DIIR IT-Tagung 2017: Blockchain-Technologie als Werkzeug ...€¦ · (Department of Computer Science) ... Grafik: eigene Ausarbeitung in Anlehnung an [Burg16] Blockchain-Technologie

13. DIIR IT-Tagung 2017

Dietmar Grabher

Blockchain-Technologie als Werkzeug von Governance und IKS

Dieses Werk ist lizenziert unter einer

Creative Commons 4.0 International Lizenz

Namensnennung - Nicht kommerziell - Keine Bearbeitungen

http://www.fhv.at/

http://www.fhv.at/

http://www.isaca.de/


http://www.diir.de/

http://www.diir.de/

https://creativecommons.org/licenses/by-nc-nd/4.0/

https://creativecommons.org/licenses/by-nc-nd/4.0/


Blockchain-Technologie als Werkzeug von Governance und IKS:

Evolution, Revolution oder Disruption?

► Blockchain-Technologie in a nutshell

► Beispiele für Non-FinTech-Anwendungen aus Wissenschaft und Praxis

► Potenziale als Werkzeug von Process-Governance und IKS

► Zusammenfassung & Ausblick

Ergänzende Informationen

► Literatur & Quellen

Agenda

315.05.2017 (c) 2017 Dietmar Grabher | FHV-DCS | CC BY-NC-ND 4.0

http://www.fhv.at/

http://www.fhv.at/


► 1960 im äußersten Westen Österreichs geborener Europäer

Verheiratet, zwei erwachsene Kinder, ein Enkel

► FH Vorarlberg Wirtschaftsingenieurwesen (BSc, 2012)

FH Vorarlberg Business Process Management (MA, 2014)

► Bis 2012 Leiter der Konzernrevision

der Zumtobel AG (Dornbirn / Österreich)

► Seit 2013 …

► Wissenschaftlicher Mitarbeiter an der FH Vorarlberg

(Department of Computer Science)

► Selbständiger Berater, Auditor und Trainer im Bereich

Governance – Risk – Compliance

► Kontakt:

+43 (5572) 792-3009 / [email protected]

+43 (664) 442 66 09 / [email protected]

Dietmar Grabher


http://www.fhv.at/

http://www.fhv.at/

https://www.xing.com/profile/Dietmar_Grabher

https://www.xing.com/profile/Dietmar_Grabher

https://at.linkedin.com/in/dietmargrabher

https://at.linkedin.com/in/dietmargrabher

http://www.mitanand.net/

http://www.mitanand.net/


Warum Blockchain als Thema für die Revision?

► Steigende Anzahl von akademischen und anderen Publikationen

weckten wissenschaftliche Neugier

► Euphorische Grundstimmung der (meisten) Publikationen

weckten prüferische Skepsis

► Ziele:

► Einführende Betrachtung der Grundlagen der Technologie ("early follower")

► Erste Abschätzung von möglichem Nutzen aus Revisionssicht ("be prepared")

► Fokus auf unternehmensinterne Anwendungsmöglichkeiten für IKS und Governance

► Nicht-Ziele:

► Umfassende Betrachtung der Technologie

► Branchenspezifische Anwendungsmöglichkeiten

► Unternehmens- oder organisationsübergreifende Anwendungen

Motivation


http://www.fhv.at/

http://www.fhv.at/


Definition (Beispiel)

"Mit dem Begriff Blockchain wird ein technisches Konzept bezeichnet,

welches einzelne Datensätze (z.B. Transaktionen) zu Blöcken zusammenfasst

und mit Hilfe kryptografischer Verfahren die Datenintegrität gewährleistet.

Die Blöcke sind miteinander sequentiell verkettet, so dass die zeitliche Reihenfolge

als auch die Datenintegrität des gesamten Datenbestandes sichergestellt ist.

Eine Blockchain kann entweder als einzelne Instanz betrieben werden oder

wird als verteiltes System aufgebaut."

[Burg16: 5-6]

Blockchain-Technologie in a nutshell


http://www.fhv.at/

http://www.fhv.at/


Ursprung und Entwicklung am Beispiel von Bitcoin

► 2008: White Paper von Satoshi Nakamoto (Pseudonym):

"Bitcoin: A Peer-to-Peer Electronic Cash System"

► Vorstellung eines Systems für Zahlungstransaktionen ohne

Notwendigkeit eines vertrauenswürdigen Dritten

► Link: https://bitcoin.org/en/bitcoin-paper

► 2009: Erster Block auf bitcoin.org wird gemined

► 2010: Erste (?) Pizza wird mit Bitcoins bezahlt

► 2014: Air Baltic akzeptiert Bitcoins

► 2016: Caféteria eines Big-Four-Unternehmens in Zürich akzeptiert Bitcoins

► 2017: Webseite coinmarketcap.com listet über 800 Kryptowährungen auf (Mai 2017)



http://www.fhv.at/

http://www.fhv.at/


Technologie – vereinfacht und am Beispiel von Bitcoin

► Zusammenfassung von Transaktionsdaten zu Blöcken und

Verkettung der Blöcke mit kryptografischen Mitteln

► Consensus-Mechanismus

► Verteilte Infrastruktur mit dezentralisierter Datenspeicherung



"pure"

Blockchain"vollständige"

Blockchain

Grafik: eigene Ausarbeitung in Anlehnung an [Burg16]

http://www.fhv.at/

http://www.fhv.at/


Consensus-Mechanismus – vereinfacht und am Beispiel von Bitcoin

► Mechanismus zur Verifikation der ordnungsgemäßen Bildung von Blöcken

► formal richtig zustande gekommene Blöcke (gemäß den Regeln des Netzwerks)

► keine Prüfung des sachlichen Hintergrunds der Transaktionen

► Mechanismus zur Entlohnung der Miner

► Gutschrift von neuen Bitcoins für erfolgreich gebildete Blöcke

► Mechanismus zur Gewährleistung des Vertrauens ins System

► Miner prüfen bzw. überwachen sich gegenseitig

► Angriff auf System würde eigenes Guthaben schmälern



http://www.fhv.at/

http://www.fhv.at/


Beispiel: Consensus per "Proof-of-Work" bei Bitcoin

► Zusammenfassung mehrerer Transaktionen zu einem Block durch Miner

► Suche nach einem Additionswert ("nonce"), der gemeinsam mit den Transaktionen

einen Hashwert für den Block nach vorgegebenen Regeln ergibt

► Beispiel Bitcoin: Hashwert muss mit Null-Bit beginnen

► Verteilung des neuen Blocks an alle Teilnehmer

im Netzwerk ("nodes")

► Akzeptanz des neuen Blocks durch die übrigen

Netzwerkteilnehmer

► wenn richtig zustande gekommen

► wenn enthaltene Transaktionen nicht schon

in vorhandenen Blöcken enthalten



Grafik: eigene Ausarbeitung in Anlehnung an [Burg16]

http://www.fhv.at/

http://www.fhv.at/


Motivation zur Teilnahme als Miner oder Nutzer am Beispiel von Bitcoin

► Hauptmotivation: aus eigenem Antrieb ("Freiwilligkeit") im weitesten Sinne, z.B.

► Geschäftsmodell

► Neugier

► Innovationsfreude

► durchaus auch: gezwungenermaßen, z.B.

► Kryptotrojaner ;-)



http://www.fhv.at/

http://www.fhv.at/


Überblick

► Master Thesis 2016: Potenzial der Blockchain für das Financial Auditing

(Master Thesis Hochschule RheinMain in Wiesbaden)

► Konferenzbeitrag 2017: Do we really want Blockchain-based accounting?

(Konferenzbeitrag bei "Wirtschaftsinformatik 2017" in St. Gallen)

► Praktische Umsetzung 2017: Österreichische Registrierkassensicherheitsverordnung

(Praktische & großflächige Anwendung der Blockchain-Technologie)

Hinweis: Download-Quellen (soweit vorhanden) sind in den Backup-Folien genannt.

Anwendungsbeispiele aus Wissenschaft und Praxis


http://www.fhv.at/

http://www.fhv.at/


Mario Gemein: Potenzial der Blockchain für das Financial Auditing (2016)

► Untersuchung der Potenziale zur Verbesserung der Verlässlichkeit von Financial Audits

am Beispiel von fraudulenten Handlungen im ERP-gestützten Beschaffungsprozess

► Sicherung von Transaktionsdaten gegen nachträgliche Manipulation per Blockchain

(gezeigt am Beispiel des ERP-Systems S4/HANA)

► Ergänzende Betrachtung des Triple-Entry Accountings unter Nutzung der Blockchain

► Erkenntnis

► Nutzen vor allem durch Erkennbarkeit von bzw. Vorbeugung gegen nachträgliche

Manipulationen am Datenbestand, somit einfachere und aussagekräftiger Prüfung der

Datenintegrität möglich

► Jedoch keinerlei Schlussfolgerungen auf die inhaltliche Richtigkeit der Transaktionen

möglich, da Fraud-Schemata vielfach keine Spuren in den Daten hinterlassen

("Betrug außerhalb des Systems")



http://www.fhv.at/

http://www.fhv.at/


Nadine Rückeshäuser: Do we really want Blockchain-based accounting? (2017)

► Untersuchung der Potenziale zur Verhinderung (sic!) von Bilanzfälschungen

► Möglichkeiten der Mitigation von Fraud Risiken durch technische Konzepte wie Blockchain

am Beispiel des Comroad Falles aus 2002 (Management Fraud, fingierte Umsatzzahlen)

► Schwerpunkt auf Consenus Mechanismus zur Validierung von Geschäftstransaktionen

und direkten Einbindung von (Buchhaltungs-)Mitarbeitern ins IKS

► Erkenntnis: Einsatz von Blockchain kann Bilanzbetrug wie bei Comroad nicht verhindern

► Würdigung

► Wenig überraschend, da keine nachträgliche Manipulation sondern

formal korrekte Verbuchung von formal korrekten Rechnungen an fiktive Kunden

(somit wiederum "Betrug außerhalb des Systems")

► Außerdem durch eindrucksvolle kriminelle Energie geprägter Fraud-Fall

("da hätte wahrscheinlich gar nichts genutzt")



http://www.fhv.at/

http://www.fhv.at/


Bundesministerium für Finanzen: Österr. Registrierkassensicherheitsverordnung (2017)

► Steigerung der Manipulationssicherheit von Registrierkassen

(Unveränderbarkeit der Belege und der Journale)

► Technische Konzeption federführend durch Prof. Dr. Reinhard Posch (Leiter des Instituts für

angewandte Informationsverarbeitung und Informationstechnologie an der TU Graz)

► Signatureinheit mit Zertifikat an der Registrierkasse oder im Kassensystem

► Maschinenlesbarer QR-Code auf Kassenbeleg

► Speicherung aller QR-Codes ("Belege") in zusätzlichem Datenerfassungprotokoll

► Kryptografische Verkettung der Belege mit Blockchain

► Intensiver finanzieller und organisatorischer Aufwand für die Unternehmen (u.a. Beschaffung

der Technologie, Registrierung beim Finanzamt, Meldung von Start- und Jahresbeleg)



http://www.fhv.at/

http://www.fhv.at/


Bundesministerium für Finanzen: Registrierkassensicherheitsverordnung (2017)



Grafik: eigene Ausarbeitung in Anlehnung an [Posc16]

http://www.fhv.at/

http://www.fhv.at/


Daten im QR-Code / Datenerfassungprotokoll:

► Kassen-Identifikation

► Belegnummer

► Datum und Uhrzeit

► Umsatz getrennt nach Steuersätzen

► Stand des Umsatzzählers (verschlüsselt)

► Seriennummer des Signatur-Zertifikats

► Signatur des vorherigen Belegs ("Verkettungswert")

► Signatur des aktuellen Belegs



Grafik: eigene Ausarbeitung

http://www.fhv.at/

http://www.fhv.at/


Konkretes Beispiel der Daten im QR-Code

_R1-AT1_064002V0_2017-04-01.0.46027

_2017-04-01T10:13:39

_42,73_0,00_0,00_0,00_0,00

_hh+ThXGpBj8=

_61D1B298_cjo+1jMFHDo=_DDtLxpUCwfN2xYef541V7Wy

tJmr2Is/vHsErORNoRW0lBhlcOE4KT91IGFA8Pg16e+WCZ

v3kRx3j1R7GG+52XQ==



Grafik: eigene Ausarbeitung

http://www.fhv.at/

http://www.fhv.at/


Drei Thesen zu Blockchain-Technologie als Element von Governance / IKS:

1. Wenig Potenziale im Hinblick auf Erkennbarkeit oder Verhinderung von Fraud zu erwarten

2. Möglicher Nutzen durch Schutz von Transaktionsdaten gegen nachträgliche Veränderung

► Aber: gerechtfertigte Änderung vs. manipulativer Veränderung?

► Eher für ausgewählte Transaktionsdaten in bestimmten Geschäftsprozessen

(weniger für flächendeckende Absicherung aller Transaktionsdaten)

3. Echter Zusatznutzen zu erwarten als Manipulationsschutz von Daten …

► die nachträglich nicht verändert werden müssen bzw. dürfen

► die auf anderem Weg schwer gegen Manipulationen gesichert werden können

► Anwendung als "pure Blockchain" (analog Registrierkassen)

und unternehmensintern (nicht-analog Registrierkassen)

Potenziale der Blockchain-Technologie für Process Governance & IKS


http://www.fhv.at/

http://www.fhv.at/


Beispiele für mögliche "pure Blockchain" Anwendungen

► Systemprotokolle und Logdateien

(z.B. SAP System Log, Security Audit Log, Tabellenänderungsprotokoll)

► Schnittstellendaten

(z.B. Datenträger aus SAP Zahlungslauf, Datenträger aus Online-Banking)

► Rechnungswesen-relevante Daten aus automatisierten Messsystemen

(z.B. SmartMeter und andere nutzungsabhängige Messdaten)

► Journale elektronisch gestützter Workflows

(z.B. Freigabeprozesse, Call Center)

► Revisionssichere Archivierung ("quasi WORM")

► Wichtige Voraussetzung

► Block muss wesentliche Daten des jeweiligen Datensatzes enthalten

► Reine Referenz auf den Datensatz dürfte oft nicht ausreichen



http://www.fhv.at/

http://www.fhv.at/


Voraussetzungen für die Anwendung von Blockchain

► Verfügbarkeit ausgereifter *) Implementierungen

► Integrierbar in vorhandene Systemlandschaft (z.B. ERP-Systeme)

► Angemessene Kosten-Nutzen Relation bei Implementierung und Betrieb

► "Spreadsheet-like technology"

► Ausdrücklicher Wunsch der Organisation / des Unternehmens

nach mehr Transparenz

*) nicht nur prototypischer!



http://www.fhv.at/

http://www.fhv.at/


"Prognosen sind schwierig, besonders wenn sie die Zukunft betreffen."

► Statements aus dem Umfeld von Blockchain-Experten ("Blitzlichter")

► Blockchain im Gartner Hype Cycle of Emerging Technologies

► Persönliche Einschätzung & Wünschenswerte Entwicklungen

Zusammenfassung & Ausblick


http://www.fhv.at/

http://www.fhv.at/


Blitzlichter …

► "Viele dieser [Blockchain-] Ideen sind weit von einer funktionierenden Implementierung

und insbesondere noch weit vom Massenmarkt entfernt."

Levin Keller, Vorstandsmitglied im Bundesverband Bitcoin e.V.

(c‘t 2017/1, S. 128)

► "Neue technische Entwicklungen benötigen drei bis sieben Jahre

von der Serienreife bis zu einer nennenswerten Durchdringung des Marktes".

Dr. Rolf Hollander, CEO CeWe Color Holding AG

(Keynote an der WI 2017 in St. Gallen am 15.02.2017)



http://www.fhv.at/

http://www.fhv.at/




Grafik: http://www.gartner.com/newsroom/id/3412017

http://www.fhv.at/

http://www.fhv.at/


Persönliche Einschätzung

► Erkennbar, dass "Beforschung" der Technologie aus allen Richtungen erfolgt

► Suche nach Anwendungsmöglichkeiten ausgehend von der Technologie

► Suche nach Potenzialen ausgehend von Problemstellungen

► Revolutionäre Ansätze als Zielsetzungen ("… new economy …")

► Evolutionäre Ansätze als Zielsetzungen (Lösung eng begrenzter Problemstellungen)

► Nahezu alle großen Unternehmen aus IT und Beratung

sehen Blockchain als Geschäftsmodell

► Serviceangebote u.a. von IBM, Microsoft

("Blockchain-as-a-Service")

► Beratungsangebote u.a. von Big Four


15.05.2017 (c) 2017 Dietmar Grabher | FHV-DCS | CC BY-NC-ND 4.0 30

http://www.fhv.at/

http://www.fhv.at/


Wünschenswert für die weitere Entwicklung in Bezug auf Governance / IKS

► Mehr getrieben durch Prozess-Experten statt durch Technik-Experten

► zu lösendes Problem als Ausgangspunkt

statt anzuwendende Technologie

► Aktive Besetzung des Themas durch Interne Revision

► sehr dynamische Entwicklung

► Blockchain-Services als Geschäftsmodell

verkaufsstarker Unternehmen

► gesunde Skepsis walten lassen


15.05.2017 (c) 2017 Dietmar Grabher | FHV-DCS | CC BY-NC-ND 4.0 31

http://www.fhv.at/

http://www.fhv.at/


Fragen? Anmerkungen? Hinweise?


http://www.fhv.at/

http://www.fhv.at/

Backupfolien & Zusatzinformationen

Dietmar Grabher


http://www.fhv.at/

http://www.fhv.at/



http://www.diir.de/

http://www.diir.de/


[Bmfb17b] BMF (Bundesminister für Finanzen): Registrierkassensicherheitsverordnung (RKSV 2017), 2017. URL

https://www.ris.bka.gv.at/GeltendeFassung/Bundesnormen/

20009390/RKSV%2c%20Fassung%20vom%2001.04.2017.pdf?FassungVom=2017-04-01 - abgerufen am

25.10.2016.

[Burg16] Burgwinkel, D. (Hrsg.): Blockchain Technology: Einführung für Business- und IT Manager: De Gruyter

Oldenbourg, 2016 — ISBN 978-3-11-048731-2

[Gart16] Gartner Group: Gartner’s 2016 Hype Cycle for Emerging Technologies Identifies. URL

http://www.gartner.com/newsroom/id/3412017 - abgerufen am 21.03.2017.

[Geme16] Gemein, Mario: Potential der Blockchain für das Financial Auditing. Wiesbaden, Wiesbaden Business

School der Hochschule RheinMain, Master Thesis, 2016.

[Moug16] Mougayar, William: The Business Blockchain: Promise, Practice, and Application of the Next Internet

Technology. Hoboken, New Jersey: John Wiley & Sons, 2016 — ISBN 978-1-119-30031-1

[Naka08] Nakamoto, Satoshi (Pseudonym): Bitcoin: A Peer-to-Peer Elekctronic Cash System (2008) URL

https://bitcoin.org/en/bitcoin-paper - abgerufen am 05.11.2016.

[Posc16] Posch, Reinhard: Registrierkassen in Österreich und digitale Signatur. URL

www.austria2020.at/egov2016/Reinhard_Posch.pdf - abgerufen am 14.11.2016.

Literatur & Quellen (1)


http://www.fhv.at/

http://www.fhv.at/


[Rück17] Rückeshäuser, Nadine: Do We Really Want Blockchain-Based Accounting? Decentralized Consensus as

Enabler of Management Override of Internal Controls. In: 13. Internationale Tagung Wirtschaftsinformatik

(WI 2017) - Tagungsband. St. Gallen, 2017, S. 16–30. URL

https://wi2017.blob.core.windows.net/website/download/papers/WI2017-0112.pdf - abgerufen am

15.02.2017.

[Swan15] Swan, Melanie: Blockchain: Blueprint for a New Economy. Cambride u.a.: O’Reilly and Associates, 2015

— ISBN 978-1-4919-2049-7

[TaTa16] Tapscott, Don; Tapscott, Alex: Die Blockchain-Revolution: Wie die Technologie hinter Bitcoin nicht nur das

Finanzsystem, sondern die ganze Welt verändert. 2. Auflage. Kulmbach: Plassen Verlag, 2016 —

ISBN 978-3-86470-388-1

[Watt16] Wattenhofer, Roger: The science of the blockchain: Inverted Forest Publishing, 2016 — ISBN 978-1-5227-

5183-0

Literatur & Quellen (2)


http://www.fhv.at/

http://www.fhv.at/

Documents

DIIR IT-Tagung 2017: Blockchain-Technologie als Werkzeug ...€¦ · (Department of Computer Science) ... Grafik: eigene Ausarbeitung in Anlehnung an [Burg16] Blockchain-Technologie