NJW Neue Juristische Wochenschrift

Beilage NJW 2001, Heft 14 13*
niert worden war und andererseits dass das Dokument nach der
Signierung nicht veråndert worden ist.
Wer Dokumente digital signieren will, benætigt also einen
eigenen privaten Schlçssel. Dieser Schlçssel muss besonders geschçtzt
aufbewahrt werden und sollte andererseits fçr den Besitzer
çberall verfçgbar sein. Reine Software-Læsungen kænnen die
an die Geheimhaltung zu stellenden Anforderungen nicht erfçllen
106 . Ûblich sind heute Chipkarten als Trågermedium des privaten
Schlçssels. Die unten c zu skizzierenden rechtlichen Rahmenbedingungen
legen fest, welche technischen Verfahren zur
Erzeugung und Sicherung dieses privaten Schlçssels jeweils welche
rechtlichen Folgerungen auslæsen kænnen, z. B. der Ersatz
der gesetzlich vorgeschriebenen bzw. vertraglich vereinbarten eigenhåndigen
Unterschrift oder auch beweisrechtliche Konsequenzen.
Mit dem korrespondierenden æffentlichen Schlçssel des
Absenders erfolgt die Verifizierung 107 .
Im Gegensatz zum nachfolgend beschriebenen Verschlçsselungsverfahren
benætigt der Empfånger einer digital signierten
Nachricht also keinen eigenen privaten Schlçssel, sondern muss
sich nur den æffentlichen Schlçssel des Absenders beschaffen.
b) Verschlçsselung (Kryptographie). Hierbei geht es um
die Absicherung vor unbefugter Einsichtnahme durch
Dritte. Das verschlçsselte Dokument soll nur von einem
bestimmten Empfånger entschlçsselt und damit lesbar gemacht
werden kænnen. Hierzu dient ein der digitalen
Signierung reziprokes Verfahren. Da nur ein bestimmter
Empfånger in der Lage sein darf, die Verschçsselung rçckgångig
zu machen, muss ± im Gegensatz zur Signierung ±
nicht der Absender sondern der Empfånger im Besitz eines
eigenen privaten Schlçssels sein. Der Absender benætigt
keinen eigenen Schlçssel; er benætigt vielmehr den æffentlichen
Schlçssel des Empfångers108 .
Wenn bspw. Rechtsanwalt A seinem Kollegen B eine E-Mail
verschlçsselt çbersenden will, so benætigt er den æffentlichen
Schlçssel von B. Hiermit verschlçsselt er das Dokument vor dem
Absenden. B verwendet seinen eigenen privaten Schlçssel, um
das Dokument zu entschlçsseln. Dieses Prinzip hat zur Folge:
Wer verschlçsselte Nachrichten senden will, benætigt auf dem
eigenen Rechner so viele æffentliche Schlçssel, wie er als Empfånger
verschlçsselter Nachrichten bedienen will.
Fçr jeden Empfånger benætigt man dessen æffentlichen
Schlçssel. Die Schlçssel låsst man sich vom jeweiligen
Empfånger çbermitteln. Dies ist kein Sicherheitsrisiko
und kann online geschehen, weil der æffentliche Schlçssel
vom seinem Prinzip her frei verfçgbar ist und deshalb
auch zum Download im Internet bereit gehalten werden
kann. Manche Anwålte und viele Gewerbebetriebe sehen
dies bereits heute auf ihren Websites vor109 .
c) Signaturgesetz. Das geltende Signaturgesetz110 verwendet
bereits in der Langform seines Namens, aber auch
innerhalb des Gesetzestextes, den Begriff der digitalen
Signatur und beschreibt damit das oben dargestellte asymmetrische
Schlçsselverfahren. Neuere Gesetzesvorhaben
verwenden dagegen den Begriff der elektronischen Signatur,
nåmlich auf europåischer Ebene die Signatur-Richtlinie111
sowie im deutschen Gesetzeswortlaut der durch
das Fernabsatzgesetz geschaffene § 361 a BGB. Dieser Begriff
ist offen und dçrfte, wenn auch genauere gesetzliche
Regelungen fehlen, auch gånzlich andere Sicherheitsverfahren
wie z. B. den ¹elektronischen Fingerabdruck`` und
vielleicht auch die elektronische Iriskontrolle, die elektronische
Unterschrift auf einem Grafik-Tablett112 oder gar
die bloû eingescannte Unterschrift umfassen. Nach Art. 2
Nr. 1 Signatur-Richtlinie bezeichnet nåmlich der Ausdruck
¹elektronische Signatur`` Daten in elektronischer
Form, die anderen elektronischen Daten beigefçgt oder
logisch mit ihnen verknçpft sind und die zur Authentifizierung
dienen. Solche beigefçgten oder logisch verknçpften
Daten kænnen auch mit anderen als den oben beschriebenen
Schlçsselverfahren fçr die digitale Signatur
erzeugt werden.
Nach noch geltendem Recht mçssen digitale Signaturen,
um die Rechtsfolgen des Gesetzes auszulæsen, von
amtlich genehmigten Zertifizierungsstellen ausgestellt
werden, §§ 2, 4 SigG. Bis zum IuKDG-Evaluierungsbericht
der Bundesregierung vom 18. 6. 1999 113 war erst
eine einzige private Zertifizierungsstelle in Betrieb. Potentielle
Betreiber von Zertifizierungsstellen und Hersteller
technischer Komponenten haben das in der Signaturverordnung
vorgegebene maximale Sicherheitsniveau teilweise
als zu hoch bezeichnet. Die aktuelle Rechtsentwicklung
fçhrt schrittweise mit dem Inkrafttreten eine Reihe
neuer gesetzlicher Regelungen zu abgestuften technischen
Anforderungen.
d) Regelungsmodell der Signatur-Richtlinie. Die Richtlinie
enthålt ein schwer çberschaubares System elektronischer
Signaturen mit unterschiedlichen damit verknçpften
Rechtsfolgen. Zunåchst differenziert die Richtlinie
zwischen der oben bereits beschriebenen ¹einfachen``
elektronischen Signatur und der ¹fortgeschrittenen`` elektronischen
Signatur gem. Art. 2 Nr. 2 114 . Letztere enthålt
vier Elemente: Sie ist ausschlieûlich dem Unterzeichner
zugeordnet; sie ermæglicht die Identifizierung des Unterzeichners;
sie wird mit Mitteln erstellt, die der Unterzeichner
unter seiner alleinigen Kontrolle halten kann; sie ist so
mit den Daten, auf die sie sich bezieht, verknçpft, dass
eine nachtrågliche Verånderung der Daten erkannt werden
kann. Diese Voraussetzungen reichen jedoch noch
nicht aus, die Rechtsfolgen nach Art. 5 der Richtlinie und
damit auch nach deutschen Recht gem. § 361 a I BGB
i. V. mit Art. 229 § 2 II EGBGB 115 auszulæsen. Die fortgeschrittene
elektronische Signatur muss zur Erreichung der
Rechtswirkungen nach Art. 5 auf einem qualifizierten
Zertifikat beruhen und von einer sicheren Signaturerstellungseinheit
erstellt worden sein. Die Anforderungen an
ein qualifiziertes Zertifikat wiederum werden in Anh. I
detailliert beschrieben, die Anforderungen an Zertifizierungsdiensteanbieter,
die solche Zertifikate ausstellen dçrfen,
in Anh. II, und die Anforderungen an sichere Signaturerstellungseinheiten
in Anh. III.
Grundlegend ist der Unterschied zum noch geltenden
Signaturgesetz insbesondere bei der Kontrolle der Diensteanbieter.
Die Richtlinie sieht im Gegensatz zu § 4 SigG
keine Verpflichtung zur Vorab-Genehmigung vor, sondern
untersagt in Art. 3 den Mitgliedstaaten ausdrçcklich,
diese Genehmigung zu verlangen. Andererseits dçrfen die
Mitgliedstaaten Akkreditierungssysteme nach deutschem
Muster einfçhren bzw. beibehalten. Die Rechtsfolgen
106) Roûnagel/Pordesch, in: Roûnagel (Hrsg.) (o. Fuûn. 105), § 14
SigG Rdnr. 79.
107) Wer mit diesem Prinzip der asymmetrischen Schlçssel noch
nicht vertraut ist, es aber einmal praktisch kennenlernen will, kann dies
mit der bereits erwåhnten Sammlung der Entscheidungen des BVerfG
ausprobieren. Der æffentliche Schlçssel des BVerfG wird ihm çber das
Internet unter der oben Fuûn. 104 angegebenen Adresse zum Download
zur Verfçgung gestellt.
108) Roûnagel, in: Roûnagel (Hrsg.) (o. Fuûn. 105), Einl. SigG
Rdnr. 13.
109) Das bekannteste Verschlçsselungsprogramm, das kostenlos erhåltlich
ist, nennt sich ¹Pretty good privacy`` bzw. in Kurzform ¹PGP``
und steht zum Download unter www. pgpi.org bereit.
110) Ges. z. digitalen Signatur, Art. 3 IuKDG.
111) Richtlinie 1999/93/EG des Europåischen Parlaments und des
Rates v. 13. 12. 1999 çber gemeinschaftliche Rahmenbedingungen fçr
elektronische Signaturen (ABlEG Nr. L 13/12 vom 19. 1. 2000.
112) Ein auch in Deutschland bekanntes Beispiel: Unterschrift auf einem
Grafik-Tablett von Post- und UPS-Zustellern. Es gibt aber auch
technisch weit fortgeschrittene Entwicklungen beispielsweise fçr die
Kreditwirtschaft.
113) BT-Dr 14/1191.
114) Ausf. Geis, MMR 2000, 667.
115) Beide eingefçhrt durch das FernAbsG.