Smart Card in einer Serverumgebung ohne Pin-Eingabe

[#1]

Guten Tag allerseits!

Ich ärgere mich und verzweifel an der Übergabe unserer Daten an den Steuerberater, da wir es nicht realisieren können, eine autonome Arbeitsumgebung herzustellen.

Gegebenheiten

Wir nutzen auf einem Windows 2019 Server in einer Active Directory / Domänen Umgebung "DATEV Belegtransfer V.5", um der Steuerkanzlei unsere Daten zukommen zu lassen.

Jeder berechtigte Client kann Dokumente auf den Serverordnern ablegen, welche als Uploadordner für "DATEV Belegtransfer V.5" definiert sind.

Problem

Wir nutzen eine Smart Card welche an den Server angeschlossen ist. Das Datev Belegtransfer 5 Tool, bzw. die Sicherkeitsprotokolle von Datev verlangen wiederholt (alle 30 Tage) die Eingabe der Pin, damit die Daten hochgeladen werden können.

Der Server ist aber zum einem nicht für die Mitarbeiter direkt nutzbar, da sie keinen Zugang zum Server haben (ausgenommen den Techniker der vielleicht 1-2 mal im Jahr rann muss), und zum anderen lässst sich die Pin über RDP nicht eingeben, da dies vermutlich ebenfalls die Sicherkeitsprotokolle von Datev nicht zulassen.

Frage

Wie lässt sich also eine störungsfreie Arbeistsumgebung schaffen?

Vielleicht steht oder stand der eine oder andere hier vor dem gleichen Problem. Möglicherweise gibt es aber auch andere Ansätze und Lösungsideen.

LG

Shaan

[#2]

Hi,

das 30-Tage-Fenster wird wohl immer bestehen. Da wird DATEV auch nicht dran rütteln. Eine automatisierte Übergabe des PIN's wäre wohl nur mit einer Fremdsoftware möglich, welche den Desktop des Servers überwacht und auf das PIN-Eingabefenster entsprechend reagiert... Nicht unmöglich, aber...

Alternativ wäre ggf. die Versendung der Belege via Mail an "DATEV Upload-Mail" eine Variante. Mit einer Ordnerüberwachung könnten Sie die Upload-Ordner überwachen und bei "Inhalt"/Ablage diesen via Mail versenden.

Probleme

1. keine verschlüsselte Übertragung

2. Server muss mit seinem Script Mails versenden können

3. maximale Anzahl von Dateianhängen in einer Mail

4. nicht alle Formate bei Upload-Mail zulässig

Alles in Allem: unbefriedigend...

Beste Grüße
Christian Ockenfels

[#3]

da ja anscheinend nur 1-2 mal im Jahr die Kiste gebootet wird: Belegtransfer 3.x verwenden, der behält die SC PIN bis zum Neustart.

Und statt RDP dann VNC oder TV zu Eingabe der PIN, oder KVM over IP

(Ich frage mich allerdings was mit Windows und Datev Updates so im Laufe des Jahres passiert 🤔 )

[#4]

Vielen Dank für die Antworten!

@chrisocki

Ja das ist wirklich unbefriedigend. Warum überlässt mir Datev nicht die Entscheidung, wann ich meinen Pin eingeben muss und wann nicht? Schließlich kann Datev nicht wissen, wie meine Sicherheitsumgebung aussieht und wie ich das Tool nutzen möchte. So ist das Tool für uns sinnlos.

@siro

Was auch gleich zu der nächsten Frage führt. Warum denkt man sich so eine gravierende und unflexibele Einschränkung aus, und warum gab es das noch nicht in der Version 3? Das ist alles andere als benutzerfreundlich. Sicherheit und Anwender-Komfort müssen sich nicht ausschließen.

Bekomme ich denn die Version 3 noch?

In welcher Konfigurationsdatei (DATEV\KONFIG\SiPaCompact) werden die 30 Tage festgelegt? Vielleicht lassen die sich ja ändern.

LG Shaan

[#5]

Die 3.7x bekommen Sie  noch 

Belegtransfer V. 5.13 (datev.de), scrollen Sie nach unten dort ist dann der Link zum download der Version 3.7x. 

[#6]

Willkommen bei DATEV @Shaan! That's the Spirit, den DATEV immer wieder verteilt und uns Anwender immer wieder vor den Kopf stößt. 👎

Dass sich das Verhalten der PIN und auch der Eingabe mit SmartCard geändert und verschlechtert hat, habe ich in meinem Thread schon moniert: DATEV Erlebnis mit Mandanten in der Kanzlei Aber DATEV wird nicht müde zu betonen, dass man ja gar keine SmartCard mehr braucht und man alles mit dem SmartLogin erledigen kann. Auch jeden Tag aufs Neue - manuell, versteht sich. 

Automatisierung, Workflows und DATEV schließen sich gegenseitig aus. Auf der anderen Seite will DATEV den Automatisierungsservice Rechnungswesen vermarkten. Alles inhomogene Verhaltensweisen. 

Danke @bodensee für den Hinweis und ich dachte schon, da passt doch was nicht 🤔, weil es bis vor kurzem noch www.datev.de/belegtransfer > v3.7 und www.datev.de/belegtransfer-neu > v5 gab. Das ist jetzt alles eins. Also mal v3.7 herunterladen und sichern. Und nach der Logik müsste es ja www.datev.de/belegtransfer-alt ❌geben. Aber mit Logik kommt man da auch nicht weit 😂. Wo kommen wir denn da noch hin? Also bitte. 

@Shaan: Bitte beachten, dass DATEV den Belegtransfer v3.7 zum 10/2022 abgekündigt hat und man bis dahin dann eine Alternative braucht, wenn DATEV in v5 nicht die SmartCard Authentifizierung wieder auf v3.7 Niveau ändert.  

Schön auch, dass DATEV das im Vergleich gar nicht erst aufführt: Vergleich zwischen DATEV Belegtransfer V.3.7 und DATEV Belegtransfer V.5 Dann hatte DATEV das wohl so auch nie auf dem Schirm aber Ihre Installationsart habe ich selbst oft genutzt, weil super einfach für die Administration, DATEV Anwender und flexibel für andere Produkte: scannerbox, ScanFabrik, ... 

[#7]

Hallo @Shaan ,

---

Warum überlässt mir Datev nicht die Entscheidung, wann ich meinen Pin eingeben muss und wann nicht?

---

wir müssen uns an dieser Stelle mal damit befassen, für wen das Tool geschaffen wurde. Es wurde definitiv nicht als Serverdienst entwickelt, welcher vollkommen autark werkeln soll. Es wurde so entwickelt, dass immer ein Anwender vor dem Bildschirm sitzt und das Teil bedient.

---

Schließlich kann Datev nicht wissen, wie meine Sicherheitsumgebung aussieht und wie ich das Tool nutzen möchte.

---

Stimmt, genauso wenig kann aber auch DATEV wissen, ob in der Zielumgebung ein wirklich Wissender sitzt, der weiß was er tut. 

Und gemessen an den Supportaufkommen an der Hotline wird DATEV wohl eher von einem Supportintensiven Menschen ausgehen (müssen). Allein in meinem kleinen Umfeld habe ich es mit Benutzern zu tun, die von Power-Ich-weiß-und-kann-alles bis zu Ich-brech-mir-mit-der-Maus-die-Hände rangieren... Und die letztere Kategorie ist leider in der Überzahl...

---

So ist das Tool für uns sinnlos.

---

Volle Zustimmung. Das Tool als Serverdienst zu nutzen ist schlicht nicht darstellbar. Da müssten entsprechende Mechaniken eingebaut werden oder das Tool bekommt einen "großen" Bruder.

Da stellen sich dann direkt mehrere Probleme. Und ob DATEV hierzu die Entwicklungsressourcen in die Hand nimmt, dürfte bezweifelt werden.

a) Sichere Authentifizierung eines Serverdienstes

Könnte man mit Softwarezertifikaten oder mit dem Token eines vorhandenen DATEV-KommServers machen. 

b) Zugriff auf Belege

Soll ein Serverdienst bzw. der authentifizierte Benutzer Zugriff auf die Beleg bekommen? Dies würden mit Sicherheit einige Mandanten/Kanzleien verneinen. In der aktuellen Rechtestruktur wäre dies aber möglich. Also müsste für den Serverdienst eine eigene Datenschnittstelle geschaffen werden oder ein entsprechendes Recht in der Rechteverwaltung ("Belegupload").

Ich/wir könnten dies nun in die IDEAS kippen.... den Ausgang kenne ich nur allzu gut.....

Beste Grüße
Christian Ockenfels

[#8]

Nachtrag:

---

@Shaan schrieb: In welcher Konfigurationsdatei (DATEV\KONFIG\SiPaCompact) werden die 30 Tage festgelegt? Vielleicht lassen die sich ja ändern.

---

Nein, ist im Programmcode.

Beste Grüße
Christian Ockenfels

[#9]

Hallo,

wir nutzen für diese Szenario folgende selbst gestrickte Lösung. 

1. Server VM, V3.7 installiert und eingerichtet. V5 noch nicht getestet. per SEH UTN wird die mIdentity durchgereicht. Die Ordner der Belege sind freigegen, sodass unsere Mitarbeiter die Belege in die entsprechenden Verzeichnisse ablegen können.
2. Am Server wird sich automatisch mit einem dafür vorgehsehen Service Account eingeloggt: https://docs.microsoft.com/de-de/troubleshoot/windows-server/user-profiles-and-logon/turn-on-automatic-logon#use-registry-editor-to-turn-on-automatic-logon 
3. Per Aufgabenplanung wird ein Powershell Script bei Anmeldung des Service Accounts gestartet, was bei bei PIN Aufforderung Dialog den PIN eingibt und die Eingabetaste drückt
4. über die fehlende Automatisierungsmöglichkeit freuen
5. Server wird jede Nacht per Aufgabenplanung neu gestartet
6. mit einer entsprechenden Monitoring Lösung z. B: Check_MK könnt ihr die Pfade auf Dateien überwachen

das hier wäre das PS Skript, welches hauptsächlich von meinem Kollegen erstellt wurde. Es wird eine zusätzliche DLL bzw. UIAutomation  genutzt: https://www.softwaretestinghelp.com/desktop-application-ui-automation-with-powershell/  (bitte sorgfältig prüfen und abwägen)

Pfade, IP-Adressen UTN, USB-Indexeintrag des Sticks und PIN sind natürlich zu ändern...

Start-Transcript -path "C:\batch\log.txt" -append


Import-Module C:\batch\UIAutomation\UIAutomation.dll
[UIAutomation.Preferences]::OnErrorScreenShot = $false #By default, UIAutomation saves a screenshot if a cmdlet fails.in %temp%: https://softwaretestingusingpowershell.wordpress.com/2012/09/26/daily-automation-taking-screenshots-unleashed/
[UIAutomation.Preferences]::HighlightParent = $False #durch highlighting schmiert sonst die Powershell ISE ab...
[UIAutomation.Preferences]::Highlight = $False #durch highlighting schmiert sonst die Powershell ISE ab...
[System.Reflection.Assembly]::LoadWithPartialName("'System.Windows.Forms") #für "sendkeys"

$timeout = Get-Date
$error.Clear()
$errcount = 0

do{
    & "C:\Program Files (x86)\SEH Computertechnik GmbH\SEH UTN Manager\utnm.exe" /c "activate 192.168.x.x 3"
    $state = & "C:\Program Files (x86)\SEH Computertechnik GmbH\SEH UTN Manager\utnm.exe" /c "state 192.168.x.x 3"
    if($state -like '*"Activated" (1)'){
        & "C:\Program Files (x86)\Belegtransfer\DATEV.BEDI.BelegTransfer.exe" /w # /w startet gleich in den Überwachungsmpodus

        
        do{
            $a = "no error"
            try{
            start-sleep 10
            Get-UIAWindow -Name 'PIN eingeben' | Get-UiaPane | Set-UIAFocus | Set-UIAControlKeys "123456789{ENTER}"
            Start-Sleep -Seconds 5
            }
            catch{     
                 $error
                 $a = "error"
                 $errcount = $errcount + 1
                 Write-host $errcount -ForegroundColor Magenta
                 Write-Host "Warte 10 Sekunden..."
                 Start-Sleep -Seconds 10
           }
        }while(($a -eq "error") -and $timeout.AddMinutes(2) -gt (Get-Date))
    }
}while($state -notlike '*"Activated" (1)' -and $timeout.AddMinutes(2) -gt (Get-Date))
exit

Start-Sleep -Seconds 5
Get-UIADesktop | Get-UiaPane -Class 'Shell_TrayWnd' | Get-UiaButton -Name 'Belegtransfer*' -Timeout 0

viel Spaß damit

Grüße,

AW

[#10]

DAS - ist ECHTE Automatisierung 😍! Nice 👍! Nicht das, was uns DATEV immer als Fortschritt "verkaufen" will.