Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

4.19. Rechtliche Aspekte des CA-Betriebs 85
Noch sind sie in Deutschland zwar nicht geltendes Recht, die Gerichte werden sich aber in entsprechenden
Streitfällen – ähnlich wie beim Datenschutzrecht, wo eine Umsetzung der EU-Richtlinie
in deutsches Recht (trotz Fristablauf!) ebenfalls noch nicht erfolgt ist (vgl. 3.5.4) – bereits an den
Bestimmungen der EU-Richtlinie orientieren, solange diese noch nicht ihren Niederschlag in Form
von nationalen Gesetzen gefunden hat.
Haftung für Schäden aus der Zertifizierung
Nach der momentanen Rechtslage spielt es für die Frage der Haftung der Zertifizierungsstellen keine
Rolle, ob es sich um eine Stelle im Sinne des § 2 SigG handelt oder nicht. Der Gesetzgeber hat bei
Erlaß des Signaturgesetzes auf eine eigene Haftungsregelung sowie auf eine Haftungsbegrenzung –
entgegen teilweise anderer Erwägungen im Gesetzgebungsverfahren – letztendlich doch verzichtet
(s. 3.5.1). Somit gelten sowohl für Zertifizierungsstellen i.S.d. SigG als auch für sonstige Zertifizierungsstellen
die allgemeinen zivilrechtlichen Haftungsregelungen:
Wenn aufgrund von technischen Defekten, betrügerischen Manipulationen oder fahrlässigem Fehlverhalten
von Mitarbeitern der Zertifizierungsstelle bei der Ausgabe oder Verwaltung von Zertifikaten
Schäden entweder beim Zertifikatnehmer oder bei einem am Zertifizierungsvorgang nicht
beteiligten Dritten entstehen, haftet die Zertifizierungsstelle dafür.
Zwischen der Zertifizierungsstelle (bzw. der Institution, die die Stelle betreibt) und dem Inhaber des
von dieser Stelle erteilten Zertifikates besteht ein vertragliches Schuldverhältnis, aus dem für jede
der beteiligten Parteien entsprechende Haupt-, Schutz- und Nebenpflichten gegenüber der anderen
Partei folgen. Seitens der Zertifizierungsstelle zählen hierzu im allgemeinen die ordnungsgemäße
Schlüsselzuordnung und -verwaltung, die Ausstellung eines gültigen Zertifikates, in entsprechenden
Fällen auch dessen Sperrung, die Einrichtung ausreichender Sicherheitsvorkehrungen, die zutreffende
Auskunftserteilung bei Zertifikatsabfragen sowie ggf. auch die geeignete Generierung von
Schlüsseln. Verstößt die Zertifizierungsstelle bzw. einer ihrer Mitarbeiter schuldhaft (auch fahrlässig)
gegen eine der vorgenannten Pflichten, so hat die Zertifizierungsstelle hierfür gegenüber dem
Vertragspartner einzustehen. Die Haftung der Zertifizierungsstelle umfaßt den Ersatz von Vermögensschäden
ebenso wie den Gewinn, der dem Vertragspartner durch die Pflichtverletzung entgeht
[Tim97].
Ein Haftungsausschluß in den Nutzungs-/Geschäftsbedingungen der Zertifizierungsstelle ist dabei
nur möglich für den Fall fahrlässigen Verschuldens. Die Haftung für Schäden bei grob fahrlässigem
und vorsätzlichem Verhalten ist nicht ausschließbar. Ebenso ist eine Haftungsbegrenzung auf eine
bestimmte Schadenssumme nicht möglich. Diese Regelungen gelten auch dann, wenn die Zertifizierungsstelle
ihre Leistungen unentgeltlich anbietet. Die Unentgeltlichkeit einer Leistung führt mithin
nicht zu einem generellen Haftungsausschluß [Hil98].
Zwischen einem geschädigten Dritten und der Zertifizierungsstelle klafft hingegen eine Haftungslücke:
Hier bestehen keine vertraglichen Beziehungen, das Produkthaftungsgesetz greift nur bei
privater Nutzung von Produkten und gilt nicht für Dienstleistungen. Nach § 831 BGB haftet die
Zertifizierungsstelle zwar für Schäden, die ihre Mitarbeiter als sog. Verrichtungsgehilfen bei Dritten
verursachen. Die Zertifizierungsstelle haftet außerdem nach § 823 BGB, wenn sie ihre inneren
Betriebsabläufe nicht so organisiert hat, daß die Anleitung und Überwachung der den Schaden ver-