Wenn es um Registrierkassensoftware in Österreich geht wird wahrscheinlich nichts öfter gesucht als „Manipulationssicherheit“.

Was ist das, worum geht es und welche Software bietet mir das? Ist OpenSource überhaupt erlaubt?

Also eines voraus: Wenn eine Software nicht manipuliert, dann ist es eigentlich nur mit einer OpenSource Software einwandfrei und schnell nachzuweisen. Punkt.

Thema Open Source

Open Source hat keinen Vor- oder Nachteil, wenn es um Manipulationssicherheit geht. Open Source bedeutet nicht, das die Daten ganz offen und für jedeN einfach zu manipulieren sind. Was bedeutet open Source?

Als Open Source (aus englisch open source, wörtlich offene Quelle) oder quelloffen (zugehöriges Hauptwort: Quelloffenheit) wird Software bezeichnet, deren Quelltext öffentlich und von Dritten eingesehen werden kann. Hier ist dann auch noch kurz auf die GNU/LGPL V3 hinzuweisen, auf deren Basis auch die QRK Registrierkasse lizenziert ist.

[Link]

Der Quelltext ist das Programm an sich. Verschlüsselte Daten sind (auch) bei open source verschlüsselte Daten.

Auch das offizielle Projekt der A-Sit (offizieller geht es rund um die Registrierkassa in Österreich nicht) ist open source… [Link]

Thema Manipulationssicherheit

Von Seiten QRK Registrierkasse: Was bedeutet „Manipulationssicherheit“?

In erster Linie wohl das die Software gewisse Sachen nicht darf.
Wie zB. Rechnungen nachträglich verändern, Rechnungen löschen und so weiter.

Weiters muss alles Dokumentiert werden, für Österreich wird hier das DEP (DatenExportProtokoll) verwendet.
Dieses hat ein bestimmtes Format und MUSS mind. alle 3 Monate nicht veränderbar gespeichert werden.
Hierzu reicht wohl ein PDF nicht aus.
Die Firma A-Trust [1] bietet hierfür einen eTresor [2] an.
Hier werden alle Protokoll Versionen bis zum Ende der Aufbewahrungsfrist gespeichert.

Über die von Seiten QRK gewählte Methode zur sicheren Speicherung (=sehr hohe Manipulationssicherheit) werden wir bald informieren.

Unserer Meinung nach ist diese Sicherheit nur über ein mehrstufiges, an verschiedenen Orten gespeichertes Backup – DEP Protokol etc. machbar.

[1] A-Trust stellt zB die Bürgercard für das Finanzamt zur Verfügung

[2] https://www.a-trust.at/ATrust/Produkte/eTresor.aspx

Wie müsste ein Hack aussehen:

Es müssen ja nicht nur die Daten verändert werden, was wohl die leichteste Übung ist sondern auch das DEP, welches aber unveränderbar im Tresor liegt.
Also müsste auch in unseren Fall der A-Trust Server gehackt werden um da die gespeicherten DEPs tauschen zu können.
Weiters wird ja auch im DEP die von der Security Karte (auch von A-Trust) verschlüsselte Version aller ausgestellten und verschachtelten BelegsSignaturen gespeichert.

Wir meinen, das ist ziemlich sicher! 😉

Welche Registrierkassensoftware macht das derzeit?

Da wir die internen Abläufe bei „nicht open source“ Software nicht kennen, und sich auch die Firmen über diese Mechanismen nicht öffentlich auslassen, kennen wir derzeit keine Software, die zu 100% entspricht! (Stand 05.09.2016)