DATEV SmartCard für Mitarbeiter in Südamerika - Terminalserverumgebung

[#1]

Hallo zusammen,

eigentlich habe ich gedacht dies wird ein einfaches Onboarding wie man es gewohnt ist.

Mitarbeiter anlegen, einrichten und Smartcard bestellen.

Allerdings wird unsere neue Mitarbeiterin nicht von Deutschland aus arbeiten, sondern von Paraguay. Dort ist es nämlich nicht so wie in Deutschland, wo man etwas bestellt und es am nächsten Tag ankommt. Somit ist das erstmal ausgeschlossen. (Außer ich kriege den Flug und die Unterkunft bezahlt 🤣)

Gut, dann mal ein wenig recherchiert und auf ein Dokument gestoßen von DATEV, dass die einfuhr der SmartCard außerhalb der EU genehmigungspflichtig ist. (Viel schlauer als vorher bin ich trotzdem nicht).

Gibt es sonst weitere Lösungen, wie man dies Charmant lösen kann, um vollumfänglich am DATEV Arbeitsplatz arbeiten zu können, von dort aus?

Ich meine eine personenbezogene SmartCard lässt sich nicht über den MyUTN Server in einen RDP Sitzung durchschleifen. Oder?

Ansonsten fällt mir jetzt nichts ein, um das kurzfristig/mittelkurzfristig zum Arbeitsbeginn lösen zu können.

Über Lösungsvorschläge würde ich mich freuen.

Vielen Dank.

[#2]

Ich würde _vermuten_, dass ein technisches Verfügbarmachen den identischen Regelungen unterliegen würde, wie eine "Einfuhr" im entsprechenden Land.

Reicht ein SmartLogin? Der sollte sich ja recht einfach "um die Welt" kriegen lassen (und _vermutlich_ ebenfalls den entsprechenden Regelungen unterliegen).

Ansonsten den myUTN per VPN an den lokalen Client in Paraguay verbinden, wo dann der mIDentity von dort in die Terminalserversession mitgenommen wird.

Alternativ mIDentity an einen "Jumphost" in der Kanzlei, wo dann aus Paraguay per Teamviewer o.ä. zugegriffen wird und es dann weiter auf den WTS geht.

Weitere Alternative, einen (virtuellen) Desktop per Citrix Virtual Apps bereitstellen. Dort lässt sich das "Smart Card Hooking" so konfigurieren, dass eine lokal gesteckte SmartCard in der Remote-Session genutzt werden kann.

[#3]

---

@jrichter  schrieb:

Gut, dann mal ein wenig recherchiert und auf ein Dokument gestoßen von DATEV, dass die einfuhr der SmartCard außerhalb der EU genehmigungspflichtig ist. (Viel schlauer als vorher bin ich trotzdem nicht).

---

Achtung: Das bezieht sich nicht nur auf die SmartCard, sondern auch auf diverse Softwarekomponenten:

https://apps.datev.de/help-center/documents/0908410

[#4]

Aber das reine zur Verfügung stellen über VPN, wenn sich alles weiterhin in Deutschland befindet unterliegt nicht dieser Bestimmung oder? Nur, wenn man es physisch ausführt richtig?

//EDIT: Wenn ich das Dokument richtig lesen, dann fällt es tatsächlich auch drunter. Das Sicherheitspaket wird ja benötigt und unterliegt dieser Regelung. Und mit dem Gerät kann Sie dann ja auch auf diverse Software zugreifen, die aufgeführt ist. (Auch wenn diese nicht physisch im Ausland sind).

Wenn ich es richtig verstehe, will DATEV vermeiden, dass in der nicht EU auf DATEV unerlaubt zugegriffen wird. Und wenn doch, dies unbedingt angekündigt wird, für die Rückverfolgung. 

[#5]

Wenn ich das Hilfedokument möglichst böswillig lese, steht da, daß auch die Verwendung der Programme im Ausland genehmigungspflichtig ist.

Dann stellt sich die Frage, wie der Begriff "Verwendung" auszulegen ist und wie pragmatisch diese ganze Gemengelage zu sehen ist/gesehen werden darf?

"Verwende" ich das Programm im Ausland, wenn ich per RDP darauf zugreife? Oder bediene ich lediglich eine "Fernsteuerung" und die eigentliche Verwendung findet in Deutschland statt?

Ich habe Zweifel, ob es darauf überhaupt eine Antwort gibt. Da muß man wohl oder übel selbst eine Risikoanalyse durchführen. Nun ist Paraguay kein Nordkorea, aber eben auch nicht die freieste und lupenreinste Demokratie.

[#6]

Ich habe eben meinen Kommentar editiert und sehe es genau wie du.

[#7]

Hallo @jrichter,

zum technischen Teil der Anfrage hat @janm ja schon mögliche Lösungen genannt.

Bezüglich der möglichen Genehmigungspflicht: In dem Dokument wird nur darauf hingewiesen, dass es eventuell gesetzliche Bestimmungen gibt, zu denen DATEV aber keine Auskunft geben kann. In welcher Form man mit dieser Information umgeht muss jeder selbst entscheiden. DATEV gegenüber muss gar nichts diesbezüglich angekündigt werden.

Nach meinem Verständnis wären von solchen möglichen Bestimmungen sicherlich auch ein VPN-Client und bestimmt auch noch weitere Software oder Apps betroffen. 

[#8]

---

@jrichter schrieb: Das Sicherheitspaket wird ja benötigt und unterliegt dieser Regelung. 

---

Korrekt, nicht nur die Hardware, sondern auch die Software unterliegt der Regelung.

---

@janm schrieb: Ansonsten den myUTN per VPN an den lokalen Client in Paraguay verbinden, wo dann der mIDentity von dort in die Terminalserversession mitgenommen wird.

---

So könnte man es technisch ein wenig umgehen. 

a) Auf dem lokalen Rechner in Paraguay muss lediglich der SmartCardtreiber installiert werden. Das Sicherheitspaket nicht. 

b) Durch die PC/SC-Schnittstelle würde die per myUTN eingebundene lokale SmartCard an die RDP-Session durchgereicht. 

c) In der RDP-Session läuft das SiPa innerhalb der EU.

Grauzone im Punkt "SmartCard-Treiber". Strenggenommen würde der ja zur Hardware unabdingbar gehören... 

Ich bin kein Jurist, aber gilt die "Allgemeine Genehmigung Nr. 16" überhaupt? Paraguay ist in der Liste nicht aufgeführt. Oder gibt es ein Waffenembargo ggü. Paraguay?

https://www.bafa.de/SharedDocs/Downloads/DE/Aussenwirtschaft/afk_genehmigungsarten_agg_agg16_2023_04.html

PDF - Seiet 5 folgende... 

Beste Grüße
Christian Ockenfels

[#9]

Der tatsächliche Hintergrund dürfte aus dieser Ecke kommen: Key disclosure law - Wikipedia

(Und weniger mit der Nutzung der DATEV Software zusammenhängen.)