Signaturregulierung im Rechtsvergleich In diesem Vortrag sollen die Fragen geklärt werden: Sind Digitale Signaturen nach derzeitig geltendem Recht wirksam? Welchen Beweiswert haben Digitale Signaturen? Vergleich von Urkunden mit Digitale Signaturen Digitale Signaturen sollen die Echtheit von digitalen Dokumenten beweisen, genauso wie eine Unterschrift auf einer Urkunde. Das heißt also, die Digitale Signatur muss die gleichen Eigenschaften erzielen wie eine Unterschrift. Im „Neunten Titel“ des „Zweiten Buches“ der Zivilprozessordnung unter §§ 416 stehen die Eigenschaften von Urkunden. „Privaturkunden begründen, sofern sie von den Ausstellern unterschrieben oder mittels notariell beglaubigten Handzeichens unterzeichnet sind, vollen Beweis dafür, daß die in ihnen enthaltenen Erklärungen von den Ausstellern abgegeben sind.“ Diese Eigenschaften müssen also von Digitalen Signaturen erreicht werden um einen geltenden Beweiswert zu erbringen. Dazu kläre ich erst einmal über die Eigenschaften von Privaturkunden auf: „Privaturkunden begründen, sofern sie von den Ausstellern unterschrieben oder mittels notariell beglaubigten Handzeichens unterzeichnet sind, vollen Beweis dafür, daß die in ihnen enthaltenen Erklärungen von den Ausstellern abgegeben sind.“ Eine Urkunde muss schriftlich verfasst worden sein. Dies gilt natürlich auch für eine digitale Urkunde, diese liegt im Binärcode auf einem Datenträger, also in Nullen und Einsen. Diese kann man aber als normaler Mensch nicht verstehen, man braucht eine Übersetzung. Das ist meist der ASCII Code. Erst dann wird der Inhalt verständlich. Zudem benötigt man noch einen PC oder ähnliches zur Umsetzung. Das darf allerdings nicht sein, denn eine Urkunde muss von jedem Menschen ohne Umsetzung oder Gerätschaften verstanden werden. Zudem hat eine Urkunde von dauerhaftem Zustand zu sein. Man darf sie nicht einfach löschen können wie ein paar Daten auf einer Festplatte. Eine Ausnahme besteht jedoch darin, dass man einen einmal beschreibbaren Datenträger nimmt. Dieser ist auch von Dauer, allerdings trifft das nur sehr selten zu, denn man möchte die Daten übers Netz verschicken und das basiert auf keinem festen Datenträger. Zu einer Urkunde gehört eine eigenhändige Unterschrift. Man darf keinen Stempel verwenden. Eine Digitale Unterschrift ist aber wie ein Stempel, der über eine Tastatur eingegeben wurde und bei gleicher Zeichenfolge keine individuellen Unterschiede, wie bei der Handschrift, aufweist. Eine Ausnahme gibt es allerdings. Kurzfristige gerichtliche Faxe haben den Beweiswert einer Urkunde, obwohl sie über eine Datenverbindung geschickt wurden, also nicht „Verkörpert“ sind, und dadurch keine eigenhändige Unterschrift besitzen. Dies ist nur eingeführt worden um die deutsche Bürokratie zu beschleunigen. Daraus ergibt sich, daß für Digitalen Signaturen gesonderte Gesetze gemacht werden müssen. Digitalen Signaturen müssen noch folgende Eigenschaften erfüllen um mit Urkunden gleichziehen zu können: Sie müssen wie die Unterschrift zur Urkunde fest an das Dokument gebunden sein. Es muss nachzuprüfen sein von wem die Digitale Signatur stammt. Im Signaturgesetz heißt es: SigG: „Die Beweisfunktion signierter digitaler Daten soll über die faktische Sicherheit gesetzlicher digitaler Signaturen erreicht werden, da davon ausgegangen werden kann, dass die Gerichte diese im Rahmen der freien Beweiswürdigung honorieren werden. In einem weitern (gesonderten) Schritt wird geprüft, ob Änderungen im Beweisrecht geboten sind.“ $$ 416 ist also hier nicht anwendbar. Aber der Augenscheinsbeweis § 371 ZPO könnte gelten: „Der Beweis durch Augenschein wird durch die Bezeichnung des Gegenstandes des Augenscheins und durch die Angabe der zu beweisenden Tatsachen angetreten.“ Man kann also abschließend sagen, daß Digitale Signaturen nicht der „Schriftformerfordernis“ genügen. Digitale Signaturen Digitale Signaturen verwendet man bei der Übertragung von Dokumenten durch ein System, wie das Internet, um diese beweisrechtlich sicher zu machen. Dabei unterscheidet man zwischen der „Geschlossene Kommunikationsbeziehung“ und der „Offenen Kommunikationsbeziehung“. „Geschlossene Kommunikationsbeziehung“ Dies erkläre ich am Beispiel des Grundbuchamtes. Man hat um den Zugriff auf das Grundbuchamt zu beschleunigen dieses über ein Datennetz zugänglich gemacht. Digitale Signaturen werden hier verwendet um die einzelnen Außenstellen, beim Zugriff auf die Zentral gespeicherten Daten, zu zertifizieren. Allerdings kann man auf dieses Netz von außen nicht zugreifen. Deswegen ist es vor Verfälschung von Daten und ähnlichen Dingen relativ sicher. „Offenen Kommunikationsbeziehung“ Anfänglich war die Übertragung von Dokumenten Formfrei, das heißt es gab keine Regulierung dafür. Dann wurde der „rechtsregulierender Ansatz“ herausgegeben. Darin wird versucht digital signierte Dokumente mit Privaturkunden gleichzusetzen. AWV Arbeitsgemeinschaft für wirtschaftliche Verwaltung „Gleich einer privaten Urkunde im Sinne von § 416 ZPO werden auf Datenträgern gespeicherte Dokumente und deren Ausdruck behandelt, wenn es sich um eine Gedankenäußerung handelt, die nach dem Stand der Technik geeignete Verfahren der Datenauthentizität und die Integrität des Ausstellers erkennen lässt und durch geeignete Techniken und organisatorische Maßnahmen vor Verfälschung gesichert ist.“ Dies gilt nur, wenn die Sicherheit gewährleistet ist Bundesnotarkammer „Ist durch Gesetz die elektronische Form vorgeschrieben, so muss der Aussteller der Erklärung dem Text seinen Namen hinzusetzen und beides elektronisch unterzeichnen (elektronische Unterschrift). Die elektronische Unterschrift muss in einem als sicher anerkannten Verfahren erklärungsabhängig und unterzeichnerabhängig hergestellt werden. Erklärung und Unterschrift müssen dauerhaft und lesbar wiedergegeben werden können.“ Signaturgesetz Das Signaturgesetz regelt die Sicherung von Signaturen und Dokumenten, um Falsche und Veränderte zu erkennen. Es regelt alles von Der Zuordnung der Zertifizierungsstelle bis hin zum Signiervorgang selber. Das Signaturgesetz ist offen gehalten, damit auch andere Verfahren als die bis zur Zeit entwickelten verwirklicht werden können und unter dieses Gesetz fallen. Es besagt das es Zertifizierungsstellen gibt welche die Verteilung von Schlüsseln regeln und das diese selber auch erst vom Staat lizenziert werden müssen. Diese Zertifizierungsstellen wiederum unterrichten die Schlüsselinhaber über den Umgang mit Signaturen. Es regelt auch die „technischen Komponenten“. Den Signaturgenerator, welcher eine zulässige Signatur erzeugen kann. Die Signaturkomponente, wie eine Chipkarte auf der wichtige Daten und Schlüssel sicher gespeichert werden können. Die Sicherheitskomponente, die zur Wiederaufbereitung der Daten dient. All dies wird durch eine staatliche Behörde beaufsichtigt, welche Zertifizierungsstellen lizenziert. Dies geschieht nur wenn die technischen Komponenten einen gewissen Sicherheitsstandard gewährleisten. Die eingesetzte Algorithmen und deren Parameter müssen sicher sein, also nicht zu knacken. Das selbe gilt für den Signierschlüssel und für die Digitale Signatur. Zudem benutzen die Zertifizierungsstellen einen Zeitstempel um genaue, nicht manipulierbare Zeitangaben zu erstellen. Diese Zeitstempel werden von Drittanbietern angeboten, allerdings haben fast alle Zertifizierungsstellen ihren eigenen Zeitstempeldienst um etwaige Manipulationen auszuschließen. Die Regulierungsbehörde für Telekommunikation und Post legt in Deutschland fest, welche Verfahren und Komponenten als sicher gelten. Zudem lizenziert sie die Zertifizierungsstellen. Daraus kann man schließen, daß die Zertifizierungsstellen also eine ordentliche technische Ausrüstung und die Angestellten über ausreichend Ausbildung verfügen. Die Überprüfung erfolgt auf Grundlage des Signaturgesetzes. Die Schlüssel, welche für Digitale Signaturen eingesetzt werden müssen folgende Eigenschaften erfüllen: - Der Schlüssel muss privat gehalten werden und darf nicht an Dritte weitergegeben werden. - Es darf bei der Erstellung möglichst keine Wiederholung auftreten. - Er darf nicht errechenbar sein oder durch einen Anderen gefälscht werden können. - Er darf nicht duplizierbar sein. Das Medium, wie die Smartcard, muss einen Kopierschutz besitzen. Die Sicherheit von Schlüsseln wird von staatlichen Stellen überprüft und muss Folgendes gewährleisten: - Angreifer, welche den Schlüssel knacken wollen, müssen über genügend Erfahrung besitzen. - Sie müssen eine dementsprechende Ausrüstung, z.B. einen Supercomputer, haben. - Und es darf nur bei günstigen Gelegenheiten dazu kommen. Alle diese drei Dinge treten normalerweise nicht auf, daher kann man einen Schlüssel somit als derzeitig sicher bezeichnen. Denn die Technik macht immer Fortschritte und es werden neu Verfahren entwickelt, welche es möglich machen, die Schlüssel zu errechnen. Die Schlüssel müssen also immer an den derzeitigen Stand der Technik angepasst werden. Der Schlüssel darf zudem nur mit dem Wissen des Anwenders angewandt werden. Um sicher zu gehen kann man zusätzlich biometrische Merkmale zur Sicherung mit anfügen. Dadurch wird ausgeschlossen, das Unbefugte den Schlüssel verwenden. Der Empfänger muss zudem noch nachprüfen können ob der Schlüssel noch erlaubt ist. Dazu bieten die Zertifizierungsstellen entsprechende Dienste an. Wenn man ein Dokument oder andere Daten mit einer Digitalen Signatur versieht muss vor der Unterzeic hnung nachprüfbar sein, was man da unterzeichnet. Der volle Inhalt der Daten muss frei ersichtlich sein. Er darf nicht durch irgendwelche Tricks unkenntlich gemacht werden. Es gibt z.B. den Trick mit der Bildschirmfarbe. Dabei wird der Text mit derselben Farbe formatiert wie der Hintergrund und ist somit nicht mehr sichtbar. Um dies zu verhindern sind die Geräte welche die Daten verschlüsseln so geschaffen, dass sie einem zur Kontrolle den Text nochmals weiß auf schwarz anzeigen. Von den Daten welche signiert werden wird ein Hashwert oder eine Prüfsumme ermittelt. Dieser wert wird mit in die Digitale Signatur eingefügt. Somit ist diese nur in Verbindung mit den richtigen Daten komplett. Es besteht die Möglichkeit, dass man den Schlüssel verleiht. Wenn man seiner Sekretärin den kompletten Vorgang des Signieren von Daten und deren Versendung überlassen will, kann man bei den Zertifizierungsstellen beantragen, daß der Schlüssel an sie weitergegeben werden kann. Folgende Pflichtdienstleistungen hat eine Zertifizierungsstelle zu stellen. - Sie muss die Teilnehmer registrieren und identifizieren, - die Schlüsselgenerierung für sich selbst und für den Teilnehmer oder die Überprüfung, dass der Antragssteller, wenn er selbst die Schlüssel generiert hat, geeignete technische Komponenten eingesetzt hat, - die Erzeugung und Übergabe von Zertifikaten, welche die Zuordnung von öffentlichen Schlüsseln zu natürlichen Personen bescheinigen, - die Führung eines Verzeichnisses (inklusive Sperrmanagement) mit der Möglichkeit, Zertifikate nachprüfbar und mit Zustimmung der Signaturschlüssel-Inhaber abrufbar zu halten, - und der schon erwähnte Zeitstempeldienst. Die Prüfung der Zertifizierungsstellen wird von der Regulierungsbehörde für Telekommunikation und Post in Auftrag gegeben. Wird also von ihr nicht selber durchgeführt. Dazu gibt es in Deutschland verschiedene Institutionen wie zum Beispiel: - BSI Bundesamt für Sicherheit in der Informationstechnik - TÜV Informationstechnik GmbH Beweisrechtliche Folgen Im Signaturgesetz steht, daß Digitale Signaturen als „sicher gelten können“. Die Bundesregierung sagt: „Die Beweisfunktion signierter digitaler Daten soll über die faktische Sicherheit gesetzlicher digitaler Signaturen erreicht werden, weil davon ausgegangen werden kann, dass die Gerichte diese im Rahmen der freien Beweiswürdigung honorieren werden. In einem weiteren gesonderten Schritt wird geprüft, ob Änderungen im Beweisrecht geboten sind.“ „das Gericht die Faktische Sicherheit honorieren werden“ Das bedeutet, daß vor Gericht durch diese Aussagen Digitale Signaturen nicht unbedingt als sicher gelten. Der Richter selbst hat die Freiheit dies zu entscheiden. Allerdings lässt ein Gericht die Digitalen Signaturen überprüfen und entscheidet dann erst, wobei in fast allen Fällen die Signaturen, welche von Zertifikatsstellen gegeben wurden, als sicher erachtet werden. Denn bei Verfehlungen haftet die Zertifizierungsstelle. Sie ist also darum bemüht, daß ihre Digitalen Signaturen als sicher anerkannt werden. Sollte der Schlüsselbesitzer seinen Schlüssel verlieren geht diese Haftung verloren, denn die Kunden wurden vom richtigen Umgang mit dem Schlüssen und den Geräten unterrichtet. Auch falsche Anwendung der technischen Komponenten führt dazu. Allerdings ist die Zertifizierungsstelle für den Zustand der Geräte verantwortlich. EU Digitale Signaturen stehen in einer Richtlinie im EG-Vertrag. Sie sind dort schon von Anfang an im Gesetz mit drin und nicht wie in Deutschland durch ein Zusatzgesetz erfasst. Das EU-Gesetz ist für alle Mitgliedsstaaten verpflichtend. Es legt die Rahmenbedingungen für Zertifizierungsdienste fest. Dabei wird zwischen - elektronischen Signaturen (kein besonderen Auflagen) - und fortgeschrittene elektronische Signatur unterschieden. Wobei ich nur auf Zweiteres eingehe, denn dies entspricht den im Signaturgesetz festgelegten Signaturen. Technikrechtlicher Ansatz Fortgeschrittene Signaturen müssen folgendes erfüllen: - Sie müssen ausschließlich dem Unterzeichner zugeordnet sein, - die Identifizierung des Unterzeichners ermöglichen, - mit Mitteln erstellt worden sein, die der Unterzeichner unter seiner alleinigen Kontrolle halten kann - und so mit den Daten auf die sie sich beziehen, verknüpft sein, dass eine nachträgliche Veränderung der Daten erkannt werden kann. Technische Sicherheit Die Digitalen Signaturen müssen sicher gegen unbeabsichtigte Fehler und beabsichtigte Angriffe sein. Signaturerstellungseinheiten sind die technischen Komponenten mit denen Daten Signiert werden. Sie müssen folgende Eigenschaften erfüllen: - Das die für die Erzeugung der Signatur verwendeten „Signaturerstellungsdaten“ praktisch nur einmal auftreten können, und dass ihre Geheimhaltung gewährleistet ist, - die für die Erzeugung der Signatur verwendeten „Signaturerstellungsdaten“ mit hinreichender Wahrscheinlichkeit nicht abgeleitet werden können und die Signatur vor Fälschungen bei der Verwendung der jeweils verfügbaren Technologie geschützt ist und - und die für die Erzeugung der Signatur verwendeten „Signaturerstellungsdaten“ von dem rechtmäßigen Unterzeichner vor der Verwendung durch andere verlässlich geschützt werden können. Organisatorische Sicherheit Zertifizierungsstellen sind nicht dazu verpflichtet sich von den Behörden des Mitgliedsstaates prüfen zu lassen. Allerdings machen deutsche Zertifikatsstellen das dennoch, denn es ist ein gutes Qualitätssiegel. Die Prüfung durch die EU ist für alle Pflicht. Haftung: In der EU Richtlinie hat die Zertifikatsstelle die alleinige Haftung. Hier ist das Gesetz noch strenger als in Deutschland. Wobei allerdings die Zertifizierungsstellen den vertrag mit einem Schlüsselinhaber für nichtig Erklären können, wenn dieser selber die Verfehlung verschuldet hat. Das wird schon bei der Vergabe des Schlüssels erklärt. Vergleich der EU Richtlinie und dem deutschen Signaturgesetz Anforderung 1. Anforderungen an die Komponenten zur Erzeugung und Speicherung von Signaturschlüsseln nach der Richtlinie a) Die für die Erzeugung der Signatur verwendeten Signaturerstellungsdaten dürfen praktisch nur einmal auftreten. nach SigG / SigV Ein Schlüssel darf mit an Sicherheit grenzender Wahrscheinlichkeit nur einmal vorkommen. b) Die für die Erzeugung der Der private Schlüssel darf nicht aus Signatur verwendeten dem öffentlichen Schlüssel Signaturerstellungsdaten dürfen mit errechnet werden können. hinreichender Wahrscheinlichkeit nicht abgeleitet werden. Die Geheimhaltung der für die Erzeugung der Signatur verwendeten Signaturerstellungsdaten muss hinreichend gewährleistet sein. 2. Anforderungen a) Die für die Erzeugung der an die Erzeugung Signatur verwendeten digitaler Signaturen Signaturerstellungsdaten dürfen mit hinreichender Sicherheit nicht abgeleitet werden können und die Signatur muss vor Fälschungen bei der Verwendung der jeweils verfügbaren Technologie gestützt sein. Die Geheimhaltung des privaten Schlüssels muss gewährleistet sein und der private Schlüssel darf nicht dupliziert werden können. b) Die für die Erzeugung der Signatur verwendeten Signaturerstellungsdaten müssen von ihrem rechtmäßigen Besitzer vor der Verwendung durch andere verlässlich geschützt werden können. 3. Technische Es müssen vertrauenswürdige Komponenten zur Systeme für die Speicherung von Unterhaltung eines Zertifikaten in einer überprüfbaren Verzeichnisdienstes Form verwendet werden, so dass Der private Signaturschlüssel darf erst nach Identifizierung des Inhabers durch Besitz und Wissen angewendet werden können und bei der Anwendung nicht preisgegeben werden. Aus der Signatur darf nicht der private Signaturschlüssel errechnet oder die Signatur auf andere Weise gefälscht werden können. a) nur befugte Personen Daten eingeben Es muss sichergestellt sein, dass nur befugte Personen Eintragungen und Veränderungen vornehmen können, b) und ändern können; die Sperrung eines Zertifikats nicht unbemerkt rückgängig gemacht werden kann, und c)die Angaben auf ihre Echtheit überprüft werden können; Auskünfte auf ihre Echtheit hin überprüft werden können. d) Zertifikate nur in den Fällen öffentlich abrufbar sind, für die die Zustimmung des Inhabers des Zertifikats eingeholt wurde; Nur nachprüfbar gehaltene Zertifikate dürfen nicht öffentlich abrufbar sein. Abrufbar dürfen die Zertifikate nur dann sein, wenn der Signaturschlüssel- Inhaber zugestimmt hat. e) technische Veränderungen, die die Einhaltung dieser Sicherheitsanforderungen beeinträchtigen, für den Betreiber klar ersichtlich sind. Sicherheitstechnische Veränderungen an den technischen Komponenten müssen für den Betreiber erkennbar sein. 1. Prüfkomponente Es ist zu gewährleisten, dass die zur Prüfung der Signatur verwendeten Daten den Daten entsprechen, die dem Überprüfenden angezeigt werden; Die prüfende Person muss die Daten, auf die sich die digitale Signatur erstreckt sowie den Signaturschlüssel- Inhaber eindeutig feststellen können. dass, das Ergebnis der Überprüfung sowie die Identität des Unterzeichners korrekt angezeigt werden, wobei die Verwendung eines Pseudonyms eindeutig angegeben werden muss; 2. Nachprüfen von Zertifikaten die Signatur zuverlässig überprüft und das Ergebnis der Überprüfung korrekt angezeigt wird; Die Komponenten müssen gewährleisten, dass die Korrektheit der digitalen Signatur zuverlässig geprüft und angezeigt wird. der Überprüfende bei Bedarf den Inhalt der unterzeichneten Daten zuverlässig feststellen kann; Die technischen Komponenten müssen nach Bedarf den Inhalt der signierten Daten hinreichend erkennen lassen. Sicherheitsrelevante Veränderungen erkannt werden können. Sicherheitstechnische Veränderungen an den technischen Komponenten müssen für den Nutzer erkennbar werden. Die technischen Komponenten zum Nachprüfen von Zertifikaten müssen eindeutig erkennen lassen, ob die nachgeprüften Zertifikate im Verzeichnis der Zertifikate zum angegebenen Zeitpunkt vorhanden Während des Signaturprüfvorganges ist mit hinreichender Sicherheit zu gewährleisten, dass die Echtheit und die Gültigkeit des zum Zeitpunkt der Überprüfung der Signatur zuverlässig überprüft werden kann und nicht gesperrt waren. Daraus geht hervor, dass die Beiden Gesetze im Grunde genommen gleich sind. Nur ihre Formulierung ist anders. Im deutschen Gesetz besteht nicht die Möglichkeit mit einem notariellen Handzeichen zu signieren. Organisatorische Sicherheit Die personelle Sicherheit muss bei beiden Gesetzen gewährleistet sein. Denn dies sagt etwas über die Zuverlässigkeit Zertifizierungsstelle aus und wird bei der Vergabe der Zulassung kontrolliert. Die Überprüfung der Zertifizierungsstellen ist bei beiden Gesetzen gleich mit einer Ausnahme. Das deutsche Signaturgesetz erfordert den Nachweiß, das zu prüfende Stellen über genügend finanzielle Mittel verfügen. Dies ist im EU-Gesetz nicht der Fall. Bei beiden müssen die Zertifizierungsstellen über alle Aktionen mit Datum und Uhrzeit Aufzeichnungen führen. Zudem muss gewährleistet sein, dass die Schlüsselinhaber über etwaige Sperrungen und deren Aufheben rechtzeitig unterrichtet werden. Die Personen, welche ein solches Zertifikat beantragen müssen sich einer persönlichen Überprüfung unterziehen. Sie erhalten dann ein „qualifiziertes Zertifikat“. Die Kontrolle der Zertifizierungsdienste tragen die einzelnen Mitgliedstaaten selber. Gerichtliche Anerkennung Vor dem Gesetz steht die EU Richtlinie vor dem deutschen Signaturgesetz. Wie in Deutschland, so sind in der EU Digitale Signaturen vor Gericht ein fragliches Beweismittel. Der Beweiswert hängt von verschiedenen Faktoren ab, wie z.B. Sicherheit der Schlüssel oder der technischen Komponenten. Nach dem EU-Gesetz sind mit „sicheren Signaturerstellungseinheiten“ erstellte „qualifizierte Zertifikate“ gleichzusetzen mit der Schriftform. Dies ist in Deutschland nach dem Signaturgesetz zwar der Fall aber Digitale Signaturen wurden offiziell nicht mit der Schriftform gleichgesetzt. Abschließend kann man sagen, dass das EU Gesetz in vielen Belangen strenger und dadurch sicherer ist. Quellen: § 416 ZPO Zivilprozessordnung http://www.zivilprozessordnung.de/ SigG: Signaturgesetz http://www.online-recht.de/vorges.html?SigG SigV: Verordnung zur digitalen Signatur http://www.online-recht.de/vorges.html?SigV RegTP: Regulierungsbehörde für Telekommunikation und Post http://www.regtp.de/ Signaturregulierung im Rechtsvergleich von Anja Miedbrodt
© Copyright 2024 ExpyDoc
