Einsatzmöglichkeiten kryptographischer Methoden zur Signatur und ...

3. Rechtlicher Rahmen der Kryptographie in
Deutschland
Einen direkten rechtlichen Rahmen für den Einsatz von Signaturen gibt es in
Deutschland seit der Einführung des Signatur Gesetzes (SigG) 1997. Vorher war es
den Gerichten im Rahmen der freien Beweiswürdigung möglich, Signaturen (ggf.
nach aufwendigen Gutachten) anzuerkennen - oder auch nicht, wenn das Gericht
nicht überzeugt wurde.
Mit der Einführung des SigG 1997 betrat Deutschland international Neuland, da es
bisher in dieser Form für ein landesweit geltendes Signaturgesetz keine Beispiele
gab.
In dem SigG wurde eine Genehmigungspflicht für Trustcenter definiert, die sehr
hohe Anforderungen an die räumlichen und administrativen Vorgänge der Zertifizierung
stellt und somit einen erheblichen finanziellen und organisatorischen Aufwand
für den Betrieb eines Trustcenters erforderlich macht. Vermutlich deshalb gab es nur
wenige Institutionen, welche eine Zulassung beantragten (siehe auch [SchC2001] ,
[LANL2001], [Mal2001]).
Im Rahmen einer europäischen Richtlinie zur Vereinheitlichung der Signaturgesetze
innerhalb der Europäischen Union wurde 2001 die Rechtslage in Deutschland angepasst.
Die neue Gesetzeslage unterscheidet sich in folgenden Punkten wesentlich von
dem bisherigen Gesetz:
• Die Genehmigungspflicht wurde zugunsten einer Anzeigepflicht gestrichen.
Es entstehen also keine Kosten für eine Zertifizierung. Zusätzlich gibt es jetzt
eine Haftungsregelung für die TrustCenter, welche in Kraft tritt, wenn aufgrund
eines Verschuldens des TrustCenters einem Dritten ein Schaden entsteht,
weil er einem (fehlerhaften) Zertifikat vertraute. Durch die Haftungsregelung
dürfte das Vertrauen in die Echtheit der Signaturen steigen.
• Es gibt jetzt drei Signaturen. Die „einfache Signatur“, die europaweit einheitliche
„Fortgeschrittene Signatur“ und die „Qualifizierte Signatur“. Bei der
„einfachen Signatur“ gibt es keine gesetzlich geregelte Haftung für Schäden,
die aus der Nutzung eines fahrlässig fehlerhaften Zertifikates entstehen. Hier
bleibt es dem Anbieter überlassen, in welchem Rahmen er den Nutzern
gegenüber haftet [iX2001-04]. Bei der „Fortgeschrittenen Signatur“ haftet das
TrustCenter für die Richtigkeit und Vollständigkeit der zertifizierten Angaben
gegenüber Dritten, wenn diesen durch fahrlässiges Verhalten des Trust-
Centers ein Schaden entstanden ist. Die „Qualifizierte Signatur“ ist sozusagen
eine offiziell zertifizierte Signatur, bei welcher der Betreiber nachgewiesen
hat, dass er erfolgreich einen hohen Aufwand betreibt, um die Sicherheit zu
gewährleisten. Es handelt sich dabei sozusagen um eine an die Europäische
Signaturrichtlinie angepasste Variante des bisherigen Signaturgesetzes.
6