TL;DR: Es ist derzeit nicht sichergestellt, dass man eine mit dem DATEV-Zertifikat an einen selbst verschlüsselte E-Mail auch entschlüsseln kann. Das kann m.E. zu berufsrechtlich problematischen Situationen führen. Stellen Sie sich vor, in Ihrem E-Mail-Eingang befindet sich folgende Mail: "Bitte fertigen Sie für mich aufgrund der angefügten Unterlagen eine strafbefreiende Selbstanzeige beim Finanzamt. Antworten an diese E-Mail-Adresse sind nicht möglich (Wegwerfadresse). Bei Rückfragen kontaktieren Sie mich bitte über ... ." Das Problem mit dieser Mail ist, dass Sie sie (einschließlich Anhängen) nicht lesen können! Somit können Sie nicht mit dem Absender in Kontakt treten, um ihn z.B. über die Auftragsablehnung (63 StBerG) zu informieren. Der Sender ist nicht dafür verantwortlich, dass Sie die E-Mail nicht lesen können. Er hat sich Ihr Zertifikat aus dem Verzeichnis der Datev (https://www.crl.esecure.datev.de/ENCAUT/ENC/suche.php) heruntergeladen und es nach allen ihm erkennbaren Umständen richtig zur Verschlüsselung verwendet. Sie besitzen auch den richtigen Schlüssel (Zertifkat auf Smartcard/mIdentity) um die Nachricht zu entschlüsseln. Allerdings unterstützt das Datev-Sicherheitspaket nicht alle Verschlüsselungsalgorithmen, die das Zertifikat anbietet. Das E-Mail-Programm des Senders ist modern, und es hat sich für AES (wie vom Zertifikat angeboten) entschieden. Das kann das Sicherheitspaket nicht entschlüsseln (siehe Info-DB 1003617). Diese Software"eigenschaft" (Datev möchte hier das Wort "Fehler" nicht verwenden) führt nun dazu, dass Sie notgedrungen nicht auf den Ihnen angetragenen Auftrag reagieren können (weder ablehnen noch annehmen und erledigen). Ob dadurch eine Berfuspflichtverletzung eingetreten ist (schließlich haben Sie das Zertifikat zum Download freigegeben) wer dafür verantwortlich ist (Sender, Datev, oder im Zweifel eben Sie) und wer den Schaden ersetzt (im Zweifel erstmal Sie, 63 S. 2 StBerG) sind spannende Fragen. Ich möchte diese nicht klären und habe daher die Veröffentlichung aller unserer Zertifikate zurückgezogen (Info-DB 1003977). Um der Verbreitung der Datev-Zertifikate entgegenzuwirken, werden sie auch nicht mehr zur Signatur eingesetzt. Mit Zertifikaten von Globalsign tritt dieses Problem nicht auf. @DATEV: Wie sehr würden Sie mir empfehlen, einer Organisation zu vertrauen, die den Zustand "Du kannst Deine Korrespondenz nicht lesen" im rechts- und steuerberatenden Bereich für akzeptabel hält? Sollte ich dieser Organisation in Zukunft wieder bei einer Verschlüsselungslösung vertrauen? Sicherlich kommt nun "Dann verwende eben Datev-Email-Verschlüsselung". Nein danke: https://www.msxfaq.de/signcrypt/gateway/datev_sichere_mail.htm IT-affine Mandanten halten mich dann außerdem für bescheuert. Das ganze abschließend zu klären, mit Einführung der Datev-Zertifikate bei uns Mandanteninformation über die Datev-Zertifikate Feststellen und Klären des Problems Eingestehen, dass die von mir eingesetzte Lösung eine nicht akzeptable Schwäche hat Rollback Alternativlösung finden und Rollout hat mich ungefähr eine 3-4 Arbeitstage unnötige Zeit und 9 Euro (auf die Datev auch nicht verzichten will) für den Servicekontakt gekostet. Hätte bei den Zertifikaten offen gestanden "aber Vorsicht, geht nur, wenn der Sender exotische Einstellungen vornimmt", wäre ich in der Zeit lieber mit meiner Familie in den Zoo gefahren.
... Mehr anzeigen
