Warum benötigt man ein Prüfungsprotokoll?
Was wird damit geprüft oder belegt?
Auszug aus dem Erlass vom BMF vom Juli 2005:
- "...Der Empfänger einer elektronisch übermittelten Rechnung, die mit einer fortgeschrittenen Signatur versehen wurde, kann die Prüfung der Signatur auch auf einen Dritten übertragen...."
Kommentar: dig-rechnung.at darf für Sie das Prüfungsprotokoll erstellen.
- "...Da eine auf elektronischem Weg übermittelte Rechnung nur unter der Voraussetzung als Rechnung gilt, dass die Echtheit der Herkunft und die Unversehrtheit des Inhalts gewährleistet ist, haben sowohl der Rechnungsaussteller als auch der Leistungsempfänger auch die Nachweise über die Echtheit und die Unversehrtheit der Daten als Teil der Rechnung aufzubewahren..."
Kommentar: dig-rechnung.at bewahrt auch die Prüfungsprotokolle für Sie auf bzw. sendet diese mit der signierten PDF-Rechnung an den Empfänger mit.
Hier finden Sie eine Beschreibung:
- Echtheit des Zertifikats des Signators ?
...wenn wir von der Echtheit des "Zertifikats" sprechen, so ist dies durch die Unterschrift am Zertifikat von der Zertifizierungsstelle (a-cert) gewährleistet. Es bestätigt die Zertifizierungsstelle die Echtheit des Zertifikats, was man jederzeit mit dem Root-Zertifikat des Zertifizierungsstelle "ausrechnen" (belegen) kann. Technisch ist das Zertifikat des Signators mit einer Unterschrift der Zertifizierungsstelle versehen, die mit dem Public Key des Root-Zertifikats geprüft werden kann. Zertfikate ausgestellt von der Zertifizierungstelle nennt man das im allgemeinen Gebrauch. Die Echtheit ist damit nicht anzufechten.
- Echtheit / Richtigkeit / Prüfbarbeit / Dokumentation
über elektronisch signierte Rechnungen beim Empfänger.
...wenn wir von Echtheit/Richtigkeit/Prüfbarkeit der "Signatur" sprechen, so ist dies in mehreren Schritten zu tun:
(Schritt 1) Die Signatur selbst lässt sich mit Hilfe der Hash-Bildung über das signierte Dokument und dem Publickey des Signators prüfen. (macht Adobe Reader automatisch bei signierten PDF-Dateien)
(Schritt 2) Das Zertifikat des Signators ist im PDF auch enthalten und könnte ja gefälscht sein. Daher muss das Zertifikat des Signators - sprich die Signatur auf dem Zertifikat von der Zertifizierungsstelle gegen das Root-Zertifikat geprüft werden. (macht Adobe Reader automatisch mit dem Zertifikat-Speicher, der im MS Internet Explorer liegt und standardmässig das a-cert Root-Zertifikat beinhaltet bzw. von einer offiziellen MS-Cert-Store nachgeladen wird)
(Schritt 3) Eigentlich - ganz korrekt - wäre es das Root-Zertifikat anhand der ID (Fingerprint) per Telefon mit a-cert zu vergleichen um sicher zu gehen, dass man kein gefälschtes Root-Zertifikat hat. (nachdem das a-cert Root-Zertifikat von MS mitausgeliefert wird bzw. vom MS-Cert-Store nachgeladen wird, ist das automatisch vertrauenswürdig)
Schritt 2 und 3 muss man nur einmal machen, solange sich das Zertifikat des Signators nicht ändert oder abläuft - sprich in der Regel nur alle 4 Jahre.
(Schritt 4) Signatur stimmt. Zertifikat ist echt. Nun muss man gegen die Sperrliste (CRL) der Zertifizierungsstelle prüfen, ob das Zertifikat noch gültig ist oder ob es "revoked" wurde. Wenn dies nicht der Fall ist, kann man sagen, dass die Echtheit und Herkunft gewährleistet ist.
(Schritt 5) Die Schritte 1 bis 4 passieren in der Regel zum Zeitpunkt wenn man eine Rechnung erhält oder Tage/Wochen später, aber nicht Jahre später - wenn diese nun aber 7 Jahre lang gespeichert wird, um der gesetzl. Aufbewahrungsfrist nachzukommen, tritt folgender Effekt ein: Das Zertifikat ist zwischenzeitlich abgelaufen (meist nach 4 Jahren) und ist beim Zertifizierungsdienstanbieter nicht in der Sperrliste vorhanden, da es ohnehin schon ungültig wäre auch wenn es innerhalb der Gültigkeitsdauer in der Sperrliste gewesen wäre, weil es einmal revoked wurde, finden wir inder Sperrliste keinesfalls das Zertifikat des Signators. D.h. der Adobe Reader kann nicht feststellen, ob das Zertifikat zum Zeitpunkt der Signatur gültig war, da die Sperrliste diese Information in 7 Jahren nicht mehr enthalten würde. Deshalb wird von dig-rechnung.at zum Zeitpunkt der Signatur auch ein Prüfungsprotokoll erstellt, die aktuelle Sperrliste abgespeichert und diese Information in Form einer XML-Prüfungsprotokoll Datei abgespeichert und der externen Signatur durch a-cert mit einem Zeitstempel (siehe http://www.a-cert.at/php/cms_monitor.php?q=PUB-TEXT-A-CERT&s=98173wst) unterzogen, d.h. a-cert unterschreibt, dass dieses Prüfungsprotokoll am nachweislichen Tag existiert hat bzw. erstellt wurde und in diesem Protokoll befindet sich die Information zur Sperrliste, die geprüft wurde. Daher kann auch in 7 Jahren belegt werden, dass das Zertifikat zum Zeitpunkt der Signatur gültig war. Betonung auf "gültig" - die Echtheit eines Zertifikats lässt sich immer belegen.
Und so sieht ein Prüfungsprotokoll von dig-rechnung.at aus. Dies wird automatisch mit jeder signierten PDF-Rechnung mitversandt und bei dig-rechnung im Portal archiviert und der in Schritt 5 beschriebenen Zeitstempel-Signatur unterzogen.
Text-Version:
Protokoll zu PDF mit der ID: 87479e2926bb535f47d277fb5c5d750a
Protokoll wurde erstellt am: 2006-07-18 12:46:02
Folgendes Zertifikat wurde zur Signatur verwendet:
C=AT, ST=Oberoesterreich, L=Linz, O=DIG digital-information-gateway GmbH, OU=Buchhaltung, CN=Sonja Elias, DIG digital-information-gateway GmbH - Buchhaltung/emailAddress=sonja.elias(at)dig-gmbh.at
Seriennummer: 0xe1
SHA1 Fingerprint: 2F:EA:F4:0E:98:50:68:38:2C:82:75:5A:CF:7C:E2:8A:8E:9C:E7:34
Gültig von: Aug 18 00:00:00 2005 GMT
Gültig bis: Aug 18 12:25:42 2010 GMT
(Zertifikat war zum Signaturzeitpunkt gültig)
Ausgestellt von:
C=AT, ST=Austria, L=Vienna, O=ARGE DATEN - Austrian Society for Data Protection, OU=A-CERT Certification Service, CN=A-CERT ADVANCED/emailAddress=info(at)a-cert.at
Zertifikat hat eine gültige Signatur des Ausstellers
Zertifikat steht nicht auf der Sperrliste Jul 17 12:14:45 2006 GMT
Es ist auch eine XML-Version vorhanden, die mit Index-Informationen als Schlagworte für Archivsysteme ausgestattet ist.
