4. arbeitskreis „technische und organisatorische datenschutzfragen“

sichts des hohen Schutzniveaus, das die DVZ M-V GmbH in technischer und organisatorischer Hinsicht erfahrungsgemäß
bietet, dürften aber Änderungen der Sicherheitsvorkehrungen in absehbarer Zeit nur in geringem Maße nötig sein.
Schwieriger ist die Situation bei den PROfiskal-Arbeitsplätzen in der Finanzverwaltung. Ursprünglich war vorgesehen, auf
den entsprechenden Endgeräten keine anderen Anwendungen zu betreiben. Tatsächlich laufen aber auf den eigentlich PROfiskal
vorbehaltenen Rechnern auch andere Anwendungsprogramme. Auf diesen Computern können teilweise Administrationsaufgaben
für PROfiskal und sogar für andere Anwendungen durchgeführt werden, die Auswirkungen auf PROfiskal haben.
Das Handbuch selbst macht aber fast keine konkreten Aussagen zur Netz- und Endgerätesicherheit. Insofern besteht
dringender Handlungsbedarf.
Test mit Echtdaten
Im Dezember 1999 teilte mir das Finanzministerium mit, dass die DVZ M-V GmbH bei den verschiedenen Versionsänderungen
der Software PROfiskal Laufzeittests mit Echtdaten plant. Sie sollen unabhängig von den Ergebnissen der Prüfungen
auf der Testdatenbank und parallel zu diesen laufen.
Tests mit Echtdaten sind nur im Einzelfall und in engen Grenzen zulässig, insbesondere sollten sie nur dann erfolgen, wenn
alle übrigen Prüfungen positiv verlaufen sind (siehe Dritter Tätigkeitsbericht, Punkt 3.11.3). Außerdem sind Vorabprüfungen
mit Testdaten auch aus anderem Grunde wichtig. Nur mit ihnen können konkrete vielschichtige Fallkonstellationen erzeugt
und komplexe Fehlermuster analysiert werden, die in der Echtdatenbank in der Regel so nicht verfügbar sind.
Ich habe daher empfohlen, von den geplanten parallelen Laufzeittests abzusehen und generell erst dann mit Echtdaten zu
arbeiten, wenn aufgrund der umfassenden Prüfung mit Testdaten von einer im Wesentlichen fehlerfreien Funktion des einzusetzenden
Programmes ausgegangen werden kann.
Das Finanzministerium unterrichtete mich darüber, dass die Tests zur Vorbereitung der nächsten PROfiskal-Version in folgender
Reihenfolge durchgeführt werden:
1. Prüfung mit Testdatenbank,
2. Test des Laufzeitverhaltens mit Echtdatenbank,
3. Prüfung der Funktionalitäten, die auf der Testdatenbank nicht geprüft werden können, mit den vorhandenen Echtdaten.
Einführung der elektronischen Kassenanordnung
Das Finanzministerium hat im Jahr 1998 über eine Ausschreibung für eine Machbarkeitsstudie zur Einführung der elektronischen
Kassenanordnung berichtet. Bei dem Verfahren sollen auch Methoden der digitalen Signatur (siehe Dritter Tätigkeitsbericht,
Punkt 2.2) und moderne Techniken der Nutzeridentifikation eingesetzt werden. Des Weiteren weist das Ministerium
in der Ausschreibung auf die Forderung der Datenschutzbeauftragten nach dem Einsatz kryptographischer Verfahren beim
elektronischen Datentransport hin. Die DVZ M-V GmbH betont in ihrer Studie die entscheidende Wichtigkeit von Authentizität
(Feststellbarkeit des Urhebers) und Integrität (Unverfälschtheit) der Daten und gelangt unter anderem zu folgenden
Ergebnissen:
− Erst der Einsatz von Mitteln, die dem Signaturgesetz entsprechen, gewährleistet langfristig die Anforderung an Datenschutz
und Datensicherheit.
− Die Anwendung von Verfahren, die nicht signaturgesetzkonform sind, wird nicht empfohlen. Dies ist zunächst aus rechtlichen,
aber auch zunehmend aus wirtschaftlichen Gesichtspunkten begründbar.
Diese Bewertung der DVZ M-V GmbH teile ich. Daher habe ich das Finanzministerium gebeten, die elektronische Kassenanordnung
nicht einzuführen, ohne Methoden der digitalen Signatur und kryptographische Verfahren zur Gewährleistung
des Datenschutzes und der Datensicherheit zu verwenden. Das Ministerium teilte mir mit, dass elektronische Kassenanordnungen
noch nicht erfolgen, da die technischen Voraussetzungen nicht bestehen.
Ich habe das Finanzministerium gebeten, mich über die Planungen und Entwicklungen für PROfiskal in unserem Lande auf
dem Laufenden zu halten und mich insbesondere vor der Einführung von Informations- und Kommunikationstechniken, mit
denen personenbezogene Daten verarbeitet werden, rechtzeitig zu unterrichten.
Vierter Tätigkeitsbericht des Landesbeauftragten für den Datenschutz Mecklenburg-Vorpommern 43