Hintergrund zur Notwendigkeit der Verwendung von Java bzw. Applets im ElsterOnline-Portal
Für die authentifizierte Abgabe von Steueranmeldungen bzw. Steuererklärungen stellt das ElsterOnline-Portal dem Bürger als Authentifizierungsmittel ELSTER-Basis, ELSTER-Spezial bzw. ELSTER-Plus zur Auswahl. Für den Zugriff auf diese Authentifizierungsmittel (Software-Zertifikat bei ELSTER-Basis, Sicherheitsstick bei ELSTER-Spezial und Signaturkarte bei ELSTER-Plus) müssen auf dem Rechner des Bürgers aktive Inhalte ausgeführt werden. Um die Ausführung dieser Inhalte auf möglichst vielen Plattformen unabhängig vom installierten Betriebssystem bzw. vom verwendeten Browser zu unterstützen, kommen dabei Applets zum Einsatz, zu deren Ausführung clientseitig eine JAVA-Laufzeitumgebung installiert sein muss.
Da häufig Schwachstellen in der JAVA-Laufzeitumgebung bekannt werden, werden die Nutzer darauf hingewiesen, die Sicherheitsupdates der JAVA-Laufzeitumgebung zu installieren und die aktuellen Sicherheitshinweise zu beachten, wie sie beispielsweise auf der Internetseite des Bundesamtes für Sicherheit in der Informationstechnik (BSI) unter https://www.bsi-fuer-buerger.de zu finden sind.
Die Notwendigkeit, aktuelle Sicherheitsupdates zu installieren, um eine möglichst sichere Umgebung für die Nutzung des Internets zu schaffen, umfasst neben der JAVA-Laufzeitumgebung auch den verwendeten Browser. Um die Benutzung des ElsterOnline-Portals für den Bürger dennoch möglichst sicher zu machen, kommen verschiedene Sicherheitsverfahren zur Gewährleistung von Vertraulichkeit, Integrität und Authentizität zum Einsatz, unter anderem asymmetrische Verschlüsselungsverfahren. Die sicherheitstechnischen Eigenschaften des ElsterOnline-Portals wurden im Jahre 2004 zusammen mit einem namhaften auf IT-Sicherheitstechnik spezialisierten Beratungsunternehmen konzipiert und umgesetzt. Dabei wurden so viele Aspekte wie möglich, insbesondere auch die Verfügbarkeit auf verschiedenen Betriebssystemen berücksichtigt. Seither wurden die Sicherheitsfunktionen laufend an neue Entwicklungen angepasst und verbessert. Sicherheitsprüfungen des ElsterOnline-Portals lässt die Finanzverwaltung regelmäßig von unabhängigen externen IT-Sicherheitsexperten durchführen. Über die zahlreichen eingesetzten Sicherheitsverfahren kann sich der Bürger in der Hilfe von ElsterOnline unter https://www.elsteronline.de/hilfe/eop/public/help.html informieren. Im wichtigen Hinweis auf der Startseite des ElsterOnline-Portals wird auf die Sicherheitshinweise des BSI verwiesen. Dort finden Bürger dann eine Vielzahl an wertvollen Informationen zur Sicherheit im Internet, z. B. das Dokument „PCs unter Microsoft Windows für Privatanwender“, das folgenden Hinweis zur JAVA-Laufzeitumgebung enthält: „JAVA-Laufzeitumgebung: Einige Anwendungen benötigen die Java-Laufzeitumgebung (http://java.com/de). Um die Angriffsfläche Ihres Systems zu reduzieren, sollten Sie Java jedoch nur dann installieren, wenn Ihre Software tatsächlich diese Laufzeitumgebung benötigt. Wenn Sie Java installiert haben, achten Sie auch hier auf die Aktivierung der automatischen Updatefunktion. Empfehlenswert ist die Änderung der Standardeinstellung auf eine tägliche Überprüfung.“
Das ElsterOnline-Portal bietet den Bürgern ein sicheres und vertrauliches System für die Erledigung ihrer Steuerbelange. Ein einfacher Zugangsschutz über Benutzername und Passwort, wie er sonst im Internet verwendet wird, sichert den Schutzbedarf persönlicher Steuerdaten nicht ausreichen ab. Auf die generellen Gefahren bei der Nutzung des Internet wird hingewiesen, für die Absicherung des eigenen Rechners gegen diese Gefahren ist der Bürger selbst verantwortlich.
Hinweis zur Unterstützung von OpenJDK im ElsterOnline-Portal
Die Tatsache, dass im Moment vom ElsterOnline-Portal ausschließlich die JAVA-Laufzeitumgebung von Oracle und nicht das OpenJDK unterstützt wird, ist weniger Ausdruck des Versuchs, zur Nutzung des ElsterOnline-Portals eine bestimmte Konfiguration vorzuschreiben, sondern vielmehr der Tatsache geschuldet, dass das OpenJDK einen Fehler in der Behandlung von Cookies in Applets aufweist. Zu diesem Fehler findet sich unter http://icedtea.classpath.org/bugzilla/show_bug.cgi?id=588 bereits ein offizieller Fehlereintrag. Obwohl es das OpenJDK nur für Linux-Betriebssysteme gibt und die Anzahl derer, die ElsterOnline mit Linux nutzen, nur einen sehr geringen Anteil an der Anzahl der gesamten Nutzer von ElsterOnline ausmacht, wird das Thema „Unterstützung von OpenJDK“ von ELSTER weiterhin verfolgt, um Bürgern, die das ElsterOnline-Portal unter Linux nutzen möchten, eine Alternative zur JAVA-Laufzeitumgebung von Oracle anbieten zu können.
ElsterOnline und MacOS
Seit Oktober 2012 wird bei MacOS X 10.7 und 10.8 im Rahmen der Aktualisierung „Java für OS X 2012-006“ von Apple das Java PlugIn deaktiviert. Grund dafür ist, dass Apple die Java Software nicht mehr mit seinem Betriebssystem ausliefert. In der Folge müssen MacOS-Benutzer, genauso wie die von Microsoft, das Java PlugIn von Oracle manuell herunterladen und installieren.
Es ist möglich diese Deaktivierung des Java PlugIns durch das MacOS-Update wieder rückgängig zu machen, um Java 6 unter MacOS wieder zu aktivieren.
Allerdings ist das viel umständlicher als einfach Java 7 für MacOS bei Oracle herunterzuladen und zu installieren.
Das ElsterOnline-Portal unterstützt momentan für MacOS 10.7 und MacOS 10.8 Java 6 und Java 7.
ElsterOnline, MacOS und Sicherheitssticks
Bisher konnte der Sicherheitsstick GuD-StarSign USB Token unter MacOS X nur im 32-Bit-Modus betrieben werden. Grund hierfür ist, dass es keinen nativen 64-Bit Treiber des Sicherheitssticks GuD StarSign USB Token für MacOS X gibt. Er wurde zwar mehrfach angefragt, aber vom Hersteller des Sicherheitssticks GuD-StarSign USB Token nicht zur Verfügung gestellt. Der 32-Bit Modus ist nach der oben beschriebenen Aktualisierung von MacOS X, bei denen Java 6 seit Oktober 2012 durch Apple deaktiviert wird (siehe oben), nun aber nicht mehr verfügbar. So kann der Sicherheitsstick GuD-StarSign USB Token nicht mehr verwendet werden, ein Zugriff auf das Benutzerkonto ist nicht mehr möglich.
Siehe auch Hinweis im ElsterOnline-Portal auf der Seite „Anforderungen“ https://www.elsteronline.de/eportal/Anforderungen.tax : ELSTER-Spezial: Ab MacOS X 10.7 ist der 32-Bit-Modus nicht mehr verfügbar. Der Sicherheitsstick G&D StarSign USB Token kann in der Folge unter MacOS X nicht mehr unterstützt werden, da kein 64-Bit-fähiger Treiber für MacOS X angeboten wird.“