Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

32 Kapitel 3. Public-Key-Zertifizierung in der Praxis
Sperrung [eines Zertifikats] ermöglicht werden, da eine Telefonverbindung praktisch jederzeit
hergestellt werden kann. Die Bekanntgabe weiterer Telekommunikationsanschlüsse (z.B. Fax)
bleibt unbenommen. Als Authentisierungsverfahren kommt z.B. ein Paßwortverfahren in Be-
tracht.“
§ 9 Abs. 1 SigV schreibt letztlich eine Schnittstelle vor, mit der die Bestimmungen von § 13 Abs. 5
SigG besonders schnell durchgesetzt werden können. Dort ist zwar vorgesehen, daß Zertifikate einer
Zertifizierungsstelle ihre Gültigkeit behalten, selbst wenn die Wurzelinstanz die Genehmigung
für den Betrieb dieser Stelle widerruft; die „zuständige Behörde“ kann aber eine Sperrung von
Zertifikaten anordnen, „wenn Tatsachen die Annahme rechtfertigen, daß Zertifikate gefälscht oder
nicht hinreichend fälschungssicher sind oder ... zur Anwendung der Signaturschlüssel eingesetzte
technische Komponenten Sicherheitsmängel aufweisen, die eine unbemerkte Fälschung digitaler
Signaturen oder eine unbemerkte Verfälschung signierter Daten zulassen.“
Auch die Signaturverordnung bleibt noch bewußt allgemein und unspezifisch, was geeignete technische
Sicherungsverfahren und Schutzmaßnahmen angeht; derartige Festlegungen wurden aus der
SigV in eine mehrteilige SigG-Interoperabilitätsspezifikation („Schnittstellenspezifikation zur Entwicklung
interoperabler Verfahren und Komponenten nach SigG/SigV“, SigI), die zur Zeit noch
entwickelt wird, und zwei Maßnahmenkataloge für technische Komponenten und für Zertifizierungsstellen
[RTP98] ausgelagert (§ 12 Abs. 2 und § 16 Abs. 6), die von der Regulierungsbehörde
geführt und im Bundesanzeiger veröffentlicht werden. (Siehe auch Abschnitt 4.19.4 in Kapitel 4 zu
Details der Anforderungen.)
3.5.3 EU-Richtlinie zu Rahmenbedingungen elektronischer Signaturen
Die EU hat die Gefahr divergierender nationaler Regelungen der digitalen Signatur sowie unterschiedlicher
Maßnahmen auf dem Gebiet der Kryptographie und drohender daraus resultierender
Hemmnisse für den freien Waren- und Dienstleistungsverkehr frühzeitig erkannt und bereits 1997
die Mitteilung der EU-Kommission zu „Sicherheit und Vertrauen in elektronische Kommunikation
– ein europäischer Rahmen für digitale Signaturen und Verschlüsselung“ [EUK97] vorgelegt. Zuvor
waren bereits vorbereitende Gutachten und Studien zu diesem Gebiet eingeholt worden. In dieser
Mitteilung heißt es – im Kontrast zum deutschen Signaturgesetz:
„Da die Lizenzierungspflicht für CAs nicht der einzige Weg ist zu einer Übereinstimmung zwi-
schen den Aktivitäten der CA einerseits und den Vorstellungen der Öffentlichkeit, wie Vertrauen
in digitale Signaturen gefördert werden kann andererseits, müßte ein Regulierungsrahmen auf
EU-Ebene die Koexistenz sowohl lizenzierter als auch unlizenzierter CAs vorsehen.“ [EUK97]
Mit dem ersten Entwurf einer EU-Richtlinie über gemeinsame Rahmenbedingungen für elektronische
Signaturen [EUK98b] vom 13. Mai 1998 wurden die Ziele der Mitteilung von 1997 dann
konkretisiert. Im Unterschied zum deutschen Signaturgesetz sah der erste Richtlinienentwurf die
Durchsetzung konkrete Haftungsanforderungen vor, die als marktwirtschaftliches Steuerungsinstrument
ein hohes Sicherheitsniveau sicherstellen sollten. Der Entwurf blieb bewußt funktional
gehalten statt technisch, um eine Offenheit für zukünftige Verfahren zu gewährleisten. In einigen