Elektronische Steuererklärung abgeschaltet

Nach Angaben der Stiftung Warentest weist das staatlich empfohlene Steuererklärungs-Programm "Elster" erhebliche Sicherheitsmängel auf.

In Pocket speichern vorlesen Druckansicht 38 Kommentare lesen
Lesezeit: 2 Min.
Von
  • Patrick Brauch

Nach dem Bekanntwerden von Sicherheitsmängeln bei der elektronischen Steuererklärungssoftware ELSTER haben die Finanzministerien reagiert und die Steuererklärung per Internet vorerst abgeschaltet. Nach Angaben der Stiftung Warentest weist das Programm "erhebliche Sicherheitsmängel" auf.

Ein Test der Software ergab laut Finanztest, dass es Angreifern leicht möglich ist, an sensitive Daten aus übermittelten Steuererklärungen heranzukommen. Mehrere Faktoren spielten bei dieser Bewertung eine Rolle. Einerseits würden nicht alle Daten verschlüsselt versendet, was Angreifern ermöglicht, über einen so genannte "Man-in-the-Middle-Attack" die übermittelten Daten abzufangen. Weiterhin kritisiert Finanztest, dass die Software keinerlei Zertifikate oder Signaturen einsetzt. "Der Anwender hat keine Möglichkeit, zu überprüfen, ob es sich bei der Software tatsächlich um die Original-Version handelt", sagte Michael Nischalke, Projektleiter bei Stiftung Warentest gegenüber heise online. Da die IP-Adressen und Kennungen für die Finanzamts-Server dem Programm im Klartext vorliegen, könnten Datenspione eine modifizierte Version stricken, die die Steuererklärung an einen anderen Server übermittelt.

Zwar sind bislang noch keine Fälle bekannt, in denen diese Sicherheitsmängel ausgenutzt wurden, jedoch stimmten die Finanzministerien mit Finanztest überein, dass solche potenziellen Lücken für eine Software dieser Art nicht tragbar seien. So heißt etwa beim Finanzministerium Thüringen: "Die von der Stiftung Warentest gemachten Beobachtungen entsprechen den Tatsachen."

Momentan wird an einer neuen Version von Elster gearbeitet, die die Mängel beheben und in Kürze zum Download zur Verfügung stehen soll. Bis dahin werden die Server für Steuererklärungen über das Internet abgeschaltet bleiben. (pab)