Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

72 Kapitel 4. Konzept für eine Zertifizierungsstelle (“plan”)
Angebot hinweisen. (Allerdings gilt es hier sorgsam abzuwägen, ob diese Aktion nicht „nach hinten
losgehen“ könnte, und zwar dann, wenn viele der angeschriebenen die Mail eher als spam, also als
belästigende, unverlangt zugesandte Nachricht, auffassen!)
Eine andere Aktionsform, mit der die Zertifizierungsstelle den Zusammenhalt der UNI-PGP-Nutzer
untereinander fördern und sie miteinander persönlicher bekanntmachen könnte, wären Key-Signing-
Parties (siehe 4.14.7) im Rahmen anderer geeigneter Anlässe. Damit eine solche Key-Signing-Party
ein Erfolg wird, sind einige organisatorische Vorbereitungen zu treffen; würde die UNI-CA diese
Aufgabe übernehmen, so würde sie durch gelungene Key-Signing-Parties die Nutzer sicher auch
zur Nachahmung anregen.
Weitergehende öffentlichkeitswirksame Aktivitäten der Zertifizierungsstelle könnten z.B. in Kooperationen
mit dem Datenschutzbeauftragten der UNI oder dem des betreffenden Bundeslandes oder
mit Verbraucherverbänden (s.o.) bestehen. (Siehe dazu auch Abschnitt 4.18.)
Nachstehend werden nun einige spezielle Gesichtspunkte, die Teile der Außendarstellung oder der
Öffentlichkeitsarbeit einer Zertifizierungsstelle betreffen, näher erörtert.
4.16.1 Benennung: ‘CA’ vs. ‘Trustcenter’
Der Begriff ‘Trustcenter’ wird unterschiedlich gebraucht: Manche Autoren verwenden ihn pauschal
für alle Vertrauensinstanzen, andere verknüpfen den Begriff mit einer bestimmten baulichorganisatorischen
Ausprägung:
„Ist die Vertrauensinstanz räumlich und organisatorisch verselbständigt, quasi als eigene Trutz-
burg hinter Beton, Außenhautsicherungen und Zutrittskontrollen abgesichert, wird sie als Trust-
center bezeichnet.“ [BHK
94, S. 41]
Unter anderem in Dokumenten der Europäischen Union bedeutet der Begriff ‘Trustcenter’ oder auch
‘Trusted Third Party’ (TTP), also ein vertrauenswürdiger Dritter, fast immer zugleich auch ‘eine
Stelle zur Hinterlegung geheimer Schlüssel’ (Stichwort key escrow bzw. key recovery), die gegebenenfalls
den Sicherheitsbehörden eines Landes den Zugriff auf die Schlüssel ermöglicht. Insofern
ist, zumindest für „Eingeweihte“, der Begriff ‘Trustcenter’ nicht mehr so positiv oder neutral, wie
er für einen neutralen Beobachter zunächst erscheinen mag. Die EU-Kommission hält dies selber
fest, indem sie in [EUK97, 2., dt. Fassung] bemerkt:
„TTPs ... werden jedoch häufig mit dem rechtmäßigen Zugriff auf Schlüssel in Verbindung
gebracht [...]. Es ist nicht ausgeschlossen, daß TTPs auch als CA, wie in dieser Mitteilung be-
schrieben, fungieren können. Die Aufgaben beider Einrichtungen werden jedoch als verschie-
den angesehen.“
An anderer Stelle im selben Dokument wird die Kommission sogar noch deutlicher, wenn sie im
Zusammenhang mit dem Schutz vor „Identitätsdiebstahl“ feststellt:
„CAs muß es deshalb verboten sein, private Schlüssel aufzubewahren. Das wiederum un-
terscheidet CAs von TTPs, welche gerade das Aufbewahren von Informationen über private
Schlüssel zu ihren Aufgaben zählen.“