Sicherheitsmängel: Datenschützer fordern Stopp von Elster

Datenschützer sowie der Bund der Steuerzahler fordern wegen massiver Sicherheitsmängel den Stopp der elektronischen Steuererklärung Elster. Dies berichtet unsere Schwesterpublikation Computerwoche. So ist es beispielsweise möglich, im Namen von Firmen falsche Zahlen und Informationen an das Finanzamt zu schicken. Dazu wird lediglich die Steuernummer des jeweiligen Unternehmens benötigt, dem man schaden möchte. Die Steuernummer zu erfahren ist in der Regel kein Problem, da die Kennziffer zum Beispiel auf jeder Rechnung angegeben werden muss. Zwar müssen sich Firmen mittels einer schriftlichen Erklärung einmalig für die Teilnahme am Elster-Verfahren anmelden. Im weiteren erfolgt jedoch keine gesonderte Authentifizierung durch Passwörter bei der Datenübermittlung. Lediglich die Steuernummer wird abgefragt.

Dies dürfe so nicht hingenommen werden, verlautete aus Datenschützerkreisen. Sollte es nicht möglich sein, den Datenschutz zu wahren, müsse die Software abgeschaltet werden, ließ der Bundesbeauftragte für den Datenschutz mitteilen. Unternehmen in Deutschland sind ab Januar 2005 verpflichtet, ihre Umsatz- und Lohnsteuererklärungen auf elektronischem Weg an das Finanzamt zu übermitteln.

Den Firmen entstehe auch bei gefälschten Steuererklärungen kein finanzielles Risiko, versucht die Finanzverwaltung abzuwiegeln. Sollte es aufgrund solcher Falschmeldungen zu irregulären Abbuchungen kommen, könnten die Firmen widersprechen und bekämen das Geld auf Kosten der Verwaltung zurückerstattet. Damit entsteht den Unternehmen wie auch der Verwaltung jedoch zusätzlicher Aufwand. Denn schließlich müssten Firmen Steuerbescheide genau nachprüfen und die Finanzbehörden eventuelle Falschbuchungen korrigieren.

Wie hoch das Schadenspotenzial ist, lässt sich derzeit noch nicht abschätzen. Damit wird auch die ursprüngliche Absicht der Finanzverantwortlichen zur Makulatur: Den Unternehmen sollte Elster die Abgabe der Steuererklärung erleichtern. Daher sei auch kein aufwendiges Authentifizierungsverfahren vorgesehen gewesen, verlautete aus Behördenkreisen.

Das soll sich jedoch ändern. So arbeiten die IT-Verantwortlichen der Finanzverwaltung bereits an einer Lösung für das Sicherheitsproblem. So soll es künftig ein Elster-Web-Portal geben, auf dem sich die Teilnehmer authentifizieren müssen, bevor sie Steuerdaten übertragen können. Es dürfte jedoch bis Anfang 2006 dauern, bis die überarbeitete Elster-Software einsatzbereit ist, mutmaßen Experten.