E-Zustellung in Österreich: “Unser Feind ist das Fax”

Die Einführung der E-Rechnung sorgte dieses Jahr für Diskussionen, vor allem da der Bund diese von seinen Lieferanten fordert. Nun prescht die WKÖ mit einem weiteren Standard vor. Die E-Zustellung soll eine rechtlich gesicherte digitale Übertragung ermöglichen und das betagte Fax ersetzen. Die futurezone hat mit Gerhard Laga, Leiter des E-Centers der WKO, und Christian Baumann, dem “technischen Vater der E-Zustellung”, besprochen, was für die Technologie geplant ist und wie man das Schicksal der De-Mail vermeiden will.

Wieso hat man sich dafür entschieden, die E-Zustellung in Österreich aufzubauen? Es gibt ja bereits E-Mail, Fax oder Einschreiben.
Gerhard Laga: Wir wollten ein elektronisches Gegenstück zum Einschreiben bauen um Medienbrüche zu vermeiden - ein System, bei dem jeder an jeden Nachrichten elektronisch schicken kann und dafür eine garantierte Empfangsbestätigung bekommt. Wir vergleichen uns nicht mit der Empfangsbestätigung die man bei einer E-Mail anfordern kann, denn die kann jeder fälschen oder wegklicken. Wir wollten und wollen auch nie eine Konkurrenz zur Mail bauen, denn mit etwas, das nichts kostet, kann man nicht konkurrieren. Man könnte vielleicht sagen, dass wir etwas vor vorweggenommen haben, wo wenig Bedarf da war. Wir haben aber immer wieder gehört, dass E-Mail für geschäftskritische Nachrichten einfach nicht gut genug ist.

Wie unterscheidet sich die E-Zustellung von der E-Mail?
Eine E-Mail ist ja fast wie eine Postkarte. Jeder kann beim Transport der Nachricht reinschauen, bei der E-Zustellung hingegen nicht. Die Verschlüsselung erfolgt automatisch zwischen Sender- und Empfängerdienst. Der Benutzer muss sich nicht darum kümmern, außer er möchte es zusätzlich auch noch mit einem eigenen Schlüsselpaar verschlüsseln. Daher ist die E-Zustellung als Webservice auch auf Sicherheitsebene eindeutig besser als E-Mail. Der Feind ist aber nicht die E-Mail, sondern das im Businessbereich immer noch sehr gebräuchliche Fax. Da braucht es nun einmal ein neutrales System, auf dem man sich sicher austauschen kann. Gleichzeitig muss es aber offen genug sein, damit Wettbewerb entstehen kann.

Wie läuft die E-Zustellung ab, wer betreibt die Infrastruktur?
Der Verein Austriapro hat einen offenen, technischen Standard ausgehend von der behördlichen E-Zustellung erarbeitet. Die WKÖ ein darauf basierendes Regelwerk, das „rulebook“ geschaffen. In der privaten E-Zustellung nach dem Regelwerk der WKÖ betreibt die WKÖ ein zentrales Benutzerverzeichnis, den „Zustellkopf“. Die einzelnen Dienste werden von Unternehmen betrieben und melden die Nutzer an den Zustellkopf, damit Interoperabilität entsteht und die Dienste untereinander neutral abrechnen können.

Hat man sich das Debakel mit der deutschen De-Mail näher angesehen?
Ja, natürlich. Wie man von Anfang an eine Sollbruchstelle in ein „sicheres“ System einbauen kann, verstehe ich nicht. Das ist bei der österreichischen E-Zustellung nicht der Fall, dort ist alles vom Versender-Dienst bis zum Empfänger-Dienst verschlüsselt. Auch in unseren Nachbarländern Italien, Schweiz, Ungarn, Slowenien und Tschechien sind in den letzten Jahren ähnliche Systeme entstanden, die aber ähnlich wie in Österreich noch eine Herausforderung mit der Akzeptanz haben. In Skandinavien ist man da schon weiter.

Wie sieht es mit der Sicherheit der Daten aus?
Christian Baumann: Die Verbindung zwischen den Komponenten ist grundsätzlich immer verschlüsselt. Zusätzlich haben die einzelnen Dienste spezielle Zertifikate, die eine eigene Kennzeichnung haben. Ein Betreiber erhält dieses Zertifikat nur, wenn man sich dem WKO-Rulebook unterwirft. So wissen die Dienste untereinander auch, dass es sich um einen zugelassenen Dienst handelt. Darüber hinaus können die Benutzer auch eigene Keys erstellen und austauschen, um ihre Daten zusätzlich zu verschlüsseln. Das ist aber nicht verpflichtend. Außerdem wird die Identität der Personen zu einem möglichst hohen Grad geprüft. Es gibt mehrere Vertrauensstufen, wobei die Erste mit E-Mail und Handy-TAN nur als Einstieg dient. Darüber steht die Authentifizierung per Bankkonto, die höchste Stufe erreicht man mit Bürgerkarte oder Handy-Signatur. Das heißt, Sie können mir eine Nachricht schicken und darauf vertrauen, dass ich es bin und nicht irgendjemand mit einer ähnlich klingenden E-Mail-Adresse.

Die E-Zustellung wurde unter anderem damit beworben, dass sie nicht unter die Vorratsdatenspeicherung fällt. Gleichzeitig müssen Anbieter laut rulebook der E-Zustellung Verbindungsdaten für mindestens fünf Jahre speichern, Identifikationsdaten sogar auf sieben Jahre - ist das kein Widerspruch?
Laga: Auf der technischen Ebene mag das ein Widerspruch sein, auf der rechtlichen Ebene gibt es aber wesentliche Unterschiede. Laut Telekommunikationsgesetz betraf die Vorratsdatenspeicherung unter anderem Dienste, die E-Mail-Dienste anbieten. Nicht betroffen waren IT-Dienstleister, die andere Kommunikationsdienste als E-Mail anbieten. Damit war die E-Zustellung von der flächendeckenden Ablieferungspflicht von Kommunikationsdaten nicht betroffen. Im Gegenteil: Die Anbieter sind vertraglich zu technischen Schutzmaßnahmen verpflichtet. Der Sinn an dem System der nachweisbaren Zustellung ist aber, dass ich als Versender oder Empfänger Interesse daran habe, dass ich einen Nachweis über die Kommunikation erhalte. Wer sollte das besser können als die beteiligten Anbieter? Daher sind diese vertraglich dazu verpflichtet, die Sendungsvorgänge zu dokumentieren, mussten diese auf Basis der Vorratsdatenspeicherung aber nicht weitergeben. Natürlich könnte ein Gericht im Einzelfall die Herausgabe der Daten fordern. Hier könnten aber im Einzelfall Entschlagungsrechte geltend gemacht werden, wie es beispielsweise für Rechtsanwälte oder Ärzte wichtig ist. Daher werden natürlich auch keine Inhaltsdaten gespeichert.

Wenn man die E-Zustellung im vollen Umfang nutzen möchte, benötigt man eine Handy-Signatur. Hat sich das bislang als Hürde erwiesen?
Nein. Es gibt zur Zeit zwischen 20.000 und 25.000 Registrierungen im Monat mit der Handy-Signatur. Derzeit sind rund 500.000 Bürgerkarten aktiv, sowohl in physischer Form wie zB die eCards oder als Handy-Signatur. Mittlerweile gibt es mehr Handy-Signaturen als physische Bürgerkarten. Das System ist simpel genug, dass ich es meiner Mutter zutraue, die meisten kennen es vom Online-Banking. Daher war das bislang kein Problem.

Es gibt einige Online-Zustelldienste, aber nur Postserver hat sich bislang dem WKO-Rulebook unterworfen - warum?
Das hat einige Gründe. Manche möglichen Anbieter sagen, “Die Regeln machen wir selbst” und deswegen unterwerfen sie sich nicht einem fremden Rulebook. Auf der anderen Seite stehen andere technische Dienstleister, die für große Kunden der E-Zustellung ähnliche Dienste betreiben. Deren Kunden halten diese Angebote bewusst proprietär, damit die Konkurrenz nicht auch in deren Portale zustellen kann. Wenn ich zum Beispiel die Versicherung A bin und ich betreibe ein auf der E-Zustellung basierendes Zustellportal, dann habe ich kein Interesse daran, dass Versicherung B meinem Kunden in meinem Portal Werbung für andere Polizzen zustellt. Das ist aus meiner Sicht zu kurz gedacht, der Kontakt zum Kunden ist viel wertvoller als die Werbemöglichkeit.

Baumann: Wenn dieser Wildwuchs so weiter geht, also ich mich zum Beispiel für Uniqa, A1, Wien Energie oder der Wiener Städtischen immer bei einem anderen Portal einloggen muss, werden die Kunden irgendwann aufgeben. Da sagen wohl die meisten “Das ist mir viel zu mühsam, schickt mir die Rechnung weiterhin per Post.” Wenn das alles in ein Postfach gelangen würde, egal wer es betreibt, wäre die Akzeptanz deutlich größer.

Mit dem Trustnetz, das sich an Rechtsanwälte richtet, hat man ja bereits ein Branchen-spezifisches E-Zustellungs-Portal. Gibt es auch Bemühungen für andere Branchen?
Laga: Es gibt Überlegungen und Vorgespräche , aber noch nichts, was man verkünden könnte. Wir richten uns vor allem an Anwendungsfälle, in denen Bürokratie abgebaut werden kann. Das ist der Hauptgrund hinter der E-Zustellung: Es geht darum, Zettelkrieg zu vermeiden, indem ich automatisch Daten übernehmen kann. Da ist nicht die Mail der Konkurrent, sondern das Fax.

Wird überlegt, ähnlich wie bei der E-Rechnung, die E-Zustellung Unternehmen bei der Kommunikation mit dem Bund vorzuschreiben?
Keine, die spruchreif sind. Für den privaten Bereich ohnedies nicht, das geht mit der geltenden Rechtslage auch nicht. Faktum ist, dass es in zumindest zwei Staaten - Italien und Niederlande - staatliche Nachrichtenboxen im elektronischen Bereich gibt, die für Unternehmen eingerichtet wurden. Wenn in diesen Boxen etwas landet, gilt es als zugestellt. Das würde ja auch Potenzial für Einsparungen bieten, da die Kosten für das Papier entfallen. Es ist nicht ausgeschlossen, dass das auch in Österreich kommt, aber ein konkreter Gesetzesentwurf ist derzeit nicht bekannt.