Daten- und IT-Sicherheit spielt bei der elektronischen Steuerprüfung
eine wesentliche Rolle, sowohl auf Seiten der geprüften Unternehmen als
auch auf Seiten der Finanzverwaltung. Bei der Datenträgerüberlassung
können die Sicherheitsinteressen von Unternehmen und Finanzverwaltung
jedoch miteinander in Konflikt geraten.
Das Unternehmen will sicherstellen, dass die überlassenen Daten
während der Prüfung vor unbefugtem Zugriff geschützt sind.
Verschlüsselung und Passwortschutz sind technische Maßnahmen, Daten auf
einem Datenträger vor unberechtigtem Zugriff zu schützen. So können
Unbefugte etwa auf dem Transportweg des Datenträgers vom
Verantwortlichen im Unternehmen zum Außenprüfer nicht auf die Daten
zugreifen.
Die Finanzverwaltung will sicherstellen, dass im Zusammenhang mit
einer Prüfung nur Daten auf das Notebook des Prüfers gelangen können,
nicht jedoch ausführbare Programme. Würden Programme vom Datenträger
des geprüften Unternehmens auf das Prüfernotebook übertragen und
ausgeführt, dann wäre einem Missbrauch Tür und Tor geöffnet,
insbesondere dann, wenn die Prüfernotebooks im Netzwerk der
Finanzverwaltung betrieben werden. Die Finanzverwaltung muss also eine
Strategie verfolgen, die Prüfernotebooks während einer Prüfung
gegenüber externen Programmen abzuschotten.
Bekommt ein Prüfer einen verschlüsselten Datenträger, muss er, bevor
er die Daten auf seinem Notebook mit seiner Prüfsoftware nutzen kann,
diese entschlüsseln. Zur Entschlüsselung der Daten ist eine geeignete
Software nötig. Da es sehr vielfältige Möglichkeiten gibt, Daten zu
verschlüsseln, wird auf dem Prüfernotebook wohl nicht alle denkbare
Entschlüsselungssoftware installiert sein. Die passgenaue
Entschlüsselungssoftware wird daher naheliegender Weise zusammen mit
den verschlüsselten Daten auf dem Datenträger gespeichert. Externe
Software soll jedoch aus Sicherheitsgründen nicht auf dem
Prüfernotebook ausgeführt werden.
Wie und wo werden die Daten entschlüsselt? Das ist von Bundesland zu
Bundesland sehr unterschiedlich. Zwar soll es eine länderübergreifende
Vereinbarung von Sicherheitsstandards für Prüfernotebooks geben, doch
die Praxis in den einzelnen Bundesländern scheint sehr unterschiedlich
zu sein.
In Bundesländern mit geringen Sicherheitsvorkehrungen können vom
überlassenen Datenträger Entschlüsselungsprogramme auf der Festplatte
des Prüfernotebooks installiert und zur Entschlüsselung ausgeführt
werden. So berichten jedenfalls Hersteller von Buchhaltungssoftware.
Bundesländer mit höheren Sicherheitsvorkehrungen (z.B. Bayern)
verbieten die Installation von Fremdsoftware auf der Festplatte des
Prüfernotebooks. Allerdings erlauben sie, dass die
Entschlüsselungssoftware vom Datenträger direkt zur Ausführung in den
Speicher übertragen werden kann, etwa von den Datenträgern der DATEV.
Das ist freilich keine konsequente Sicherheitslösung. Denn auch ein vom
Datenträger gestartet und ausgeführtes Programm kann auf dem
Prüfernotebook Schaden anrichten.
Eine in dieser Hinsicht vorbildliches Sicherheitsverfahren wird
bislang in Sachsen praktiziert. Dort besitzen die Prüfernotebooks
einfach kein CD/DVD-Laufwerk. Die Datenübertragung vom Datenträger auf
das Prüfernotebook kann nur über das Netzwerk erfolgen. Vorgeschaltet
vor das Prüfernotebook ist ein weiterer Rechner (im Rechenzentrum), auf
dem die Entschlüsselung stattfindet.
Der Preis für die höhere Sicherheit ist ein höherer administrativer
und technischer Aufwand. Wird dieser nicht erbracht, kommen
elektronische Steuerprüfungen ins Stocken. Je umständlicher es für den
Prüfer ist, einen Datenträger auf sein Notebook eingespielt zu
bekommen, desto eher wird er darauf verzichten.
Die Entschlüsselung verschlüsselter Daten muss auf Seiten der
Finanzverwaltung geleistet werden, sonst macht eine Verschlüsselung
keinen Sinn. Eine Unterscheidung in akzeptierte und nicht akzeptierte
Entschlüsselungsverfahren ist dabei nicht gerechtfertigt. Jedes
Entschlüsselungsverfahren erfordert die Ausführung einer Software und
jede unbekannte Software kann auf dem Prüfernotebook manipulative
Wirkungen haben, beispielsweise an der Prüfsoftware.
Für das Sicherheitsdilemma bei der Datenträgerüberlassung gibt es drei Lösungsansätze:
1. Das Sicherheitsinteresse des Unternehmens wird dem
Sicherheitsinteresse der Finanzverwaltung untergeordnet: Die Übergabe
verschlüsselter Datenträger wird von der Finanzverwaltung verboten.
2. Das Sicherheitsinteresse der Finanzverwaltung wird dem
Sicherheitsinteresse des Unternehmens untergeordnet: Diese Lösung kommt
für die Finanzverwaltung wohl nicht in Frage.
3. Sowohl dem Sicherheitsinteresse des Unternehmens als auch dem
Sicherheitsinteresse der Finanzverwaltung wird Rechnung getragen: Die
Finanzverwaltung muss ein Entschlüsselungsverfahren verbindlich
vorschreiben oder alle Entschlüsselungsverfahren akzeptieren. |
