Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

86 Kapitel 4. Konzept für eine Zertifizierungsstelle (“plan”)
ursachenden Mitarbeiter durch leitende Mitarbeiter gewährleistet ist. In diesen Fällen hat ein Geschädigter
jedoch grundsätzlich nur einen Ersatzanspruch bei Beeinträchtigung sogenannter „absoluter
Rechte und Rechtsgüter“ (Leib, Leben, Gesundheit, Persönlichkeitsrecht, Eigentum) – solche
Arten von Schäden dürften bei der typischen Tätigkeit einer Zertifizierungsstelle relativ selten sein
[Tim97] –, jedoch nicht bei Vermögensschäden [Roß97, S. 79].
Sollte der Dritte jedoch durch Mitarbeiter der Zertifizierungsstelle auf betrügerische Weise oder
sittenwidrig geschädigt worden sein, so haftet die Zertifizierungsstelle auch für Vermögensschäden
(§§ 823 Abs. 2, 826 BGB). Da in beiden Fällen jedoch eine vorsätzliche Schädigung Voraussetzung
ist, folgt aus lediglich fahrlässigem Verhalten keine Haftung der Zertifizierungsstelle für Vermögensschäden
[Hil98].
Haftung für Schäden durch fehlerhafte Software
Bietet eine Zertifizierungsstelle nicht nur die direkten Zertifizierungsdienste an, sondern hält darüber
hinaus, wie beispielsweise die DFN-PCA, auch Software auf ihrem WWW- oder FTP-Server
zum Download bereit, so kann sie unter Umständen auch für Fehler oder Viren in diesen Programmen
haftbar gemacht werden [Hoe97, S. 81–91].
Bei kostenlos verteilter Software ist die Sicherheitserwartung der Nutzer gering, entsprechend niedrig
sind die Sorgfaltspflichten des Anbieters hinsichtlich Stichprobenkontrollen anzusetzen (insbesondere
dann, wenn beispielsweise auf das Risiko des Virenbefalls hingewiesen wird oder Anti-
Viren-Programme auf dem Server angeboten werden). Werden allerdings spezielle Programmpakete
für den Anwender bereitgestellt, so kann dies gehobene Sicherheitserwartungen beim Nutzer
wecken – insbesondere, wenn eine Zertifizierungsstelle dies tut –, die wiederum zu höheren Sorgfaltspflichten
seitens des Anbieters führen. Er hat Produktbeobachtungspflichten und für Software,
die über die Einrichtung lizensiert wird und für die Support o.ä. von ihm angeboten wird, eine Instruktionspflicht,
d.h. eine Pflicht zur Einweisung in den Umgang mit dem Programm, wozu auch
der Hinweis auf mögliche Gefahren zählen kann [Hoe97, S. 86 f.].
4.19.3 Versicherungsschutz
Wie im vorigen Abschnitt dargelegt, haftet eine Zertifizierungsstelle, auch eine, die unentgeltlich
tätig ist, in bestimmten Situationen für Schäden, die aus ihrer Arbeit resultieren [Tim97]. Das Fazit
in einer entsprechenden Stellungnahme für den Individual Network e.V. [Hil98] lautete daher:
„Es ist ratsam, wenn die Zertifizierungsstellen entsprechende Haftpflichtversicherungen ab-
schließen. Ansonsten haftet allein die Organisation, die die Zertifizierungsstelle trägt, mit ihrem
gesamten Vermögen.“
Ein solcher Versicherungsschutz ist allerdings nicht so einfach zu bekommen: Der Gerling-
Versicherungskonzern, an neuen Geschäftsfeldern sonst durchaus interessiert und eher aufgeschlossen
gegenüber neuen Ideen, lehnte es beispielsweise bislang aus grundsätzlichen Erwägungen ab,
eine entsprechende Police abzuschließen. Nach Auskunft von LUTZ DONNERHACKE, Mitarbeiter
der bei Gerling anfragenden und auf dem Gebiet der Zertifizierung kommerziell tätigen IKS GmbH: