ElsterFormular für Mac - nein!

[Florian]

Golem berichtet, es gäbe sie, aber…
Das Bayerische Landesamt für Steuern meint es „…seien möglicherweise testweise Mac-OS-X- und Linux-Versionen erstellt worden; eine Veröffentlichung sei aber aufgrund der geringen Verbreitung dieser Systeme nie geplant gewesen.“
http://www.heise.de/open/meldung/Bericht-Elster-fuer-Linux-und-Mac-OS-1817683.html

Nicht entwickeln ist das eine, aber hin und her und dabei Steuergelder verbrennen?

[MacFlieger]

Was für ein Trauerspiel. Warum die so etwas nicht plattformübergreifend hinkriegen und auch ElsterOnline so dermassen kompliziert ist, dass es immer wieder Probleme gibt, ist echt nicht nachzuvollziehen.

Interessant wird es ab 2014. Dort wird dann die elektronische Steuererklärung Pflicht und das kostenlose ElsterFormular läuft nur unter Windows...

[MacFlieger]

Betrifft nicht ElsterFormular, aber ElsterOnline:

Elster: Finanzverwaltung rückt von Java ab

Wegen den Sicherheitsproblemen der letzten Wochen beim Java-Plugin suchen sie nun Möglichkeiten, das bei ElsterOnline eingesetzte Java-Applet zu ersetzen.

Wenn es dumm kommt, ersetzen sie es durch Flash.
Wenn es gut kommt, dann werden sie endlich einsichtig und machen es richtig, d.h. clientseitig beim Nutzer einfach nur einen Webbrowser mit SSL-Verbindung und dann werden serverseitig die ankommenden Daten geprüft und validiert. So wie es auf allen anderen Plattformen (auch beim Web-Banking) gang und gäbe und sinnvoll ist.

Die "Notwendigkeit" für solch ein Java-Applet liegt nämlich darin, dass hier die normale Funktionsweise auf den Kopf gestellt wird. Beim aktuellen ElsterOnline findet die komplette Prüfung/Validierung auf dem Client ab und wird dann nur noch auf dem Server entgegen genommen. Damit man nicht die Prüfung/Validierung umgehen kann, verpackt es das Java-Applet so, dass der Server prüfen kann, ob es von dem Applet kommt oder von einer anderen Stelle.
Normalerweise macht man es völlig anders. Man prüft/validiert im begrenztem Rahmen auf dem Client, um dem Benutzer zu helfen keine Fehleingaben zu machen. Aber auf dem Server wird immer davon ausgegangen, dass man ungeprüfte und evtl. absichtlich falsche Daten bekommt. Denn ob die Daten wirklich von den Seiten mit der clientseitigen Prüfung kommen, kann man nicht sicher stellen. D.h. die echte und ausschlaggebende Prüfung findet erst auf dem Server statt. Somit ist die Prüfung auch aus dem direkten Einfluss des (evtl. bösen) Benutzers raus. Er kann sie nicht umgehen.
So funktioniert es und ist es sinnvoll.
Das Finanzamt hat die Prüfung auf den Rechner des Nutzers verschoben und da der evtl. böse ist, muss die Prüfung und Übertragung extrem gekapselt und gesichert werden. Wie geschrieben. Völliger Unsinn.

"Auf die Schnelle" wird man das wohl nicht umgestellt bekommen. Das ist ein grundlegender Designfehler.

[Florian]

Scheinbar ist es für viele Experten der Nachweis der eigenen Notwendigkeit, möglichst komplizierte, kaum beherrschbare Systeme zu erfinden anstatt dem Standard zu folgen.
Das erleben wir ja auch außerhalb der IT.

Nun will ich keine Innovation abwürgen aber wenn es fertige, sinnvolle Systeme gibt, müsste man schon gute Gründe haben, um sie nicht zu nutzen.

Das man einerseits staatliches Interesse gegen Monopole hat und sie dann doch immer stützt, ist der nächste Unsinn.

[MacFlieger]

Nun will ich keine Innovation abwürgen aber wenn es fertige, sinnvolle Systeme gibt, müsste man schon gute Gründe haben, um sie nicht zu nutzen.

Von fertigen Systemen habe ich nicht geschrieben. Ich meinte etablierte und sinnvolle Funktionsprinzipien.

Es ist eigentlich recht einleuchtend, dass man auf dem Server selber bei der Programmierung immer davon ausgeht, dass die ankommenden Daten nicht in Ordnung sind. Daher empfiehlt eigentlich jeder, hereinkommende Daten zunächst zu filtern, zu prüfen und dann zu verarbeiten. So kann man selber sicher stellen, dass alles so abläuft, wie man es möchte, da der Prüfprozess auf dem eigenen Server und damit der eigenen Kontrolle unterliegt. Eine zusätzliche(!) Prüfung auf dem Client vorab soll nur dem Nutzer helfen, Fehler zu vermeiden. Aber man darf sich nicht darauf verlassen, dass diese Prüfung erfolgt ist. Gerade bei Angriffen von Bösen werden die sich garantiert nicht daran halten. Diese Vorgehensweise ist akzeptiert, weil sie gut funktioniert.
Auch im analogen Leben vor der IT wurde das so gemacht. Wenn ein Kunde ein Formular zum Ausfüllen bekommt (z.B. Überweisungsträger) hilft der Aufbau des Formulares dem Nutzer, dies richtig auszufüllen (clientseitige Prüfung). Trotzdem wird nach der Übergabe des Formulars an den Dienstleister geprüft, was darauf steht und ob das richtig ist.

Bei ElsterOnline wird die Prüfung auf den Client geschoben. Jetzt muss man sicher stellen, dass die Daten wirklich nur von der entsprechenden App auf dem Computer des Nutzers stammen und die Prüfung erfolgte und nichts manipuliert wurde. Ziemlich aufwändig und fehlerträchtig. Und eben auch nicht mehr systemunabhängig. Bei Änderungen oder Fehlerbehebungen muss die Software jeweils wieder auf alle Clients verteilt werden etc.
Einziger evtl. Vorteil: Man braucht serverseitig weniger Rechenleistung für die Prüfung der Formulare. Andererseits braucht man mehr Rechenleistung für die Prüfung, ob es wirklich von der App ohne Manipulation kommt, und für das ständige Verteilen von Updates. Bei einem eigentlich so simplen System, wie dem Zusammenrechnen eines Formulars bin ich mir nicht sicher, ob man da wirklich effektiv eine Einsparung (bezgl. Rechenleistung) hat.

[Florian]

Ich hab's schon bei ersten Mal verstanden, nur missverständlich ausgedrückt. Sorry.