Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

90 Kapitel 4. Konzept für eine Zertifizierungsstelle (“plan”)
Server-CA nie SigG-konform sein, und die DFN-PCA folglich auch nicht, wenn sie diese Server-CA
zertifiziert!
Aber auch andere arbeiten nicht unbedingt nach den Vorgaben des Signaturgesetzes, wenn es um
Schlüsselzertifizierung geht, sondern verfolgen eigene Ideen und Ziele und arbeiten nach eigenen
Regeln. So hat z.B. ein internationales Konsortium unter Beteiligung der Deutschen, der Dresdner
Bank und der HypoVereinsbank mit Identrus 30 (vormals Global Trust Enterprise) ein weltweites
Unternehmen gegründet, das mit den Finanzinstituten seiner Gründungsfirmen als CAs Identitätszertifikate
auf der Basis der Root-CA von CertCo 31 ausstellen will [Cer98, CZ98a]. Und es ist doch
mehr als fraglich, ob bei dieser weltumspannenden Kooperation ausgerechnet die Bestimmungen
des deutschen Signaturgesetzes angewandt werden...
4.19.6 Exportkontrolle
Nach der Neuregelung der Exportkontrollen gemäß dem Wassenaar-Abkommen ist jetzt Verschlüsselungssoftware
bis 56 Bit symmetrischer Schlüssellänge und bei Massenprodukten bis 64 Bit
Schlüssellänge von der Exportkontrolle ausgenommen und darf beliebig exportiert werden [CZ98c].
Bisher war Massenmarkt- und Public-Domain-Software nach der EG-Dual-Use-Verordnung von der
Exportkontrolle ausgenommen; das neue Abkommen ist also in diesem Punkt restriktiver, da nun
auch die Schlüssellänge entscheidet, ob eine Ausfuhrgenehmigung erforderlich ist [SH98c].
Software für größere Schlüssellängen darf nicht ohne weiteres exportiert werden (sie steht unter Exportkontrolle);
das bedeutet aber auch nicht, daß ihre Ausfuhr grundsätzlich verboten wäre. Es ist
Sache der einzelnen Mitgliedsländer des Wassenaar-Abkommens, wie sie die vereinbarten Regeln
national gesetzgeberisch umsetzen bzw. ob ein Produkt, das unter Exportkontrolle steht, trotzdem
ausgeführt werden darf. Außerdem scheint es dabei auch einigen Interpretationsspielraum zu geben.
So hat Dänemark bereits einen Journalisten dazu angehalten, die Download-Möglichkeit von
PGP von seiner Web-Site zu deaktivieren. Die Bundesrepublik will hingegen erst in sechs Monaten
mit der nationalen Umsetzung der Übereinkunft beginnen. Im Wirtschaftsministerium teilt man
die dänische Auffassung, PGP sei “Mass Market Software” und damit exportkontrollpflichtig, nicht
[CZ99b, Moe98]. Die Internet Engineering Steering Group (IESG) und das Internet Architecture
Board (IAB) haben hingegen mit einem scharfen Protest auf die neuen Vereinbarungen reagiert
[BC98], vermutlich weil die Mitgliedsstaaten verpflichtet sind, die – meist einstimmig getroffenen
– Vereinbarungen in einem bestimmten Zeitrahmen in nationales Recht zu übertragen und anzuwenden
[Rot98a, S. 9]. – Im Zweifelsfall hilft vielleicht eine Anfrage an das Bundesausfuhramt (siehe
Anhang M) weiter.
„Die (käuflichen) Web-Browser (z.B. Netscape Navigator Gold) sind als mass market software
für jedermann frei erhältlich und dazu entwickelt, vom Benutzer selbst installiert zu werden. ...
Die im Internet kostenlos erhältlichen Web-Browser sind als Public Domain Software geneh-
migungsfrei.“ [Rot98a, S. 9]
Doch richtig aufatmen kann man z.B. als Administrator eines FTP-Servers trotzdem nicht – es gibt
etliche andere Software mit kryptographischer Funktionalität, deren Export aus der Bundesrepu-
30 http://www.identrus.com
31 http://www.certco.com