E-Mails würde sich hier beispielsweise ein SMTP-Proxy anbieten.
Die Annahmekomponente kann weitergehende Verarbeitungslogik oder Geschäftsfälle beinhalten. Diese Komponenten könnten beispielsweise erkennen, ob sowohl Absender als auch Empfänger das Paket innerhalb einer vorgegebenen Zeit beim eNotar bestätigen haben lassen. Wie in 2, wird die Bestellung sowohl unmittelbar an den Auftragnehmer gesendet, als auch parallel an das erfindungsgemäße System. Das erfindungsgemäße System stempelt diese Informationen und sendet den Auftragseingang gestempelt weiter an den Auftragnehmer. Es bedarf dann einer Bestätigung des Auftragnehmers, der den Auftragseingang ebenfalls signiert erhält. Die Auftragsbestätigung wird dann in dem erfindungsgemäßen Serversystem gespeichert und es wird eine integrierte Bestellbestätigung an den Auftraggeber gesendet. In analoger Weise kann der zeitliche Verlauf eines komplexen Geschäftsprozesses nachgewiesen werden, wie er in 3 beschrieben wird. Hierbei wird der durchgeführte Prozessschritt in Form einer Bestätigungsnachricht an den eNotar geschickt und von diesem bestätigt. Liefern Absender und Empfänger die digitale Signatur der Nachricht ein, kann der eNotar zusätzlich die Integrität bestätigen. Die Annahme-Komponente kann die Kundendaten auch selber gewinnen (4). Geht es beispielsweise um das Bestätigen einer Absenderadresse, kann die Annahme-Komponente die Absenderadresse aus den Kommunikationsdaten selber extrahieren. Hiermit ist beispielsweise der Nachweis möglich, dass ein Klient zu einem bestimmten Zeitpunkt unter einer bestimmten IP-Adresse erreichbar war. Hierbei verwendet der Klient eine Bestätigungsanfrage, aus der die IP Adresse des Klienten ersichtlich ist. Das erfindungsgemäße System extrahiert die IP- Adresse und erzeugt eine Signatur mit einer Uhrzeit hinsichtlich der Bestätigungsanfrage und der IP Adresse und speichert diesen in der Datenbank. Die Bestätigung der IP Adresse mit der Uhrzeit wird dann an den Klienten zurückgesendet.
-
Da der eNotar die Kundendaten nicht verändert oder bewertet, spielen das Format und der Inhalt der Kundendaten keine Rolle. Dadurch können die Kundendaten auch verschlüsselt sein. Hierdurch wird dem Kunden eine Vertraulichkeit eNotar gegenüber ermöglicht. Üblicherweise nimmt die Annahmekomponente Daten erst nach einer Anmeldung an. Hierbei wird überprüft, ob der Absender berechtigt ist, Daten stempeln zu lassen. Außerdem wird geprüft ob die Daten nur gestempelt oder vom eNotar auch gespeichert werden sollen. Schlägt die Kundendaten-Annahme fehl, sendet das System, wenn möglich, eine Fehlermeldung zurück. Das Fehlschlagen einer Kundendaten-Annahme wird bei Bedarf an die Speicherkomponente gemeldet. Mögliche Fehler sind z.B.:
- • das Datenpaket ist zu groß
- • die Datenübertragung ist abgebrochen
- • ein Fehler ist in der Datenübermittelungs-Protokollschicht aufgetreten, z.B. eine fehlerhafte Prüfsumme
- • die Benutzerkennung ist ungültig oder der Benutzer ist nicht angemeldet
- • die Verbindungsaufnahme erfolgt von einem unbekannten System
-
Die Annahmekomponente ergänzt die Kundendaten um einige Metadaten wie beispielsweise:
- • Benutzerkennung unter der sich der Benutzer beim eNotar angemeldet hat
- • Uhrzeit und Datum, zu der die Kundendaten eingeliefert wurden.
- • Absendendes Computersystem (Netzwerkkennung wie z.B. die absendende IP-Adresse & IP-Port)
-
Die Kundendaten werden zusammen mit den Metadaten gestempelt. Dieses Datenbündel (Kundendaten + Metadaten + Stempel) wird nachfolgend Ereignis genannt.
-
Je nach Verwendungszweck können
- • nur die digitale Signatur der eingelieferten Kundendaten
- • die eingelieferten Kundendaten selber
- • die Metadaten
- • die digitale Signatur der Metadaten
an den Absender zurück geliefert oder auch an die Datenspeicher-Komponente übergeben werden. Wenn das verwendete Protokoll keine Möglichkeit einer Rücklieferung vorsieht, ist beispielsweise eine Zustellung per Mail möglich; die empfangende Email-Adresse wird in der Management-Datenbank hinterlegt(siehe Seite 19).
-
Im Folgenden wird die Dateienspeicherung diskutiert. Die Speicherkomponente speichert Ereignisse in einer Datenbank. Die Speicherkomponente fügt dem Ereignis einige Speicherdaten hinzu:
- • Einliefernde Datenannahme-Komponente (Netzwerkkennung wie z.B. die absendende IP-Adresse & IP-Port)
- • Uhrzeit und Datum, zu der die Daten gespeichert wurden
- • Eindeutige Kennnummer dieses Ereignisses.
Diese Informationen werden nachfolgend Ablagedaten genannt. Das Ereignis wird zusammen mit den Ablagedaten gestempelt.
-
Im Folgenden wird die Dateien-Entnahme diskutiert. Die Entnahmekomponente ermöglicht das Einsehen der gespeicherten Ereignisse. Die Zugriffsrechte basieren auf dem Rollenmodell der Managementdatenbank. Jeder Entnahmeversuch wird protokolliert.
-
Für einige Entnahmen sind weitergehende Bedingungen zu erfüllen:
- • Rollen
- • Zustimmung weiterer Personen, z.B. des Datenschutzbeauftragten
- • Gesetzliche Auflagen wie z.B. ein Protokollverbot bei Zugriffen staatlicher Stellen
- • Benachrichtigungspflichten an den Benutzer
-
Im Folgenden wird die Managementdatenbank diskutiert.
-
In der Benutzerverwaltung der Managementdatenbank kann der Betreiber des eNotars regeln, welcher Benutzer welche Tätigkeiten durchführen darf. Hierzu werden Benutzer in verschiedene Rollen eingruppiert.
-
Benutzer dürfen niemals gelöscht werden. Wird ein Benutzer nicht mehr benötigt, wird dieser Benutzerzugang gesperrt, bleibt aber technisch im System vorhanden. Würden Benutzer gelöscht, wären unter Umständen Protokolle aus der Vergangenheit nicht mehr zuzuordnen.
-
In der Benutzerverwaltung werden verschiedene Rollen unterschieden. Diese können beispielsweise sein:
- • Benutzer liefert Kundendaten ein.
-Maschinenbenutzer (M2M-Benutzer) sind Clientsysteme, die über automatisierte Schnittstellen Kundendaten einliefern.
- • Betreiber kann die Managementdatenbank verändern: Benutzer anlegen, Benutzer sperren, Benutzer ändern, ...
- • Kunden-Revisor kann Ereignisse einer definierten Anzahl von Benutzern einsehen.
- • Betreiber-Revisor kann die internen Ablaufprotokolle und Informationen des eNotars einsehen.
- • Kunden-Datenschutzbeauftragter muss der Einsicht der KundenDaten durch den Kunden-Revisor oder dem Betreiber zustimmen.
- • Betreiber-Datenschutzbeauftragter muss der Einsicht der internen Ablaufprotokolle und Informationen des eNotars zustimmen.
- • Staatliche Stellen (Strafverfolgung, Finanzamt, ...) können entsprechend der gesetzlichen Anforderungen Informationen des eNotars einsehen.
-
Das System stellt sicher, dass keine Interessenskonflikte auftreten; üblicherweise darf ein Benutzer nur Inhaber einer Rolle (siehe Seite 18) sein. Ein Benutzer darf üblicherweise nicht gleichzeitig über die Rollen Benutzer und Betreiber oder Revisor und Datenschutzbeauftragter verfügen. Ansonsten könnte er seine eigenen Anfragen auf Einsicht (Revisor-Aufgabe) als Inhaber der Datenschützer-Rolle selber genehmigen.
-
Zu jedem Benutzer können zusätzliche Informationen gespeichert werden:
- • Ablaufdatum des Benutzerzuganges
- • Kontaktinformationen wie Email-Adresse oder Telefonnummer (beispielsweise für SMS)
- • Ob die Inhalte der eingereichten Kundendaten gespeichert werden sollen oder nicht (siehe Seite 12).
-
Im Folgenden werden die Ablaufprotokolle diskutiert. Die Ablaufprotokolle des eNotars beinhalten interne Informationen über Zustände des Systems:
- • Tätigkeiten
- • Vorgänge in der Managementdatenbank
- • Aufgetretene Fehler
- • Welcher Revisor (siehe Seite 18) hat wann auf welche Kundendaten (siehe Seite 12), Stempel oder Ablauf-Protokolle ob Einsicht genommen wurde,
- • Wann hat sich ein Benutzer angemeldet
- • Wann hat sich der Benutzer abgemeldet
- • Ergebnis der regelmäßigen Überprüfung der aktuellen Systemzeit, Datum & Zeitzone
- • Ergebnis der regelmäßigen Überprüfung der eigenen Systemintegrität
-
Im Folgenden wird die Integritätskomponente beschrieben. Diese Komponente überprüft die ordnungsgemäße Funktionsweise des eNotars. Diese Überprüfungen finden automatisch und regelmäßig statt. Bei Bedarf kann sie aber auch von Hand gestartet werden. Diese Komponente prüft
- • die Zeit-Parameter des Systems: Uhrzeit, Datum, Zeitzone
- • ob in einem bestimmten Zeitraum unüblich viele oder wenige Daten eingeliefert und gespeichert wurden
- • ob die Sequenz der Datensatz-Kennnummer aufsteigend und ununterbrochen ist
- • ob bei einem Benutzer unzulässige Rollenkombinationen vorliegen (siehe Seite 19).
- • ob alle Komponenten verfügbar und integer sind. Die Integritätsprüfung kann z.B. durch Abfrage der Versionsnummer und Bilder einer Hash-Summe über die ausgeführten Binärdateien und deren Konfigurationsdateien erfolgen.
- • ob sich die Systemkonfiguration geändert hat: Zugriffsrechte auf Dateien, Datenbanken, ... Hierzu kann ein übliches Host Intrusion Detection System verwendet werden.
