Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

3.5. Rechtlicher Rahmen 29
3.5 Rechtlicher Rahmen
Für den Betrieb einer Zertifizierungsstelle sind viele gesetzliche Vorschriften relevant. Die wichtigsten,
weil am konkretesten auf Zertifizierungsstellen abzielenden, sind das deutsche Signaturgesetz
mit der zugehörigen Signaturverordnung und die Anfang 2000 in Kraft getretene EU-Richtlinie zur
elektronischen Signatur. Darüber hinaus sind die Datenschutzgesetze der Länder bzw. des Bundes
maßgeblich. Wenn digitale Signaturen und/oder Verschlüsselungsverfahren betrieblich eingeführt
werden sollen (und nicht nur als Angebot zur freiwilligen Nutzung), kommen außerdem noch die
entsprechenden arbeitsrechtlichen Regelungen hinzu (Arbeitnehmerdatenschutz, Mitbestimmung
etc.) 35
3.5.1 Gesetz zur digitalen Signatur
Das Gesetz zur digitalen Signatur [Sig97a], auch Signaturgesetz oder kurz SigG, ist seit 1. August
1997 in Kraft. Es zielt darauf ab, Rahmenbedingungen zu schaffen, „unter denen digitale Signaturen
als sicher gelten und Fälschungen digitaler Signaturen oder Verfälschungen von signierten
Daten zuverlässig festgestellt werden können“ (§ 1 Abs. 1). – Insofern ist es also eher ein
„Sicherungsinfrastruktur-Gesetz“ als ein „Signaturgesetz“ und seine Bezeichnung leicht irreführend.
– Die Bundesrepublik hat damit als eines der ersten Länder den Versuch unternommen, einen
Rahmen für den Einsatz und die Anerkennung eines Äquivalents zur eigenhändigen Unterschrift in
der Welt der digitalen Kommunikation zu etablieren.
Der Anwendungsbereich des SigG umfaßt Zertifizierungsstellen, für deren Betrieb es einer Genehmigung
der im Gesetz als „zuständige Behörde“ bezeichneten obersten Zertifizierungsinstanz
bedarf (§ 4 Abs. 1). Die Aufgabe dieser „Wurzelinstanz“ wird im SigG der Regulierungsbehörde
für Telekommunikation und Post zugewiesen (§ 3). Leider mangelt es dem Signaturgesetz in einem
wichtigen Punkt an Bestimmtheit bzw. Eindeutigkeit: Eine Zertifizierungsstelle wird in ihm definiert
als „eine natürliche oder juristische Person, die die Zuordnung von öffentlichen Signaturschlüsseln
zu natürlichen Personen bescheinigt und dafür eine Genehmigung gemäß § 4 besitzt“ (§ 2 Abs. 2).
Damit liegt ein Zirkelschluß vor, der Unklarheit darüber bewirkt, ob die Lizensierung freiwillig oder
obligatorisch sein soll. § 1 Abs. 2 stellt ausdrücklich die Anwendung anderer Verfahren frei, während
§ 4 Abs. 1 und die Begründung zum Gesetz eine Lizensierungspflicht für jegliches Ausstellen
von Zertifikaten nahelegen [Roß97].
Die Erteilung einer Lizenz zum Betrieb einer Zertifizierungsstelle ist nach dem SigG an drei Voraussetzungen
geknüpft:
Zuverlässigkeit des Antragstellers
Fachkunde des in der Stelle tätigen Personals
Erfüllung der technischen und organisatorischen Sicherheitsanforderungen des Gesetzes an
die Zertifizierungsstelle (Nachweis durch Vorlage eines Sicherheitskonzeptes und die Bestä-
35 Auf einige interessante Aspekte im Zusammenhang mit der betrieblichen Nutzung von Public-Key-Verfahren geht
GERLING ein [Ger00], so u.a. den Umstand, daß die Gültigkeitsdauer von Schlüsseln oder Zertifikaten, sofern sie veröffentlicht
werden, keinen Rückschluß z.B. auf ein „nur“ befristetes Arbeitsverhältnis zulassen darf.