Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

3.5. Rechtlicher Rahmen 31
3.5.2 Verordnung zur digitalen Signatur
In § 16 SigG wird die Bundesregierung ermächtigt, durch Rechtsverordnung Details zur Digitalen
Signatur und zu SigG-Zertifizierungsstellen zu regeln, die im Signaturgesetz selbst ausgespart
wurden. Dies betrifft alle wesentlichen Einzelheiten der Zertifizierung, der Pflichten einer Zertifizierungsstelle
und der Maßnahmen, mit denen ihre Einhaltung kontrolliert werden soll.
Die Bundesregierung hat in der Verordnung zur digitalen Signatur (Signaturverordnung – SigV)
[Sig97b] die entsprechende Ausgestaltung der o.g. Bereiche geregelt.
In der SigV ist unter anderem festgelegt,
daß die Identifikation des in der SigV als ‘Antragsteller’ bezeichneten Zertifikatnehmers bei
der erstmaligen Beantragung anhand des Personalausweises oder des Reisepasses „oder auf
andere geeignete Weise“ vorzunehmen ist (bei Folgeanträgen kann von einer erneuten Identifikation
abgesehen werden, wenn der Folgeantrag mit einer digitalen Signatur des Antragstellers
versehen ist) (§ 3 Abs. 1)
daß die Zertifizierungsstelle den Zertifikatnehmer über die Verhaltensweisen und Maßnahmen
aufklären muß, mit denen er seinen geheimen Signaturschlüssel vor unbefugtem Zugriff
schützen muß bzw. die er bei der Prüfung fremder digitaler Signaturen vornehmen sollte (§ 4
Abs. 1), es sei denn, der Betreffende ist bereits entsprechend unterrichtet worden (§ 4 Abs. 2)
daß Signaturschlüssel durchaus auch vom Zertifikatnehmer selbst unter eigener Kontrolle
(und nicht von der Zertifizierungsstelle) generiert werden können (§ 5 Abs. 1)
daß SigG-Zertifikate eine maximale Gültigkeitsdauer von fünf Jahren aufweisen dürfen (§ 7)
daß eine Fotokopie des Personalausweises oder Reisepasses des Zertifikatnehmers anzufertigen
(§ 13 Abs. 1) und zusammen mit seinem Zertifizierungsantrag sowie allen anderen zugehörigen
Unterlagen 35 Jahre lang aufzubewahren ist (§ 13 Abs. 2).
Bemerkenswert ist, daß darüber hinaus nicht nur dem Zertifikatinhaber oder seinem Vertretungsbevollmächtigten,
sondern auch der SigG-Wurzelinstanz von jeder Zertifizierungsstelle eine Möglichkeit
geboten werden muß, das betreffende (bzw. im Falle der „zuständigen Behörde“ wohl jedes)
Zertifikat auf telefonischem Wege nach geeigneter Authentifizierung des Anrufers unverzüglich
sperren zu lassen (§ 9 Abs. 1 SigV). Hierdurch wird eine Möglichkeit geschaffen, mit der der Staat
letztlich jede SigG-konforme digitale Signatur einzelner Personen ab einem bestimmten Zeitpunkt
verhindern könnte – eine sehr weitgehende Eingriffsbefugnis, die ggf. für den Betroffenen quasi
der technisch durchgesetzten Beschränkung gleichkäme, keinerlei Verträge mehr unterzeichnen
und sich nicht mehr ausweisen zu können. Der Betroffene wäre geradezu seiner digitalen „Identität“
beraubt. Diese Durchgriffsbefugnis einer übergeordneten Zertifizierungsinstanz auf die Nutzerzertifikate
einer nachgeordneten CA ist außergewöhnlich. Dieser Teil von § 9 Abs. 1 wird interessanterweise
auch in der Begründung der Bundesregierung zur SigV [BRD97] mit keinem Wort
kommentiert oder auch nur erwähnt. Dort heißt es zu § 9 Abs. 1 lediglich:
„Die Regelung dient dem Schutz der Signaturschlüssel-Inhaber sowie der dritten Personen, de-
ren Angaben zur Vertretungsmacht in ein Zertifikat aufgenommen wurden. Durch die verlang-
te Bekanntgabe einer Rufnummer (Telefon) [der Zertifizierungsstelle] soll eine unverzügliche