Erfahrungen und Probleme mit beSt, DMS, mIDentity und ReinerSCT

[#1]

Hallo Herr @Anton_Friesen ,

wir haben auch DMS und Reiner SCT RFID Komfort im Einsatz. Dass sich Smartcard und Reiner SCT gegenseitig stören, kann ich nicht bestätigen. Im WTS-Umfeld wird beides dann erkannt, wenn es jeweils benötigt wird. Wir haben das Sicherheitspaket komplett auf den WTS-Terminals (auch) installiert und dort Win 11 mit der aktuellsten Treibeversion von Reiner auf dem Terminalserver die jeweils neueste Server-Bersion des Reiner-Treibers.

Dass Egde (unsinniger Weise) beim Aufruf der Ausweis-App ein Synchronisierungskonto verlangt, ist offenbar den Aufrufparametern geschuldet und sollte schnell lösbar sein. Es verwirrt und erzwingt unnötige Klicks.

Hier mal eine Mängelliste:

- kein beSt Versand- und Empfangsprotokoll

- keine Benachrichtigung vom Intermediär, über eingegangene beSt-Nachrichten

- kein automatischer Eintrag im Posteingang- bzw. Ausgangsbuch

- keine Signatur möglich

- Funktionalität von beA und beSt im Dokumentenkorb SEHR abweichend und eingeschränkt zum DATEV Anwaltspostfach.

Für einen fristgerechten Erstaufschlag mags beSt bisher reichen. Usability und Nutzen sehen aber GANZ anders aus. Da ist Nacharbeit angesagt - schnellstens.

[#2]

---

- keine Benachrichtigung vom Intermediär, über eingegangene beSt-Nachrichten

---

Das können Sie über das kostenlose Tool "COM Vibilia beSt" lösen.
Sie dürfen die Nachricht aber nicht mit COM Vibilia beSt abrufen, weil sie dann nicht mehr über DMS abrufbar ist.

 

 

 

 

[#3]

Hallo Herr @clblank ,

das ist schon klar - und trotzdem Danke für den Hinweis. 

Aber: wenn‘s COM Viblia kann, kann‘s DATEV allemal - es ist bloß nicht umgesetzt! Und da darf man als StB und Genosse schon mal drauf hinweisen!

oder? 

letztlich ist DATEV „unsere“ Gesellschaft und zur Förderung des Berufsstands gegründet - Governikus nicht!

[#4]

@Michael-Renz ein paar Anmerkungen aus meiner Erfahrung:

Hier mal eine Mängelliste:

- kein beSt Versand- und Empfangsprotokoll ==> doch, ist im Nachrichtenprotokoll (Dokumenteigenschaften). Lt. DATEV kommt bei dem Datum noch der Eingangszeitpunkt des Intermediärs (geplant, derzeit Versand). 

- keine Benachrichtigung vom Intermediär, über eingegangene beSt-Nachrichten ==> stimmt

- kein automatischer Eintrag im Posteingang- bzw. Ausgangsbuch ==> geht doch übers ablegen. Ich kann doch hier einen Posteingang bei Bedarf anlegen. Ich will nicht jede beSt Nachricht im Posteingang haben 😉 

- keine Signatur möglich ==> Es geht eine einfache elektronische Signatur. Eine qualifizierte elektr. Sig. ist nur mit Zusatztools möglich. Das ist ein Mangel schon bei der Konzeption im Systems seitens der BStBK. Ich hatte das mal im Frühjahr letzten Jahres auch bei unserem BStBK Präsidenten angesprochen - leider ohne weiteren Erfolg. Da muss was kommen für den Berufsstand...

[#5]

Zum Thema qualifizierte elektronische Signatur im beSt:

Es funktioniert, wenn man das Dokument außerhalb von Datev qualifiziert signiert und das signierte ins DMS speichert. Diese kann dan per BeSt versendet werden (zugegeben kein idealer Workflow).

Allerdings bleibt die Frage für was man die qualifizierte Signatur braucht. Zumindest für Gerichte reicht der Versand mit authentifizierter Anmeldung per ePerso über das beSt.

[#6]

Hallo @total_chris 

dass man qualifiziert signierte Dokumente übersenden kann, ist ja nie bezweifelt worden - der dafür notwendige Workflow ist ebenso korrekt beschrieben, wie unsinnig. 

Aber als DATEV-Anwender sind wir ja „workarrounds“ gewohnt 😇

und zu den „Problemfällen“ der einfachen Signatur und dem authentifizierten Versand über die besonderen Postfächer empfehle ich diese (https://www.rak-berlin.de/kammerton/ausgaben/ausgabe/ausgabe-03_2022/wann-und-wie-muss-ich-im-bea-signieren/) Lektüre und die der zugrundeliegenden Rechtsprechung zum beA.

Das kann mächtig daneben gehen - wie einige Kolleg:innen leidvoll erfahren mussten.

DATEV hat mit dem DATEV-Anwaltspostfach ein wirklich hervorragendes Produkt geschaffen, das ganz viele der Problemfälle vermeiden hilft - aber das Silodenken im Hause DATEV verhindert ein erneutes Mal, dass man das Beste aus allen Workstreams zusammenführt und zum Nutzen aller (Genossen) bereitstellt.

Wann endlich kommt edger oft geforderte „neue Mindset“ in den Workstreams an!?

[#7]

Hallo @bernhard_holleitner 

das Protokoll bei den Dokumenteneigenschaften ist auch ebenso korrekt beschrieben, wie unbefriedigend gelöst. 

Ein Blick aufs hauseigene DATEV-Anwaltspostfach hätte genügt, um zu wissen, was sinnvoll ist. Und zudem wahrscheinlich hätte „abgeschrieben“ werden können.

Mir ist schleierhaft, warum gute hauseigene Lösungen ignoriert und beim Versuch das Rad zum zweiten Mal zu erfinden auch noch Stolperer entstehen!

[#8]

@Michael-Renz das beA kenn ich zugegebenermaßen nicht - sicher eine Überlegung wert.

Das Problem bei beA mit QES tritt ja nur auf, wenn Mitarbeiter über den vertrauenswürdigen Herkunftsnachweis (VHN) (bzw. -weg) was versenden und der RA das zuvor nicht notwendigerweise mit QES signiert hat. Nachdem beim beSt nur der StB selbst versenden kann wird das Problem an dieser Stelle bei den StBs nicht auftreten, da beSt als VHN ausreichend ist. 

ABER: Insbesondere bei außergerichtlichen Anträgen wie bspw. Widersprüche bei Sozialversicherungsprüfungen oder ggü. Städten und Gemeinden MUSS in der Regel eine elektronisches Dokument QES-signiert sein und KANN über beSt übermittelt werden. Wobei beSt ggü. E-Mail den Vorteil hat, dass der Zugang durch EGVP / OSCI bestätigt wird. 

Ich sehe als StB da den Hauptanwendungsfall, so dass QES mit beSt eine gute Kombination ist. 

Nachdem die ERVV für solche Fälle auch nicht gilt wäre auch ein "normales" PDF ausreichend. Aber dennoch empfehlen ich aus Vereinfachungsgründen immer PDF/A - dann muss man sich nicht immer umstellen. 

Übrigens hat die DATEV ein gutes Seminar zur Signatur 😉

https://www.datev.de/web/de/datev-shop/wissensvermittlung/online-seminare/78550-digitale-unterschriften-rechtliche-grundlagen-technische-anforderungen-und-umsetzung/

[#9]

Hallo @bernhard_holleitner 

„..Das Problem bei beA mit QES tritt ja nur auf, wenn Mitarbeiter über den vertrauenswürdigen Herkunftsnachweis (VHN) (bzw. -weg) was versenden und der RA das zuvor nicht notwendigerweise mit QES signiert hat. Nachdem beim beSt nur der StB selbst versenden kann wird das Problem an dieser Stelle bei den StBs nicht auftreten, da beSt als VHN ausreichend ist. “

GENAU - auch dass der StB nur versenden kann ist ja einer der Kritikpunkte - ich werde gezwungen, Sekretariatsarbeiten zusätzlich zu den ohnehin schon völlig überbordenden Aufgaben der Berufsträger zu übernehmen.

Wer denkt sich solche Workflows und vor allem die daran hängenden Folgearbeiten aus? 

Nochmal - für einen „Erstaufschlag“ taugt das evtl. ABER: jetzt beginnt hier nicht schon wieder mit dem „Verheiligen“ der Workarrounds - es muss die Kritik geübt werden, sonst ruhen sich die Entwickler auf dem derzeit rudimentären Stand aus, weil ja anscheinend alles irgendwie geht _ NEIN! Zumal die nötige Technik und das Know-How im Hause DATEV verfügbar ist, aber halt im Silodenken untergeht. 

[#10]

Hallo @clblank ,

der Kartenleser "basic" funktioniert z.B. in einem ASP-System nicht. Da muss man dann auf "standard" oder "Komfort" umsteigen. 

Ich warte nun auf den 3-fach teuren Kartenleser "Komfort". Der ist aber fast überall, außer bei Reinert, ausverkauft.

Gruß

Martin Heim

[#11]

Ich könnte mir vorstellen, dass es sinnvoll wäre wenn Datev eine "Test-Adresse" einrichten würde.

So könnte jeder seine "Gerätschaften" und die Software testen, bevor es zu einem tatsächlichen Versand in der Realität kommt. 

Wie früher beim Ping-Test.

[#12]

@martin65 bei mir funktioniert der Reiner cyberJack RFID basis in Citrix / ASP - Umfeld ohne Probleme. 

Von einigen Kollegen habe ich gehört, dass ggf. ein Firmwareupdate gemacht werden muss. 

Den Komfort-Leser halte ich für ungeeignet, da dann die PIN umständlich am Leser eigegeben werden muss und nicht über die Tastatur.

@Michael-Renz , grundsätzlich richtig, dass hier was auch bei der DATEV noch vorwärts gehen muss. Auf der anderen Seite muss hier auch seitens der BStBK mal noch was kommen. Im berufsrechtlichen Handbuch erlaubt man eine digitale Signatur der StB-Bescheinigungen, man schafft es aber nicht, dass man mit dem beSt auch eine eIDAS - konforme Signatur als StB über die Plattform erreicht. Das finde ich den ersten Ansatzpunkt. Dann kann die DATEV zur StB - Plattform eine Schnittstelle realisieren, so dass ich eIDAS - konform als StB mit FES oder QES signieren kann - und bin dann nicht auf Drittanbieter angewiesen.. 

[#13]

@martin65 einfach Nachricht an sich selbst senden - das ist eine gute Testmöglichkeit 😉

[#14]

Funktioniert?

Coole Idee. Danke für den Tipp.

[#15]

@bernhard_holleitner .

der Kartenleser "basic" funktioniert tatsächlich nur bei einigen ASP-Kunden (gem. unserem Provider). Hat unserer auch getan, bis wir die Registrierung der Steuerberaterplattform probiert hatten. Auch Erneuerung von Updates/firmware brachte kein Erfolg. 

Die Eingabe der PIN ist für mich zweitrangig, insbesondere da wir seit Jahren kaum Kontakte zu Gerichten etc. hatten. 

[#16]

@martin65 oh, ok. Schade. Hatte von einigen Seminarteilnehmern das Feedback, dass er dann doch funktioniert hat. Ist komisch, bei mir läuft er (schon immer) ohne Probleme mit der AusweisApp2 im WTS - Umfeld (seit der Freigabe).

Ich sehe auch nicht die Gerichtskommunikation in Zukunft im Fokus, sondern mit anderen Stellen, Einrichtungen, Behörden und ggf. mit Mandanten die eine eBO haben - und das wird kommen.... 

https://id.bund.de/de/eservice/konto

[#17]

@bernhard_holleitner Auch bei uns läuft der Basic im WTS-Umfeld (Win2k19/Win11) reibungslos

---

@bernhard_holleitner schrieb: Ich sehe auch nicht die Gerichtskommunikation in Zukunft im Fokus, sondern mit anderen Stellen, Einrichtungen, Behörden und ggf. mit Mandanten die eine eBO haben - und das wird kommen.... 

---

Das ist die Zukunft. Dazu noch das noch kommende Unternehmerkonto und wir haben eine absolut sichere, wenn auch derzeit noch etwas umständliche Kommunikations- und Dateiaustauschmöglichkeit mit den Mandanten (Begrenzt auf meines Wissens derzeit ca. 200 MB je Nachricht), Kollegen, Rechtsanwälten, Notaren, usw.

[#18]

---

@martin65  schrieb:

Ich könnte mir vorstellen, dass es sinnvoll wäre wenn Datev eine "Test-Adresse" einrichten würde.

Oder einfach einen Kollegen mit einer Test-Nachricht nerven 😉

[#19]

Kann ich nicht bestätigen. Unter DATEVasp kein Problem. Nur wenn man über Amazon bestellt hat, kann es sein,  dass ein Firmenwareupdate hier weiterhilft. Bei uns hat der ReinerSCT Mitarbeiter dafüraber auch einige Anläufe benötigt …

VG Sven Ehlers

[#20]

---

@noescher  schrieb:
... Das ist die Zukunft. Dazu noch das noch kommende Unternehmerkonto und wir haben eine absolut sichere, wenn auch derzeit noch etwas umständliche Kommunikations- und Dateiaustauschmöglichkeit mit den Mandanten (Begrenzt auf meines Wissens derzeit ca. 200 MB je Nachricht), Kollegen, Rechtsanwälten, Notaren, usw.

Sorry, ich habe zwar als reiner Anwalt mit dem beSt nichts zu tun, aber wenn ich lese, dass das beSt bzw. die zu Grunde liegende Infrastruktur für die "sichere" Kommunikation mit den Mandanten tauge, muss ich nachfragen, auf welchen Aspekt von "sicher" Sie abzielen?

"Sicher" beim beA ist nur die Absenderidentifizierung.  Gleiches gilt für das beSt, wenn ich auf beSt | Steuerberater Plattform (steuerberaterplattform-bstbk.de) lese: ". Mit dem beSt wurden die ordnungspolitischen Rahmenbedingungen für eine eindeutige, anerkannte und damit vertrauenswürdige digitale Adresse für alle Steuerberater und Kanzleien geschaffen."

Von einer "sicheren", im Sinne von vertrauenswürdigen, dem Zugriff und Einblick von Dritten entzogenen Kommunikation, ist weder beim beSt, noch beim beA, beim beN, beim beBPO und wie sie alle sonst noch genannt werden, an keiner Stelle die Rede.  Kann - und soll (so meine Vermutung) - es auch gar nicht sein, denn der Akteur, der das meiste Interesse am Zugriff auf die Inhalte der Kommunikation hat, ist der Staat in Form von Finanzverwaltung und Strafverfolgungsbehörden. Dieser ist Bestandteil der Kommunikationsinfrastruktur und haben damit grundsätzlich technischen Zugriff auf die Kommunikation.

NACHTAG:  Ich kann mich mit der Digitalisierung anfreunden; habe aber dennoch einen kritischen Blick auf die Entwicklung.

[#21]

@agmü technisch ist es so, dass der private Schlüssel nur dem Empfänger zur Verfügung steht / stehen soll. 

Es ist natürlich die Frage berechtigt in wie weit der private Schlüssel zentral noch mal (unberechtigt oder ohne Kommunikation nach außen) doch noch anders wo zur Verfügung steht. 

Aber - wenn ich mir das alles durchdenken würde - werde ich Verschwörungstheoretiker. Und bevor ich damit anfange treffe ich mich bei sensiblen Themen direkt mit meinen Mandanten und wie reden unter vier Augen... 

(keine E-Mail Kommunikation, keine VoIP - Telefonie, ...) 

[#22]

---

@agmü schrieb: muss ich nachfragen, auf welchen Aspekt von "sicher" Sie abzielen?

---

Auszug aus den FAQ zum BEST: 

Es findet eine durchgängige Ende-zu-Ende-Verschlüsselung Anwendung. Deshalb liegen die
übermittelten Nachrichten außerhalb der Verfügungsbereiche von Absender und Empfänger zu
keinem Zeitpunkt unverschlüsselt vor. Weder die BStBK noch deren technischer Dienstleister
können Nachrichteninhalte einsehen.
Durch technisch-organisatorische Maßnahmen wird gewährleistet, dass keine unbefugten Personen Zugriff auf Bestands- oder Kommunikationsmetadaten erlangen. Administrative Zugänge
werden dokumentiert. Für alle im beSt gespeicherten Daten erfolgt eine regelmäßige Datensicherung (Backup) in mehreren Generationen

BStBK_FAQ_StB-Plattform.pdf

Die Infrastruktur des BEST ist möglicherweise etwas anders aufgebaut wie beim BEA. Es findet keine Öffnung und Neuverschlüsselung der Nachricht beim Dienstleister statt.

[#23]

Sehr geehrter Herr @noescher ,

lieber Andreas @agmü ,

ja - das System des beSt ist an dieser Stelle DEUTLICH andres gestrickt als beA. 

Ursächlich ist der Umstand, dass bei beA der Schwerpunkt auf einer Webbedienbarkeit lag und damit alle Vertretungsregelungen etc. im "Hoheitsbereich" der BRAK gespeichert werden müssen - das führt zwangsläufig zu der "eingeschränkten" bzw. nicht vorhandenen end2end-Verschlüsselung.

beSt darf (dank DATEV und Mitbewerber) davon ausgehen, dass StB´s in aller Regel eine Branchensoftware einsetzen - deshalb konnte dort die Vertretungsregelung vom System getrennt in die Kanzlei verlegt werden. 

Da (leider) viele Anwaltskanzleien immer noch mit (vernünftiger) Branchensoftware "fremdeln", war dort die Vorgehensweise eine andere mit den bekannten Fallstricken, die die BRAK und ATOS bis zum Exzess im Live-Betrieb und unter Hohngelächter des ccc ausgetestet haben.

[#24]

Die Infrastruktur des BEST ist möglicherweise etwas anders aufgebaut wie beim BEA. Es findet keine Öffnung und Neuverschlüsselung der Nachricht beim Dienstleister statt.

Allerdings. Alle "besonderen" Postfächer, die das Glück haben, auf COM Vibilia zu laufen, sind tatsächlich Ende-zu-Ende-verschlüsselt. Das kann man daran erkennen, daß bei der Postfacherstellung ein Zertifikat generiert wird, und zwar je einzeln auf dem PC.

Das beA hat eine RA-zu-BRAK-zu-RA-Verschlüsselung, und das noch nicht mal mit selbst erstellten Zertifikaten, sondern mit dem, was die BRAK bzw. die BNotK in ihrem Keller als Zertifikat ausgebrütet hat. Das hat einen Anwalt auf Twitter formulieren lassen, das beA sei "juristisch verschlüsselt", also für Juristen ausreichend. 😓

[#25]

Ich muss kein Verschwörungstheoretiker sein, wenn mir Entwicklungen wie die Initiative der EU zur Bekämpfung von Kindesmissbrauch - wichtig und notwendig - Fighting child sexual abuse – have your say | European Commission (europa.eu) die dazu führen, dass Verschlüsselungssystem gezielt mit Schwachstellen versorgt werden müssen EU-Kommission: Warum die Chatkontrolle so gefährlich ist (netzpolitik.org), mehr als nur ein wenig Unbehagen bereiten.

Wird dann noch der Behördenleiter, der sich konsequent dafür eingesetzt hat, dass Schwachstellen in IT-Systemen schnellst möglich geschlossen werden, mit einer mehr als durchsichtigen Begründung von der zuständigen Ministerin entlassen, trägt auch diese Entwicklung nicht dazu bei, mein Vertrauen in die "Sicherheit" der Kommunikationssysteme zu stärken. 

[#26]

---

@Steuererklärer  schrieb:

....

Allerdings. Alle "besonderen" Postfächer, die das Glück haben, auf COM Vibilia zu laufen, sind tatsächlich Ende-zu-Ende-verschlüsselt. Das kann man daran erkennen, daß bei der Postfacherstellung ein Zertifikat generiert wird, und zwar je einzeln auf dem PC.

Das beA hat eine RA-zu-BRAK-zu-RA-Verschlüsselung, und das noch nicht mal mit selbst erstellten Zertifikaten, sondern mit dem, was die BRAK bzw. die BNotK in ihrem Keller als Zertifikat ausgebrütet hat. Das hat einen Anwalt auf Twitter formulieren lassen, das beA sei "juristisch verschlüsselt", also für Juristen ausreichend. 😓

---

Auch die Client-Security-Software der BRAK erstellt beim ersten Aufruf ein Zertifikat, welches für die Verschlüsselung sorgt.  Das ändert aber nichts daran, dass deshalb die Behauptung der "sicheren Kommunikation" hinterfragt werden darf und muss; und sei es nur um das Bewusstsein für die Problematik zu schärfen. 

Es würde mir persönlich allerdings nie einfallen eine digitale Kommunikation als "sicher" zu bezeichnen; auch keine End-to-End-verschlüsselte. 

[#27]

Auch die Client-Security-Software der BRAK erstellt beim ersten Aufruf ein Zertifikat, welches für die Verschlüsselung sorgt.

Leider nein. Das von der Client Security erstellte Zertifikat (inzwischen immerhin ein individuelles Zertifikat, und nicht wie beim Start des beA ein zweckentfremdetes überall gleiches Telekom-Zertifikat) verschlüsselt nur die Kommunikation zwischen der Client Security und dem eigenen Browser.

Für die Verschlüsselung der Inhalte werden die BNotK-Zertifikate benutzt (Karte oder Software-Zertifikat). Und hier wird ganz offen kommuniziert, daß diese Zertifikate sich nicht nur beim Benutzer, sondern auch im Keller der BNotK befinden, da man ja wegen der bei Rechtsanwälten unvergleichlichen Vertretungsproblematik dort alles entschlüsseln und im Vertretungsfall für den Vertreter wieder verschlüsseln muß.

Betreutes Verschlüsseln also. Wirklich unbegreiflich, daß das BSI der BRAK diesen Mist nicht längst um die Ohren gehauen hat.

[#28]

Heißt dass dann aus praktischer Sicht, wenn ich an einen StB Kollegen von beSt zu beSt schreibe ist das end-to-end verschlüsselt? Wenn ich an einen Rechtsanwalt von beSt zu beA schreibe liest die BRAK mit, wenn sie will?

[#29]

Genau. Von Vibilia zu Vibilia ist mit den von den einzelnen Clients erstellten Schlüsseln verschlüsselt.

Nachrichten an Rechtsanwälte können bei der BRAK entschlüsselt und dann an den Anwalt weitergeleitet werden. Oder eben an den angegebenen Vertreter. Ob die BRAK dann wirklich nur umschlüsselt, wenn ein Vertreter angegeben ist, weiß ich nicht.

[#30]

Die beSt Zertifikate werden aber doch auch auf der Steuerberaterplattform generiert. Ich muss diese ja als zip Datei runterladen und in den Client oder bei Datev importieren. Ich gehe mal davon aus, dass diese Zertifikate sowohl den öffentlichen als auch den privaten Krypto-Key beinhalten.

Der Erzeuger der Zip Datei (also die BStBK) hat diese ja dann auch. Außerdem hat sie ja wohl auch die Datev, da ich diese ja hochladen muss bei der Einrichtung des DMS Clients.

Die könnten dann ja theoretisch auch mitlesen.