[openbenno-users] Gewährleistung der Revisionssicherheit

[Ansgar H. Licher]

Hallo lieber User,

Am Sonntag 21 Februar 2010 schrieb no one:
...
> Da wir den OpenBenno momentan Testweise im Einsatz haben,
> würde mich interessieren, wie Benno die Revisionssicherheit zu
> gewährleisteten gedenkt
>
> Meines Wissens ist für die Finanzprüfung die Ablage auf einem WORM
> (write once read multiple) Speicher etc..
> notwendig?!

Es gibt keinerlei Verpflichtung, etwas auf einem WORM Medium zu sichern. Auch 
nicht auf anderen Medien, die nicht änderbar sind. Im Gegenteil (!): der 
Gesetzgeber hat zu keiner Zeit und in absolut keiner Weise auch nur einen 
einzigen Hinweis darauf gegeben oder eine Anweisung formuliert, wie die 
gesetzlichen Anforderungen an die E-Mail-Archivierung technisch umzusetzen 
seien.

Der Gesetzgeber hat sich (nach meinen Informationen) sogar bewusst mit 
technischen Spezifikationen zurückgehalten, da es auf dem Markt viele 
technische Lösungsansätze und -möglichkeiten etc. gibt.

Dies wiederum nehmen manche Anbieter zum Anlaß und lassen ihre 
Archivierungssoftware nach GDPdU-Richtlinien zertifizieren (bspw. durch 
Wirtschaftsprüfer usw.) um die Ordnungsmäßigkeit im Sinne der gesetzlichen 
Anforderungen darzustellen. Diese Hersteller werben dann 
mit "GDPdU-zertifizert" und weisen auf die jeweiligen Testate, Urkunden für 
ihre Archivlösung usw. hin.

In der Praxis gibt es 

a) keine Verpflichtung, eine E-Mail-Archivierungslösung nach irgendeinem 
Schema zertifizieren zu müssen

b) keine Zertifizierung, die besagt, dass eine E-Mail-Archivierungslösung alle 
gesetzlichen Anforderungen abdeckt

c) die Sichtweise, dass Technik alleine keine geeignete Lösung herzurichten 
vermag, sondern organisatorische Begleitmaßnahmen erforderlich sind, um die 
gesetzlichen Anforderungen abzudecken

d) leider sehr viel Unwissenheit über die rechtlichen Umstände der 
E-Mail-Archivierung

e) Hersteller, die diese Unwissenheit ausnutzen und 
durch "GDPdU-zertifizierte" Lösungen dem Anwender glauben machen wollen, 
diese Lösungen seien rechtlich unbedenklich, da zertifiziert.


Was aber bedeutet "GDPdU-zertifizierte" Software? Jedes Unternehmen ist bspw. 
gesetzlich verpflichtet, dass die eingesetzte Finanzbuchhaltungs-Software (im 
folgenden FiBu genannt) den Regeln der GDPdU genügen muss. Das ist bspw. ganz 
einfach und allgemeingültig dadurch zu gewährleisten, dass der Hersteller 
seine FiBu-Software entsprechend zertifizieren läßt. Ergo tun dies in 
Anlehnung an die FiBu auch verschiedene Hersteller von 
E-Mail-Archivierungslösungen - obwohl es dazu weder eine Veranlassung gibt 
noch das Zertifikat eine relevante Aussage bedeutet (siehe nächster 
Abschnitt).

Was ist der Nutzen "GDPdU-zertifizierter" Software? Um diese Frage zu 
beantworten, müssen wir den Blickwinkel wechseln: Die Frage lautet dann 
nämlich "Was bedeutet es, wenn Software GDPdU-konform ist?"
Nach Aussage von Wirtschaftsprüfern besagt GDPdU-Konformität: "Der Anwender 
hat im Zuge der Anwendung der Software keine Möglichkeit, Dinge, die gegen 
die GDPdU verstoßen, wahrzunehmen.". Auf deutsch heißt das: der Anwender hat 
keinen Menüpunkt, keine Programmfunktion o.ä. zur Verfügung, die ihm 
Möglichkeiten zur Manipulation der verwalteten Daten geben. (In der FiBu 
heißt das konkret: einmal gebuchte Vorgänge können nicht gelöscht, sondern 
nur durch Korrekturbuchungen etc. richtig gestellt werden).

Die GDPdU besagt in keiner Weise, dass die FiBu bspw. auf WORM gespeichert 
sein muss o.ä. Es geht einzig und allein darum, dass der Anwender keine 
Möglichkeit hat, Daten im System zu manipulieren.
Die FiBu liegt (vermutlich) in irgendeiner SQL-Datenbank. Es ist nun 
_ausschließlich_ Angelegenheit der Anwendungssoftware dafür zu sorgen, dass 
die GDPdU-Richtlinien in der Anwendung durchgesetzt werden. Es ist keine (!) 
Frage der physikalischen Speicherung! Die GDPdU sagt nicht einmal, dass es 
(selbst dem Admin) unmöglich ist, die FiBu-Maschine (bspw. per Knoppix zu 
booten und dann) per SQL-Befehlen oder Disk-Editor Daten zu manipulieren. Im 
Gegenteil: GDPdU-konform bedeutet "nur", dass niemand im Sinne der Nutzung 
der Anwendung etwas tun kann, was gegen die GDPdU verstößt.

Was heißt das für GDPdU-zertifizierte E-Mail-Archivierungslösungen? Ganz 
einfach: die Daten werden im Mailarchiv irgendwo und irgendwie gespeichert. 
Der Anwender kann nur lesend darauf zugreifen, aber nicht schreibend auf das 
System zugreifen, um etwas zu manipulieren. Etwaige Manipulationen müssen 
nachvollziehbar sein.
Nochmal: GDPdU heißt ganz ausdrücklich (!) nicht, dass Daten auf "Write once" 
Storage geschrieben werde, sondern nur, dass sie nicht manipulierbar sind im 
Sinne der Anwendungsfunktionaltität, die dem Anwender zur Verfügung steht.

Anders gesagt: wenn eine Software revisionssichere E-Mail-Archivierung 
anbietet, ist sie dann, wenn sie (also die Software) dem Anwender keine 
Möglichkeit bietet, Daten zu manipulieren, de facto konform zur GDPdU.

Ergo: jede Software, die revisionssichere E-Mail-Archivierung anbietet, ist 
nahezu zwangsläufig GDPdU-konform, wenn sie dem Anwender keine Möglichkeit 
bietet, enthaltene Daten zu manipulieren. Wie die Daten im System verwahrt 
werden, ist der GDPdU dabei völlig egal.

Nochmal zusammengefasst und in Kürze:

1)
es gibt seitens des Gesetzgebers keine Definition technischer Maßnahmen, wie 
gesetzeskonforme E-Mail-Archivierung technisch ausehen kann, soll oder muss.

2)
GDPdU-Konformität ist quasi zwangsläufig gegeben, wenn der Anwender keine 
Möglichkeit hat, Daten zu manipulieren. Sich dieses als Hersteller extra 
zertifizieren zu lassen ist schön und ergibt ein nettes Stück Papier, was 
aber sachlich wertlos ist (und am Ende Augenwischerei).

> Eine Manipulation des repo wäre sonst duch löschen einer Mail und
> einfaches reindex möglich.

Nein. Ein Reindex geht immer. Das ist nur der Suchindex. Es müsste schon das 
Journal mit den Prüfsummen usw. erneut erstellt werden.


An dieser Stelle kommt dann der nächste Aspekt ins Rollen: "Aber dann ist das 
doch manipulierbar!?!".

Fakt ist: wenn die Software "Open Benno MailArchiv" im Sinne ihrer Bestimmung 
eingesetzt wird, kann damit revisionssichere Archivierung stattfinden. Wir 
sagen aber ausdrücklich (siehe Webseite), dass wir "gesetzeskonforme 
E-Mail-Archivierung" mit "Benno MailArchiv", dem kommerziellen Pendant 
anbieten.
Das hat u.a. damit zu tun, dass wir bei einer Open Source Lösung keine Gewähr 
dafür übernehmen können, dass der Sourcecode nicht geändert wurde usw. usw.

Fakt ist auch: wenn wir für unsere Kunden gesetzeskonforme E-Mail-Archivierung 
mit Benno MailArchiv einrichten, dann gehören auch diverese organosatorische 
Dinge mit dazu. Mit Technik alleine ist nach unserer Auffassung keine 
finanzamtssichere (bzw. hinreichend prüfbare) Lösung implementierbar.

Fakt (und Konsens auf Seiten der Wirtschaftsprüfung) ist weiterhin: wenn 
jemand (bspw. als Admin oder Chef oder was auch immer) an einer Lösung für 
den betrieblichen Zweck der gesetzeskonformen und revisionssicheren 
E-Mail-Archivierung "herumfummelt" (im Sinne von "bewusst Manipulationen an 
den archivierten Daten herbeiführt"), dann ist dies nichts anderes als 
kriminelle Energie und damit (Orginalton eines Wirtschaftsprüfers:) "ein Fall 
für den Staatsanwalt".

Sie können auch in jeder GDPdU-zertifizierten FiBu Software Daten in Hülle und 
Fülle manipulieren (bspw. per Disk-Editor oder direkt in der Datenbank - eben 
an der FiBu vorbei - oder wie auch immer). Die GDPdU sagt (wie oben 
ausgeführt) eben nicht: "die Daten sind auf dem Medium sicher", sondern 
nur "der Anwender kann nichts daran 'drehen'".

Quintesssenz:

* Unternehmen, die verpflichtet sind, den gesetzlichen Aufbewahrungspflichten 
für E-Mails durch geeignete E-Mail-Archivierung nachzukommen (insbes. alle 
Personen- und Kapitalgesellschaften, die im Handelsregister geführt werden) 
können die gesetzlichen Anforderungen (nach HGB, AO, GDPdU, GoB und GoBS) 
einfach und sicher mit der kommerziellen Lösung Benno MailArchiv abdecken

* Gesetzeskonforme und revisionssichere E-Mail-Archivierung im Sinne HGB, AO, 
GDPdU, GoB und GoBS ist durch technische Maßnahmen alleine nicht erreichbar; 
es sind flankierende Maßnahmen auf Basis von "Orgware" notwendig

* Open Benno MailArchiv archiviert revisionssicher, wenn bestimmungsgemäß 
eingesetzt. Als Hersteller weisen wir daraufhin, dass gesetzeskonforme 
E-Mail-Archivierung in unserer Wahrnehmung damit nicht erreichbar ist.

Freundliche Grüße,

Dipl.-Ing. Ansgar H. Licher
(Geschäftsführer)

-- 
LWsystems GmbH & Co. KG  ++  http://www.lw-systems.de/impressum
Tel: +49 (0)5403 / 5556  ++  Fax: +49 (0)5403 / 7 95 89 97

LWsystems: Open Source IT Solutions - Linux Systemhaus - IT-Sicherheit

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

LWsystems GmbH & Co. KG
Sitz der Gesellschaft: Tegelerweg 11, 49186 Bad Iburg
Telefon +49 (0)5403 5556
Telefax +49 (0)5403 7958997
Handelsregister: Amtsgericht Osnabrück, HRA 110668
USt.-ID-Nr. DE244573220

Persönlich haftende Gesellschafterin: LWsystems Verwaltungs GmbH
Sitz der Gesellschaft: Tegelerweg 11, 49186 Bad Iburg
Handelsregister: Amtsgericht Osnabrück, HRB 111163

Geschäftsführer:
Dipl.-Ing. Ansgar H. Licher, Bad Iburg
Dipl.-Ing. Martin Werthmöller, Ibbenbüren 

Für weitere Firmendetails zu LWsystems siehe / 
For further company details please look at:
http://www.lw-systems.de/impressum

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
-------------- next part --------------
A non-text attachment was scrubbed...
Name: not available
Type: application/pgp-signature
Size: 189 bytes
Desc: This is a digitally signed message part.
URL: <http://www.openbenno.org/pipermail/users/attachments/20100222/a9d3204e/attachment.pgp>