e-rechnungsservice der post

[jutta]

hat hier jemand schon erfahrungen mit dem e-rechnungsservice der post? welche?

http://www.online-post.at/versenden_e-rechnung-mail.php

mich wuerde vor allem interessieren, wie "idiotensicher" es ist, welche fehler/probleme/verwirrungen auftreten, wenn durchschnittlich begabtes und nicht eingeschultes bueropersonal damit arbeiten muss.

ausserdem auch ein paar vertragliche details, die ich aus der produktbeschreibung nicht rauslesen konnte: wie lang ist die mindestvertragsdauer? was passiert nach beendigung des vertrags? bekomme ich dann alle daten, die ich fuer eine ordnungsgemaesste archivierung der e-rechnungen benoetige?

//ps: eventuell auch eine abschaetzung, bis zu welchem monatlichen rechnungsvolumen der e-rechnungsdienst der post guenstiger kommt, als ein eigenes zertifikat samt software und einschulung.

[local.host]

da die digitale Signatur bis in ca. 1 Jahr eh fallen muss (Umsetzung einer EU Richtlinie) würde ich mir die Arbeit eher nicht mehr antun.

[jutta]

die option besteht so nicht. ein wichtiger kunde wuenscht sich die gesamte korrespondenz elektronisch. (ein paar andere haben den wunsch auch schon geaeussert, aber nicht so entschieden.) es geht also nicht um das "ob", sondern nur um das "wie".

wenn das mit dem ende des signaturzwanges schon fix ist, spricht das natuerlich fuer die post als uebergangsloesung.

[al]

Willst Du Dich wirklich
- auf Transport Layer Security
- auf die Security der Post
verlassen?

Hand aufs Herz: würdest Du eine MITM Attacke auf das SMTP mitkriegen?

Wenn man eine fortgeschrittene Signatur wirklich sauber durchführen will, bleibt einem IMO nix anderes übrig, als in den sauren Apfel zu beissen und sich Acrobat+das Signatur-Zeugs anzutun...

/al

[jutta]

> Hand aufs Herz: würdest Du eine MITM Attacke auf das SMTP mitkriegen?

ziemlich sicher dann, wenn ein klient sich ueber eine rechnung aufregt, die wir ihm nicht geschickt haben. oder wenn wir ihn mahnen und er erzaehlt, dass er das geld schon ueberwiesen hat.

ansonsten: die gefahr, dass eine rechnung auf dem postweg oder im haus verloren geht und eine kopie geschickt werden muss, ist 1000mal groesser. trotzdem vertrauen wir der post den groessten teil unserer korrespondenz an und meistens geht das auch gut. (irrlaeufer bei papierpost sind zu 99% im sekretariat verschuldet, sei es hier oder sei es am anderen ende.)

[local.host]

die option besteht so nicht.

diese Option gibt es immer-

ein wichtiger kunde wuenscht sich die gesamte korrespondenz elektronisch.

hamma nicht, gibt's nicht und wird es nie geben. Punkt, Ende, Aus die Maus.
Insbesondere da das Ende der Signaturpflicht absehbar ist kann kein Kunde wichtig genug sein um mich so weit runter zu bücken.

(ein paar andere haben den wunsch auch schon geaeussert, aber nicht so entschieden.) es geht also nicht um das "ob", sondern nur um das "wie".

sauber (HA!) ist das IMHO nur wenn das inhouse erledigt wird. Wenn du das outsourced dann müsstest du mir mal *schlüssig* den Datenschutz von Anfang bis Ende darlegen. Und nein, ich erlaube dir nicht meine Daten samt Leistungskatalog (steht ja in den Rechnungen) an einen Dritten ohne mein Einverständnis weiter zu geben. Insb. in deiner Branche wäre das wohl das KO Kriterium beim Auslagern dieser Funktion.

wenn das mit dem ende des signaturzwanges schon fix ist, spricht das natuerlich fuer die post als uebergangsloesung.

oder man lasst den Chef mal die Eier in seiner Hose suchen.

[jutta]

> kann kein Kunde wichtig genug sein um mich so weit runter zu bücken.

da gehts nicht um kunden, die nach abzug der spesen 5 euro im jahr abwerfen. details werde ich hier aber nicht posten.

>>(ein paar andere haben den wunsch auch schon geaeussert, aber nicht so entschieden.) es geht also nicht um das "ob", sondern nur um das "wie".[/quote]

> sauber (HA!) ist das IMHO nur wenn das inhouse erledigt wird. Wenn du das outsourced dann müsstest du mir mal *schlüssig* den Datenschutz von Anfang bis Ende darlegen. Und nein, ich erlaube dir nicht meine Daten samt Leistungskatalog (steht ja in den Rechnungen) an einen Dritten ohne mein Einverständnis weiter zu geben. Insb. in deiner Branche wäre das wohl das KO Kriterium beim Auslagern dieser Funktion.

ok, dann bitte ein paar hints zum "inhouse" erledigen. bisher fand ich dazu auf der wko-website, dass man sich an "einen zertifizierungsanbieter" wenden soll und eine "passende" software installieren muss. die gesetzlichen grundlagen fuer die zertifizierungsanbieter habe ich auch schon gefunden. aber ich will ja keine zertifizierungsstelle aufmachen, sondern nur ein zertifikat und die anleitung, wie das dann weiter funktionert

@outsourcen: in die programe reinschauen kann ich auch nicht, wenns inhouse passiert. und daten werden nach meinem derzeitigen wissensstand nicht mehr weitergegeben als bei jedem e-mail. ausserdem erfolgt der elektronische rechnungsversand natuerlich nur auf expliziten wunsch des rechnungsempfaengers.

[al]

und daten werden nach meinem derzeitigen wissensstand nicht mehr weitergegeben als bei jedem e-mail. ausserdem erfolgt der elektronische rechnungsversand natuerlich nur auf expliziten wunsch des rechnungsempfaengers.

Entschuldige, aber Du gibst nicht weniger als eine Pauschalvollmacht: $DIENSTLEISTER darf in meinem Namen $DOKUMENT zeichnen.

Und als Übertragungsmedium wird das unsicherste verwendet, das es im Internet so gibt, nämlich E-Mail.

Simples Szenario: $HACKER macht MITM und erspäht Deine Auth-Daten bei $DIENSTLEISTER und schickt dann an $DIENSTLEISTER einfach Rechnungen auf sein Konto. Oder ändert bei Euren Rechnungen einfach nur mal die Kontonummer auf die seinige.

Natürlich fällt das auf Umwegen irgendwann irgendwie auf... Aber findest Du dann den Schuldigen und kannst ihn zur Rechenschaft ziehen? Und wieviel an Geld ist in der Zwischenzeit weg?

Transportsicherheit löst meisten keine Probleme, heutzutage... sondern wiegt nur jemanden in falscher Sicherheit...

Und zu dem "in Programme hineinschauen"... drum nimmt man dafür ja gerne Open Source Software... und drum ist es ja so böse, dass ein Gesetz einen zwingt, closed source zu verwenden/$IRGENDWEM zu trauen.

/al

[al]

aber ich will ja keine zertifizierungsstelle aufmachen, sondern nur ein zertifikat und die anleitung, wie das dann weiter funktionert

http://www.buergerkarte.at/pdf-signatur.de.php

sollte es ziemlich erklären. Und ja, bei der WKO gibt's auch irgendeine Stelle, die dort "Spezialisten" sind.

/al

[lordpeng]

IMHO ist jede auslagerung von zu signierenden dokumenten fürn a.... wenn dann will ich meine sachen selber unterschreiben und das ganz sicher nicht mit einer signatur von A-Trust ...

[jutta]

bei allem was ich bisher zur buergerkarte fand, stand, dass sie fuer bestimmte *personen* gelten. das will ich in der fa ja gerade nicht.

und zu den uebrigens informationen auf der seite:

Die E-Mail-Signatur beruht auf der RSA(?)-Verschlüsselung und funktioniert daher nur mit einer e-card G3(?).

hihi. e-mails wurden schon zu zeiten signiert, als in oesterreich von einer e-card noch keine rede war. und es geht selbstverstaendlich auch jetzt ohne e-card. (mit e-rechnung und den dafuer geltenden vorschriften hat das aber wieder nichts oder nur sehr am rande zu tun.)

//edit ps: ansonsten: transport per e-mail ist sowieso unsicher. [1] aber das kann ich nicht aendern und darum geht es hier auch nicht. es geht nur darum, eine loesung zu finden, die gesetzeskonform ist und mit wenig aufwand realisierbar. (umso mehr, als das ganze ja offenbar in einem jahr wieder unnoetig sein duerfte.)

[1] transporte auf papier kommen auch nicht immer unversehrt an. ich hab in meinem leben schon oft genug poststuecke urgiert, die auf dem weg verloren gegangen sind (auch einschreiber). ich hab auch schon offene poststuecke erhalten, von der zensurbehoerde oder vom zoll wieder zugeklebte, welche, aus denen teile gefehlt haben und welche die fuer andere leute bestimmt waren. das problem ist bei papier-post also nicht grundlegend anders als bei e-mail, wir sind nur schon ewig damit vertraut.

[al]

bei allem was ich bisher zur buergerkarte fand, stand, dass sie fuer bestimmte *personen* gelten. das will ich in der fa ja gerade nicht.

RA verwenden "das Zeugs" (ohne Spezifika zu speziellen Details/Ausprägungen zu kennen) auch irgendwie...

hihi. e-mails wurden schon zu zeiten signiert, als in oesterreich von einer e-card noch keine rede war.

Natürlich. Aber lt. unser aller oberster security-dingens Prof. Posch ist das nur sicher, wenn das Zertifikat auf einem externen Ding (Karte) gespeichert ist. Und drum das ganze Qualifiziert-Zertifikats-Dingens-und-so Konstrukt. Aber - as said - das krankt am grundlegenden Grund-Ding, der Root-CA (bzw. dem Umgang damit).

aber das kann ich nicht aendern und darum geht es hier auch nicht.

Ich wollte auf die Perversität hinaus, TLS zu verwenden, um letztlich Object-Security zu bekommen.

es geht nur darum, eine loesung zu finden, die gesetzeskonform ist und mit wenig aufwand realisierbar.

Auch klar. Drum der Vorschlag: mache es doch genauso, wie alle RA es auch machen...

transporte auf papier kommen auch nicht immer unversehrt an.

Schon. Aber sie sind nicht so schön/einfach fälschbar wie der beschriebene Weg...

/al

[jutta]

> Aber sie sind nicht so schön/einfach fälschbar wie der beschriebene Weg...

soll ich dir einen brief schicken, wo dein name und deine adresse im briefkopf und als absender auf dem kuvert steht? seit es textverarbeitungssysteme gibt, geht das ruckzuck und sieht verblueffend echt aus. und ich koennte mir sogar die muehe machen, so spezielle kuverts zu verwenden, wie du sie verwendest.

da rechnungen auf papier nicht unterschrieben sein muessen, gibts bei rechnungen nicht einmal das problem, dass irgendjemand stutzig werden koennte, wenn die unterschrift ploetzlich anders aussieht.

aber back to topic: mir gehts nur um eine loesung, mit der die kunden zufrieden sind und das finanzamt auch.

[al]

Es geht um die Unterschrift... aber das weißt Du eh selber...

Und warum Rechnungen in Papier nicht unterschrieben, elektronisch aber fortgeschritten signiert sein müssen, weiß nur unser Gesetzgeber... Dass das Finanzamt auch bei der Anerkennung der Vorsteuer bei Papierrechnungen happig sein kann (wenn sie den Verdacht haben, dass Du Dir das selbst ausgedruckt hast), wirst Du vermutlich auch wissen. Resp. können sie's heutzutage über die UID eh auf den Groschen^WCent prüfen...

mir gehts nur um eine loesung, mit der die kunden zufrieden sind und das finanzamt auch.

Klar; Sicherheitsbedenken hintangestellt, ist es eine Abwägung der Kosten Acrobat + Cardreader + "Bürgerkarte" + "die Installation machst eh Du" gegen die Kosten der Post...

/al

[local.host]

IMHO ist jede auslagerung von zu signierenden dokumenten fürn a.... wenn dann will ich meine sachen selber unterschreiben und das ganz sicher nicht mit einer signatur von A-Trust ...

mit was will man sonst eine "fortgeschrittene Signatur" (oder wie das exaktement jetzt heisst) hinbekommen? PGP ist dafür leider nicht erlaubt.

warum die Gegenstelle digital signierte Dokumente haben WILL ist mir schleierhaft ... das Drumherum wäre mir zu aufwändig.