Was passiert?
Das Thema der betrügerischen Handlungen, die mit Hilfe von elektronischen Signaturzertifikaten begangen werden, hat in letzter Zeit große öffentliche Resonanz hervorgerufen. Die Bundesmedien haben sich zur Aufgabe gemacht, regelmäßig erschreckende Geschichten über Fälle von missbräuchlicher Nutzung elektronischer Signaturen zu berichten. Das häufigste Verbrechen in diesem Bereich ist die Registrierung einer juristischen Person oder eines Einzelunternehmers auf den Namen eines ahnungslosen russischen Bürgers. Ein weiterer beliebter Betrugsweg ist die Transaktion zur Änderung des Eigentumsrechts an Immobilien (das ist, wenn jemand Ihre Wohnung in Ihrem Namen verkauft, ohne dass Sie es wissen).
Doch lassen Sie uns nicht in die Beschreibung möglicher rechtswidriger Handlungen mit elektronischen Signaturen abschweifen, um den Betrügern keine kreativen Ideen zu geben. Lassen Sie uns besser versuchen zu verstehen, warum dieses Problem solche Ausmaße angenommen hat und was wirklich getan werden muss, um es auszurotten. Dazu müssen wir klar verstehen, was Zertifizierungsstellen sind, wie sie genau arbeiten und ob sie tatsächlich so bedrohlich sind, wie sie uns in den Medien und in den Äußerungen interessierter Personen dargestellt werden.
Woher kommen die Signaturen?
Sie sind also ein Benutzer. Sie benötigen ein elektronisches Signaturzertifikat. Es spielt keine Rolle für welche Aufgaben und in welchem Status Sie sich befinden (Unternehmen, natürliche Person, Einzelunternehmer) – der Prozess zur Erlangung eines Zertifikats ist standardisiert. Und Sie wenden sich an die Zertifizierungsstelle, um ein EP-Zertifikat zu kaufen.
Eine Zertifizierungsstelle ist ein Unternehmen, das bestimmten strengen Anforderungen des russischen Gesetzgebers genügen muss.
Um das Recht zu haben, eine qualifizierte elektronische Signatur auszustellen, muss die Zertifizierungsstelle ein spezielles Akkreditierungsverfahren beim Ministerium für digitale Entwicklung durchlaufen. Das Akkreditierungsverfahren umfasst die Einhaltung einer Reihe strenger Regeln, die nicht jedes Unternehmen erfüllen kann.
Insbesondere ist die Zertifizierungsstelle verpflichtet, eine Lizenz zu besitzen, die ihr das Recht zur Entwicklung, Herstellung und Verbreitung von Verschlüsselungs- (kryptografischen) Mitteln sowie Informations- und Telekommunikationssystemen einräumt. Diese Lizenz wird vom FSB nach Überprüfung des Antragstellers in mehreren strengen Prüfungen erteilt.
Die Mitarbeiter von UЦ müssen eine höhere berufliche Ausbildung im Bereich der Informationstechnologie oder der Informationssicherheit haben.
Das Gesetz verpflichtet auch die UЦ, ihre Haftung für "Verluste, die Dritten aufgrund ihres Vertrauens in die Informationen, die im Zertifikat des Schlüssel für die elektronische Signatur, das von dieser UЦ ausgestellt wurde, oder die Informationen, die im Register der Zertifikate enthalten sind, die von dieser UЦ geführt wird", zu versichern, mit einer Summe von mindestens 30 Millionen Rubel.
Wie Sie sehen, ist nicht alles so einfach.
In dem Land gibt es derzeit etwa 500 UЦ, die das Recht haben, УКЭП (Zertifikat für eine qualifizierte elektronische Signatur) auszustellen. Dazu gehören nicht nur private Zertifizierungsstellen, sondern auch UЦ in verschiedenen staatlichen Strukturen (einschließlich FНС, ПРФ usw.), Banken, Handelsplätzen, einschließlich staatlicher.
Das Zertifikat für die elektronische Signatur wird mit Hilfe von vom FSB der Russischen Föderation zertifizierten Verschlüsselungsalgorithmen erstellt. Es ermöglicht juristischen und natürlichen Personen den Austausch von rechtlich bedeutsamen Dokumenten in elektronischer Form. Nach offiziellen Angaben der UЦ werden die meisten (95 %) der KЭП an juristische Personen ausgegeben, der Rest an natürliche Personen.
Nachdem Sie sich an die UЦ gewandt haben, geschieht Folgendes:
- Die UЦ bestätigt die Identität der Person, die einen Antrag auf das Zertifikat für die elektronische Signatur gestellt hat;
Nur nach der Bestätigung der Identität und Überprüfung aller Dokumente stellt die UЦ das Zertifikat aus und gibt es aus, das Daten über den Inhaber des Zertifikats und seinen öffentlichen Prüfungs-Schlüssel enthält; - Die UЦ verwaltet den Lebenszyklus des Zertifikats: sie sorgt für die Ausstellung, Aussetzung (auch auf Antrag des Inhabers), Erneuerung, Beendigung der Gültigkeit.
- Eine weitere Funktion der UЦ ist der Service. Es reicht nicht aus, nur ein Zertifikat auszustellen. Benutzer benötigen regelmäßig verschiedene Beratungen zu Verfahren der Ausstellung und Nutzung von Signaturen, Beratungen zur Anwendung und Auswahl des Zertifikattyps. Große UЦ, wie z.B. die UЦ der Firma „Деловая сеть“, bieten technische Unterstützung, entwickeln verschiedene Software, verbessern Geschäftsprozesse, überwachen Änderungen in den Bereichen der Anwendung von Zertifikaten usw. Im Wettbewerb untereinander arbeiten die UЦ an der Qualität der IT-Dienstleistungen und entwickeln dieses Feld weiter.
Der Kazak ist geschickt!
Betrachten wir Punkt 1 des oben genannten Algorithmus zur Erlangung eines elektronischen Zertifikats. Was bedeutet es, die Identität einer Person zu bestätigen, die einen Antrag auf ein Zertifikat gestellt hat? Das bedeutet, dass die Person, auf deren Namen das Zertifikat ausgestellt wird, persönlich entweder ins Büro der Zertifizierungsstelle oder zu einem Ausgabepunkt, der eine Partnerschaft mit der Zertifizierungsstelle hat, erscheinen und dort die Originaldokumente vorlegen muss. Insbesondere den Reisepass eines russischen Staatsbürgers. In einigen Fällen, in denen es um Unterschriften für juristische Personen und Einzelunternehmer geht, ist das Verfahren zur Identitätsbestätigung noch komplizierter und erfordert die Vorlage zusätzlicher Dokumente.
Genau in diesem Stadium, also ganz am Anfang, wenn es noch nicht einmal zur Ausstellung des Zertifikats mit den Unterschriften gekommen ist, liegt das größte Problem. Und das Schlüsselwort hier ist: "Reisepass".
Die Leaks personenbezogener Daten im Land haben wirklich industrielle Ausmaße angenommen. Es gibt Internetressourcen, auf denen Sie für kleines Geld oder sogar kostenlos Scancopies von gültigen Reisepässen russischer Staatsbürger erhalten können. Und in unserem Land, das von einem post-sowjetischen Erbe in der Art "zeigen Sie die Dokumente" belastet ist, können Reisepassscans von den Bürgern überall gesammelt werden – nicht nur in Banken oder anderen Finanzinstitutionen, sondern auch in Hotels, Schulen, Universitäten, an Luft- und Schienenkassen, in Kinderzentren, an Servicestellen von Mobilfunkanbietern – überall dort, wo zur Dienstleistung der Reisepass vorgelegt werden muss, also praktisch überall. Mit der Entwicklung digitaler Technologien haben die Arbeiter des kriminellen Sektors diesen breiten Zugangskanal zu personenbezogenen Daten in Beschlag genommen.
Auch die "Dienste" zur Entwendung personenbezogener Daten spezifischer Personen sind sehr verbreitet.
Darüber hinaus gibt es eine ganze Armee von sogenannten "Nominellen" – Personen, in der Regel sehr jung, oder sehr arm und wenig gebildet, oder einfach gestrandet, denen die Täter ein bescheidenes Entgelt versprechen, damit sie mit ihrem Reisepass zur Zertifizierungsstelle oder zu einem Ausgabepunkt gehen und dort eine Unterschrift auf ihren Namen als beispielsweise Geschäftsführer einer Firma anfordern. Brauche ich zu sagen, dass diese Person später keinerlei Bezug zu den Aktivitäten der Firma hat und der Ermittlungsbehörde keine wirkliche Hilfe leisten kann, wenn der Betrug aufgedeckt wird.
Also, der Reisepassscan ist kein Problem. Aber um einen Ausweis zu bekommen, braucht man das Originaldokument, wie fragt da ein aufmerksamer Leser? Um dieses Problem zu umgehen, gibt es auf der Welt unredliche Ausgabeorte. Trotz des strengen Auswahlverfahrens erlangen gelegentlich kriminelle Akteure den Status eines Ausgabeortes und beginnen dann, rechtswidrige Handlungen mit den persönlichen Daten der Bürger vorzunehmen.
Diese beiden Faktoren zusammen führen zu all den Problemen, die wir derzeit mit der Kriminalisierung der Nutzung von elektronischen Unterschriften haben.
Ein einzelner soldat ist allein nicht stark genug?
Diese, ohne Übertreibung, ganze Armee von Betrügern wird derzeit nur von den Zertifizierungsstellen gefiltert. In jeder Zertifizierungsstelle gibt es eigene Sicherheitsdienste. Alle, die um eine Unterschrift bitten, werden sorgfältig in der Identitätsprüfung geprüft. Alle, die im Status eines Ausgabeortes für eine bestimmte Zertifizierungsstelle zusammenarbeiten möchten, werden ebenfalls gründlich sowohl bei der Vertragsunterzeichnung als auch später im Geschäftsverkehr überprüft.
Anders kann es nicht sein, denn unredliche Zertifizierung bedroht die Schließung der Zertifizierungsstelle – die Gesetzgebung in diesem Bereich ist streng.
Aber das Unmögliche ist nicht durchführbar, und ein Teil der unredlichen Ausgabeorte „schlüpft“ trotzdem als Partner zur Zertifizierungsstelle. Und der „Nominelle“ hat möglicherweise überhaupt keinen Grund, die Ausstellung eines Zertifikats abzulehnen – schließlich wendet er sich völlig legal an die Zertifizierungsstelle.
Wenn eine Betrugsaffäre mit einer Unterschrift im Namen einer bestimmten Person aufgedeckt wird, kann nur die Zertifizierungsstelle helfen, das Problem zu lösen. Da die Zertifizierungsstelle in diesem Fall das Unterschriftenzertifikat widerruft, eine interne Untersuchung durchführt und die gesamte Kette der Zertifikatsausstellung verfolgt, kann sie dem Gericht die erforderlichen Dokumente über betrügerische Handlungen bei der Ausstellung des elektronischen Unterschlüssel bereitstellen. Nur Materialien von der Zertifizierungsstelle helfen, den Fall vor Gericht zugunsten der tatsächlich betroffenen Partei zu entscheiden: der Person, auf deren Namen betrügerisch eine Unterschrift ausgestellt wurde.
Jedoch wirkt die allgemeine digitale Unkenntnis hier nicht zugunsten der Betroffenen. Nicht alle gehen bis zum Ende und verteidigen ihre Interessen. Aber die rechtswidrigen Handlungen im Zusammenhang mit der elektronischen Unterschrift müssen unbedingt vor Gericht angefochten werden. Und die Zertifizierungsstellen sind dabei die wichtigste Unterstützung.
Alle Zertifizierungsstellen abschaffen?
In unserem Staat wurde entschieden, Änderungen an der Arbeitsweise der UЦ und den Anforderungen an sie vorzunehmen. Eine Gruppe von Abgeordneten und Senatoren hat einen entsprechenden Gesetzentwurf entwickelt, der bereits am 7. November 2019 in erster Lesung von der Staatsduma verabschiedet wurde.
Das Dokument sieht eine umfassende Reform des Systems der Zertifikate elektronischer Signaturen vor. Es sieht insbesondere vor, dass juristische Personen und Einzelunternehmer (ИП) eine qualifizierte elektronische Signatur (UКЭП) nur bei der FNS erhalten können, während Finanzinstitutionen diese beim ZB beziehen können. Die von dem Ministerium für digitale Entwicklung akkreditierten Zertifizierungsstellen (UЦ), die derzeit EP ausstellen, dürfen diese nur an natürliche Personen ausgeben.
Die Anforderungen an solche UЦ sollen dabei erheblich verschärft werden. Die Mindesthöhe des Eigenkapitals einer akkreditierten Zertifizierungsstelle muss von 7 Millionen Rubel auf 1 Milliarde Rubel erhöht werden, und die Mindesthöhe der finanziellen Sicherheit von 30 Millionen Rubel auf 200 Millionen Rubel. Wenn die Zertifizierungsstelle Filialen in mindestens zwei Dritteln der russischen Regionen hat, kann die Mindesthöhe des Eigenkapitals auf 500 Millionen Rubel gesenkt werden.
Die Akkreditierungsdauer der Zertifizierungsstellen wird von fünf auf drei Jahre verkürzt. Bei Verstößen gegen die technischen Vorschriften der Zertifizierungsstellen wird eine administrative Haftung eingeführt.
All dies soll die Anzahl der Betrügereien mit elektronischen Signaturen verringern, sind sich die Autoren des Gesetzentwurfs einig.
Was ist das Ergebnis?
Wie leicht zu erkennen ist, behandelt der neue Gesetzentwurf in keiner Weise das Problem des kriminellen Gebrauchs von Dokumenten russischer Staatsbürger und des Diebstahls personenbezogener Daten. Es spielt keine Rolle, wer die Signatur ausstellt, sei es UЦ oder FNS, die Identität des Signaturinhabers muss weiterhin bestätigt werden, und der Gesetzentwurf sieht keinerlei Neuerungen in dieser Hinsicht vor. Wenn ein unseriöser Ausgabeort bereits kriminelle Machenschaften für eine gewöhnliche UЦ verfolgt hat, was würde ihn daran hindern, dasselbe für staatliche Stellen zu tun?
In der aktuellen Version des Gesetzesentwurfs ist nicht festgelegt, wer und welche Verantwortung für die Ausstellung des UKEP trägt, wenn diese Unterschrift in betrügerischen Handlungen verwendet wurde. Darüber hinaus gibt es selbst im Strafgesetzbuch keinen passenden Artikel, der eine strafrechtliche Verfolgung für die Ausstellung eines elektronischen Signaturzertifikats auf Grundlage gestohlener persönlicher Daten ermöglichen würde.
Ein separates Problem ist die Überlastung der staatlichen UCs, die bei den neuen Regelungen zwangsläufig auftreten wird, und die die Bereitstellung von Dienstleistungen für Bürger und juristische Personen sehr langsam und kompliziert machen wird.
Die Dienstleistungsfunktion der UCs wird im Gesetzesentwurf überhaupt nicht betrachtet. Ob Abteilungen für Kundenservice bei den vorgeschlagenen großen staatlichen UCs eingerichtet werden, wie lange dies dauern wird und welche finanziellen Investitionen erforderlich sind, wer die Kundenbetreuung übernehmen wird, während eine solche Infrastruktur aufgebaut wird – all das ist unklar. Offensichtlich kann das Verschwinden des Wettbewerbs in diesem Bereich leicht zu einer Stagnation in der Branche führen.
Das bedeutet, dass wir am Ende eine Monopolisierung des UC-Marktes durch staatliche Strukturen erhalten, die die Daten dieser Strukturen überlasten und die gesamte Tätigkeit im Bereich der elektronischen Dokumentenverwaltung verlangsamen, kein Support für Endverbraucher im Betrugsfall bieten und den aktuellen UC-Markt zusammen mit der bestehenden Infrastruktur (etwa 15.000 Arbeitsplätze im gesamten Land) vollständig zerstören.
Wer wird betroffen sein? Betroffen sind durch die Annahme eines solchen Gesetzesentwurfs dieselben, die auch jetzt schon leiden, also Endnutzer und Zertifizierungsstellen.
Und das Geschäft, das auf dem Diebstahl persönlicher Daten floriert, wird weiterhin blühen. Ist es nicht an der Zeit, dass die Strafverfolgungsbehörden und Gesetzgeber ihre Aufmerksamkeit auf dieses Problem lenken und ernsthaft auf die Herausforderungen des digitalen Zeitalters reagieren? Die Möglichkeiten für den Diebstahl persönlicher Daten und deren anschließende kriminelle Nutzung haben in den letzten 10-15 Jahren exponentiell zugenommen. Auch das Ausbildungsniveau der Täter hat sich erhöht. Darauf muss reagiert werden, indem strenge Haftungsmaßnahmen für alle rechtswidrigen Handlungen mit fremden persönlichen Daten sowohl für Unternehmen und deren Mitarbeiter als auch für Privatpersonen eingeführt werden. Um das Problem der kriminellen Nutzung von elektronischen Signaturzertifikaten tatsächlich zu lösen, ist es notwendig, einen Gesetzesentwurf zu erstellen, der auch strafrechtliche Verantwortung für solche Handlungen vorsieht. Und nicht einen Gesetzesentwurf, der einfach nur finanzielle Ströme umverteilt, das Verfahren für den Endnutzer kompliziert und letztendlich niemandem echten Schutz bietet.
Quelle: habr.com
