De-Mail-Leitfaden
für Behörden
3. September 2015
(Version 1.1)
1
Inhalt
1
Zielsetzung und Aufbau des Leitfadens .......................................................................................... 5
2
Kurzeinführung in De-Mail ............................................................................................................. 6
3
4
2.1
Warum De-Mail? .......................................................................................................................... 6
2.2
Wie funktioniert De-Mail? ............................................................................................................ 7
2.2.1
Grundsätzliche Architektur und Funktionsweise ................................................................................ 7
2.2.2
Verschlüsselung .................................................................................................................................. 8
2.2.3
Authentisierungsniveaus .................................................................................................................... 9
2.2.4
Öffentlicher De-Mail-Verzeichnisdienst (ÖVD) ................................................................................... 9
2.2.5
Versandoptionen von De-Mail ............................................................................................................ 9
2.2.6
Mögliche Architekturen für die Anbindung an De-Mail.................................................................... 11
Gesetzliche Rahmenbedingungen .................................................................................................15
3.1
De-Mail-Gesetz ........................................................................................................................... 15
3.2
E-Government-Gesetz ................................................................................................................ 15
3.3
Verwaltungszustellungsgesetz ................................................................................................... 16
3.4
E-Justice-Gesetz .......................................................................................................................... 17
Einführung von De-Mail.................................................................................................................18
4.1
Vorbereitung und Analyse .......................................................................................................... 18
4.1.1
Strukturierung der Prozesse und Identifikation möglicher De-Mail-Einsatzszenarien ..................... 19
4.1.2
Prozessanalyse .................................................................................................................................. 20
4.1.3
Möglichkeit der stufenweisen Einführung von De-Mail ................................................................... 23
4.1.4
Veraktung und Langzeitspeicherung ................................................................................................ 27
4.2
Design ......................................................................................................................................... 28
4.2.1
Fachliches/organisatorisches und technisches Design ..................................................................... 28
4.2.2
Domainkonzept ................................................................................................................................. 29
4.2.3
Zugangseröffnung ............................................................................................................................. 30
4.2.4
Designentscheidungen im Hinblick auf die Anbindung an De-Mail .................................................. 31
4.2.5
Öffentlicher De-Mail-Verzeichnisdienst (ÖVD) ................................................................................. 36
4.2.6
Standard-Konto (sog. „Catch All-Postfach“) ..................................................................................... 38
4.3
Wirtschaftlichkeitsbetrachtung .................................................................................................. 38
4.4
Sicherheitsbetrachtung .............................................................................................................. 39
2
4.5
4.5.1
Organisatorische Vergabevorbereitung ............................................................................................ 40
4.5.2
Fachliche Vergabevorbereitung ........................................................................................................ 41
4.6
5
Vergabeverfahren....................................................................................................................... 40
Umsetzungsplanung und Umsetzung......................................................................................... 42
Checkliste ......................................................................................................................................45
3
Abbildungen
Abbildung 1: De-Mail-Versand und -Empfang (Grundprinzip) ..................................................................... 7
Abbildung 2: Nutzungsvarianten De-Mail-Anbindung ............................................................................... 12
Abbildung 3: Kommunikationsbausteine bei Einsatzszenarien mit der Verwaltung. ................................ 20
Abbildung 4: Soll-Prozess „Antrag Chargenfreigabe/Änderungsanzeige“ ................................................. 22
Abbildung 5: De-Mail-Soll-Prozess „Bescheidversand“ .............................................................................. 23
Abbildung 6: Lebenszyklus behördlichen Schriftguts ................................................................................. 27
Abbildung 7: Domaindarstellung ................................................................................................................ 30
Abbildung 8: Darstellung der Funktionen eines De-Mail-Gateways .......................................................... 33
Abbildung 9: Architektur der De-Mail-Anbindung ..................................................................................... 35
Abbildung 10: Beispielhaftes Vorgehensmodell zur Vergabe von De-Mail-Diensten ................................ 40
Tabellen
Tabelle 1: Vor- und Nachteile der Nutzung von De-Mail-Webportalen..................................................... 13
Tabelle 2: Vor- und Nachteile der Nutzung eines lokalen De-Mail-Gateways ........................................... 14
Tabelle 3: Vor- und Nachteile der Nutzung eines zentralen De-Mail-Gateways ....................................... 14
Tabelle 4: Relevante Fristen aus dem EGovG mit Bezug zu De-Mail ......................................................... 15
Tabelle 5: Übersicht Geltungsbereiche des VwVfG (Stand: August 2014) ................................................. 16
Tabelle 6: Übersicht Geltungsbereiche des VwZG (Stand: August 2014) .................................................. 16
4
1 Zielsetzung und Aufbau des Leitfadens
Der De-Mail-Leitfaden richtet sich an öffentliche Einrichtungen der Bundes-, Landes- und Kommunalverwaltung. Mit seiner Hilfe sollen die Behörden durch die wesentlichen Aktivitäten geführt werden, die mit
der De-Mail-Einführung einhergehen (roter Faden).
Dazu wird zunächst in Kapitel 2 die grundsätzliche Funktionsweise von De-Mail erläutert sowie in Kapitel
3 die rechtlichen Grundlagen und Rahmenbedingungen.
In Kapitel 4 werden entlang der möglichen Projektphasen eines De-Mail-Einführungsprojekts Aktivitäten
beschrieben sowie Handreichungen und Hinweise zur Einführung von De-Mail bereitgestellt. Die Handreichungen sollen im Rahmen der Fortschreibung dieses Dokuments auf Grundlage von Rückmeldungen der
Nutzer sukzessive ergänzt und um weitere relevante Themenfelder/Handreichungen erweitert werden1.
In Kapitel 5 werden abschließend alle Projektphasen und möglichen Aktivitäten zusätzlich als Checkliste
aufbereitet zur Verfügung gestellt.
Die Kapitel 2 bis 4.2.1 richten sich in erster Linie an Entscheider, Organisatoren und Prozessverantwortliche. Die Kapitel 4.2.2 bis 4.5 fokussieren überwiegend technische Details und richten sich damit in erster
Linie an Umsetzungsverantwortliche und Administratoren.
1
Anmerkungen und Vorschläge für Ergänzungen von Themenfeldern/Handreichungen bitte an [email protected].
5
2 Kurzeinführung in De-Mail
2.1 Warum De-Mail?
Kunden und Bürger erwarten von der Verwaltung eine schnelle Sachbearbeitung und transparente Möglichkeiten der Nachverfolgung von Bearbeitungsständen. De-Mail bildet das Pendant zur Sicherheit eines
papierbasierten Briefs, kombiniert mit den Vorteilen der Schnelligkeit einer E-Mail. Zusätzlich kommen
Kostenvorteile zum Tragen, die eine Einführung in den meisten Fällen auch wirtschaftlich interessant machen. Durch Reduktion von Papier-, Druck-, Porto- und Prozesskosten der papierbasierten Kommunikation
werden signifikante Kosteneinsparungen möglich. De-Mail ist für juristische und natürliche Personen sowie für öffentliche Einrichtungen auf Sender- und Empfängerseite geeignet.
Im Bereich der Bundesverwaltung ist eine Einführung von De-Mail gemäß E-Government-Gesetz innerhalb
von zwölf Monaten verpflichtend vorgeschrieben, sofern ein Zugriff auf das zentral betriebene De-MailGateway der Bundesverwaltung möglich ist. Das Gateway steht seit dem 23. März 2015 zur Verfügung,
sodass die Einführung von De-Mail in der Bundesverwaltung im 1. Quartal 2016 abgeschlossen sein wird.
De-Mail ist überall dort einsetzbar, wo sicher und nachweisbar kommuniziert werden soll und die Kommunikationspartner sicher sein müssen oder wollen, dass der jeweils andere derjenige ist, welcher er vorgibt zu sein. Es fördert die schnellere Bearbeitung und bringt Kostenersparnisse bei gleichzeitigem Arbeiten innerhalb der gewohnten „Umgebung“.
De-Mail kann grundsätzlich die folgenden Kommunikationsverfahren sinnvoll ersetzen:
•
Briefe
•
(Einwurf-)Einschreiben
(mittels De-Mail mit Eingangsbestätigung)
•
Postzustellungsaufträge
(mittels De-Mail mit Abholbestätigung nach VwZG)
•
Faxe
•
Dokumente, die unterschrieben sein müssen
(mittels absenderbestätigter De-Mail)
•
Spezielle Verfahren zur sicheren elektronischen Kommunikation
De-Mail ist dabei für die Übermittlung sowohl von unstrukturierten als auch von strukturierten Informationen (z.B. XML-Dateien zur automatisierten Verarbeitung in Fachverfahren) geeignet. Kommunikationspartner können natürliche Personen und alle Arten von Organisationen (juristische Personen sowie Personengesellschaften und öffentliche Einrichtungen) sein.
6
2.2 Wie funktioniert De-Mail?
2.2.1 Grundsätzliche Architektur und Funktionsweise
Mit De-Mail kann alternativ zu papierbasierter Briefpost rechtsverbindlich und rechtssicher kommuniziert
werden. Den rechtlichen Rahmen der Nutzung von De-Mail bildet das De-Mail-Gesetz vom 28. April 2011.
Um De-Mail nutzen zu können, muss sich der Anwender (eine juristische oder natürliche Person) bei einem akkreditierten De-Mail-Diensteanbieter (DMDA) angemeldet und ein De-Mail-Konto eröffnet haben.
Danach können De-Mails mit allen anderen De-Mail-Teilnehmern ausgetauscht werden. Das Versenden
und Empfangen von Nachrichten erfolgt, wie in Abbildung 1 dargestellt, über verschlüsselte Transportwege, sodass Inhalte nicht mitgelesen oder modifiziert werden können.
Abbildung 1: De-Mail-Versand und -Empfang (Grundprinzip)
Die akkreditierten De-Mail-Diensteanbieter betreiben die De-Mail-Infrastruktur. Ziel der De-Mail-Initiative der Bundesregierung war es, dass DMDAs als Unternehmen oder sonstige Organisationen De-MailDienste aus eigenem (wirtschaftlichen) Interesse heraus anbieten und hierbei einheitlichen Sicherheitsstandards genügen, deren Einhaltung durch das Bundesamt für Sicherheit in der Informationstechnik (BSI)
überprüft wird. Mit der Akkreditierung durch das BSI wird bestätigt, dass der DMDA die hohen Sicherheits, Funktionalitäts-, Interoperabilitäts- und Datenschutzauflagen erfüllt, die durch das De-Mail-Gesetz und
die Technische Richtlinie De-Mail vorgeschrieben sind.
Sofern auch mit internationalen Kommunikationspartnern De-Mails ausgetauscht werden sollen, ist dies
möglich, wenn sich die ausländischen Nutzer ebenfalls bei einem DMDA angemeldet und ihre Identität
nachgewiesen haben. Darüber hinaus wird De-Mail auch aktiv in EU-Projekte und Standardisierungsgremien eingebracht, durch welche die grenzüberschreitende Interoperabilität mit entsprechenden Systemen anderer Länder ermöglicht werden soll.
Obgleich De-Mail die elektronische Alternative zur Papierpost darstellt, ist die Bedienung von De-Mail
sehr stark an E-Mail angelehnt. Die technische Funktionsweise von De-Mail ist sogar nahezu identisch zu
7
E-Mail. Das bedeutet für einen Endanwender, dass er seine gewohnten (E-Mail-)Umgebungen auch zum
Verfassen und Lesen von De-Mails weiterhin nutzen kann.
Beispiel für einen Versandvorgang einer De-Mail:
Voraussetzung: Sowohl der Absender als auch der Empfänger besitzen eine De-Mail-Adresse.
Eine De-Mail wird beim Absender verfasst, indem er bspw. in seinem Web-Browser oder mit einem
E-Mail-Client eine Nachricht erstellt. In das Empfängerfeld wird die De-Mail-Adresse des Empfängers eingetragen. Alle anderen Felder wie Betreff und das eigentliche Nachrichtenfeld können wie
bei einer E-Mail gefüllt werden. Auch können Dateien als Anhänge beigefügt werden.
Beim Versenden wird die Nachricht an den DMDA des Absenders geleitet. Der DMDA bringt an die
De-Mail weitere Informationen an, wie die aktuelle Uhrzeit oder unter Umständen eine qualifizierte
elektronische Signatur, mit der er bestätigt, dass es sich um eine De-Mail handelt. Danach wird die
De-Mail an den Empfänger-DMDA weitergeleitet. Dieser legt die De-Mail in das Postfach des Empfängers. Bei Privatnutzern informieren die DMDAs in der Regel den Empfänger einer neu eingegangenen De-Mail per SMS, damit möglicherweise wichtige Post nicht „übersehen“ wird. Der Empfänger holt die Nachricht aus seinem Postfach ab oder liest diese direkt im Webportal seines DMDA.
2.2.2 Verschlüsselung
De-Mails werden verschlüsselt übertragen, wobei die Transportwege zwischen Absender, DMDA und
Empfänger mittels kryptografisch abgesicherter Verfahren wie TLS verschlüsselt werden (TLS wird z.B.
auch beim Online-Banking eingesetzt). Darüber hinaus werden zwischen den DMDAs die Nachrichteninhalte zusätzlich mittels S/MIME-Technologie verschlüsselt. Auch beim DMDA selbst werden die De-Mails
in verschlüsselten Datenspeichern abgelegt. De-Mails werden zwischen Absender/Empfänger und DMDA
standardmäßig transportverschlüsselt. Daher können sie in der besonders abgesicherten Betriebsumgebung des DMDA einer automatisierten Virenkontrolle unterzogen werden. Sowohl der absendende als
auch der empfangende DMDA prüfen die eingegangenen De-Mails auf Schadsoftware und weisen diese
im Verdachtsfall ab. Der Absender und in einigen Fällen auch der Empfänger werden darüber informiert.
Neben der standardmäßigen Transportverschlüsselung, die stets zum Einsatz kommt, können die De-MailNutzer optional auch eine Ende-zu-Ende-Verschlüsselung nutzen, um sehr sensible Inhalte zusätzlich zu
sichern. Die DMDAs transportieren diese Ende-zu-Ende-verschlüsselten Inhalte genau wie „normale“ DeMails ohne Ende-zu-Ende-Sicherung. Eine Prüfung auf Schadsoftware durch die DMDAs ist in diesem Fall
nicht möglich, da die Viren „mitverschlüsselt“ werden und somit nicht erkennbar sind.
Als Ende-Zu-Ende-Verschlüsselungsverfahren bieten sich beispielswiese S/MIME (Secure / Multipurpose
Internet Mail Extensions) oder auch PGP (Pretty Good Privacy) an. Im öffentlichen Verzeichnisdienst (ÖVD)
von De-Mail können hierzu die erforderlichen Verschlüsselungszertifikate hinterlegt und den De-MailNutzern zugänglich gemacht werden, so dass der Abruf der (öffentlichen) Verschlüsselungsschlüssel für
diejenigen, die De-Mail-Inhalte verschlüsseln wollen, einfach erfolgen kann.
8
Die Nutzung der Ende-zu-Ende-Verschlüsselung bei De-Mail erfordert grundsätzlich die Installation von
Zusatzsoftware und ggf. Hardware durch den De-Mail-Nutzer. Dabei kann es sich beispielsweise um ein
Add-On für den Webbrowser oder den E-Mail-Client bzw. den Einsatz eines Krypto-Gateways handeln.
Darüber hinaus müssen (öffentliche und private) Verschlüsselungsschlüssel generiert sowie geeignet gespeichert und verwaltet werden.
Die DMDAs haben seit April 2015 die Ende-zu-Ende-Verschlüsselung mittels PGP in ihre Web-Applikationen integriert. Um diese Möglichkeit nutzen zu können, sind zunächst ein entsprechendes Add-On (Open
Source Produkt „Mailvelope“) im Webbrowser zu installieren und die erforderlichen Schlüsselpaare zu
generieren. Der Schlüsselaustausch mit dem Empfänger wurde durch die Übermittlung des öffentlichen
Verschlüsselungsschlüssels per De-Mail vereinfacht. Die Ende-zu-Ende-Verschlüsselung mittels PGP ist vor
allem für Endanwender gedacht, die De-Mail über ihren Webbrowser nutzen, also insbesondere für Bürgerinnen und Bürger sowie kleine Unternehmen.
Behörden und Unternehmen, die über De-Mail-Gateways angebunden sind, können auch Krypto-Gateways oder Mail-Client-Lösungen mit integrierten Krypto-Lösungen für die Ver- und Entschlüsselung nutzen.
2.2.3 Authentisierungsniveaus
De-Mails müssen vom Nutzer aus dem Postfach beim DMDA abgeholt werden. Dazu muss er sich an seinem Konto anmelden. Hierbei sind zwei Authentisierungsniveaus für die Anmeldung vorgesehen: zum
einen über eine Benutzername/Passwort-Eingabe („normales“ Authentisierungsniveau) und zum anderen
über das sogenannten Besitz-und-Wissen-Prinzip, bei dem bspw. der Personalausweis mit Onlinefunktion
genutzt werden kann oder dem Nutzer eine Mobile-TAN zugesandt wird, um sich sicher anzumelden („hohes“ Authentisierungsniveau).
2.2.4 Öffentlicher De-Mail-Verzeichnisdienst (ÖVD)
Die De-Mail-Anbieter stellen den De-Mail-Nutzern einen anbieterübergreifenden öffentlichen Verzeichnisdienst zur Verfügung. Hier werden Identitätsdaten der Nutzer auf deren ausdrückliches Verlangen hin
veröffentlicht, z.B. Titel, Name, Vorname, De-Mail-Adresse, postalische Adresse, Verschlüsselungszertifikat, Zugangseröffnung.
Im ÖVD kann anbieterspezifisch oder anbieterübergreifend nach De-Mail-Nutzern gesucht werden. Voraussetzung ist, dass der Anfragende an seinem De-Mail-Konto angemeldet ist.
2.2.5 Versandoptionen von De-Mail
Beim Versand von De-Mails kann der Nutzer Bestätigungsnachrichten vom Absender-DMDA oder Empfänger-DMDA anfordern. Die Anforderung einer Bestätigungsnachricht wird entweder im Webportal des
DMDA durch Setzen eines Häkchens an der Stelle der entsprechenden Bestätigungsnachricht oder bei
einer Gatewayanbindung durch Auswahl der entsprechenden Versandoption im E-Mail-Client (z.B. über
ein De-Mail-Plugin) gestellt. Der DMDA erzeugt daraufhin eine entsprechende Bestätigung für Versender
und/oder Empfänger. Durch Anbringen einer qualifizierten elektronischen Signatur an die Bestätigungsnachricht wird die elektronische Nachweisbarkeit des Versandvorgangs sichergestellt. Behörden können
9
zudem spezielle Bestätigungsnachrichten (Abholbestätigungen) anfordern und damit De-Mail zur förmlichen Zustellung gemäß VwZG nutzen. Diese Bestätigung wird erst erzeugt, wenn sich der Empfänger an
seinem De-Mail-Konto mit hohem Authentisierungsniveau angemeldet hat.
Das Anfordern der o.g. Bestätigungen ist in der Regel mit zusätzlichen Kosten für den Absender verbunden. Die folgenden Versandoptionen stehen zur Verfügung.
•
•
Absenderbestätigung
Die Absenderbestätigung wird vom sendenden DMDA erzeugt, in dem er die gesendete De-Mail
einschließlich aller Anhänge und Metadaten qualifiziert elektronisch signiert und diese Signatur
in ein hierfür vorgesehenes Feld der De-Mail einfügt (analoges Konzept wie beim „inline“ signierten pdf-Dokument). Bei der absenderbestätigten De-Mail wird also keine gesonderte Bestätigung
versendet, vielmehr sind hier alle zur Prüfung und Nachweisführung relevanten Informationen
bereits Bestandteil der eigentlichen De-Mail, die nach dem Kommunikationsvorgang sowohl beim
Sender als auch beim Empfänger vorliegt. Die Versendung einer absenderbestätigten De-Mail erfordert die Anmeldung am De-Mail-Konto mit dem Authentisierungsniveau „hoch“. Mit dem EGovernment-Gesetz des Bundes wurde das Verwaltungsverfahrensgesetz des Bundes dahingehend geändert, dass die (absenderbestätigte) De-Mail die Schriftform im Bereich des Verwaltungsrechts ersetzt.
Versandbestätigung
Die Versandbestätigung wird vom sendenden DMDA erzeugt und an den Absender übermittelt,
sobald der Versand der Nachricht an den Empfänger-DMDA erfolgt ist. Der Absender kann somit
nachweisen, dass und wann seine Nachricht korrekt vom Absender-DMDA versendet wurde.
•
Eingangsbestätigung
Die Eingangsbestätigung wird vom empfangenden DMDA erzeugt. Sie wird sowohl an den Absender als auch an den Empfänger übermittelt. Beide Parteien wissen somit, dass und wann die Nachricht beim Empfänger-DMDA angekommen ist und können dies im Streitfall nachweisen. Ob die
Nachricht auch wirklich abgeholt oder gar gelesen wurde, kann mit der Eingangsbestätigung nicht
nachgewiesen werden. Die Eingangsbestätigung ist in gewissem Sinne mit dem Einwurfeinschreiben in der Papierwelt vergleichbar.
•
Abholbestätigung
Die Abholbestätigung wird vom empfangenden DMDA erzeugt und sowohl an den Absender als
auch an den Empfänger übermittelt. Eine Abholbestätigung wird dann erzeugt, wenn sich der
Empfänger mit dem Authentisierungsniveau „hoch“ an seinem De-Mail-Konto angemeldet hat.
Die Option Abholbestätigung steht beim Versand nur berechtigten öffentlichen Stellen zur Verfügung. Für den Versand muss auch der Versender mit dem Authentisierungsniveau „hoch“ angemeldet sein. Die Zustellung gegen Abholbestätigung ist gemäß Verwaltungszustellungsgesetz
(VwZG, siehe auch Kapitel 3.3) eine neue Möglichkeit für die förmliche Zustellung von Dokumenten (§5a Elektronische Zustellung gegen Abholbestätigung über De-Mail-Dienste) – wie z.B. Zustellung durch die Post mit Zustellungsurkunde bzw. Einschreiben oder Zustellung durch die Behörde gegen Empfangsbekenntnis.
10
Bestätigungsnachrichten werden durch den DMDA mit einer qualifizierten elektronischen Signatur versehen, die alle Nachrichteninhalte (Kopf- und Metadaten, Text und Anlagen) umfasst. Damit erhält insbesondere der Absender der entsprechenden De-Mail einen belastbaren Nachweis für Versand, Eingang oder Abholung. Zusätzlich ist zu beachten, dass aufgrund von Veraktungs- und Langzeitspeicherungsanforderungen die Behörde für die beweiswerterhaltende Speicherung der Bestätigungsnachrichten Sorge tragen muss.
Bestätigungsnachrichten werden automatisch durch das System erzeugt und an den Sender und ggf. Empfänger gesandt. Die Nachrichten beziehen sich immer auf die Original-De-Mail. Sie referenzieren die Originalnachricht und tragen u.a. den Originalbetreff in ihrer Betreffzeile. Um eine eindeutige Zuordnung in
Massenverfahren zu gewährleisten, kann der Sender eindeutige Kennzeichen (bspw. eine ID oder ein eindeutiges Akten- oder Bearbeitungszeichen) dem Betreff hinzufügen. Soll dieses Kennzeichen nicht sichtbar für den Empfänger sein, kann ein spezielles Feld („private-id“) der Original-De-Mail genutzt werden.
Das Feld „private-id“ findet sich auch in den Bestätigungsnachrichten in originaler Form wieder.
2.2.6 Mögliche Architekturen für die Anbindung an De-Mail
Die wesentlichen Funktionen von De-Mail basieren technologisch auf E-Mail- bzw. Internet-Technologie.
De-Mail kann daher genauso leicht wie E-Mail genutzt werden. Nach dem De-Mail-Gesetz müssen die
akkreditierten Anbieter jedem Nutzer einen Zugriff auf sein Konto mittels eines Webzugangs ermöglichen.
De-Mail ist somit weltweit nutzbar und kann von daheim, wie auch unterwegs, verwendet werden. Das
Versenden einer De-Mail „fühlt“ sich dabei genauso an wie das Versenden einer E-Mail.
Für institutionelle Nutzer (wie z. B. Unternehmen und öffentliche Einrichtungen) ist die Nutzung von DeMail über ein Webportal eines DMDA allerdings weniger geeignet: zum einen, da der Zugriff über eine
gewöhnliche Internetverbindung erfolgen muss, die möglicherweise nicht jedem Mitarbeiter zur Verfügung steht, und zum anderen, weil De-Mails in der Regel in die Sachbearbeitung gelangen sollen und daher der Umweg über ein Webportal mit einem zusätzlichen Medienbruch verbunden wäre.
Diesen Nutzern steht die Anbindung über ein so genanntes De-Mail-Gateway zur Verfügung. Dabei wird
die interne E-Mail-Infrastruktur der Behörde/des Unternehmens direkt an die De-Mail-Umgebung des
DMDA, bei dem das Konto eröffnet wurde, angebunden. So ist ein leichtes Versenden und Empfangen
von De-Mails von und an E-Mail-Clients auf den Arbeitsplatzcomputern der Sachbearbeiter sowie eine
direkte Fachverfahrensintegration möglich.
Durch den Zusammenschluss mehrerer Einrichtungen bzw. bei Nutzung von Dienstleistungen eines ITDienstleisters kann die Anbindung zentral bei diesem Dienstleister erfolgen, durch den ein mehrbenutzerfähiges Gateway für mehrere Behörden betrieben wird (sog. „mandantenfähiges Gateway“). Durch
Bereitstellung eines solchen mandantenfähigen De-Mail-Gateways wird zentral die Anbindung an den
DMDA realisiert. Auf dem Gateway wird für jede angeschlossene Behörde ein eigener Bereich (Mandant)
eingerichtet, sodass behördeneigene Konfigurationen möglich sind und De-Mails nur für das eigene Postfach versandt und empfangen werden können. Die interne E-Mail-Infrastruktur wird dann an (den Mandanten) dieses zentral bereitgestellten De-Mail-Gateways angebunden. In Abbildung 2 sind die drei Nutzungsvarianten von De-Mail skizziert zusammengefasst.
11
Abbildung 2: Nutzungsvarianten De-Mail-Anbindung
2.2.6.1 De-Mail-Web (Variante 1)
Die einfachste Art, De-Mails zu senden und zu empfangen, ist die Nutzung einer Weboberfläche. Darüber
erfolgt der Zugriff auf das jeweilige De-Mail-Konto. Bei Einrichtung eines De-Mail-Kontos bei einem DeMail-Diensteanbieter wird automatisch der Zugang zu dem De-Mail-Webportal freigeschaltet. Dieses Verfahren ist verpflichtend von jedem DMDA anzubieten. Die grundlegenden Funktionen von De-Mail sind
ebenso von allen DMDAs zu implementieren. D.h. über das Portal können De-Mails erstellt und versandt
sowie empfangene De-Mails geöffnet und gelesen werden. Ebenso können über das Portal alle definierten
De-Mail-Optionen gesetzt werden, die für die Anforderung von Bestätigungsnachrichten benötigt werden. Gleichwohl ist die grafische Gestaltung des Webportals jedem Anbieter selbst überlassen.
Auf Wunsch des Nutzers können auch Unterkonten unterhalb eines eröffneten De-Mail-Kontos mit eigenen Zugriffberechtigungen eingerichtet werden. Unterkonten können verschiedene Organisationseinheiten einer Behörde repräsentieren. Die Mitarbeiter einer Organisationseinheit sollen nur die De-Mails lesen können, die an diese Organisationseinheit adressiert sind. Mehrere Organisationseinheiten bzw. Mitarbeiter können De-Mail unabhängig voneinander nutzen, ohne ein eigenes De-Mail-Konto besitzen zu
müssen.
Mittels der Oberfläche kann De-Mail leicht bedient werden, sodass keine Umgewöhnung bzw. kein großer
Schulungsaufwand für die Nutzung notwendig ist. Allerdings können wesentliche Vorteile der De-Mail
nicht ausgeschöpft werden, da keine Integration und Anbindung an die eigene IT-Infrastruktur stattfindet
und insbesondere große Massenversendungsverfahren nicht über De-Mail realisiert werden können.
Durch die Portalnutzung müssen Daten unter Umständen mehrfach eingegeben werden, um sie sowohl
12
in der Bearbeitung vorzuhalten als auch zur Kommunikation nutzen zu können. Die grundlegenden Vorund Nachteile sind in Tabelle 1 zusammengefasst.
Tabelle 1: Vor- und Nachteile der Nutzung von De-Mail-Webportalen
Vorteile
Nachteile
Einfache Bedienung wie Web-E-Mail
•
Für die Anfangsphase mit wenigen Nutzungen
(gut) geeignet
•
Sehr geringe Investitionskosten
•
•
•
•
•
•
Keine Anbindung an behördeneigene IT-Infrastruktur -> Medienbrüche
Kein Massenversand
Sehr eingeschränkte Weiterleitung/Sachbearbeitung möglich
Internetzugang der De-Mail-Bearbeiter notwendig
Archivierung und Langzeitspeicherung nur
manuell möglich
2.2.6.2 Dezentrales De-Mail-Gateway (Variante 2)
Unabhängig von der Nutzung eines Webportals kann De-Mail auch über ein lokales, d.h. in der behördeninternen IT-Infrastruktur betriebenes De-Mail-Gateway genutzt werden. Das De-Mail-Gateway wird zwischen DMDA und den internen E-Mail-Komponenten aufgestellt. Damit wird die interne E-Mail- an die
De-Mail-Infrastruktur angebunden. Das Gateway übernimmt in dieser Rolle verschiedene Aufgaben, von
denen die wichtigsten sind:
•
Authentisierung gegenüber dem DMDA für den Zugriff auf das De-Mail-Konto der Behörde
•
Abholen von De-Mails aus dem De-Mail-Postfach beim DMDA über einen sicheren Kanal
•
Weiterleiten/Versenden von De-Mails aus der eigenen E-Mail-Infrastruktur heraus über einen sicheren Kanal
Zu versendende De-Mails werden dabei als E-Mails durch den Anwender in seinem E-Mail-Client erzeugt
und über den Standard-E-Mail-Server der Behörde versandt. Der E-Mail-Server erkennt (über eine hinterlegte Regel) anhand der eindeutigen De-Mail-Domäne der Empfängeradresse, dass eine De-Mail verschickt werden soll und leitet die Nachricht an das De-Mail-Gateway weiter, welches die Weiterleitung
(jetzt als De-Mail) an den DMDA vornimmt.
Bei eingehenden De-Mails werden diese zunächst im De-Mail-Postfach der Behörde beim DMDA abgelegt.
Das De-Mail-Gateway hat die Aufgabe, in definierbaren Abständen dieses De-Mail-Postfach daraufhin zu
prüfen, ob neue Nachrichten eingegangen sind. Diese werden von dem De-Mail-Gateway abgeholt und
nach konfigurierbaren Regeln an den E-Mail-Server der Einrichtung weitergeleitet, der die eingegangenen
De-Mails in die internen E-Mail-Postfächer des Anwenders verteilt. Von dort kann die De-Mail durch den
E-Mail-Client des Sachbearbeiters abgeholt, gelesen und bearbeitet werden.
Zusätzlich zur Anbindung an E-Mail-Clients besteht durch die Nutzung der E-Mail-Technologie die Möglichkeit, Fachverfahren über die E-Mail-De-Mail-Gateway-Schnittstelle an De-Mail anzubinden. Dadurch
13
können medienbruchfreie Fachverfahrensintegrationen (z.B. auch mit automatisierte Verarbeitung maschinenlesbarer Bescheide im XML-Format) mit De-Mail realisiert werden. Insbesondere für Massenversendungsverfahren ist diese Variante 2 der oben dargestellten Variante 1 vorzuziehen. In Tabelle 2sind
die grundlegenden Vor- und Nachteile zusammengefasst.
Tabelle 2: Vor- und Nachteile der Nutzung eines lokalen De-Mail-Gateways
Vorteile
•
•
•
•
Nachteile
Nutzung der bestehenden internen E-Mail-Inf- •
rastruktur
•
Massenversand möglich
Archivierung und Langzeitspeicherung auto- •
matisiert möglich
Keine Medienbrüche
Lokale (behördenseitige) Administration des
Gateways notwendig
Zugang zum/über Internet notwendig
Höhere Investitions- und Betriebskosten für
Beschaffung, Integration und Betrieb des DeMail-Gateways
2.2.6.3 Zentrales De-Mail-Gateway (Variante 3)
Insbesondere aus Wirtschaftlichkeitsgründen können De-Mail-Gateways auch zentral bereitgestellt werden. D.h. es muss nicht von jeder Behörde ein eigenes De-Mail-Gateway beschafft und betrieben werden.
Analog zu der Konfiguration des lokalen Gateways erhält bei dieser Variante jede Behörde einen eigenen
Bereich auf dem zentralen Gateway, der eigenständig durch die jeweilige Behörde administriert werden
kann. Die angeschlossenen Behörden greifen auf das zentrale Gateway über gesicherte Internetverbindungen oder über Behördenleitungen zu. Zentrale Gateways bieten sich insbesondere an, wenn bereits
IT-Infrastrukturen in einem gemeinsamen Rechenzentrum für mehrere Behörden zentral betrieben werden. Die grundlegenden Vor- und Nachteile einer zentralisierten Lösung sind in Tabelle 3 zusammengefasst. Für die Anbindung der Bundesverwaltung ist die Nutzung des zentral bereitgestellten De-Mail-Gateway als Regelfall vorgesehen.
Tabelle 3: Vor- und Nachteile der Nutzung eines zentralen De-Mail-Gateways
Vorteile
•
•
•
•
Nachteile
Beschaffung, Installation, Konfiguration und •
Betrieb nur eines zentralen (mandantenfähigen) Gateways an Stelle vieler dezentraler Gateways
Zentrale und automatische Archivierung und •
Langzeitspeicherung möglich
Spezielle Kenntnisse für Installation, Konfiguration und Betrieb des Gateways in der Behörde nicht erforderlich
Pflege und Support des Gateways können
zentral bereitgestellt werden
zentraler Betrieb nur wirtschaftlich, wenn die
zusätzlichen Kosten für Beschaffung und Betrieb eines zentralen Gateways durch die Anzahl der nutzenden Behörden gedeckt sind.
Zwischen dem zentralen Gateway und der
nutzenden Behörde wird die De-Mail über die
intern vorhandene Netzinfrastruktur technisch als E-Mail transportiert. Daher muss
über geeignete Maßnahmen sichergestellt
werden, dass die Nachricht auch hier sicher
transportiert wird (Schutz vor Verlust, Schutz
der Vertraulichkeit, etc.).
14
3 Gesetzliche Rahmenbedingungen
3.1 De-Mail-Gesetz
Das De-Mail-Gesetz vom 28. April 2011 regelt die Grundlagen des Dienstes De-Mail. Es ist insbesondere
für die Anbieter von De-Mail-Diensten (De-Mail-Diensteanbieter/DMDA) von Bedeutung, da hier die
Pflichtangebote sowie die Nutzung bzw. Durchführung der Dienstebereitstellung und Akkreditierung geregelt werden. Zusammen mit den Technischen Richtlinien des BSI TR 01201 bildet es die Basis von DeMail.
3.2 E-Government-Gesetz
Ziel des E-Government-Gesetzes des Bundes („Gesetz zur Förderung der elektronischen Verwaltung sowie
zur Änderung weiterer Vorschriften“) ist es unter anderem, die elektronische Kommunikation mit der
Verwaltung zu fördern. Dazu wurden und werden erkannte Hürden und Hemmnisse abgebaut, indem
bspw. Änderungen an weiteren Gesetzen vorgenommen wurden. Das Gesetz soll über alle föderalen Ebenen hinweg Wirkung entfalten und es Bund, Ländern und Kommunen ermöglichen, einfachere, nutzerfreundlichere und effizientere elektronische Verwaltungsdienste anzubieten.
Das Gesetz ist am 1. August 2013 vorbehaltlich einiger Ausnahmen (wie in Tabelle 4 dargestellt) in Kraft
getreten und gilt grundsätzlich für die öffentlich-rechtliche Verwaltungstätigkeit der Behörden des Bundes sowie für die Behörden der Länder und Kommunen, wenn sie Bundesrecht ausführen.
Es regelt insbesondere den elektronischen Zugang zur Verwaltung, elektronische Bezahlmöglichkeiten
und die elektronische Aktenführung. Relevant für De-Mail sind vor allem Änderungen des Verwaltungsverfahrensgesetzes des Bundes, dahingehend, dass die (absenderbestätigte) De-Mail die Schriftform im
Bereich des Verwaltungsrechts ersetzt. Diese Regelungen werden von den einzelnen Bundesländern sukzessive in Landesrecht übernommen. Die Regelungen der Abgabenordnung sowie des Sozialgesetzbuches
I zur Schriftform werden inhaltsgleich angepasst.
Tabelle 4: Relevante Fristen aus dem EGovG mit Bezug zu De-Mail
Inkrafttreten am
Bedeutung
1. Juli 2014
Pflicht der Behörden von Bund und Ländern, elektronische
Dokumente anzunehmen, auch dann, wenn diese mit einer
qualifizierten elektronischen Signatur versehen sind
(„Pflicht zur Zugangseröffnung“).
Möglichkeit, in der Bundesverwaltung De-Mail als Ersatz
der Schriftform einzusetzen.
1 Jahr nach Bereitstellung des zentralen De-MailGateways für die Bundesverwaltung
Pflicht für Bundesbehörden, per De-Mail erreichbar zu
sein.
Auf Landesebene werden die Verwaltungsverfahren teilweise in eigenen Verwaltungsverfahrensgesetzen
geregelt, teilweise wird auf das Verwaltungsverfahrensgesetz des Bundes verwiesen. Dort, wo es eigene
15
Verwaltungsverfahrensgesetze gibt, werden diese sukzessive nach dem Vorbild des Bundes-VwVfG angepasst. Tabelle 5 gibt eine Übersicht, in welchen Landesverwaltungsverfahrensgesetzen dies bereits geschehen ist.
Tabelle 5: Übersicht Geltungsbereiche des VwVfG (Stand: August 2014)
Land
Gesetzesform
De-Mail erfasst
Baden-Württemberg
Vollgesetz
Ja
Bayern
Vollgesetz
noch nicht
Berlin
Verweisungsgesetz (dynamisch)
Ja
Brandenburg
Verweisungsgesetz (dynamisch)
Ja
Bremen
Vollgesetz
Ja
Hamburg
Vollgesetz
Ja
Hessen
Vollgesetz
noch nicht
Mecklenburg-Vorpommern
Vollgesetz
Ja
Niedersachsen
Verweisungsgesetz (dynamisch)
Ja
Nordrhein-Westfalen
Vollgesetz
Ja
Rheinland-Pfalz
Verweisungsgesetz (dynamisch)
Ja
Saarland
Vollgesetz
Ja
Sachsen
Verweisungsgesetz (dynamisch)
Ja
Sachsen-Anhalt
Verweisungsgesetz (dynamisch)
Ja
Schleswig-Holstein
Vollgesetz
noch nicht
Thüringen
Vollgesetz
Ja
3.3 Verwaltungszustellungsgesetz
Das Verwaltungszustellungsgesetz regelt die Form und das Verfahren der Zustellung für die Bundesbehörden. Für De-Mail ist hier insbesondere §5a VwZG relevant, der die elektronische Zustellung gegen Abholbestätigung über De-Mail-Dienste regelt. Es ist somit möglich, förmliche Zustellungen, die bislang per
Postzustellungsauftrag versandt wurden, durch De-Mail (mit Abholbestätigung) zu ersetzen.
Analog der Verwaltungsverfahrensgesetze werden auch im Bereich der Zustellung auf Landesebene teilweise eigene Gesetze verabschiedet. Die meisten Landesgesetze verweisen hier dynamisch auf das Bundesgesetz. Tabelle 6 gibt einen Überblick über die Verwaltungszustellungsgesetze der Länder.
Tabelle 6: Übersicht Geltungsbereiche des VwZG (Stand: August 2014)
Land
Baden-Württemberg
Bayern
Gesetzesform
Vollgesetz
Vollgesetz
De-Mail erfasst
noch nicht
Ja
Berlin
Verweisungsgesetz (dynamisch)
Ja
Brandenburg
Verweisungsgesetz (dynamisch)
Ja
Bremen
Verweisungsgesetz (dynamisch)
Ja
16
Land
Hamburg
Gesetzesform
Verweisungsgesetz (dynamisch)
De-Mail erfasst
Ja
Hessen
Verweisungsgesetz (dynamisch)
Ja
Mecklenburg-Vorpommern
Vollgesetz
Ja
Niedersachsen
Verweisungsgesetz (dynamisch)
Ja
Nordrhein-Westfalen
Vollgesetz
Ja
Rheinland-Pfalz
Verweisungsgesetz (dynamisch)
Ja
Saarland
Verweisungsgesetz (dynamisch)
Ja
Sachsen
Verweisungsgesetz (dynamisch)
Ja
Sachsen-Anhalt
Verweisungsgesetz (dynamisch)
Ja
Schleswig-Holstein
Vollgesetz
noch nicht
Thüringen
Vollgesetz
Ja
3.4 E-Justice-Gesetz
Das „Gesetz zur Förderung des elektronischen Rechtsverkehrs mit den Gerichten“ vom 10. Oktober 2013
ist ein Änderungsgesetz und verfolgt unter anderem das Ziel, den elektronischen Zugang zu Gerichten zu
erweitern und die elektronische Aktenführung zu fördern. So wird insbesondere De-Mail als ein „sicherer
Übermittlungsweg“ festgelegt. Damit können elektronische Dokumente künftig auch per De-Mail bei Gericht eingereicht werden.
17
4 Einführung von De-Mail
Im folgenden Kapitel sind verschiedene Handreichungen und Hinweise zur Einführung von De-Mail zusammengefasst. Diese Handreichungen und Hinweise sind strukturiert entlang von Projektphasen, die im
Rahmen der Einführung von De-Mail häufig durchlaufen werden.
Die folgenden möglichen Projektphasen wurden dabei zu Grunde gelegt:
•
•
•
•
•
•
Vorbereitung und Analyse
Design
Wirtschaftlichkeitsbetrachtung
Vergabeverfahren
Umsetzungsplanung
Umsetzung
In den folgenden Kapiteln werden für jede Projektphase zunächst mögliche Aktivitäten aufgelistet. Im
Anschluss daran werden relevante Themenfelder detaillierter beschrieben, die als Handreichungen bei
der Durchführung der genannten Aktivitäten unterstützen sollen.
Welche Projektphasen und Aktivitäten jeweils im Vordergrund stehen, ist abhängig von den organisatorischen und technischen Rahmenbedingungen des entsprechenden Einzelfalls.
Alle Projektphasen und möglichen Aktivitäten sind im Anhang zusätzlich als Checkliste aufbereitet.
4.1 Vorbereitung und Analyse
Im Rahmen der Projektphase „Vorbereitung und Analyse“ kommen die folgenden Aktivitäten in Betracht:
•
•
•
•
•
•
•
•
•
•
Definition der Handlungsfelder
Auswahl der Verwaltungsprozesse
Prüfung der Rechtsgrundlagen
Analyse der Formerfordernisse
Analyse beteiligter Akteure
Analyse beteiligter Fachverfahren
Berücksichtigung der elektronischen Aktenführung
Definition der technische Integration
Sicherheitstechnische Betrachtung
Nutzung von Best-Practice Lösungen
Die folgenden Themenfelder sollen als Handreichung bei der Durchführung der genannten Aktivitäten
unterstützen.
18
4.1.1 Strukturierung der Prozesse und Identifikation möglicher De-Mail-Einsatzszenarien
Im Rahmen der Projektphase „Vorbereitung und Analyse“ steht die Betrachtung möglicher Einsatzszenarien für De-Mail im Vordergrund. Grundlage hierfür ist zunächst eine detaillierte Untersuchung der Kommunikationsprozesse. Dabei ist zu beobachten, dass Kommunikationsprozesse zwischen der Verwaltung
und einem weiteren Kommunikationspartner immer wieder aus denselben oder ähnlichen Prozessbausteinen zusammengesetzt sind. Im Ergebnisbericht des Kompetenzzentrums CC De-Mail wurden fünf Prozessbausteine identifiziert und näher beschrieben2 – siehe auch Abbildung 4.
Meldung
Mitteilung eines Sachverhaltes an eine Behörde
Antrag/Anfrage
Nach dem Stellen eines „Antrags“ oder einer „Anfrage“ wird meist von der
Behörde eine Antwort erwartet.
Bescheid
In der Regel sind „Bescheide“ schriftliche Verwaltungsakte und damit behördliche Schreiben, die in einer bestimmten Form verfasst werden müssen. Sie können Ergebnis eines Antrages sein oder von der Behörde von sich
aus versendet werden.
Auskunft
„Auskunft“ ist die Mitteilung eines Sachverhaltes durch eine Behörde – in
der Regel als Reaktion auf eine Anfrage.
Allgemeine Kommunikation Unter „Allgemeine Kommunikation“ werden Kommunikationsprozesse verstanden, die keinem der vorgenannten Prozessbausteine zugeordnet werden können.
Der Gesamtprozess eines Szenarios besteht zumeist aus mehreren Bausteinen, die in verschiedenen Prozessschritten zum Tragen kommen.
2
Vgl. BMI; Kompetenzzentrum De-Mail für die öffentliche Verwaltung, „De-Mail-Einsatzszenarien“, V 1.0
vom 21. Juni 2012; S.5ff. (http://www.cio.bund.de/Web/DE/Innovative-Vorhaben/De-Mail/Einfuehrungin-Behoerden-und-Unternehmen/einfuehrung_in_behoerden_und_unternehmen_node.html )
19
Abbildung 3: Kommunikationsbausteine bei Einsatzszenarien mit der Verwaltung3.
4.1.2 Prozessanalyse
Ausgehend von der groben Strukturierung möglicher Prozesse sollten die grundsätzlich in Frage kommenden Prozesse im nächsten Schritt detaillierter analysiert werden. Ergebnis der Betrachtung ist eine Empfehlung für oder gegen die Umsetzung/Unterstützung des betrachteten Prozesses mit De-Mail:
3
•
Definition der Handlungsfelder, bei denen im nächsten Schritt Prozesse bzgl. ihrer Eignung analysiert werden sollen. Der Fokus der Handlungsfelder liegt auf den Kommunikationsbeziehungen
zwischen Verwaltung und Unternehmen sowie zwischen Verwaltung und Bürgerinnen/Bürgern.
•
Festlegung auf eine maximale Anzahl zu untersuchender Prozesse. Um im Rahmen des Projekts
möglichst fundierte Ergebnisse zur Einführung von De-Mail erzielen zu können, wird die Anzahl
der relevanten Prozesse (bspw. auf 10) limitiert.
•
Vorüberlegung von Nutzenargumenten, warum der untersuchte Prozess eines Handlungsfeldes
geeignet für die Nutzung von De-Mail ist. Wesentliche Treiber dieser Untersuchung werden sein:
Kosteneinsparungen, Zeitgewinn (schnellere Bearbeitungszeit), qualitative Aspekte wie Kundenbindung und Imagegewinn.
•
Sicherheitsbetrachtungen bezüglich der Prozesse und De-Mail-Inhalte zur Ableitung von Sicherheitsmaßnahmen (De-Mail-Optionen, Ende-zu-Ende-Sicherheit bzgl. Signatur und Verschlüsselung)
•
Im letzten Schritt dieses Arbeitspaketes werden die ausgewählten Prozesse hinsichtlich ihrer
Machbarkeit zur Umsetzung gegen einen definierten Fragenkatalog untersucht.
Quelle: nach CC De-Mail, „De-Mail-Einsatzszenarien“
20
•
Als Ergebnis der Machbarkeit sowie der ersten Nutzenargumentation wird eine Empfehlung zur
Umsetzung der betrachteten Prozesse ausgesprochen.
Im Folgenden wird ein Szenario aus dem Grobkonzept zur Einführung von De-Mail beim Paul-Ehrlich-Institut als Beispiel für einen Antrag-Bescheid-Prozess dargestellt.
Praxisbeispiel: Paul-Ehrlich-Institut
Das PEI erwartete von der Einführung der De-Mail eine weiteren Reduktion der papierbasierten Kommunikation sowie allgemein eine Verbesserungen bei der Kommunikation mit seinen Zielgruppen.
Es wurden zwei Prozesse auf die Tauglichkeit für den Einsatz von De-Mail überprüft:
•
Prozess Antrag Chargenfreigabe/Änderungsanzeige
•
Prozess Bescheidversand
Der Prozess „Antrag Chargenfreigabe/Änderungsanzeige“ beschreibt die Abläufe bei Antragseingang eines
Kunden. Es kann sich hier um einen Antrag auf Chargenfreigabe bzw. um eine Änderungsanzeige handeln. In
Abbildung 5 wird der Prozess in EPK-Form dargestellt. Auf der linken Seite ist der zum Zeitpunkt der Untersuchung vorhandene Ist-Prozess aufgezeigt. Zu erkennen ist, dass die Bearbeitung rein auf papierbasierter Kommunikation beruht. Auf der rechten Seite ist der De-Mail-Soll-Prozess definiert. Die Arbeitsschritte sind im
Wesentlichen gleich, d.h. es muss keine organisatorische Umstellung durchgeführt werden. Die Eingangsbearbeitung wird lediglich um ein elektronisches Pendant erweitert und löst die manuelle Bearbeitung schrittweise ab.
21
Abbildung 4: Soll-Prozess „Antrag Chargenfreigabe/Änderungsanzeige“
Der Umfang des Prozesses „Bescheidversand“ wurde etwas weiter gefasst, sodass nicht nur Bescheide, sondern der komplette ausgehende Schriftverkehr in diesem Bereich betrachtet wird. Im Gegensatz zum Antragseingang sind, wie in Abbildung 6 zu erkennen, deutliche Vereinfachungen des Prozesses möglich gewesen. Der vierstufige Teilprozess der Versandvorbereitung wird komplett ersetzt durch den vom Sachbearbeiter initiierten De-Mail-Versand.
22
Abbildung 5: De-Mail-Soll-Prozess „Bescheidversand“
Quelle: Konzept des Paul-Ehrlich-Instituts, Ergebnis der E-Government-Initiative, abrufbar unter www.de-mail.de,
Bereich Downloads.
4.1.3 Möglichkeit der stufenweisen Einführung von De-Mail
Im Rahmen der Vorbereitungen sollte berücksichtigt werden, dass es bei der Einführung von De-Mail unterschiedliche Herangehensweisen gibt im Hinblick darauf, wie tief De-Mail in die vorhandene Organisation und Technik integriert werden soll. Wichtig ist, dass die Anbindung an De-Mail beginnend mit einer
23
einfachen Einstiegslösung bis hin zur engen Verzahnung der Posteingangs- und Postausgangsprozesse sowie der automatisierten Integration in vorhandene IT-Systeme/Fachverfahren stufenweise aufeinander
aufbauend erfolgen kann. Diese Stufen werden im Folgenden kurz vorgestellt.
4.1.3.1 Stufe 1: Passive De-Mail-Nutzung
In der Einstiegsstufe, die mit geringem Aufwand umzusetzen ist, wird lediglich auf eingehende De-Mails
geantwortet. Ein aktiver Versand seitens der Behörde erfolgt nicht.
Dazu ist es erforderlich, dass die Behörde auf geeignete Art und Weise (vgl. 4.2.3 Zugangseröffnung) den
Zugang für De-Mail eröffnet. So kann zum Beispiel im öffentlichen De-Mail-Verzeichnisdienst oder auf den
Webseiten der Behörde eine zentrale De-Mail-Adresse angegeben werden, z.B. [email protected]. Der Abruf der beim De-Mail-Anbieter eingegangenen De-Mails kann mittels Webbrowser oder
Gateway erfolgen. Hierbei ist es empfehlenswert, dass die so empfangenen De-Mails von einer zentralen
Stelle (z.B. Poststelle) gesichtet und an den zuständigen internen Empfänger weitergeleitet werden.
Ist eine Antwort auf eine De-Mail erforderlich, so kann diese ebenfalls von der zentralen Stelle aus (z.B.
Poststelle) mit der entsprechenden Absenderadresse (z.B. [email protected]) verschickt
werden.
Vorteil dieser Nutzung ist, dass keine gesonderte elektronische Zugangseröffnung des Kommunikationspartners erforderlich ist, da der Eingang der De-Mail bereits eine (konkludente) Zugangseröffnung darstellt. Daher ist die Behörde berechtigt, in dieser Angelegenheit auch per De-Mail zu antworten.
Voraussetzungen/Merkmale Stufe 1
•
De-Mail-Konto der Behörde bei einem De-Mail-Anbieter
•
Web-Lösung oder De-Mai-Gateway
•
Zugangseröffnung der Behörde für De-Mail (z.B. im De-Mail-Verzeichnisdienst oder auf der Webseite der Behörde)
•
Zentrale Bearbeitungsstelle für ein- und ausgehende De-Mails (z.B. Poststelle) inkl. Einweisung/Schulung des Personals
•
(Ggf. manuelles) Verfahren zur Veraktung ein- und ausgehender De-Mails
4.1.3.2 Stufe 2: Aktive De-Mail-Nutzung
In der zweiten Stufe reagiert die Behörde nicht nur auf eingehende De-Mails, sondern verschickt diese
auch aktiv.
Im Unterschied zur Stufe 1 ist dafür eine (i.d.R. explizite) Zugangseröffnung für De-Mail seitens des Kommunikationspartners erforderlich. Allein dadurch, dass die Behörde die De-Mail-Adresse eines Bürgers
kennt, ist der Zugang i.d.R. nicht eröffnet.
24
Im Zusammenhang mit der Zugangseröffnung sind folgende Maßnahmen erforderlich:
1. Ermittlung der De-Mail-Adresse des Kommunikationspartners, z.B.
•
im Rahmen des Prozesses zur Zugangseröffnung (s.u.),
•
durch Mitteilung der De-Mail-Adresse auf Formularen oder per E-Mail an die Behörde,
bei Telefongesprächen oder Vor-Ort-Terminen,
•
durch Suche im Öffentlichen Verzeichnisdienst der De-Mail-Anbieter.
(Voraussetzung ist, dass der Bürger seinen Namen und seine Anschrift veröffentlicht
hat.)
2. Zuordnung der De-Mail-Adresse zum jeweiligen Kommunikationspartner und Speicherung an geeigneter Stelle (z.B. Fachverfahren, Datenbank)
3. Zugangseröffnung des Kommunikationspartners, z.B.:
•
Einsatz einer eigenen Webseite „Registrierung/Zugangangseröffnung“, auf der De-MailAdresse und persönliche Daten (z.B. Vor-/Nachname, Adresse, Geburtsdatum) eingegeben und entsprechende Häkchen für die Zugangseröffnung gesetzt werden können. Die
Kommunikationspartner sind auf die rechtlichen Folgen der Zugangseröffnung hinzuweisen.
•
Bekundung der Zugangseröffnung auf (Papier-)Formularen inkl. Angabe der De-Mail-Adresse.
•
Versand einer De-Mail an die Behörde mit Bekundung der Zugangseröffnung.
•
Globale Zugangseröffnung durch Auswahl der entsprechenden Option („Häkchen“) im Öffentlichen Verzeichnisdienst von De-Mail (vgl. 4.2.5 Öffentlicher De-Mail-Verzeichnisdienst (ÖVD).
Für den Versand gibt es ebenfalls verschiedene Möglichkeiten, je nachdem wie viele De-Mails von welchen Mitarbeitern/Organisationseinheiten verschickt werden sollen:
1. Versand über eine zentrale Stelle (z.B. Poststelle) mit einheitlicher Absenderadresse (z.B. [email protected])
2. Versand nur von Organisationspostfächern/-adressen (z.B. [email protected],
[email protected], [email protected])
3. (Persönlicher) Versand auch durch Mitarbeiter der Behörde (z.B. [email protected] )4
4
Im rechtlichen Sinne ist der Absender der De-Mail auch hier die Behörde, über deren De-Mail-Konto die De-Mail
verschickt wird – und nicht der Mitarbeiter (als natürliche Person).
25
Voraussetzungen/Merkmale Stufe 2
•
De-Mail-Konto der Behörde bei einem De-Mail-Anbieter
•
Zugangseröffnung der Behörde für De-Mail (z.B. im De-Mail-Verzeichnisdienst oder auf der Webseite der Behörde)
•
De-Mail-Adresse und Zugangseröffnung der Kommunikationspartner
•
Organisatorische Regelungen zum De-Mail-Empfang und -Versand (Organisationspostfächer
und/oder Mitarbeiter) inkl. entsprechender Einweisungen/Schulungen
4.1.3.3 Stufe 3: De-Mail-Integration
Die größten Nutzeffekte werden durch die Integration von De-Mail in Verwaltungsprozesse und Fachverfahren erzielt. Hierbei wird das IT-Fachverfahren automatisiert an De-Mail angebunden. Bürger können
dann gegenüber der Behörde bekunden, dass sie Vorgänge grundsätzlich über De-Mail bekommen wollen. Die Behörde hinterlegt daraufhin die De-Mail-Adresse des Bürgers in ihrem IT-Fachverfahren. Im Ergebnis werden anschließend alle De-Mail-fähigen-Vorgänge (also die entsprechend im Fachverfahren als
De-Mail-fähig markierten Postausgangsprozesse) automatisch als De-Mail geschickt und nicht mehr als
Papierbrief.
Die Stufen 2 und 3 können auch parallel realisiert sein. So können bestimmte Kommunikationsprozesse
der Behörde per De-Mail über Organisations- und/oder Mitarbeiter-Postfächer abgewickelt werden, andere dagegen über die De-Mail-Integration in Fachverfahren.
Daher werden nachstehend nur jene Voraussetzungen/Merkmale aufgelistet, die zusätzlich zu denen der
Stufe 2 zu berücksichtigen sind.
Voraussetzungen/Merkmale Stufe 3
•
Anpassung von Fachverfahren, um automatisiert De-Mails versenden, empfangen und bearbeiten
zu können und/oder
•
Integration von De-Mail in Input-/Output-Management-Systeme
•
Organisatorische und technische Regelungen zur Integration von De-Mail
26
4.1.4 Veraktung und Langzeitspeicherung5
Für Behörden gilt im Umgang mit De-Mail das Prinzip der Aktenmäßigkeit ebenso wie bei der E- oder
Papier-Akte. Aktenrelevante Dokumente sind nach den Vorgaben der Aktenordnung aufzubewahren. Insbesondere sind Authentizität, Integrität und Vertraulichkeit über den gesamten Lebenszyklus der Akte zu
gewährleisten. Dies erfordert, nach Abschluss der Akten und Vorgänge deren beweissichere Langzeitspeicherung und nach Ablauf der geltenden Aufbewahrungsfristen die Anbietung des Schriftguts an die zuständigen Archive.
Abbildung 6: Lebenszyklus behördlichen Schriftguts
Die Möglichkeiten zur Veraktung und Langzeitspeicherung von De-Mails sind sehr vielfältig und hängen
insbesondere davon ab, ob die Weblösung (Variante 1) oder ein zentrales/dezentrales De-Mail-Gateway
(Varianten 2 und 3) eingesetzt wird, ob das Gateway über eine geeignete „Archivierungs-“Schnittstelle
verfügt und ob E-Akten und Dokumentenmanagementsysteme im Einsatz sind. Müssen zum Beispiel bereits qualifiziert elektronisch signierte Dokumente veraktet und beweiswerterhaltend aufbewahrt werden, so können in ähnlicher Art und Weise auch die (signierten) De-Mails behandelt werden.
5
Zum Thema Veraktung und Langzeitspeicherung wurden im Rahmen der E-Government-Initiative für DeMail und den Personalausweis (Bundesministerium des Innern) mehrere Konzepte erarbeitet und unter
http://www.cio.bund.de/Web/DE/Innovative-Vorhaben/De-Mail/E-Government-Initiative/egovernment_initiative_node.html veröffentlicht.
27
4.2 Design
Im Rahmen der Projektphase „Design“ kommen die folgenden möglichen Aktivitäten in Betracht:
•
•
•
•
Definition der Soll-Prozesse
Erstellung eines Architekturmodells
Konzeption der Zugangseröffnung
Ermittlung der Supportstruktur
Die folgenden Themenfelder sollen als Handreichung bei der Durchführung der genannten Aktivitäten
unterstützen.
4.2.1
Fachliches/organisatorisches und technisches Design
Aufbauend auf den Ergebnissen der Analyse-Phase werden die erforderlichen fachlich/organisatorischen
und technischen Designentscheidungen getroffen und die entsprechenden Konzepte erstellt, die später
Grundlage für die Umsetzung sind.
Primäre Aufgaben im Bereich des fachlichen/organisatorischen Designs sind:
•
Anhand der Umsetzungsempfehlung wird für jeden untersuchten, geeigneten Prozess ein SollProzess zur Umsetzung mit De-Mail (De-Mail-Prozess) konzipiert.
•
In Vorbereitung auf die spätere Beschaffung der Accounts bei einem DMDA werden Kriterien für
die Auswahl des möglichen DMDA definiert. Darauf aufbauend werden konzeptionelle Vorbereitungen für die spätere Auswahl getroffen.
•
Um De-Mail nutzen zu können, müssen Accounts bei einem DMDA beantragt werden. Die notwendigen Vorbereitungen wie die Beschaffung benötigter Handlungsvollmachten, einzureichender Unterlagen sowie der Anmeldeprozess werden geplant.
•
Für die Nutzung von De-Mail müssen die jeweiligen Kommunikationspartner den Zugang eröffnen. Es wird untersucht, wie diese Zugangseröffnung auf eigener Seite durchgeführt werden kann
und welche Anforderungen an den Prozess der Zugangseröffnung auf externer Seite gestellt werden müssen. Zudem sind datenschutzrechtliche Fragestellungen zu Speicherung, Zugriff und Nutzung zu beachten. Eine Abstimmung mit IT-Sicherheits- und Datenschutzbeauftragten findet statt.
•
Beim Eingang von De-Mails bei einer entsprechenden Stelle wird definiert, wie De-Mails an die
sachbearbeitenden Stellen weitergereicht werden können. Es werden Aufbau- und Ablauforganisationen konzipiert.
•
In Zusammenhang mit bestehenden Supportorganisationen wird konzipiert, wie sich De-Mail in
diese eingliedern kann. Eine entsprechende Beschreibung der Aufgaben dieser Stellen wird erstellt.
Primäre Aufgaben im Bereich des technischen Designs sind:
28
•
Die Art der Anbindung an die De-Mail-Infrastruktur wird untersucht. Grundlage dieses Konzepts
bildet die Entscheidung, ob lediglich ein Webportal oder eine direkte Anbindung an die De-MailInfrastruktur über ein De-Mail-Gateway realisiert werden soll. Im Fall der Gatewayanbindung wird
konzipiert, ob und wie eine zentrale Infrastruktur und/oder dezentrale Anbindungen jeder Einrichtung an De-Mail aufgebaut bzw. eingerichtet werden kann.
•
Zur Nutzung von De-Mail innerhalb einer Einrichtung müssen De-Mails in die E-Mail-Infrastruktur
geleitet werden. Diese Anbindung an den entsprechenden E-Mail-Server wird konzipiert.
•
In Abhängigkeit von der Anbindung und dem Konzept zur Nutzung der internen E-Mail-Infrastruktur müssen entsprechende Anpassungen an Firewalls und Mail-Relays durchgeführt werden, die
konzipiert werden.
•
Analog zum Konzept der Firewallanpassungen wird konzipiert, wie der interne Viren- und Malwareschutz mit eingehenden De-Mails umgehen darf und muss. Weitere notwendige Maßnahmen
zur IT-Sicherheit beim Versand und Empfang von De-Mails über die Behörden-E-Mail-Infrastruktur müssen definiert werden.
•
Sofern ein „Massenversand“ von De-Mail relevant ist, werden die Anbindungen der für die untersuchten Prozesse relevanten Fachverfahren betrachtet und technisch konzipiert.
•
Die Belange des Datenschutzes sowie der fachlichen Anforderungen an die Zugangseröffnung
werden in technische Konzepte zur Adressspeicherung übersetzt. Insbesondere werden hier Verfahren dargestellt, wie die Integration von eigenen Verfahren/Systemen mit von De-Mail bereitgestellten Verfahren wie dem Öffentlichen Verzeichnisdienst in Einklang gebracht werden können.
•
De-Mails sind im Ein- und Ausgang zumeist aktenrelevante, elektronische Dokumente, die neben
der Veraktung auch in die Archivierung bzw. Langzeitspeicherung überführt werden müssen.
•
Wenn Ende-zu-Ende-Sicherheit (Signatur oder/und Verschlüsselung) erforderlich sein sollte, muss
ein Konzept für die Integration der dafür erforderlichen Hard- und Softwarekomponenten (z.B.
Krypto-Gateways, Verschlüsselungs-Plug-Ins, Signaturanwendungen usw.) in die IT-Systeme und
Anwendungen erstellt werden.
4.2.2 Domainkonzept
Da die Kommunikation von De-Mail auf verbreiteten Internet- und E-Mailstandards basiert, können zur
Adressierung von Absendern und Empfängern etablierte E-Mail-Verfahren genutzt werden. De-Mail-Adressen sind analog zu normalen E-Mail-Adressen aufgebaut. In Abbildung 7 ist der mögliche Aufbau einer
De-Mail-Adresse dargestellt.
Zu jedem De-Mail-Konto gehört eine eindeutige De-Mail-Adresse. Aufbauend auf dieser kann das De-MailAdressschema der jeweiligen Behörde festgelegt werden.
29
Gelesen wird eine De-Mail-Adresse von rechts nach links, wobei ein hierarchisches Prinzip verfolgt wird.
Ganz rechts steht die Top-Level-Domain, die häufig die Zugehörigkeit zu einem Land kennzeichnet. Bei
De-Mail folgt an zweiter Stelle von rechts die Kennzeichnung, dass es sich um eine De-Mail handelt. Hierbei wird vor allem von der Sammeldomain „de-mail“ Gebrauch gemacht. Die De-Mail-Anbieter können
aber auch eigene De-Mail-Domains registrieren lassen. An dritter Stelle von rechts folgt die Kennzeichnung des Inhabers des De-Mail-Kontos, wie bspw. „landkreis-schwandorf“. Diese drei Hierarchien werden
vom De-Mail-Anbieter verwaltet und können nicht durch den Inhaber des Kontos geändert werden. Nach
der dritten Stelle können weitere Subdomains, Unterbezeichnungen oder lokale Adressen durch den Konteninhaber frei vergeben werden (im Regelfall über entsprechende Konfiguration im De-Mail-Gateway),
z.B. [email protected]. Die Bezeichnungen links vom „@“
können ebenfalls vom Kontoinhaber frei gewählt werden, z.B. „poststelle“ oder „franz.meier“.
Abbildung 7: Domaindarstellung
Im Hinblick auf die Frage, welche Behörden/Ämter eigene De-Mail-Konten benötigen, sind die Regelungen
des VwVfG zur Schriftformersetzung durch De-Mail zu beachten. So kann gemäß § 3a Abs. 2 Satz 4 Nr. 3
VwVfG eine durch Rechtsvorschrift angeordnete Schriftform bei elektronischen Verwaltungsakten oder
sonstigen elektronischen Dokumenten der Behörden durch Versendung einer absenderbestätigten DeMail ersetzt werden. Bei solchen schriftformbedürftigen Bescheiden muss die De-Mail dabei die erlassende Behörde als Nutzer des De-Mail-Kontos erkennen lassen.
Im kommunalen Bereich ist im Regelfall der/die Oberbürgermeister/in die erlassende Behörde, da es insoweit nicht auf das jeweils handelnde Amt, Referat, Dezernat o.dgl. ankommt.
(d.h „kommune/stadt.de-mail.de“). Ausnahmen hiervon können sich auf Grundlage landesspezifischer
und/oder von Kommunalverfassungen ergeben, wenn einzelnen Behörden gesetzlich oder durch entsprechende Organisationsverfügung Aufgaben zur eigenständigen Erledigung zugewiesen wurden.
4.2.3 Zugangseröffnung
Nach den Verwaltungsverfahrensgesetzen des Bundes und der Länder ist die elektronische Kommunikation nur dann zulässig, wenn beide Kommunikationspartner den elektronischen Zugang (z.B. für De-Mail)
eröffnet haben. Voraussetzungen für die Zugangseröffnung sind:
1. die technische Anbindung an De-Mail, um De-Mails empfangen und versenden zu können,
2. die Bekanntmachung der Kommunikationsmöglichkeit sowie
3. die Erklärung gegenüber dem Kommunikationspartner, dass der Zugang eröffnet worden ist.
30
Die Erklärung der Zugangseröffnung gestaltet sich für die Behörde einfach. Durch Angabe der De-MailAdresse auf der Internetseite der Behörde ist, im Regelfall, der Zugang eröffnet, sodass Kunden und Kommunikationspartner De-Mails (wie bspw. Anträge, Anfragen, …) übersenden können und eine Bearbeitung
sichergestellt ist. In manchen Bundesländern ist zudem eine Bekanntmachung im Amtsblatt o. a. notwendig.
Damit die Behörde bspw. mit einem Kunden per De-Mail kommunizieren darf, muss dieser der Behörde
ebenfalls den Zugang eröffnet haben. Dabei können verschieden Arten der Zugangseröffnung hinsichtlich
Dauer und Umfang gewählt bzw. definiert werden.
Juristische Personen können gleichfalls, wie eine Behörde, den Zugang eröffnen, indem die De-Mail-Adresse auf der Internetseite, auf Visitenkarten, Werbematerialien oder ähnlichem angegeben wird.
Bei natürlichen Personen wird davon ausgegangen, dass höhere Anforderungen der Zugangseröffnung
erfüllt werden müssen. So soll der Bürger vor den Folgen seines möglicherweise unwissenden Handelns
geschützt werden. Der Zugang kann
•
für ein bestimmtes Verfahren, d.h. einen konkreten Einzelfall, oder
•
global für alle (auch zukünftigen) Verfahren eröffnet werden.
Wendet sich der Kommunikationspartner in einer bestimmten Angelegenheit per De-Mail an die Behörde,
kann davon ausgegangen werden, dass auch eine Antwort auf diesem Kanal erwünscht ist und der Anfragende/Antragsteller damit implizit (konkludent) den Zugang für die elektronische Kommunikation per DeMail eröffnet hat. Eine Möglichkeit für die Behörde, aus anderen Anlässen heraus eine Kommunikation zu
beginnen, kann daraus allerdings grundsätzlich nicht abgeleitet werden.
Sollen für andere Verfahren die Möglichkeiten der elektronischen Kommunikation genutzt werden, muss
der Kommunikationspartner diesem ausdrücklich zugestimmt haben. So kann bspw. per De-Mail angegeben werden, dass zukünftig der Empfang von De-Mails erlaubt und gewünscht ist. Alternativ oder zusätzlich kann die Behörde Registrierungsseiten anbieten, auf denen sich der Kommunikationspartner einträgt
und damit den Zugang eröffnet.
Mit Änderung des De-Mail-Gesetzes durch das E-Government-Gesetz besteht zudem für De-Mail-Nutzer
die Möglichkeit, über die Aktivierung einer Auswahlfunktion im Öffentlichen Verzeichnisdienst von DeMail den Zugang behördenübergreifend zu eröffnen.
4.2.4 Designentscheidungen im Hinblick auf die Anbindung an De-Mail
Die allgemeinen Ausführungen aus Kapitel 2.2.6 zu möglichen Architekturen der Anbindung an De-Mail
(Nutzung über Web vs. Nutzung über Gateway) werden im Folgenden im Hinblick auf die dieser Phase
anstehenden technischen Designentscheidungen detaillierter dargestellt.
31
4.2.4.1 De-Mail-Web
Falls De-Mail in Form einer Webanwendung genutzt wird, müssen die empfangenen und ggf. auch die
gesendeten De-Mails in geeigneter Form exportiert und in die Verwaltungsprozesse der Behörde übernommen werden können. De-Mail sieht dazu einen manuellen Export vor. Der Nutzer kann innerhalb seines Kontos auf dem Webportal einen Export anstoßen. Dazu markiert er die zu exportierenden De-Mails
und startet den Export. Die De-Mails werden nun standardmäßig im „mbox“-Format exportiert. Das mboxFormat ist ein textbasiertes Format, welches alle exportierten Nachrichten in ihrer originären Form, d.h.
ohne Veränderung, in einer Datei speichert. Zusätzlich ist der Export einzelner De-Mails möglich, so dass
diese im Dateisystem (z.B. mit der Endung .msg) durch vorhandene E-Mail-Programme geöffnet werden
können.
So ist seit Anfang 2014 gemäß Technischer Richtlinie De-Mail des BSI (TR 01201 Teil 3.4, Vers. 1.1.1) neben
dem Export im mbox-Format auch der Export einzelner Nachrichten im plain-text-Format gemäß RFC 2822
mit allen Headern, Nachrichten-Body und Anhängen möglich. Der Export einzelner De-Mails in einem
gängigen E-Mail-Format (das z.B. auf einen Datenträger gespeichert und dann in Outlook geöffnet werden
kann) ist wichtig für die allgemeine Verkehrsfähigkeit von De-Mails. Die exportierten De-Mails beinhalten
bei Nutzung der entsprechenden Versandoptionen (z.B. absenderbestätigte De-Mail) auch im Exportformat die vom DMDA angebrachte Signatur, so dass die Integrität der Nachricht außerhalb der De-MailInfrastruktur (z.B. bei Gericht) geprüft werden kann.
Die De-Mail-Anbieter stellen auch bei Web-basierter Nutzung, auf Wunsch der Behörde, Unterkonten für
De-Mails mit bestimmten Adressen zur Verfügung. So können z.B. Referate oder Abteilungen einer Behörde eigene De-Mail-Unterkonten mit eigenen Zugriffrechten erhalten. Unterkonten werden durch Definition von Subdomänen realisiert. So könnte zum Beispiel bei einer bestehenden Domäne „behoerde.demail.de“ vorgesehen werden, dass das Grundsatzreferat über ein eigenes Unterkonto auf De-Mails zugreifen kann. Hierfür würde die Subdomäne „grundsatz“ definiert und das Unterkonto dieser Adresse zugeordnet. Im Ergebnis könnten eingehende De-Mails der Form [email protected] von
den Berechtigten dieses Unterkontos bearbeitet werden.
Dieses Verfahren ist nur relevant, wenn keine De-Mail-Gatewayanbindung realisiert wird, sondern der
Zugang lediglich per Webbrowser auf das De-Mail-Konto erfolgt. Durch die Definition von Unterkonten
können zusätzliche Rechte und Rollen für das Unterkonto und den Zugang hierzu definiert werden.
Beim Einsatz eines De-Mail-Gateways wird die Administration von Subdomänen im Gateway vorgenommen.
4.2.4.2 De-Mail-Gateway (zentral und dezentral)
Das De-Mail-Gateway ist der zentrale Knoten für die Anbindung einer Behörde an die De-Mail-Infrastruktur des DMDA und somit an De-Mail.
Dabei werden vom Gateway folgende Aufgaben wahrgenommen:
•
Authentisierung gegenüber dem DMDA
32
•
Abholen von De-Mails vom Postfach beim DMDA
•
Weiterleiten von zu sendenden De-Mails an den DMDA zum weiteren Versand
•
Weiterleiten von eingehenden De-Mails an den internen E-Mail-Server zur Darstellung auf einem
Benutzerclient oder in einem Fachverfahren
•
Umwandeln der internen E-Mail-Adressen in externe De-Mail-Adressen und umgekehrt
•
Authentifizierung und Autorisierung interner Benutzer, die De-Mail nutzen dürfen
•
Verwaltung der wesentlichen Konten wie bspw. das Catch-All-Postfach
•
Unterstützung von Ausleitungsmöglichkeiten zur Ablage/Langzeitspeicherung von ein- und ausgegangenen De-Mails
Abbildung 8: Darstellung der Funktionen eines De-Mail-Gateways
Die Authentisierung gegenüber dem DMDA erfolgt über eine Verbindung, die mittels standardisierter Sicherheitsverfahren wie Transport Layer Security (TLS, Transportverschlüsselung) gesichert ist. Zur Authentisierung kommen Hardwaretoken oder spezielle Smartcards zum Einsatz, die eine eindeutige Zuordnung
des De-Mail-Gateways zu einem oder auch mehreren De-Mail-Konten realisieren. Die Verbindung wird
ausgehend vom De-Mail-Gateway aufgebaut - kein Verbindungsaufbau zum Gateway. Zur Freigabe in den
33
DMZs einer Behörde oder eines DLZ-IT müssen also keine eingehenden Regeln in der Firewall definiert
werden.
Im De-Mail-Gateway müssen neben den Kontodaten beim DMDA zudem die Verbindungsmöglichkeiten
bzw. Adressen zu den internen E-Mail-Servern konfiguriert werden. Beim Eingang einer De-Mail kann das
Gateway eine Verbindung zum internen E-Mail-Server aufbauen und mittels SMTP die Nachricht über eine
sichere Verbindung in die interne E-Mail-Infrastruktur weiterleiten.
Im Bereich der internen E-Mail-Infrastruktur bilden die E-Mail-Server bzw. -Relays die Schnittstelle zum
Gateway. Beim Empfang von De-Mails müssen die Nachrichten lediglich in das adressierte Postfach des
Empfängers gelegt werden. Die Adresstransformation wird durch das De-Mail-Gateway durchgeführt.
Beim Versand muss der E-Mail-Server zunächst unterscheiden, ob „normale“ E-Mails verschickt werden
sollen oder De-Mails über das De-Mail-Gateway. Daher sind in diesem Server entsprechende Regeln für
den Postausgang zu definieren. Bei De-Mail-Empfängeradressen muss die Nachricht nach Identifikation
anhand einer De-Mail-Domäne zwecks Weiterleitung an das De-Mail-Gateway geschickt werden. Zu achten ist darauf, dass neben der Standard-Sammel-Domain „*.de-mail.de“ auch weitere Domänen von den
DMDAs für die Nutzung von De-Mail bekannt gemacht worden sind. Das BSI stellt eine entsprechende
Liste zur Verfügung, auf der alle De-Mail-Domänen verzeichnet sind.6
Sobald eine größere Anzahl an internen „De-Mail-Adressen“ eingerichtet werden soll oder mit häufigen
Änderungen der Adressen zu rechnen ist, empfiehlt es sich, um die Mappingtabelle des Gateways nicht
manuell pflegen zu müssen, einen lokalen Verzeichnisdienst (z.B. LDAP oder AD) an das Gateway anzuschließen und die Adressen zwischen den Komponenten zu synchronisieren.
Neben der Anbindung an die De-Mail-Infrastruktur hat das De-Mail-Gateway die Aufgabe, ein- und ausgehende Nachrichten mit den weiterleitbaren Absender- bzw. Empfängeradressen zu versehen. Im Nachrichtenausgang werden De-Mails mit einem De-Mail-Empfänger adressiert. Da die Nachrichten aber per
E-Mail an das Gateway geleitet werden und zudem aus der internen E-Mail-Infrastruktur kommen, gehört
die Absender-E-Mail-Adresse zur E-Mail-Domäne der Behörde. Das Gateway muss diese Adresse auf die
Absender-De-Mail-Adresse der Behörde umschreiben.
Beispiel: Eine Sachbearbeiterin des Fachreferats „Zulassung“ möchte eine De-Mail an einen Kunden senden. Intern wird die E-Mail-Absenderadresse [email protected] benutzt. Der Empfänger hat die De-Mail-Adresse
[email protected].
Das Gateway validiert zunächst auf Basis der Adressmapping-Tabelle, ob der Absender für den Versand von DeMails zugelassen ist. Dann setzt es die interne E-Mail-Adresse in die lt. Adressmapping-Tabelle zugehörige DeMail-Adresse um (z.B. [email protected] [email protected]). Somit wird sichergestellt,
dass der interne Empfänger der Nachricht direkt über die Antworten-Funktion seines E-Mail-Clients eine Nachricht zurücksenden kann.
Bei Eingang einer solchen Nachricht an [email protected] muss das De-Mail-Gateway zunächst in
der Adressmapping-Tabelle nachschlagen, welche interne E-Mail-Adresse dieser De-Mail-Adresse zugeordnet ist.
6
https://www.bsi.bund.de/DE/Themen/EGovernment/DeMail/Akkreditierte_DMDA/Akkreditierte_DMDA_node.html
34
Danach leitet es die Nachricht intern weiter an [email protected]. Der interne E-Mail-Server kann die Nachricht dann in das Postfach des Referats Zulassung einstellen.
Nachrichten im Eingang, für die keine Zuordnung in der Adressmapping-Tabelle existiert, können nicht
abgewiesen werden, da sie bereits als eingegangen gelten – schließlich haben sie das De-Mail-Postfach
des Empfängers erreicht und entsprechende Bestätigungsnachrichten wurden gegebenenfalls bereits verschickt. In diesem Fall wird das Standardpostfach oder Catch-All-Postfach der Behörde (z. B. [email protected]) als Weiterleitungsadresse für die Nachricht benutzt und die De-Mail dorthin ausgeliefert.
Lokales De-Mail-Gateway (Variante 2)
Beim Einsatz eines lokalen Gateways ist eine Internetanbindung zwingend erforderlich, da der DMDA über
das Internet angesprochen wird. Zur Konfiguration der Firewalls gelten die oben gemachten Aussagen,
dass lediglich ausgehende Verbindungen zum DMDA zugelassen werden müssen. Unter Umständen können Aktualisierungen ebenfalls über Zugriff auf den DMDA heruntergeladen und/oder installiert werden.
Sollte eine Aktualisierungsschnittstelle genutzt werden, muss ebenfalls eine Änderung des Regelwerks der
Firewall vorgenommen werden.
Abbildung 9: Architektur der De-Mail-Anbindung
35
Zentrales De-Mail-Gateway (Variante 3)
Ein zentrales De-Mail-Gateway bildet die Schnittstelle zwischen einem DMDA und mehreren angeschlossenen Behörden, denen Gateway-Funktionalitäten zur Verfügung gestellt werden sollen. Auf dem Gateway müssen somit die jeweiligen Konfigurationen je Mandant vorgenommen werden. Zudem authentisiert sich das Gateway stellvertretend für die Inhaber der verwalteten De-Mail-Konten gegenüber dem
DMDA. Die lokalen De-Mail-Administratoren jeder einzelnen angeschlossenen Behörde sind für die Pflege
der behördenspezifischen Parameter auf dem zugeordneten Mandanten des De-Mail-Gateways verantwortlich. Zu den Aufgaben der (behördlichen) Gateway-Administratoren zählen:
•
Anlegen von Nutzern der Konfigurationsoberfläche
•
Zuweisung/Rücknahme von Rollen für Nutzer der Konfigurationsoberfläche
•
Konfiguration der lokalen Netzwerkparameter des De-Mail-Gateways (u.a. Konfiguration Adresse
des lokalen E-Mail-Servers)
•
Analyse der Informationen des De-Mail-Gateways
•
(Behördenspezifische) Administration des Systems
•
Festlegung des Benutzernamens und Passworts für die Authentisierung des E-Mail-Servers der
Behörde am Gateway
•
Pflege der Adressmapping-Datenbank (Festlegung, an welche internen E-Mail-Adressen die eingehenden De-Mails weitergeleitet werden sollen bzw. wer zur Versendung von De-Mails berechtigt ist)
Zudem müssen Prozesse definiert werden, wie mit Leistungsstörungen umgegangen werden soll. Insbesondere sollten die lokalen Administratoren Unterstützung durch den Betreiber des zentralen Gateways
anfordern können, um schnell den Ort der Störung ausfindig machen und entsprechende Gegenmaßnahmen einleiten zu können.
4.2.5 Öffentlicher De-Mail-Verzeichnisdienst (ÖVD)
Die De-Mail-Anbieter stellen den De-Mail-Nutzern einen anbieterübergreifenden öffentlichen Verzeichnisdienst zur Verfügung. Hier werden Identitätsdaten der Nutzer auf deren ausdrückliches Verlangen hin
veröffentlicht, z.B. Titel, Name, Vorname, De-Mail-Adresse, postalische Adresse, Verschlüsselungszertifikat, Zugangseröffnung.
Im ÖVD kann anbieterspezifisch oder anbieterübergreifend nach De-Mail-Nutzern gesucht werden. Voraussetzung ist, dass der Anfragende an seinem De-Mail-Konto angemeldet ist. Zwei grundsätzliche Möglichkeiten zur ÖVD-Abfrage sind zu unterscheiden:
36
1. Abfrage per Webzugriff
Dazu stellen die De-Mail-Anbieter entsprechende Suchmasken für den Webzugriff zur Verfügung,
z.B.
Die Angabe eines Sternchens (*) als Platzhalter für eine beliebige Anzahl von Zeichen ist möglich.
2. Technisch automatisierte Abfrage zur Darstellung der Abfrageergebnisse in bereits vorhandenen IT-Anwendungen (z.B. vorhandenes Intranet)
Durch Nutzung einer standardisierten Schnittstelle (LDAP) können automatisierte Anfragen an
den ÖVD gestellt werden, um Verzeichniseinträge auch außerhalb der providerspezifischen Suchmasken anzeigen zu können. Die konkrete Realisierung dieser Zugriffe ist anbieterabhängig.
Zugangseröffnung durch Eintrag im Verzeichnisdienst
Gemäß § 7 Absatz 3 De-Mail-Gesetz muss der De-Mail-Anbieter auf Verlangen des Nutzers dessen Zugangseröffnung im Sinne von § 3a VwVfG, § 36a Absatz 1 SGB I und § 87a Absatz 1 Satz 1 der AO veröffentlichen.
Der Bürger kann die Erklärung, den Zugang eröffnen zu wollen, in den persönlichen Einstellungen seines
De-Mail-Kontos z.B. wie folgt angeben:
37
Bei der Suche im ÖVD per Webzugriff wird die Zugangseröffnung beispielsweise wie folgt angezeigt:
Hierbei ist zu berücksichtigen, dass es nicht immer möglich ist, nur anhand des Namens und der Adresse
eine Person eindeutig zu identifizieren. Oftmals ist dafür die zusätzliche Angabe von Geburtsdatum und –
ort erforderlich, also von Angaben, die im ÖVD nicht ausgewiesen sind.
Ist der Behörde jedoch die De-Mail-Adresse der betroffenen Person bereits bekannt, so kann die o.g. Zugangseröffnung im ÖVD uneingeschränkt als Absichtserklärung zur Eröffnung des elektronischen Zugangs
für De-Mail aufgefasst werden.
4.2.6 Standard-Konto (sog. „Catch All-Postfach“)
Empfängeradresse einer De-Mail ist immer die Adresse des De-Mail-Kontos (d.h. bei Unternehmen und
öffentlichen Einrichtungen die gewählte Domäne wie z.B. behörde.de-mail.de). Alle De-Mails an diese Domäne werden an das entsprechende Gateway dieser Behörde weitergeleitet. Im Gateway selbst können
Regeln hinterlegt werden wie bestimmte De-Mail-Empfänger-Adressen (wie z.B. Einkauf@behörde.demail.de) an interne E-Mail-Empfänger-Adressen (wie z.B. einkauf@behörde.de) weitergeleitet werden.
Sofern für eine eingehende De-Mail keine Zuordnung zu einer internen E-Mail-Adresse hinterlegt ist, werden solche De-Mails in einem Standardpostfach oder auch „Catch-all-Postfach“ abgelegt. Da auch diese
De-Mails mit Eingang im De-Mail-Konto der Behörde zugegangen sind, müssen organisatorische Regelungen für die Bearbeitung des „Catch-all-Postfachs“ vorgesehen werden. Die Behörde sollte z.B. sicherstellen, dass regelmäßig De-Mails aus dem Catch-All-Postfach abgeholt und bearbeitet werden. Eine Clearingstelle oder De-Mail-Poststelle könnte eine initiale Sichtung der De-Mail vornehmen und direkt beantworten oder manuell der Sachbearbeitung zuführen.
4.3 Wirtschaftlichkeitsbetrachtung
Im Rahmen der Projektphase „Wirtschaftlichkeitsbetrachtung“ kommen die folgenden möglichen Aktivitäten in Betracht:
•
Ermittlung der quantitativen Faktoren
38
•
o Abschätzung der Einführungskosten
o Abschätzung der Betriebskosten
o Abschätzung des monetären Nutzens
Ermittlung der qualitativen Faktoren
Die folgende Handreichung soll bei der Durchführung der genannten Aktivitäten unterstützen:
Durchführung einer Wirtschaftlichkeitsbetrachtung auf Grundlage eines Excel-basierten WiBe-Werkzeugs für De-Mail-Projekte
Auf Basis der Methode WiBe 4.1 werden in diesem Arbeitspaket Kosten-/Nutzen-Analysen durchgeführt
und diese durch weitere qualitative Aspekte angereichert:
•
In der quantitativen Analyse werden Kostenbestandteile für die Einrichtung (Investition) und den
Betrieb einem Nutzen im Sinne von Kosteneinsparungen gegenübergestellt.
•
Qualitative Bestandteile der Analyse sind die Standardkriterien gemäß der Methode WiBe 4.1
(Dringlichkeit, qualitative Aspekte und externe Faktoren) sowie zusätzliche sonstige qualitative
Nutzenfaktoren.
•
Als Ergebnis der Wirtschaftlichkeitsbetrachtung wird ein Votum über die Wirtschaftlichkeit der
Einführung von De-Mail in Abhängigkeit der untersuchten Prozesse bzw. beteiligten Einrichtung
abgegeben.
Die Excel-Vorlagen sowie Anleitungen hierzu stehen unter http://www.cio.bund.de/Web/DE/InnovativeVorhaben/De-Mail/Einfuehrung-in-Behoerden-und-Unternehmen/einfuehrung_in_behoerden_und_unternehmen_node.html zur Verfügung.
4.4 Sicherheitsbetrachtung
Mit De-Mail wird die elektronische Kommunikation sicherer. Vielfältigen Bedrohungen der Vertraulichkeit, Integrität und Authentizität kann damit besser begegnet werden. Ein sicherer Einsatz von De-Mail ist
aber nur dann gewährleistet, wenn dieser neue Zugangskanal in das Sicherheitskonzept der Behörde integriert wird. Besonders beim Einsatz von Ende-zu-Ende-verschlüsselten De-Mails ist zu berücksichtigen,
dass diese nicht mehr beim De-Mail-Anbieter auf Schadsoftware geprüft werden können. Eine Prüfung ist
erst nach der Entschlüsselung bei der Behörde möglich.
Auch muss dafür gesorgt werden, dass keine „gefälschten“ De-Mails, also E-Mails mit De-Mail-Absenderadressen auf die E-Mail-Server in der Behörde gelangen.
Für eine optional einzusetzende Ende-zu-Ende-Verschlüsselung oder die Nutzung von Signaturen innerhalb der De-Mail sind weitere Betrachtungen der Integration der Krypto-Systeme nötig. Beispielhaft seien
hier dezentrale Krypto-Gateways für S/MIME oder PGP, Schlüsselmaterial-Prozesse und Systeme für die
Nutzung der qualifizierten elektronischen Signatur und deren Langzeitspeicherung/Archivierung genannt.
39
4.5 Vergabeverfahren
Im Rahmen der Projektphase „Vergabeverfahren“ kommen die folgenden möglichen Aktivitäten in Betracht:
•
•
•
Festlegung der Vergabeart
Erarbeitung der Vergabeunterlagen
Durchführung des Vergabeverfahrens
Die folgende Handreichung soll bei der Durchführung der genannten Aktivitäten unterstützen.
In der Regel müssen De-Mail-Dienste und –Komponenten (z.B. Gateway) im Rahmen einer Vergabe ausgeschrieben werden. In diesem Kapitel wird grob skizziert, welche Vergabearten existieren und welche
Leistungen und Komponenten ausgeschrieben werden können.
Im Bereich der De-Mail-Vergabe hat sich ein Vorgehen bewährt, welches exemplarisch in Abbildung 10
dargestellt ist.
Abbildung 10: Beispielhaftes Vorgehensmodell zur Vergabe von De-Mail-Diensten
4.5.1 Organisatorische Vergabevorbereitung
Auf Grundlage der Design-Konzepte und mit der Wirtschaftlichkeitsbetrachtung liegen die erforderlichen
Informationen für die Durchführung des Vergabeverfahrens vor. Nachdem der Bedarf für die Nutzung der
De-Mail festgestellt und spezifiziert wurde, sind die beschaffungs- und verfahrenstechnischen Fragen zu
klären:
40
•
Betrachtung der Wirtschaftlichkeit
In Vorbereitung des Vergabeverfahrens ist zu klären, welche finanziellen Konsequenzen die Beschaffung von De-Mail haben wird. Die durchgeführte WiBe gibt hier wesentliche Informationen
bzgl. der Investitions- und Betriebskosten. Die WiBe kann auch als Erfolgskontrolle für das gesamte Vergabeverfahren genutzt werden, um nach Zuschlagserteilung einen Soll-Ist-Vergleich
durchzuführen. Das notwendige bzw. geplante einzusetzende Kapital bzw. die notwendigen Haushaltsmittel müssen vor der Vergabe zur Verfügung stehen bzw. es muss der Abruf dieser Mittel
gewährleistet sein.
•
Bestimmung und Festlegung der Vergabeart
In Abhängigkeit der Untersuchungen der WiBe ergibt sich der wahrscheinliche Auftragswert für
die Beschaffung. Der Auftragswert muss mit den internen sowie europaweit geltenden Schwellenwerten verglichen werden, um die geografische Weite der Beschaffung abgrenzen zu können
(nationale vs. EU-weite Vergabearten). Zudem sollte sich der Bedarfsträger darüber informieren,
ob Abrufe von Leistungen aus bestehenden Rahmenverträgen möglich sind. Bei einer eigenen
Beschaffung sind unterschiedliche Vergabearten möglich, die entsprechend begründet werden
müssen, sobald sie nicht dem Standardverfahren (Öffentliche Ausschreibung bzw. EU-weit: Offenes Verfahren) entsprechen. Unter Umständen ist der Auftragswert so gering, dass auch eine freihändige Vergabe in Betracht kommt.
•
Bildung von Losen
Gerade bei der Einführung und Beschaffung von De-Mail können unterschiedliche Vergabegegenstände Teil der Vergabe sein: so können z. B. die Nutzung, Inbetriebnahme und Schulung von DeMail Teil einer Dienstleistung sein und das De-Mail-Gateway ein Kauf. Entsprechend kann überlegt werden, ob und wie eine losweise Aufteilung der einzelnen Vergabegegenstände möglich ist.
•
Vorbereitung Vertragsentwurf
Mit dem zukünftigen Dienstleister muss nach Zuschlagserteilung ein Vertrag geschlossen werden.
Der Bedarfsträger sollte hier vorbereiten, welche grundsätzliche Ausgestaltung der Vertrag haben
sollte, ob auf Standardvertragsmuster wie den EVB IT-Verträgen oder der eigenen Behörde zurückgegriffen werden soll und kann.
4.5.2 Fachliche Vergabevorbereitung
Bei der fachlichen Vergabevorbereitung fällt vor allem die Definition des Vergabegegenstands ins Gewicht. Um De-Mail nutzen zu können, müssen insbesondere De-Mail-Dienste, d.h.
•
Identifizierung des Kontoinhabers,
•
Eröffnung des De-Mail-Kontos,
•
Nutzung der De-Mail-Dienste (Standard-De-Mail und Versandoptionen) sowie
•
Zugriff auf das Konto mindestens über Webbrowser und De-Mail-Gateway
41
vergeben werden. Besonders relevant für die Nutzung ist, welche Kosten für den Versand entstehen. Hier
kann unterschieden werden in:
•
Standardversand,
•
Anforderung von „normalen“ Bestätigungsnachrichten,
•
Anforderung von Abholbestätigungen und
•
Versand von De-Mails mit gesetzten De-Mail-Optionen (insb. Absenderbestätigung).
Die geplante Nutzungsverteilung sollte abgeschätzt werden, damit der zukünftige Dienstleister eine passende Preisstruktur seiner De-Mail-Dienstleistungen anbieten kann. Die der WiBe zugrundeliegende Zahlen für die Nutzungsverteilung können hierfür herangezogen werden.
Soll De-Mail in die Infrastruktur der Behörde integriert werden, wird zudem ein De-Mail-Gateway benötigt. Wenn nicht auf ein bereits vorhandenes zentrales Gateway zurückgegriffen werden kann, muss ein
lokales De-Mail-Gateway mit in die Vergabeunterlagen aufgenommen werden. Zu beachten ist, dass die
De-Mail-Anbieter grundsätzlich eigene De-Mail-Gateways anbieten. Darüber hinaus gibt es auf dem Markt
aber auch Gatewaylösungen von Drittanbietern. In der Vergabeunterlage sollte darauf hingewiesen werden, dass das angebotene Gateway auch zu dem ausgewählten De-Mail-Anbieter passt, d.h. mit diesem
eine Anbindung an De-Mail möglich und nutzbar ist. Von Vorteil ist, wenn das Gateway unabhängig von
einem De-Mail-Anbieter auch mit anderen De-Mail-Anbietern funktioniert, sodass ein Wechsel des Anbieters ohne wesentliche Änderungen an der Hardware stattfinden kann. Das Gateway sollte einen möglichst großen Umfang an Konfigurationsmöglichkeiten bieten. Dazu zählen insbesondere:
•
Anbindung an zentrale Adressverzeichnisse wie LDAP oder AD zur Aktualisierung der Adressmapping-Tabellen
•
Monitoring des Gateways über Standardprotokolle wie bspw. SNMP
Um aus den E-Mail-Clients heraus De-Mail mit allen Versandoptionen sinnvoll nutzen zu können, bietet
sich die Installation eines Add-Ins, Plugins oder die Anpassung einer entsprechenden E-Mail-Schablone
an. Die Bereitstellung eines solchen „Hilfsprogramms“ für die lokale E-Mail-Nutzung unterstützt die Bedienung durch grafische Elemente und sollte daher gefordert werden.
Innerhalb der Vergabevorbereitung sollten auch die Ergebnisse der Sicherheitsbetrachtungen ausgewertet sowie mögliche externe Dienstleistungen und nötige Komponenten zur Umsetzung eines angemessenen IT-Sicherheitsniveaus für De-Mail integriert werden.
4.6 Umsetzungsplanung und Umsetzung
Im Rahmen der Projektphase „Umsetzungsplanung“ kommen die folgenden möglichen Aktivitäten in Betracht:
•
Beantragung des De-Mail-Kontos und Identifikation
42
•
•
•
•
•
•
•
•
•
•
Umsetzung der Zugangseröffnung
Einrichtung einer De-Mail-Clearingstelle
Erarbeitung eines technischen Umsetzungsplans
Erarbeitung eines organisatorischen Umsetzungsplans
Erarbeitung eines IT-Sicherheitskonzeptes für die De-Mail-Nutzung
Installation und Konfiguration des De-Mail-Gateways
Anbindung des De-Mail-Gateways an die E-Mail-Infrastruktur
Konfiguration der E-Mail-Server
Anpassung der E-Mail-Clients
Ggf. Integration von weiteren Sicherheitskomponenten, z.B. für Ende-zu-Ende-Sicherheit (Signatur
und Verschlüsselung)
Die folgende Handreichung soll bei der Durchführung der genannten Aktivitäten unterstützen. Darüber
hinaus wird auf die entsprechenden Kapitel dieses Dokuments (u.a. zur Zugangseröffnung und zur Gateway-Architektur) sowie auf die ergänzenden Informationen der Checkliste in Kapitel 5 verwiesen.
Beantragung De-Mail-Konto7
Gemäß De-Mail-Gesetz muss bei öffentlichen Stellen für den Domänenteil eine Bezeichnung gewählt werden, die in direktem Bezug zur Bezeichnung der öffentlichen Stelle steht. Es soll allein an der De-MailAdresse erkennbar sein, welche öffentliche Stelle (Behörde) Inhaber des De-Mail-Kontos ist. Im Rahmen
der Beantragung eines De-Mail-Kontos wird dieses Kriterium vom De-Mail-Anbieter überprüft.
Darüber hinaus ist der De-Mail-Anbieter verpflichtet, die Identität der Behörde und ihres gesetzlichen
Vertreters zuverlässig festzustellen. Der gesetzliche Vertreter kann seine Identität mit einem amtlichen
Ausweis (z.B. Personalausweis) nachweisen.
Die im Rahmen der Beantragung erfassten Identitätsattribute der Behörde (Name/Bezeichnung, Adresse,
Namen der gesetzlichen Vertreter) müssen ebenfalls durch den Antragsteller nachgewiesen werden. Gemäß Technischer Richtlinie De-Mail (Accountmanagement)8 kann dies wie folgt geschehen:
•
Ministerien des Bundes und der Länder
Richtet sich nach der jeweiligen Gemeinsamen Geschäftsordnung der Bundes - bzw. jeweiligen
Landesministerien (GGO der Bundesministerien z.B. §§ 6,17 und 18; Zeichnungsvollmacht zur
analogen Anwendung der Vertretungsvollmacht); ggf. mit Vorlage einer Urkunde mit Siegel
•
Sonstige Behörden des Bundes und der Länder
entsprechende Geschäftsordnungen der Länder
7
Vgl. auch Kap. 2.3 De-Mail-Account-Beantragung im Dokument „Grundlagen für den Einsatz von De-Mail
in der öffentlichen Verwaltung“, 21. Juni 2012 (http://www.cio.bund.de/SharedDocs/Publikationen/DE/De-Mail/2012_06_21_cc_de_mail_grundlagen_v1_0_download.pdf )
8 BSI – Technische Richtlinie De-Mail, Accountmanagement, Funktionalitätsspezifikation (BSI TR 01201
Teil 2.1), Version 1.1.1
43
•
Gemeinden, Kommunen etc.
Gemeindeordnung für Gebietskörperschaften bzw. entsprechende zur Identifizierung geeignete
Dokumente
Die konkrete Ausgestaltung des Beantragungsverfahrens hängt vom jeweiligen De-Mail-Anbieter ab. In
der Regel erfolgt die Identifizierung der vertretungsberechtigten Person durch Identifizierungsdienstleister vor Ort. Zum Teil ist eine elektronische Identifizierung durch Nutzung der Online-Ausweisfunktion des
Personalausweises möglich.
Darüber hinaus werden Möglichkeiten angeboten, wie mehrere De-Mail-Konten in einem einzigen Antragsverfahren beantragt werden können. Dies könnte beispielsweise für kommunale Rechenzentren von
Bedeutung sein, die von ihren Kommunen mit der Beantragung beauftragt werden.
Die Einrichtung eines De-Mail-Kontos erfolgt grundsätzlich in den folgenden vier Schritten:
1. Beantragung des De-Mail-Kontos
2. Reservierung der gewünschten De-Mail-Adresse
3. Identifizierung und Registrierung der Behörde und ihres gesetzlichen Vertreters
4. Freischaltung des De-Mail-Kontos zur Nutzung
44
5 Checkliste
Folgende Tabelle beinhaltet eine Checkliste für die Einführung von De-Mail in einer öffentlichen Einrichtung. Ohne Anspruch auf Vollständigkeit kann die Checkliste für die Fortschrittskontrolle genutzt werden.
Die Checkliste beschränkt sich auf Aktivitäten, die für die Basisanbindung an De-Mail über ein Gateway
erforderlich sind. Die Integration von De-Mail in Fachverfahren oder Input-/Output-Systeme wird aufgrund der Vielfältigkeit der Aufgaben nicht betrachtet. Auch werden die unterschiedlichen Ansätze zu den
Möglichkeiten der beweiswerterhaltenen Langzeitspeicherung von De-Mails in Verbindung mit Dokumentenmanagementsystemen/E-Akten in der Checkliste nicht berücksichtigt.
45
Schritte zur Einführung
von De-Mail
Fragen
Erläuterungen zum
Umsetzungsstand
Status
Verantwortlich
(z.B. offen,
in Arbeit,
umgesetzt)
1. Vorbereitung und Analyse
1.1 Definition der Handlungsfelder
Welche Handlungsfelder sollen für De-Mail analysiert werden?
Welche Akteure bzw. relevanten Kommunikationspartner sollen
betrachtet werden? Existiert ein fachlicher Schwerpunkt für
elektronische Kommunikationsprozesse? Soll die Analyse der
Prozesse auf eine bestimmte Anzahl beschränkt werden - wenn
ja, auf wie viele maximal?
1.2 Auswahl der Verwaltungsprozesse
Welche potenziellen Verwaltungsprozesse innerhalb der definierten Handlungsfelder sind für die Nutzung von De-Mail relevant?
Auswahlkriterien sind u.a. Sende- und Empfangsvolumina, Anzahl beteiligter Kommunikationspartner sowie rechtliche und
Sicherheitsanforderungen.
1.3 Prüfung der Rechtsgrundlagen
Sind die relevanten Rechtsgrundlagen (z.B. Fachgesetze, Verfahrensanweisungen, Satzungen, Ermessensbereiche, etc.) geprüft? Ist De-Mail unter den bestehenden rechtlichen Rahmenbedingungen einsetzbar oder sind Anpassungen erforderlich?
1.4 Analyse der Formerfordernisse
Sind die bestehenden Formerfordernisse (z.B. gesetzliche
Schriftform, „gewillkürte“ Schriftform, Ausschluss der elektronischen Form) bewertet? Welche Auswirkungen ergeben sich daraus auf den Einsatz von De-Mail – z.B. Notwendigkeit absenderbestätigter De-Mails?
46
1.5 Analyse beteiligter Akteure
Sind alle relevanten Akteure innerhalb und außerhalb der Behörde berücksichtigt, z.B. IT- und Organisationsabteilung, Datenschutz- und Sicherheitsbeauftragte, betroffene Fachbereiche, Fachverfahrenshersteller oder andere IT-Dienstleister (z.B.
kommunales Rechenzentrum)?
1.6 Analyse beteiligter
Fachverfahren
In welchen Fachverfahren kann De-Mail sinnvoll eingesetzt werden? Wie komplex ist die Integration von De-Mail in das jeweilige Fachverfahren – qualitative Aussage?
1.7 Berücksichtigung der
elektronischen Aktenführung
Was sind die technischen Voraussetzungen für eine elektronische Aktenführung in der Behörde? Wie kann De-Mail in der
elektronischen Aktenführung berücksichtigt werden? Welche
Möglichkeiten zur Langzeitspeicherung/ Archivierung gibt es?
1.8 Nutzung von BestPractice Lösungen
Können bei der Definition der Soll-Prozesses Best-Practice-Lösungen anderer Behörden berücksichtigt werden? (Eine Übersicht bietet z.B. www.de-mail.de)
2. Design
2.1 Definition der Soll-Prozesse
Welche Arbeitsschritte des Verwaltungsprozesses ändern sich
durch die Nutzung von De-Mail? Wo lassen sich Vereinfachungen realisieren? Welche Prozessbeteiligten werden adressiert?
Müssen begleitende Anlagen in Papierform berücksichtigt werden? Welche Medienbrüche gibt es ggf. weiterhin?
2.2 Erstellung eines Architekturmodells
Welche architektonischen Rahmenbedingungen müssen berücksichtigt werden? Ist ein grundlegendes (technisches und
ggf. organisatorisches) Architekturmodell für die Integration
und Nutzung der De-Mail-Komponenten entwickelt worden?
47
Wurden die Kommunikationsprozesse innerhalb der Behörde in
Bezug auf De-Mail konzipiert?
2.3 Konzeption der Zugangseröffnung
Welche Anforderungen werden an die Nachweisbarkeit und Verifizierbarkeit der Zugangseröffnung der Kommunikationspartner gestellt? Wie sollen die Kommunikationspartner den
elektronischen Zugang für De-Mail gegenüber den Behörden eröffnen können? Wie soll die Speicherung der De-Mail-Adressen
realisiert werden?
2.4 Ermittlung der Supportstruktur
Welche Stellen sollen Support für De-Mail leisten? Welche Service-Level-Anforderungen werden für den Support benötigt?
2.5 Sicherheitsbetrachtungen
Welcher Schutzbedarf besteht und welche IT-Sicherheitsmaßnahmen müssen getroffen werden, um eine angemessene Sicherheit bei der Nutzung von De-Mail zu gewährleisten? Sind
optional zusätzliche Ende-zu-Ende-Sicherheitsmaßnahmen (Verschlüsselung und Signatur) nötig oder reichen die Sicherheitsmaßnahmen von De-Mail aus?
3. Wirtschaftlichkeitsbetrachtung
3.1 Ermittlung der quantitativen Faktoren
Welche monetären Faktoren (Kosten und Nutzen) werden bei
der Einführung/Integration von De-Mail betrachtet?
3.1.1 Abschätzung der Einführungskosten
Über welche Nutzungsvariante wird De-Mail genutzt? Sind Investitionskosten, die für die Einführung von De-Mail notwendig
sind, berücksichtigt? Erfolgt eine Betrachtung von Personalbedarfen (-kosten) sowie Software- und Hardwarekosten?
3.1.2 Abschätzung der Betriebskosten
Über welche Nutzungsvariante wird De-Mail genutzt? Sind Kosten, die für den Betrieb und die Wartung der De-Mail-Anbindung anfallen, ermittelt?
48
3.1.3 Abschätzung des
monetären Nutzens
Sind alle Nutzeffekte einer De-Mail-Einführung berücksichtigt,
z.B. Einsparung von Druck-, Papier- und Portokosten, Entfall von
Medienbruchkosten, Reduzierung von Prozesskosten – sowohl
im Posteingang als auch im Postausgang?
3.2 Ermittlung der qualitativen Faktoren
Welche externen Effekte, Faktoren mit qualitativ-strategischer
Bedeutung (z.B. Qualitäts- und Leistungssteigerungen, Benutzerfreundlichkeit, Qualitätszuwachs bei der Erledigung von
Fachaufgaben) und/oder Dringlichkeitskriterien wie gesetzliche
Verpflichtungen sind zu berücksichtigen?
4. Vergabeverfahren
4.1 Festlegung der Vergabeart
Wurde auf Basis der WiBe die Vergabeart festgelegt?
4.2 Erarbeitung der Vergabeunterlagen
Sind die auszuschreibenden Leistungen hinreichend konkret definiert – insbesondere De-Mail-Dienste, De-Mail-Gateway, Support?
4.3 Durchführung des
Vergabeverfahrens
Wurden Angebote eingeholt, bewertet und der Zuschlag erteilt?
5. Umsetzungsplanung
5.1 Beantragung des DeMail-Kontos und Identifikation
Ist das spezifische Verfahren des jeweiligen De-Mail-Anbieters
zur zuverlässigen Identifikation von öffentlichen Einrichtungen
bekannt? Werden alle Voraussetzungen für die Identifikation
der Behörde als Kontoinhaber erfüllt? Ist eine vertretungsberechtigte (natürliche) Person der Behörde benannt?
49
5.2 Umsetzung der Zugangseröffnung
Sind die Voraussetzungen zur De-Mail-Zugangseröffnung der
Behörde getroffen? Wie können die unter 2. konzipierten Möglichkeiten zur Zugangseröffnung der Kommunikationspartner
umgesetzt werden?
5.3 Einrichtung einer DeMail-Clearingstelle
Wurde eine organisatorische Stelle geschaffen, um nicht automatisch zuordenbare Eingangs-De-Mails manuell einer Sachbearbeitung zuführen zu können (Clearingstelle für De-Mail bzw.
De-Mail-Poststelle)?
5.4 Erarbeitung eines
technischen
Umsetzungsplans
Wurde die Integration und/oder Nutzung eines De-Mail-Gateways innerhalb der bestehenden IT-Infrastruktur der Behörde
konzipiert und geplant? Sind die erforderlichen Anpassungen
der existierenden E-Mail-Infrastruktur (insbesondere Routingregeln auf den E-Mail-Servern) geplant?
5.5. Erarbeitung eines organisatorischen Umsetzungsplans
Wurden alle organisatorischen Aspekte einer De-Mail-Einführung betrachtet, z.B.: Wird nur über Funktions-/Organisationspostfächer kommuniziert oder sind auch personenbezogene
De-Mail-Adressen gestattet? Wie wird mit Mischadressierung
umgegangen? Wer darf De-Mails versenden, ggf. in Abhängigkeit von De-Mail-Optionen (z.B. „absenderbestätigt“)? Ist das
De-Mail-Domain-Konzept der Behörde festgelegt? Wer darf wie
den öffentlichen Verzeichnisdienst der De-Mail-Anbieter nutzen?
6. Technische Umsetzung
6.1 Installation und Konfiguration des De-Mail-Gateways
Wurde ein De-Mail-Gateway beschafft und in der IT-Infrastruktur der Behörde installiert und konfiguriert? Konnte das DeMail-Gateway an den zugehörigen De-Mail-Anbieter der Behörde angebunden werden?
50
6.2 Anbindung des DeMail-Gateways an die EMail-Infrastruktur
Konnte die interne E-Mail-Infrastruktur (E-Mail-Server bzw. EMail-Relays) an das eigene oder zentrale De-Mail-Gateway angebunden werden?
6.3 Konfiguration der EMail-Server
Sind die internen E-Mail-Server und sonstigen technischen
Komponenten entsprechend vorkonfiguriert – insbesondere
Routingregeln und Einrichtung entsprechender (E-Mail-)Postfächer für die eingehenden De-Mails?
6.4 Anpassung der E-MailClients
Wie werden möglicherweise notwendige Add-Ins etc. für EMail-Clients ausgerollt?
6.5. Anpassung der Sicherheitskomponenten
Wie werden vorhandene Sicherheitssysteme (SchadsoftwarePrüfung, Mail-Relays, Firewalls, ggf. Ende-zu-Ende-Sicherheitslösungen für Verschlüsselung und Signatur) geändert bzw. installiert und konfiguriert?
7. Test und Aufnahme Live-Betrieb
7.1 Testszenarien und Testinfrastruktur
Welche Testszenarien sind entwickelt und ist eine Testinfrastruktur (ggf. durch den De-Mail-Anbieter) eingerichtet? Nach
erfolgreichem Abschluss der Testphase kann der Übergang in
den Live-Betrieb vorbereitet werden.
7.2 Aufnahme Live-Betrieb
Zu welchem Datum ist die Aufnahme des Live-Betriebs geplant?
8. Kommunikation
Ermittlung von Zielgruppen und Definition von
Maßnahmen
Welche Aktivitäten im Bereich der Kommunikation für interne
(z.B. Verwaltungsbeschäftigte) und externe Zielgruppen (z.B.
Bürgerinnen und Bürger, Unternehmen) sind geplant, um die
Nutzung von De-Mail zu fördern?
51
9. Evaluierung/Erfolgsmessung
Auswertungen
Erfolgen eine Evaluation der Umsetzung und ein Monitoring,
um den konkreten Nutzen der De-Mail-Anbindung in einem
Verwaltungsprozess zu bewerten?
Dazu können verschiedene Auswertungen vorgenommen werden (z.B. Anzahl eingegangener und versandter De-Mails, Befragungen).
52

„Prozessrevolution – E-Akte, E-Rechnung und Co. verändern die

Kurzanleitung De-Mail Verschlüsselung

Öffentliches Verfahrensverzeichnis - Stadt Castrop

Hätten Sie es gewusst? Es gibt Ausschreibung zur Digitalisierung

De-Mail als Werkzeug zur - MEMO-Tagung

Wissensmanagement Berufsbildende Schulen

Video Identifizierer (m/w) – Spanisch

De-Mail Zustellungen - Deutscher EDV