Unternehmen in der Schweiz haben wichtige Verpflichtungen bezüglich der Sozialversicherung ihrer Mitarbeitenden, z.B. die AHV/IV. Dabei übernehmen Ausgleichskassen wichtige Funktionen in der Administration und benötigen deshalb entsprechende Informationen aus den Unternehmen. Diese müssen jeden neuen Mitarbeitenden innerhalb eines Monats nach Stellenantritt bei der Ausgleichskasse anmelden, bei der sie Mitglied sind. Die Ausgleichskasse stellt daraufhin Versicherungsnachweise aus, die die Unternehmen ihren Mitarbeitenden aushändigen müssen. Auch die Familienzulagen für die Arbeitnehmenden müssen bei der Ausgleichskasse angemeldet werden.
Diese Meldungen wurden früher ausschliesslich auf dem Papierweg ausgeführt, heute werden sie zum grössten Teil elektronisch über E-Business-Lösungen abgewickelt. PartnerWeb ist eine solche E-Business-Lösung für Sozialversicherungsunternehmen (SVU) wie Ausgleichskassen. PartnerWeb wurde von der Interessengemeinschaft für Ausgleichskasseninformationssysteme (IGAKIS) in Zusammenarbeit mit der Mathys & Scheitlin AG (M&S) entwickelt. Über das PartnerWeb können Unternehmen Lohnmeldungen und andere entsprechende Geschäfte mit ihrer Ausgleichskasse elektronisch abwickeln.
In der Schweiz gibt es ca. 90 Ausgleichskassen. Bei diesen Ausgleichskassen ist in der Regel eins von fünf speziell für Ausgleichskassen entwickelten Business-Software-Systemen im Einsatz. Für jedes ist ein Einkaufsverbund wie die IGAKIS zuständig, der das System mit einem oder mehreren Business-Software-Anbietern weiterentwickelt. PartnerWeb ist bei 63 Ausgleichskassen und 15 Pensionskassen als jeweils eigene Instanz in Betrieb. Von den 63 Ausgleichskassen werden 320'000 Schweizer Unternehmen betreuet. Der grösste Teil der Unternehmen nutzt das PartnerWeb der Ausgleichskasse, bei der sie Mitglied sind.

Vorstellung der Geschäftspartner

Auftraggeber
Die Interessengemeinschaft für Ausgleichskasseninformationssysteme (IGAKIS) wurde Ende der 1980er-Jahre gegründet und hat die Rechtsform einer Genossenschaft. 1992 wurde die technische Plattform für das neu zu entwickelnde Ausgleichskasseninformationssystem (AKIS) festgelegt. 1996 erfolgte die Auslieferung der ersten AKIS-Version mit Client-Server-Architektur auf Basis von Microsoft Produkten. Heute umfasst die Gemeinschaft 41 Ausgleichskassen, davon 36 von Verbänden, 4 von Kantonen sowie die Eidgenössische Ausgleichskasse EAK.

Anbieter von Business Software
Die 1990 gegründete Mathys & Scheitlin AG (M&S) unterhält Firmenstandorte in Bern und Schlieren. M&S beschäftigt über 50 festangestellte Mitarbeitende, die primär fachlich und standortunabhängig an Kundenprojekten arbeiten. Die Softwareentwicklungen im Bereich Business Software basieren auf Microsoft .NET-Technologie. M&S ist Microsoft Gold Certified Partner. Die Stärken von M&S liegen in den Anwendungsbereichen E-Business, Workflow und Dokumentenmanagement sowie Informationssysteme für Sozialversicherungen.

Bisher konnten die in den Unternehmen für Lohnmeldungen verantwortlichen Personen sich über einen Webbrowser mit Benutzername und Passwort beim PartnerWeb authentisieren und Funktionen für die Meldungen an die Ausgleichskasse nutzen. Z.B. konnten Meldungen über ein- oder austretende Mitarbeitende, die aktuelle Lohnsumme oder geänderte Familienverhältnisse erfasst werden.
Weil die Passwortabfrage hätte ausgespäht werden können und daher relativ unsicher war, konnte ein Nutzer aus Gründen des Datenschutzes die von ihm einmal übermittelten Daten im PartnerWeb in einer späteren Anmeldesession nicht mehr einsehen. Ein Nutzer konnte die übermittelten Daten nur noch von der Ausgleichskasse anfordern, die sie ihm dann auf dem Postweg zustellte. Vertrauliche und schützenswerte Daten sind z.B. Lohnlisten der zur entsprechenden Organisation gehörenden Mitarbeitenden oder Angaben zum familiären Verhältnis eines Mitarbeitenden.
Als die Lancierung der SuisseID angekündigt wurde, erkannte man bei der IGAKIS, dass die administrativ aufwendige und zeitraubende Postzustellung abgelöst werden kann. Denn durch eine Authentifizierung mit der SuisseID beim PartnerWeb ist die Identität eines Nutzers eindeutig. Aufgrund der sicheren Authentisierung können den Nutzern auch vertrauliche und schützenswerte Daten im PartnerWeb angezeigt werden. Das war für die IGAKIS ein wichtiger Grund, den Unternehmen die Authentisierung mit der SuisseID anzubieten.
Ein weiterer Entscheidungsgrund für die Unterstützung der SuisseID ist das Ziel der IGAKIS, technologisch und bei den neusten Entwicklungen vorne mit dabei zu sein. Die Infrastruktur soll vorbereitet werden, damit der Markt in ein paar Jahren die SuisseID in noch weit grösserem Umfang nutzen kann. Es wird erwartet, dass in Zukunft auch die Versicherten (Arbeitnehmer und Rentenbezieher) eine SuisseID haben werden. Mit ihr könnte dann eine versicherte Person eine Rentenberechnung bei der Ausgleichskasse bestellen oder gespeicherte vertrauliche Daten abrufen.

Geschäftssicht und Prozesse
Ausgleichskassen sind Non-Profit-Organisationen. Ihre Arbeit wird durch die angeschlossenen Unternehmen (Mitglieder) finanziert. Im Vorstand der Ausgleichskassen sitzen in der Regel Mitgliedervertreter. Das oberste Ziel einer Ausgleichskasse ist nicht eine Gewinnoptimierung, sondern die effiziente Verwaltung der Versicherten und deren Beiträge zur AHV/IV. Die wichtigsten Prozesse, die bei den Ausgleichskassen ausgeführt werden, sind daher auch der Erfassungsprozess von Versicherten und die Führung der individuellen Rentenkonten.
Die Meldungen über ein- und austretende Mitarbeitende eines Unternehmens lösen bei den Ausgleichskassen den Erfassungsprozess aus. Wenn Mitarbeitende neu in eine Firma eintreten, müssen die Unternehmen dies bei ihrer Ausgleichskasse melden. Früher wurde dies durch das Einsenden der AHV-Karte der Versicherten gemacht. Heute können die Informationen bei praktisch allen Ausgleichskassen interaktiv elektronisch erfasst werden, die AHV-Karte wird nicht mehr benötigt. Die Erfassungsbestätigung der Ausgleichskasse an das Unternehmen erfolgt meist noch per Briefpost.
Die Ausgleichskassen benötigen von jedem versicherten Mitarbeitenden den für die AHV relevanten Lohn zur Festlegung der Versicherungsbeiträge, die Arbeitgeber und Arbeitnehmer an die Ausgleichskasse zu entrichten haben. Den Ausgleichskassen werden auch die Daten über die Familienzulagen gemeldet, die das Unternehmen an den Mitarbeitenden entrichtet. Die Familienzulagen werden an die Versicherungsbeiträge angerechnet, sodass oft keine Zahlungen von der Ausgleichskasse an die Unternehmen geleistet werden müssen.
Beim Erwerbsersatz gemäss der Erwerbsersatzordnung (EO) werden die aufgrund der Meldungen geltend gemachten Entschädigungen entrichtet (Entschädigungen werden für Militärdienst, Zivilschutz- und Zivildienst sowie für Jugend- und Sportkaderausbildung entrichtet).
Mit der Erweiterung der Authentisierung der Nutzer mit der SuisseID können die Ausgleichskassen den Systemnutzern neu auch vertrauliche Informationen elektronisch zugänglich machen. Im Grundsatz sind das die Informationen, welche die Unternehmen bisher auf dem Postweg erhielten. Auf der Empfängerseite wurden die Mitteilungen in Papierform oder elektronisch eingescannt abgelegt, was in Bezug auf die Vertraulichkeit der Informationen nicht immer unproblematisch war. Mit der neuen Zugriffsmöglichkeit entfällt diese Ablage, da die berechtigten Mitarbeitenden die Informationen jederzeit über das PartnerWeb der Ausgleichskasse abrufen können.
Bei grösseren Unternehmen ist der Vorteil besonders gross, da die Papierdokumente oft noch kopiert und intern verteilt werden mussten (da die Dokumente Informationen zu Mitarbeitenden enthalten können, die über verschiedene Unternehmensbereiche verteilt sind, und in der Personalabteilung nicht von den gleichen Personen betreut werden).

Der Unterschied zwischen einem Anmelden mit Benutzername/Pass¬wort und einer Anmeldung mit der SuisseID liegt in der Stärke der Authentisierung. Bei Benutzername und Passwort reichen zwei Angaben, die relativ leicht ausgespäht werden können. Bei der SuisseID muss der USB-Leser mit der SuisseID-Chipkarte am Rechner angeschlossen und die PIN resp. das Passwort eingegeben werden. Der private Schlüssel, der für die Authentisierung mit der SuisseID verwendet wird und im Chip auf der SuisseID gespeichert ist, kann nicht ausgespäht werden, da er die Karte nie verlässt [Quade, 2010: S. 18].
Zudem ist durch den Schweizer Gesetzgeber geregelt, dass die Antragsteller für eine SuisseID eindeutig identifiziert werden müssen, bevor die SuisseID ausgehändigt werden darf [Quade, 2010: S. 14].

Anwendungssicht
Unternehmen können in unterschiedlichen Verfahren Daten an PartnerWeb melden:

1. Die im Unternehmen für die Lohnbuchhaltung oder Personaladministration verantwortlichen Personen melden sich über einen Webbrowser am PartnerWeb an (es gibt keine unpersönlichen Nutzerkonten) und verwenden die online angebotenen Funktionen. Dazu gehören z.B. die Formulare "Meldeverfahren für Mitarbeitende" oder "Lohnmeldeverfahren".
2. Die im Unternehmen verantwortlichen Personen melden sich im PartnerWeb an und verwenden die Dateiupload-Funktion. Die Dateien müssen die von der swissdec [2010] vorgegebene Struktur aufweisen. In der Regel können solche Dateien mit Lohnbuchhaltungssystemen erzeugt werden, die von der swissdec zertifiziert sind.
3. Das ERP-System des Unternehmens kommuniziert direkt mit einem XML-basierten Webservice des PartnerWeb. ERP-Systeme, die von der swissdec für das "Prozessintegrierte Verfahren (PIV)" des "Einheitlichen Lohnmeldeverfahrens (ELM)" zertifiziert sind, können diese Variante nutzen.

Werden Daten nach einem der beiden ersten oben erwähnten Verfahren übermittelt, z.B. Lohndaten via Dateiupload oder Erfassen via Onlineformular, erhält der Nutzer im PartnerWeb während der gleichen Anmeldesession eine Zusammenfassung der übermittelten Daten. Er hat die Möglichkeit, die Daten nochmals einzusehen. Wenn sich der Nutzer abmeldet und später mit Benutzername/Passwort wieder anmeldet, hat er keinen Zugriff mehr auf diese Daten. Damit ist gewährleistet, dass, falls sich jemand unautorisiert am PartnerWeb anmeldet, keinen Zugriff auf die in früheren Sessions übermittelten Daten erhält.
Nutzer, die sich mit der SuisseID anmelden, können dagegen auch Daten aus früheren Erfassungen wieder einsehen. Dazu wurde PartnerWeb um eine Funktion erweitert: In Form von Dossiers können Nutzer Daten wieder abrufen. Standarddossiers, die im PartnerWeb zur Verfügung stehen, sind Beiträge, Versicherte und Familienzulagen. Die Ausgleichskassen können weitere Dossiers definieren und ihnen über Rollen und Nutzergruppen Zugriffsrechte zuordnen.
Für die Anmeldung mit der SuisseID wird die Authentisierung ohne identifizierte Merkmale eingesetzt [Quade, 2010: S. 20].

Bei einer Anmeldung mit der SuisseID wird über die Identity Provider/Claim Assertion Service (IdP/CAS) der SuisseID-Anbieter die Gültigkeit der verwendeten SuisseID geprüft. Beim Zugriff mit der SuisseID wird die Kommunikation zwischen Webbrowser und dem PartnerWeb via TLS (Transport Layer Security) gesichert. Für den Austausch von Daten wird das in der SuisseID-Spezifikation definierte Verfahren mit SAML (Security Assertion Markup Language) eingesetzt [vgl. Bürge, Zweiacker, 2010: S. 36].
Bei der Integration zwischen PartnerWeb und einem ERP-System über Webservices gibt es keine Änderungen durch die Einführung der SuisseID. Wie bisher werden keine Daten an die ERP-Systeme der Unternehmen zurückgegeben.
Jede der in der IGAKIS angeschlossenen Ausgleichskassen hat eine eigene Installation des PartnerWeb. In der Praxis ist jede Installation etwas anders konfiguriert, z.B. bietet jede Ausgleichskasse ihren Nutzern im Frontend unterschiedliche Funktionen an, etwa verschiedene Arten von Dossiers.
Das Partnerweb ist in ein "Backend" und ein "Frontend" unterteilt. Das Frontend ist eine Webapplikation, auf die über das Internet zugegriffen werden kann. Das Backend ist eine Client/Server-Applikation, auf die nur vom Netzwerk der Ausgleichskasse aus zugegriffen werden kann. Auf der Datenbank für das Frontend sind daher auch nur Informationen gespeichert, die für den Betrieb der Webapplikation benötigt werden. Die PartnerWeb-Frontends werden beim Outsourcing Partner der IGAKIS betrieben, die Backends hingegen bei den Ausgleichskassen.
Vom Unternehmen übermittelte Daten wie Lohndaten oder Beitragsdaten werden jeweils direkt vom Frontend an das Backend transferiert oder von dort abgerufen. Das Frontend beinhaltet Funktionen für den Datenaustausch. Die Funktionen zur Unterstützung der Geschäftsprozesse der Ausgleichskasse stehen nur im Backend zur Verfügung. Das Backend kann auch dazu benutzt werden, Frontend-Nutzern Support zu leisten, z.B. Passwörter zurücksetzen oder Benutzer sperren.
Die Anmeldung mit der SuisseID kann im PartnerWeb bei bestehenden oder neuen Nutzern aktiviert werden. Dazu wird die eindeutige SuisseID-Nummer benötigt. Jedem Nutzerkonto könnten dabei auch mehrere SuisseID-Nummern zugewiesen werden, sofern eine Person mehrere SuisseID besitzt, und diese auf PartnerWeb einsetzen möchte.
Damit das Anmelden mit der SuisseID für einen Nutzer aus Sicht der Ausgleichskasse aktiviert werden darf, muss ein Antrag des Arbeitgebers des Nutzers vorliegen. Der Antrag ist formell, denn er autorisiert den Zugriff auf vertrauliche Informationen im PartnerWeb für den jeweiligen Mitarbeitenden.
Der Antrag des Arbeitgebers kann über die Funktion "Zertifikat registrieren" im PartnerWeb generiert werden. Er muss vom Arbeitgeber des antragstellenden Unternehmens auf Papier unterschrieben, oder als PDF elektronisch signiert werden. Vom Zertifikat der SuisseID werden bei der Generierung des PDF-Formulars automatisch die SuisseID-Nummer, der registrierte Name sowie die registrierte E-Mail-Adresse ausgelesen und in die vorgesehenen Felder geschrieben. Weitere Angaben wie der Name des antragstellenden Unternehmens und die Mitgliedsnummer sind im Antrag zu ergänzen.

Die IGAKIS erfuhr im Sommer 2009 durch eine Pressemitteilung des Staatssekretariats für Wirtschaft SECO [2009] von der Lancierung der SuisseID. Noch im Herbst 2009 beschloss die IGAKIS, dass Funktionen in PartnerWeb eingebaut werden sollen, die im Zusammenhang mit der SuisseID einen Nutzen erzeugen, ohne dass an den bestehenden Funktionen grössere Anpassungen gemacht werden müssen.

Investitionsentscheidung
Für die Investition in die Unterstützung der SuisseID und die neuen Funktionen wurde kein formeller Entscheid gefällt. Es wurde jedoch eine grobe Kostenschätzung vorgenommen. Der Aufwand für die Einbindung der SuisseID und die Entwicklung der neuen Funktionen (Dossiers) wurde auf 100 Personentage geschätzt. Zudem war es dem IT-Partner M&S wichtig, dass aktuelle Technik und Innovationen laufend in das PartnerWeb übernommen werden, damit das Produkt seine führende Stellung am Markt halten und weiter ausbauen kann.

Entstehung und Einführung der Lösung
M&S hat die Einbindung der SuisseID auf Microsoft .NET-Basis entwickelt. Vom Software Development Kit (SDK), das vom SECO kostenlos bezogen werden kann, wurde kein Gebrauch gemacht, da zum Zeitpunkt der Entwicklung bei M&S das SDK vom SECO noch nicht zur Verfügung stand. Für die Entwicklung und den Test der neuen Funktionen wurden vom SECO bereitgestellte SuisseID-Testzertifikate verwendet [Quade, 2010: S. 35].
Während der Entwicklung wurde klar, dass es nicht reicht, den Personen, die sich mit der SuisseID anmelden, vertrauliche Daten bereitzustellen. Denn auch Nutzer, die sich mit einer SuisseID anmelden, dürfen nicht immer alle Daten eines Unternehmens einsehen. Für das PartnerWeb-Frontend musste ein Rollen- und Benutzergruppen-Konzept erstellt werden, über das den Nutzern unterschiedliche Zugriffsrechte erteilt werden können. Bisher war ein solches Konzept nicht notwendig, da ja nur Meldungen in Richtung Ausgleichskasse übermittelt werden konnten und alle Nutzer somit die gleiche Rolle und gleiche Rechte hatten.
Mit der eidgenössischen Ausgleichskasse wurde eine Pilotphase durchgeführt. Aufgrund der Resultate wurden noch Anpassungen an den Funktionen vorgenommen. Z.B. wurde für die Erstregistrierung zur Anmeldung mit einer SuisseID ein Antrag in Form eines PDF-Formulars integriert, das automatisch Angaben aus der verwendeten SuisseID ausliest und diese in das Formular abfüllt.
Die neuen Funktionen werden bei Anlässen der IGAKIS und bei Kundentagungen von M&S vorgestellt. Neben den Vorteilen des elektronischen Zugriffs auf vertrauliche Daten mit der SuisseID wird auch auf die administrativen Anforderungen bzgl. Benutzerrechten eingegangen.

Laufender Unterhalt und geplante Weiterentwicklung
Das System benötigt im normalen Betrieb keinen speziellen Unterhalt. Für die Ausgleichskassen und Unternehmen kommt die Administration der Nutzerkonten mit SuisseID dazu. Unternehmen müssen ausgetretene Mitarbeitende, die ein PartnerWeb-Nutzerkonto haben, abmelden ? ganz gleich, ob diese eine SuisseID haben oder nicht. Die Abmeldung können die Unternehmen je nach Ausgleichskasse selber in der Benutzerverwaltung im Frontend oder durch ihre Ausgleichskasse im Backend vornehmen lassen.
Mit dem Angebot der neuen Funktionen, die mit der SuisseID genutzt werden können, wird bei den Unternehmen ein neuer Bedarf geweckt. Das Anbieten von Daten ist nur der erste Schritt. In Zukunft sollen weitere Funktionen für komfortablere Services angeboten werden. Gedacht wird z.B. an Geschäftsfälle, die bisher eine Unterschrift auf Papier erforderten, und die auch digital signiert eingereicht werden könnten. Ein Beispiel im Bereich Versicherte sind Personen, die einen Teil der ihnen zustehenden Rente an eine andere Person auszahlen lassen möchten. Für diese Verfügung ist eine Unterschrift erforderlich.

Die Lösung wurde binnen weniger Wochen von der Hälfte der Ausgleichskassen mit PartnerWeb in Betrieb genommen. Die Lösung hat somit das Potenzial, dass sich Mitarbeitende – vor allem aus dem Bereich der Personaladministration – einer grossen Zahl von Schweizer Unternehmen mit einer SuisseID beim PartnerWeb registrieren.
Die Ausgleichskassen freuen sich über die neue Funktion "Dossier". Mit ihr können sie die Bedürfnisse ihrer Mitglieder besser befriedigen. Vor allem grössere Unternehmen wie z.B. die SBB profitieren, da bei ihnen die interne Verteilung von Dokumenten der Ausgleichskasse in Zukunft entfällt.
Für die Umsetzung der Lösung wurden ca. 100 Personentage aufgewendet, was der Schätzung für den Investitionsentscheid entspricht.

Ein wichtiger Erfolgsfaktor für PartnerWeb ist, dass den Nutzern, die sich mit der SuisseID anmelden, vertrauliche Daten wieder elektronisch zugänglich gemacht werden. Dieser Nutzen entsteht nicht direkt aus dem Authentisierungsverfahren, sondern indirekt, indem die sichere Authentisierung bessere Onlineservices ermöglicht. Dazu gehört auch die Erweiterung des PartnerWebs um die Dossier-Funktion: Für die Nutzer ist es ein klarer Mehrwert, unmittelbaren Zugang zu vertraulichen Daten zu erhalten, statt wie früher nur per Post.

Spezialitäten der Lösung
Die Zuordnung der SuisseID zu einem Nutzerkonto erfolgt im PartnerWeb über die eindeutige SuisseID-Nummer. Der Vorteil dabei ist, dass die Nummer bei allen Anbietern normiert ist und bei einer Erneuerung der SuisseID unverändert bleibt. M&S hat diese Funktion so implementiert, dass Nutzern auch andere elektronische X.509-Zertifikate, die dem Sicherheitsniveau der SuisseID entsprechen, zugewiesen werden können. Z.B. kann ein Zertifikat vom international tätigen Unternehmen Thawte oder VersiSign den Zugriff auf das PartnerWeb verwendet werden. Grössere Unternehmen, die bereits solche Sicherheitslösungen im Einsatz haben, können PartnerWeb somit ebenfalls nutzen. Sofern das Zertifikat nicht nach der SuisseID-Spezifikation ausgestellt ist, sind der Herausgeber und die Seriennummer zwingende Zertifikatsmerkmale, die im PartnerWeb registriert werden müssen.

Lessons Learned
Eine wichtige Erkenntnis im Projekt von M&S lag darin, dass, sobald der Zugriff auf vertrauliche Daten erteilt werden soll, die Frage aufkommt, wer welche Daten einsehen darf. Wie in Kapitel "Entstehung und Einführung der Lösung" erwähnt, musste ein Rollen- und Benutzergruppen-Konzept erstellt werden, über das den Nutzern unterschiedliche Zugriffsrechte erteilt werden können.

Literatur

Bürge, Urs; Zweiacker, Marc (2010): SuisseID Specification V1.3. Bern: Staatssekretariat für Wirtschaft SECO.

Quade, Michael (2010): Fachbeitrag "Was ist die SuisseID?", in: Quade, Michael; Wölfle, Ralf; (2010): SuisseID in der Praxis - Grundlagen und Fallstudien zum elektronischen Identitätsnachweis der Schweiz, Basel: edition gesowip, 2010. S. 13-34.

Staatssekretariat für Wirtschaft SECO (2009): "Die SuisseID kommt 2010 auf den Markt". SECO - Die SuisseID kommt 2010 auf den Markt. Abgerufen am 11.09.2010 von http://www.seco.admin.ch/themen/00476/03466/03482/index.html?lang=de&print_style=yes.

swissdec (2010): "Ãœber swissdec". Abgerufen am 25.10.2010 von http://www.swissdec.ch/ueber_swissdec.htm.