Was ist passiert?
Das Thema der Betrugsfälle, die mithilfe von elektronischen Signaturzertifikaten begangen werden, hat in letzter Zeit viel öffentliche Aufmerksamkeit erregt. Die bundesweiten Medien haben es sich zur Gewohnheit gemacht, regelmäßig gruselige Geschichten über Fälle des Missbrauchs elektronischer Signaturen zu erzählen. Das häufigste Verbrechen in diesem Bereich ist die Registrierung einer juristischen Person oder eines Einzelunternehmers im Namen eines ahnungslosen Staatsbürgers der Russischen Föderation. Ebenso beliebt ist der Betrug durch Transaktionen zur Eigentumsübertragung von Immobilien (das bedeutet, dass jemand Ihre Wohnung in Ihrem Namen verkauft, ohne dass Sie es wissen).
Doch lassen Sie uns nicht im Beschreiben möglicher illegaler Handlungen mit elektronischen Signaturen schwelgen, um Betrügern keine kreativen Ideen zu liefern. Lassen Sie uns vielmehr versuchen, zu verstehen, warum dieses Problem solche Ausmaße angenommen hat und was wirklich zur Bekämpfung dessen getan werden muss. Dazu müssen wir klar verstehen, was Zertifizierungsstellen sind, wie sie funktionieren und ob sie wirklich so bedrohlich sind, wie sie uns in den Medien und in den Äußerungen interessierter Personen dargestellt werden.
Woher kommen die Signaturen?
Sie sind also ein Benutzer. Sie benötigen ein Zertifikat für die elektronische Signatur. Unabhängig von den Aufgaben und Ihrem Status (Unternehmen, natürliche Person, Selbstständiger) – der Prozess zur Erhaltung des Zertifikats ist standardisiert. Sie wenden sich an ein Zertifizierungszentrum, um ein EP-Zertifikat zu erwerben.
Ein Zertifizierungszentrum ist ein Unternehmen, dem die russische Gesetzgebung eine Reihe strenger Anforderungen auferlegt.
Um das Recht zur Ausstellung einer qualifizierten elektronischen Signatur zu haben, muss das Zertifizierungszentrum ein spezielles Akkreditierungsverfahren beim Ministerium für digitale Entwicklung durchlaufen. Das Akkreditierungsverfahren erfordert die Einhaltung einer Reihe strenger Regeln, die nicht jedes Unternehmen erfüllen kann.
Insbesondere muss das Zertifizierungszentrum über eine Lizenz verfügen, die es ihm erlaubt, kryptografische Mittel sowie Informations- und Telekommunikationssysteme zu entwickeln, herzustellen und zu vertreiben. Diese Lizenz wird vom FSB nach dem Bestehen einer Reihe strenger Prüfungen an den Antragsteller vergeben.
Die Mitarbeiter des Zertifizierungszentrums müssen über einen Hochschulabschluss im Bereich Informationstechnologie oder Informationssicherheit verfügen.
Das Gesetz verpflichtet auch die Zertifizierungsstelle, ihre Verantwortung für "Schäden, die Dritten aufgrund ihres Vertrauens in die Informationen, die im Zertifikat des elektronischen Signaturschlüssels angegeben sind, ausgestellt von dieser Zertifizierungsstelle, oder in den Informationen, die im von dieser Zertifizierungsstelle geführten Zertifikatsregister enthalten sind", in Höhe von zumindest 30 Millionen Rubel zu versichern.
Wie Sie sehen, ist nicht alles so einfach.
In der gesamten Republik gibt es derzeit etwa 500 Zertifizierungsstellen, die das Recht haben, einen УКЭП (Zertifikat für qualifizierte elektronische Signatur) auszustellen. Dazu gehören nicht nur private Zertifizierungsstellen, sondern auch solche, die bei verschiedenen staatlichen Einrichtungen (einschließlich der FNS, PRF usw.), Banken und Handelsplattformen, einschließlich staatlicher Plattformen, tätig sind.
Das Zertifikat der elektronischen Signatur wird mit Hilfe von vom FSB der Russischen Föderation zertifizierten Verschlüsselungsalgorithmen erstellt. Es ermöglicht juristischen und natürlichen Personen den Austausch von rechtlich relevanten Dokumenten in elektronischer Form. Nach offiziellen Angaben der Zertifizierungsstelle werden die meisten (95 %) der КЭП juristischen Personen ausgestellt, der Rest an natürlichen Personen.
Nachdem Sie sich an die Zertifizierungsstelle gewandt haben, passiert Folgendes:
- Die CA überprüft die Identität der Person, die ein Zertifikat für eine elektronische Signatur beantragt hat;
Erst nach Bestätigung der Identität und Prüfung aller Dokumente stellt die CA das Zertifikat aus und gibt es aus, das die Daten des Zertifikatsinhabers und seinen öffentlichen Überprüfungsschlüssel enthält; - Die CA verwaltet den Lebenszyklus des Zertifikats: sie stellt es aus, setzt es auf Eis (auch auf Wunsch des Inhabers), erneuert es und beendet seine Gültigkeit.
- Eine weitere Funktion der CA ist die Servicefunktion. Es reicht nicht aus, nur ein Zertifikat auszustellen. Benutzer benötigen regelmäßig verschiedene Beratungen zu den Verfahren der Ausstellung und Nutzung von Signaturen, Beratungen zur Anwendung und Auswahl des Zertifikattyps. Große CAs, wie die CA der "Delovaya Set"-Gesellschaft, bieten technische Unterstützung, entwickeln verschiedene Software, verbessern Geschäftsprozesse, überwachen Änderungen in den Anwendungsbereichen von Zertifikaten usw. Im Wettbewerb miteinander arbeiten die CAs an der Qualität ihrer IT-Dienstleistungen und entwickeln diesen Bereich.
Der Kosakenmann ist geschickt!
Betrachten wir Punkt 1 des oben genannten Algorithmus zur Erlangung eines elektronischen Zertifikats. Was bedeutet es, die Identität einer Person, die ein Zertifikat beantragt, zu bestätigen? Das bedeutet, dass derjenige, auf dessen Namen das Zertifikat ausgestellt wird, persönlich entweder im Büro der Zertifizierungsstelle oder an einem Ausgabepunkt, der eine Partnerschaftsvereinbarung mit der Zertifizierungsstelle hat, erscheinen und dort die Originale seiner Dokumente vorlegen muss. Insbesondere den Reisepass eines russischen Staatsbürgers. In einigen Fällen, insbesondere wenn es um Unterschriften für juristische Personen und Einzelunternehmer geht, ist das Verfahren zur Identitätsbestätigung noch komplizierter und erfordert die Vorlage zusätzlicher Dokumente.
Gerade in diesem Schritt, also zu Beginn, bevor es überhaupt zur Ausstellung des Zertifikats kommt, liegt das größte Problem. Und das Schlüsselwort hier ist: "Pass".
Der Diebstahl personenbezogener Daten im Land hat inzwischen industrielle Ausmaße angenommen. Es gibt Internetressourcen, wo Sie für wenig Geld oder sogar kostenlos Kopien von gültigen Pässen russischer Staatsbürger erhalten können. In unserem Land, das vom post-sowjetischen Erbe mit dem Motto "Dokumente vorzeigen" belastet ist, können Passkopien überall gesammelt werden – nicht nur in Banken oder anderen Finanzinstitutionen, sondern auch in Hotels, Schulen, Universitäten, an Bahn- und Flugschaltern, in Kinderzentren und in Servicepunkten für Mobilfunkanbieter – überall dort, wo die Vorlage eines Passes für Dienstleistungen erforderlich ist, also praktisch überall. Mit der Entwicklung digitaler Technologien ist dieser breite Zugang zu personenbezogenen Daten von Kriminellen genutzt worden.
Auch sehr verbreitet sind "Dienste" zum Diebstahl personenbezogener Daten bestimmter Personen.
Darüber hinaus gibt es eine wahre Armee sogenannter „Nominalisten“ – meist sehr junge, oder sehr arme und wenig gebildete Menschen, oder einfach Gescheiterte, denen die Täter eine bescheidene Belohnung versprechen, wenn sie mit ihrem Reisepass ins Servicezentrum oder an einen Abholort kommen und dort eine Unterschrift auf ihren Namen, beispielsweise als Geschäftsführer einer Firma, beantragen. Man muss nicht erwähnen, dass eine solche Person danach keinerlei Beziehung zur Tätigkeit der Firma hat und der Ermittlungsbehörde keine echte Hilfe leisten kann, wenn der Betrug aufgedeckt wird.
Also, der Scan des Reisepasses ist kein Problem. Aber für die Beglaubigung wird das Originaldokument benötigt, wie kann das sein, wird der aufmerksame Leser fragen? Um dieses Problem zu umgehen, gibt es unlautere Abholorte. Trotz des strengen Auswahlverfahrens erhalten gelegentlich kriminelle Personen den Status eines Abholortes und beginnen dann, rechtswidrige Handlungen mit den personenbezogenen Daten der Bürger zu begehen.
Diese beiden Faktoren zusammen bringen uns all die Probleme mit der Kriminalisierung der Nutzung elektronischer Signaturen, die wir jetzt haben.
Allein ist man kein Krieger?
Diese, ohne Übertreibung, ganze Armee von Betrügern wird derzeit nur von den Zertifizierungsstellen gefiltert. In jeder Zertifizierungsstelle gibt es eigene Sicherheitsdienste. Alle, die eine Unterschrift anfordern, werden während des Identifizierungsprozesses gründlich überprüft. Auch alle, die als Ausgabestelle für eine bestimmte Zertifizierungsstelle tätig werden möchten, werden sowohl bei der Vertragsunterzeichnung als auch später im Rahmen der geschäftlichen Zusammenarbeit sorgfältig geprüft.
Anders kann es nicht sein, denn unredliche Zertifizierung droht der Zertifizierungsstelle mit Schließung – das Gesetz in diesem Bereich ist streng.
Aber das Unfassbare zu erfassen ist unmöglich, und einige unredliche Ausgabestellen „sickern“ dennoch als Partner zu den Zertifizierungsstellen durch. Und die „Nominelle“ könnte sogar keinen Grund finden, die Ausstellung eines Zertifikats abzulehnen – schließlich wendet sie sich vollkommen legal an die Zertifizierungsstelle.
Wenn eine Betrugsaffäre mit einer Unterschrift im Namen einer bestimmten Person aufgedeckt wird, kann nur das Zertifizierungszentrum das Problem lösen. In diesem Fall widerruft das Zertifizierungszentrum das Unterschriftzertifikat, führt eine interne Untersuchung durch, verfolgt die gesamte Kette der Zertifikatsausstellung und kann dem Gericht die erforderlichen Dokumente zu den betrügerischen Handlungen bei der Ausstellung des elektronischen Signaturschlüssels zur Verfügung stellen. Nur Materialien des Zertifizierungszentrums helfen im Gericht, den Fall zugunsten der tatsächlich betroffenen Partei zu entscheiden: der Person, in deren Namen fraudulös die Unterschrift ausgestellt wurde.
Die allgemeine digitale Unkenntnis ist auch hier nicht im Sinne der Betroffenen. Nicht jeder geht bis zum Ende, um seine Interessen zu verteidigen. Dabei müssen rechtswidrige Handlungen mit der elektronischen Signatur unbedingt gerichtlich angefochten werden. Und in diesem Punkt sind die Zertifizierungszentren eine wichtige Unterstützung.
Alle Zertifizierungszentren auslöschen?
In unserem Land wurde beschlossen, Änderungen an der Arbeitsweise der Zertifizierungszentren und an den Anforderungen an sie vorzunehmen. Eine Gruppe von Abgeordneten und Senatoren hat einen entsprechenden Gesetzentwurf entwickelt, der bereits am 7. November 2019 von der Staatsduma im ersten Lesung angenommen wurde.
Das Dokument sieht eine umfassende Reform des Systems für elektronische Signaturzertifikate vor. Es sieht insbesondere vor, dass juristische Personen und Einzelunternehmer (IE) die qualifizierte elektronische Signatur (QES) nur bei der FNS erhalten können, während Finanzorganisationen diese beim CB erhalten. Die unabhängigen Zertifizierungsstellen (ZÜ), die derzeit elektronische Signaturen ausstellen, können diese künftig nur an natürliche Personen ausgeben.
Die Anforderungen an solche ZÜ sollen dabei deutlich verschärft werden. Die Mindesthöhe des Eigenkapitals einer akkreditierten Zertifizierungsstelle muss von 7 Millionen RUB auf 1 Milliarde RUB erhöht werden, und die Mindesthöhe der finanziellen Absicherung soll von 30 Millionen RUB auf 200 Millionen RUB steigen. Besitzt eine Zertifizierungsstelle Niederlassungen in mindestens zwei Dritteln der russischen Regionen, kann die Mindesthöhe des Eigenkapitals auf 500 Millionen RUB gesenkt werden.
Die Akkreditierungsdauer für Zertifizierungsstellen wird von fünf auf drei Jahre verkürzt. Bei technischen Verstößen gegen die Arbeit der Zertifizierungsstellen wird eine administrative Verantwortung eingeführt.
All dies soll die Anzahl der Betrügereien mit elektronischen Signaturen verringern, glauben die Autoren des Gesetzentwurfs.
Was ist das Ergebnis?
Wie leicht zu erkennen ist, geht der neue Gesetzentwurf in keiner Weise auf das Problem der kriminellen Nutzung von Dokumenten ruft der Bürger und dem Diebstahl personenbezogener Daten ein. Es spielt keine Rolle, wer das Zertifikat ausstellt, ob es sich um eine Zertifizierungsstelle oder das Finanzamt handelt, die Identität des Inhabers der Signatur muss weiterhin bestätigt werden, und der Gesetzentwurf sieht keine Neuerungen in dieser Hinsicht vor. Wenn eine unseriöse Ausgabestelle nach kriminellen Schemen für eine reguläre Zertifizierungsstelle funktioniert hat, was hindert sie daran, dasselbe für eine staatliche zu tun?
In der aktuellen Version des Gesetzentwurfs ist nicht festgelegt, wer und welche Verantwortung für die Ausgabe der elektronischen Signatur tragen wird, wenn diese Signatur in betrügerischen Handlungen verwendet wurde. Darüber hinaus gibt es im Strafgesetzbuch nicht einmal einen passenden Artikel, der es ermöglichen würde, strafrechtliche Verantwortung für die Ausstellung eines elektronischen Signaturzertifikats auf der Grundlage gestohlener personenbezogener Daten zu übernehmen.
Ein separates Problem ist die Überlastung der staatlichen Zertifizierungsstellen, die zwangsläufig mit den neuen Regelungen auftreten wird und die Bereitstellung von Dienstleistungen für Bürger und juristische Personen sehr langsam und kompliziert machen wird.
Die Servicefunktion der Zertifizierungsstellen wird im Gesetzentwurf überhaupt nicht berücksichtigt. Werden bei den vorgeschlagenen staatlichen Großzertifizierungsstellen Kundenservicedienste eingerichtet, wie lange dauert das und welche finanziellen Investitionen sind erforderlich? Wer wird den Kundenservice übernehmen, solange eine solche Infrastruktur aufgebaut wird – das bleibt unklar. Es ist offensichtlich, dass das Verschwinden des Wettbewerbs in diesem Bereich leicht zu einer Stagnation der Branche führen kann.
Das heißt, letztlich erleben wir eine Monopolisierung des Marktes für Zertifizierungsstellen durch staatliche Strukturen, eine Überlastung dieser Strukturen, die die gesamte Tätigkeit im elektronischen Dokumentenverkehr verlangsamt, fehlende Unterstützung für Endbenutzer im Falle von Betrug und die vollständige Zerschlagung des aktuellen Marktes für Zertifizierungsstellen sowie der bestehenden Infrastruktur (das sind etwa 15.000 Arbeitsplätze im ganzen Land).
Wer wird darunter leiden? Diejenigen, die unter der Annahme eines solchen Gesetzes leiden werden, sind die gleichen, die es jetzt tun, nämlich die Endbenutzer und die Zertifizierungsstellen.
Ein Geschäft, das auf Identitätsdiebstahl gedeiht, wird weiterhin blühen. Ist es nicht an der Zeit, dass die Strafverfolgungsbehörden und die Gesetzgeber auf dieses Problem aufmerksam werden und ernsthaft auf die Herausforderungen der digitalen Ära reagieren? Die Möglichkeiten für den Diebstahl persönlicher Daten und deren anschließende kriminelle Nutzung haben in den letzten 10-15 Jahren erheblich zugenommen. Auch das Niveau der Täter hat sich erhöht. Darauf muss reagiert werden, indem strenge Maßnahmen für jegliche rechtswidrigen Handlungen mit fremden persönlichen Daten sowohl für Unternehmen und deren Mitarbeiter als auch für Privatpersonen eingeführt werden. Um das Problem des kriminellen Missbrauchs von elektronischen Signaturzertifikaten tatsächlich zu lösen, ist es notwendig, ein Gesetzesvorhaben zu schaffen, das Verantwortung, einschließlich strafrechtlicher, für solche Handlungen vorsieht. Dabei sollte es sich nicht um ein Gesetz handeln, das lediglich finanzielle Ströme umverteilt, die Prozedur für den Endnutzer kompliziert und letztendlich niemanden schützt.
Quelle: habr.com
