IT-Management in der Praxis Seminar ? WS 2004/05 - am ...

Rechtliche Grundlagen, Signatur-Gesetz 2001 95
3.1 Allgemeine Bestimmungen
Das ” Gesetz über Rahmenbedingungen für elektronische Signaturen (Signaturgesetz - SigG)“
definiert die Rahmenbedingungen für elektronische Signaturen. Es ist nur für diejenigen CAs
verbindlich, die Zertifizierungen vornehmen, die nach Rechtsvorschrift dazu in der Lage sein
müssen nach dem Signaturgesetz zu zertifizieren. Diese können durch weitere Rechtsvorschriften
weiteren Bedingungen unterworfen werden. Das Gesetz unterscheidet zwischen ” elektronischen
Signaturen“, ” fortgeschrittenen elektronischen Signaturen“ und ” qualifizierten elektronischen
Signaturen“. Erstere beschreiben Signaturen jeglicher Art. Die Folgende beschreibt
diejenigen Signaturen, die den Inhaber authentifizieren, kontrolliert durch den Inhaber erzeugt
worden sind und nachträgliche Manipulation(en) der zu signierenden Nachrichten erkennbar
machen können. ” qualifizierte elektronische Signaturen“ sind ” fortgeschrittene Signaturen“,
die auf einem qualifizierten Zertifikat beruhen und sicher erzeugt wurden. Des weiteren werden
durch das Gesetz Begriffe der Informatik juristischer Nomenklatur unterworfen. Die Benennung
jeglicher Zertifizierungs-Software sowie Hardware als ” Signaturanwendungskomponenten“
(§2 Abs.11, SigG) mag zwar einen Juristen, aber nicht den Leser dieses Dokumentes,
erfreuen. Aus diesem Grunde werden im folgenden üblichen Begriffe verwendet.
Der Betrieb einer CA nach SigG ist ” genehmigungsfrei“. Allerdings müssen zur Betreibung
eines Zertifizierungsdienstes (CA) folgende Bedingungen seitens der CA erfüllt sein:
• Bereitstellung einer Deckungsvorsorge in Höhe von 500.000 DM (250.000 EUR)
• Zuverlässigkeit und Fachkunde der CA.
Die zuerst aufgeführte Bedingung ist klar und deutlich. Um eine eventuell auftretende Haftungsklage
begleichen zu können sind 250.000 EUR (der einfachheithalber wurden DM-
Beträge bei allen Behörden mit dem Faktor 0.5 in den EUR-Betrag umgerechnet). Beim
zweiten Punkt steckt sprichwörtlich der Teufel im Detail. Die Prüfung der Zuverlässigkeit
und Fachkunde erfordert, ähnlich einer Wirtschaftsprüfung, Gutachten. Diese Gutachten sind
nicht nur aufwendig und zeitintensiv. Sie sind von einem enormen organisatorischen sowie finanziellen
Ausmaß. Dieses Ausmaß übersteigt das eines Rechenzentrums gewaltig.
3.1.1 Haftung
Grundsätzlich haftet die CA für den Schaden eines Dritten, sofern der Schaden durch Missachtung
des SigG von Seiten der CA entstanden ist. Dies sind solche Schäden, die einem
Dritten durch das Vertrauen in eine (oder mehrere) Zertifikat(e) entstehen, wenn das Zertifikat
nicht den Bedingungen des SigG genügt. Die Haftung der CA tritt allerdings weder
dann ein, wenn der Dritte über die fehlerhaften Angaben des Zertifikates informiert war,
noch wenn die CA nicht schuldhaft gehandelt hat. Dies hat zur Folge, dass ein Geschädigter
die Schuldfähigkeit der CA nachzuweisen hat. Des weiteren hat er glaubhaft nachzuweisen,
dass er die Fehlerhaftigkeit des Zertifikates nicht erkannte. Es ist abzusehen, dass hier nur
durch ein gerichtliches Urteil die Haftbarkeit der CA nachgewiesen werden kann. Ein solches
Verfahren wurde allerdings bisher nicht geführt.
3.2 Freiwillige Akkreditierung
Die Akkreditierung eines Zertifizierungsdienstanbieters ist freiwillig. Entscheidet sich eine CA
dafür eine nach SigG akkreditierte CA zu sein, so hat sie dies bei der zuständigen Behörde zu
beantragen. Diese Behörde prüft dann die technischen und administrative Sicherheit der CA.
Seminar – IT-Management in der Praxis