Die Technische Richtlinie 03125 (TR-VLES) des Bundesamtes für Sicherheit in der Informationstechnik soll für eine vertrauenswürdige elektronische Langzeitspeicherung von elektronischen Dokumenten, Akten und sonstigen Daten aller Art sorgen (Technische Richtlinie). Eines der wesentlichen Ziele der Richtlinie soll die Beseitigung der verbliebenen Hindernisse auf dem Weg zu einer möglichst vollständigen digitalen Dokumentenverarbeitung sein. Das BSI hat dafür Gestaltungskriterien zugrunde gelegt die im Folgenden angeführt sind: | | | |
| | · | Berücksichtigung der relevanten internationalen Standards |
| | · | Konsequente und vollständige Plattform– und Herstellerneutralität |
| | | |
| | · | Beschreibung einer mandantenfähigen Referenzarchitektur, die sich auch für den Aufbau anwendungs- und produktübergreifender Archiv-Infrastrukturdienste eignet |
| | | |
| | · | Umsetzungsorientierung durch Einbeziehung konkreter Hilfestellungen zur Komponenten- und Schnittstellenentwicklung (insbesondere im Bereich kryptographischer Sicherungsmittel mit dem eCard-API-Framework) |
Als wesentliche Komponenten zur Erzielung der „rechtssicheren“ und der „vertrauenswürdigen Langzeitspeicherung“ dienen auf Basis der qualifizierten elektronischen Signatur mit Anbieterakkreditierung folgende Komponenten:
| | | |
| | · | ArchiSig-Modul (entwickelt vom Fraunhofer Institut) |
| | · | Crypto-Modul (entwickelt von OpenLimit) |
| | · | ArchiSafe-Modul (entwickelt vom PTB) |
| | · | eCard-API-Modul (BSI-TR-03112) |
| | | |
| | · | TransiDoc (entwickelt vom Fraunhofer Institut) |
Des Weiteren gibt die Technische Richtlinie in einem differenzierten Katalog von „Muss“-, „Soll“- und „Kann“-Anforderungen eine konkrete Anleitung, um für Behörden und Institutionen wirkungsvolle, zukunftssichere und wirtschaftliche technische Szenarien für eine vertrauenswürdige Langzeitarchivierung elektronischer Dokumente und Daten aufzubauen. Dabei geht die Richtlinie auf empfohlene Dokumentenformate, empfohlene Speicherformate für Archivdatenobjekte (XAIP), Empfehlungen zu IT-Referenz-architekturen oder alternativen Architekturen sowie Anforderungen an Komponenten (z. B. vorgelagerte Anwendungssysteme) und an Module (z. B. Krypto-Modul) als auch deren Zusammenspiel ein. (CaM)
| | |
|
| PROJECT CONSULT Kommentar:
|
Werfen wir zunächst einen Blick auf die positiven Aspekte. Die TR-VLES nimmt das OAIS Modell nach ISO 14721 als Grundlage. Abgesehen von Anbietern, die Daten-bank-archivierung betreiben, ist das OAIS Modell weltweit die anerkannte Grundlage für Architektur und die Funktionsweise von elektronsichen Archivsystemen. Die TR-VLES geht noch einen Schritt weiter. Sie definiert auf Basis des XFDU Formates derr NASA ein XML-basiertes Format für AIP Archivobjekte. Ob XAIP nun der Weisheit letzter Schluss ist, ist eine andere Frage.
Kommen wir zu den Aspekten der TR-VLES, die wir bei PROEJCT CONSULT mit sehr gemischten Gefühlen betrachten.
Zum Einen der Anspruch. Während in der TR-VLES steht, dass die Richtlinie nur für Bundesbehörden verbindlich sein soll, schreibt das BSI in seiner Pressemitteilung vom 04.12.2009: "Die nun vorliegende Technische Richtlinie bietet einen differenzierten Katalog von Anforderungen und Empfehlungen für eine vertrauenswürdige, rechts- und revisionssichere Langzeitspeicherung elektronischer Daten unter Berücksichtigung internationaler Standards. So schafft sie die notwendige Sicherheit und Orientierung für Hersteller und Anwender aus der öffentlichen Verwaltung und der Privatwirtschaft."Die TR-03125 zielt auf öffentliche Verwaltung und Privatwirtschaft, sie zielt auf alle Archive.
Zum Zweiten die gezielte Begriffsverwirrung und Begriffs-Okkupation. Mit dem Titel „Vertrauenswürdige Langzeitspeicherung“ lehnt sich das BSI (und die BSI-Partner CSC und OpenLimit) gezielt an die „Vertrauenswürdige Langzeitarchivierung“ des nestor-Projektes an. Während im nestor-Projekt die elektronische Signatur eine nur sehr nachgeordnete Funktion hatte (und nur irgendwo auf Seite 369 behandelt wird), ist sie in der BSI-Richtlinie das zentrale Konzept. Ganz bewusst wird dargelegt, dass ohne qualifizierte elektronische Signatur und ohne Nachsignieren keine Rechtssicherheit und keine Vertrauenswürdigkeit möglich ist. Hierzu werden dann auch die übrigen im Markt kursierenden Begriffe in der TR-03125 vereinnahmt. Die „revisionssichere Archivierung“ wird zur Unterabteilung der „rechtssicheren Archivierung“. Vertrauenswürdige Langzeitspeicherung und beweissichere Dokumente sind nur mit dem Einsatz der qualifizierten elektronsichen Signatur gegeben. Die qualifizierte elektronische Signatur wird so zum Maßstab der elektronischen Archivierung gemacht. Die TR-VLES ist Signaturlastig – und dies gezielt. Es soll hier für die qualifizierte elektronische Signatur deutscher Prägung ein neues Anwendungsgebiet geschaffen werden. Während bei der elektronischen Rechnung der Wegfall der Signatur seitens der Europäischen Kommission geplant wird, während bei Gesundsheitskarte und neuem Personalausweis die Signatur nur optional sein wird, soll hier im Bereich der Langzeitarchivierung jetzt langfristig die Signatur verankert werden. Dies ist alles nicht neu.
Die Entwicklung zeichnete sich bereits mit dem ArchiSig-Projekt 2001 ab. 2005 wurde das Thema vom Erhalt der Signaturen generell auf die Archivierung ausgedehnt und auf Konferenzen tauchte der Begriff „Rechtssicherheit bei der elektronischen Archivierung“ auf. Im Jahr 2007 erschien ein Positionspapier des BMWi Bundeswirtschaftsministeriums, das die Grundlagen für die BSI-TR 03125 vorbereitete. Auf einer Tagung im Januar 2009 wurde dann die Dimension der TR-03125 deutlich und erste Diskussion kamen im Heise-Forum auf. Im Juli 2009 wurde dann auf der BSI-Webseite das PDF-Dokument mit der TR-VLES veröffentlicht. Warum diese Chronologie der Ereignisse (die man zudem in der Diskussion auf XING im Detail hier nachverfolgen kann: TR-VLES) ?
Erstaunlicherweise gab es bereits im Herbst 2009 die ersten Produkte nach TR-03125. Zum Teil getestet von den gleichen Protagonisten, die auch die QES, das Nachsignieren und die TR-VLES mit verantworten. Beworben auf Messen und in Broschüren. Mit dabei die Firma OpenLimit. Damit sind Begriffe, Produkte und Richtlinie im Markt positioniert und nicht mehr „wegdiskutierbar“. Dass einige ECM-Anbieter im Markt jetzt Überraschung zeigen (SAPERION Blog): Nebensache. Dass einige Verbände, die sich sonst in diesem Umfeld tummeln davon nichts gehört haben, Nebensache. Dass es technische Mängel z.B. beim Zugriff auf die Archivobjekte gibt: Nebensache. Dass die Begriffe „Rechtssicherheit“, „Beweissicherheit“ oder „Vertrauenswürdigkeit“ als Produkteigenschaften vom BSI zertifizierter Hardwar- und Softwarelösungen falsche Erwartungen beim Anwender erzeugen: Nebensache. Das sich einige QES-Protagonisten hier mit Unterstützung des BSI sich ihre eigenen Märkte gesichert haben: Nebensache. Dass sich die qualifizierte elektronische Signatur nun in einem Feld, wo sie nichts zu suchen hat – der elektronischen Langzeitarchivierung – breitmacht: Nebensache. Dass hier wieder einmal ein deutscher Sonderweg beschritten wird: Nebensache. Die qualifizierte elektronische Signatur muss halt überall genutzt werden – ob es Sinn macht oder nicht.
Und die Entwicklung geht schier unaufhaltsam weiter. Beim DIN gibt es inzwischen eine Gruppe, die die DIN 31647 „Information und Dokumentation - Rechtssichere Archivierung von digital signierten Dokumenten“ formulieren soll. Diese wird ebenfalls nicht anders aussehen als die TR-03125. Sehr zielgerichtet und sehr effizient wurde ein neuer Maßstab für die elektronische Archivierung in den Markt gedrückt. An ECM-Anbietern, Verbänden und Endanwendern vorbei. Welcher Berater kann noch guten Gewissens einem Kunden ein Archivsystem empfehlen, das nicht „rechtssicher“, das nicht „vertrauenswürdig“ und das nicht „beweissicher“ ist. Dieser psychologische Effekt ist gewollt. Anwender wollen einfache Lösungen im Bereich der Archivierung, die rechtssicher sind. Hier wird nicht nach technischen Details und feinen sprachlichen Unterschieden zwischen „Langzeitarchivierung“ (nestor) und „Langzeitspeicherung“ (BSI) gefragt. Man wird sich auch nicht mehr darum kümmern, ob die Prozesse stimmig sind, ob die richtigen Daten archiviert werden, ob ein Zugriff unabhängig von der erzeugenden Anwendung möglich ist. Das Management in den Unternehmen wird auf diese Begriffe springen: „vertrauenswürdig, rechtssicher, beweissicher … und natürlich auch damit revisionssicher. Dass man sich dadurch auch das Thema elektronische Signaturen, Nachsignieren und Migration nach Transidoc ins Haus holt, wird die Entscheidereben nicht interessieren. Da kann es auch eine Archiv-Appliance sein, die man ins Rack steckt, Hauptsache der BSI-Stempel oder das provet-Gutachten klebt dran. Wer wirklich Dokumente mit qualifizierten elektronischen Signaturen beweisfähig halten muss und eine mögliche „Schwächung“ der Signaturen vermeiden will, der kann sich irgendwo ein kleines separates Archiv nach TR-03125 hinstellen. Der Anspruch des BSI „So schafft sie die notwendige Sicherheit und Orientierung für Hersteller und Anwender aus der öffentlichen Verwaltung und der Privatwirtschaft“ ist zu weit gegriffen – aber verständlich. Nur für ein paar Bundesbehörden lohnt es sich kaum für Archivsystemanbieter sich die gesamte ArchiSig-, Krypto-, ArchiSafe-, eCard- und TransDoc-Orgie anzutun. Da muss ein größerer Markt her. Die TR-VLES soll als der generelle Maßstab für die elektronische Archivierung dienen. Und so transportiert die TR-03125 nicht nur das Thema qualifizierte elektronische Signatur in alle Unternehmen und Verwaltungen sondern auch die – vermeintliche – Sicherheit, die es nur mit BSI-zertifizierten Produkten gibt. Alle weiteren Argumente pro und kontra TR-VLES finden Sie hier: https://www.xing.com/net/informationlifecyclemanagement/digital-preservation-332785/de-vertrauenswurdige-archivierung-nur-mit-elektronischer-signatur-26619628/26619628 (Kff) 
Metadata
