Ludwig-
Juristische Fakultät
Institut für Politik und Öffentliches Recht
Staatsrechtliches Grundlagenseminar »Verfassungsfragen von Multimedia« im Wintersemester 1997/98
bei Prof. Dr. Rupert Scholz und Prof. Dr. Peter Lerche
Seminararbeit
13. Januar 1998
(HTML-
stud. iur. Wolfgang Kopp
E-Mail: wk@wolfgang-kopp.de
WWW: http://www.wolfgang-kopp.de/
Inhaltsverzeichnis
Rechtsfragen der Kryptographie und der digitalen Signatur
Die sogenannte Informationsgesellschaft hat neue Formen des menschlichen Handelns hervorgebracht. Wo man früher vertrauliche geschäftliche Verhandlungen "unter vier Augen" geführt hat, besteht heute die Möglichkeit - und wegen der zunehmenden Globalisierung oft auch die Notwendigkeit -, sich per Telefon oder Videokonferenz zu besprechen. Der persönlich unterschriebene Brief, den man in einen Umschlag steckt und von der Post zu seinem Empfänger befördern läßt, wird von den schnelleren und billigeren Medien Telefax und E-Mail abgelöst. An die Stelle von Bargeld treten andere Zahlungsformen wie Kredit- oder ec-Karte sowie "elektronisches Geld". Der Mensch in der industrialisierten Welt hat die Reichweite seiner Gestaltungsmöglichkeiten dadurch beträchtlich erhöht.
Doch sind diese neuen Handlungsformen auch mit einem Verlust an persönlicher Unmittelbarkeit verbunden, aus dem sich neue Gefahren ergeben1. Technisch übertragene Nachrichten und Gespräche lassen sich viel leichter abhören als persönlich geführte, so daß Geheimnisse leicht an Unbefugte gelangen können2. Elektronische Dokumente lassen sich verändern, ohne daß der Inhalt oder überhaupt die Tatsache der Veränderung sich später feststellen ließen. Vielmals ist der Verfasser eines Dokuments, der Absender einer Mitteilung oder sogar der Gesprächspartner gar nicht identifizierbar, weil auch hier Fälschungen mit teilweise geringem Aufwand machbar sind3. All dies erzeugt gewaltige Vertrauens- und Beweisprobleme, die ein Hindernis bei der sicheren privaten und kommerziellen Nutzung neuer Kommunikationsformen wie des Internet4 darstellen.
Eine technische Möglichkeit zur Lösung solcher Probleme stellt die wissenschaftliche Disziplin der Kryptographie dar. Da Kryptographie und die damit zusammenhängenden Fragen derzeit weitgehend eine Domäne der Mathematiker und Informatiker sind, soll zunächst versucht werden, einen Überblick über Grundlagen und Anwendungsmöglichkeiten der Kryptographie zu geben (B), bevor dann darauf aufbauend auf einige aktuelle Probleme eingegangen wird und bestehende und denkbare rechtliche Lösungen untersucht werden (C).
Kryptographie ist die wissenschaftliche Disziplin, die sich damit beschäftigt, wie man den Inhalt von Nachrichten verheimlicht, sie also vor unbefugter Kenntnisnahme absichert5. Unter Kryptanalyse versteht man dagegen die Kunst, eine Verschlüsselung zu brechen, also den geheimen Inhalt einer abgesicherten Nachricht unbefugt lesbar zu machen6. Der Oberbegriff für beide Disziplinen ist Kryptologie7; diese Wissenschaft gilt als Teilgebiet der (angewandten) Mathematik8.
Eine nicht abgesicherte Nachricht bezeichnet man als Klartext, eine abgesicherte Nachricht als Chiffretext. Die Verschlüsselung (Chiffrierung) überführt Klartext in Chiffretext, die Entschlüsselung (Dechiffrierung) erzeugt aus dem Chiffretext wieder den ursprünglichen Klartext9.
Seit es Menschen gibt, gibt es Geheimnisse. Man verbarg sie, indem man sie für sich behielt oder Aufzeichnungen darüber an geheimen oder sicheren Orten versteckte und ihre Existenz geheimhielt. War dies jedoch nicht möglich, zum Beispiel weil eine geheime Botschaft über unsicheres Gebiet transportiert werden sollte, so benutzte man schon im Altertum kryptographische Verfahren10.
Die berühmteste Verschlüsselung überhaupt dürfte die von Gaius Iulius Caesar ersonnene Methode sein, mit der er geheime Nachrichten vor neugierigen Augen schützte: Jeder Buchstabe wurde zum Verschlüsseln um drei Positionen im Alphabet verschoben, so daß aus einem A im Klartext ein D im Chiffretext, aus einem B ein E wurde und so weiter11. Die älteste heute bekannte Verschlüsselung stellt jedoch die Skytale von Sparta (5. Jhdt. v. Chr.) dar: Ein Holzstab wurde mit einem Pergamentstreifen umwickelt, der dann der Länge nach mit einer geheimen Nachricht der spartanischen Regierung beschrieben wurde. Den Text auf dem abgewickelten Pergamentstreifen sollten nur die Generäle lesen können, die über Stäbe von gleichem Durchmesser verfügten12.
Im Laufe der folgenden Jahrhunderte bildete sich langsam die kryptologische Wissenschaft heraus. Während sie ihre Anwendungen lange Zeit hauptsächlich im militärischen, diplomatischen und geheimdienstlichen Bereich fand, haben sich mit dem Aufkommen zunächst der Telegraphen- und dann der Computertechnologie sowohl Möglichkeiten als auch Bedürfnisse zur privaten und vor allem kommerziellen Anwendung gezeigt13.
In der Zeit nach dem ersten Weltkrieg hatte sich die kryptographische Forschung zwar immer stärker in den nichtöffentlichen militärischen Bereich verlagert, doch erschienen seit 1967 wieder viele kryptographische Arbeiten in öffentlich zugänglichen Publikationen14. Den endgültigen Durchbruch zum Einsatz kryptographischer Verfahren auf breiter Front dürften die Entdeckung der sogenannten asymmetrischen Kryptographie durch Diffie und Hellman im Jahre 197615 und die Einführung des amerikanischen Data Encryption Standard (DES)16 im folgenden Jahr gebracht haben.
An moderne kryptographische Verfahren werden im wesentlichen vier Anforderungen gestellt17. Sie müssen nicht bei jeder Anwendung gleichzeitig erfüllt werden.
Ein weiteres Ziel kann in manchen Situationen Anonymität sein. Damit ist die Vertraulichkeit nicht des Nachrichteninhalts, sondern sogar des Kommunikationsvorgangs als solchem gemeint18.
Um Kryptographie tatsächlich anwenden zu können, müssen sich Sender und Empfänger auf ein bestimmtes Verfahren einigen, das sie verwenden wollen, z. B. die oben erwähnte Caesar-
Bei der Caesar-
Aus der Tatsache, daß stets die Möglichkeit - und oft sogar die Gewißheit - besteht, daß der verwendete Algorithmus einem möglichen Angreifer bekannt wird, folgt eine der wichtigsten Grundregeln der kryptologischen Wissenschaft, die sogenannte Maxime von Kerckhoffs21:
Die Sicherheit eines Kryptosystems darf nicht von der Geheimhaltung des Algorithmus, sondern ausschließlich von der Geheimhaltung des Schlüssels abhängen.
Da es also ohnehin keinen Sinn macht, einen Algorithmus geheimzuhalten, wird in der kryptologischen Wissenschaft die Veröffentlichung eines Algorithmus als wichtigste Voraussetzung angesehen, um ihn als sicher einschätzen zu können. Denn nur eine Überprüfung durch die gesamte wissenschaftliche Gemeinschaft und insbesondere durch ausgiebige Kryptanalyse kann Schwächen eines Algorithmus hinreichend zuverlässig aufdecken22.
Es gibt grundsätzlich zwei Möglichkeiten, eine Nachricht zu chiffrieren: Bei der Substitution wird ein Zeichen im Klartext durch ein anderes Zeichen im Chiffretext ersetzt (wie bei der Caesar-
Man unterscheidet außerdem zwischen Block- und Stromchiffren. Stromchiffren eignen sich gut für die Implementierung in Hardware und zum Verschlüsseln von Echtzeit-
Wichtige Kenngrößen für Algorithmen sind die Schlüssellänge und - bei Blockchiffren - die Größe der Datenblöcke, die jeweils pro Durchlauf bearbeitet werden. Sowohl Schlüssellänge als auch Blocklänge werden in Bit angegeben.
Symmetrische Kryptographie ist gleichsam die Grundform der Verschlüsselung. Sender und Empfänger haben sich dabei meist auf einen Schlüssel geeinigt, den der Sender zur Verschlüsselung und der Empfänger zur Entschlüsselung der Nachricht verwendet26.
Dieses Prinzip wirft folgende Frage auf27: Wenn Sender und Empfänger über einen sicheren Kommunikationskanal verfügen, den sie ja zur Schlüsselvereinbarung benötigen, wozu brauchen sie dann Kryptographie? Darauf gibt es mehrere Antworten. Zum einen ist der Schlüssel oft nur eine sehr kurze Information, die leichter sicher zu übermitteln ist als viele, vergleichsweise lange Nachrichten. Und zum anderen können die Beteiligten den Zeitpunkt für den Schlüsselaustausch frei wählen und später sicher kommunizieren, auch wenn ihnen dann kein sicherer Kanal mehr zur Verfügung steht. Die Notwendigkeit eines sicheren Kanals bleibt jedoch ein Manko symmetrischer Kryptographie.
Asymmetrische Kryptographie schafft hier (teilweise) Abhilfe. Bei asymmetrischen Algorithmen verfügt jeder Beteiligte über zwei zusammengehörige Schlüssel: einen, mit dem Nachrichten an ihn verschlüsselt werden können, und einen, mit dem er derart verschlüsselte Nachrichten entschlüsseln kann. Es ist nicht möglich, mit dem Verschlüsselungsschlüssel Nachrichten zu entschlüsseln, die mit diesem erzeugt wurden; nur der Besitzer des Entschlüsselungsschlüssels kann dies. Auch ist es nicht möglich, den Entschlüsselungsschlüssel aus dem Verschlüsselungsschlüssel herzuleiten. Letzterer kann daher veröffentlicht werden und wird auch als öffentlicher Schlüssel (public key) bezeichnet. Geheimgehalten werden muß nur der Entschlüsselungsschlüssel, der daher privater Schlüssel (private key) heißt28.
Der Vorteil dieses Systems liegt auf der Hand: Eine Person, die die Möglichkeit schaffen will, ihr verschlüsselte Nachrichten zu senden, braucht nur ein Schlüsselpaar zu erzeugen und den öffentlichen Schlüssel möglichst vielen anderen Personen zugänglich zu machen, etwa durch Hinterlegung in einer frei einsehbaren Datenbank (Keyserver). Jeder, der nun eine verschlüsselte Nachricht an diese Person schicken will, besorgt sich den öffentlichen Schlüssel, verschlüsselt seine Nachricht damit und verschickt den Chiffretext. Die Nachricht kann dann nur vom Empfänger mit dessen privatem Schlüssel wieder entschlüsselt werden29.
Es ist zwar nicht möglich, durch Kenntnis des öffentlichen Schlüssels die Nachricht zu entschlüsseln. Doch ist ohne weitere Absicherung des Systems ein anderer Angriff möglich: Jemand könnte sich als ein anderer ausgeben und unter dessen Namen einen öffentlichen Schlüssel verbreiten, den er selbst zusammen mit dem zugehörigen privaten Schlüssel erzeugt hat. Werden Nachrichten mit diesem falschen öffentlichen Schlüssel verschlüsselt und an den vermeintlichen Empfänger geschickt, so braucht der Angreifer nur die Möglichkeit zu haben, diese Nachrichten abzufangen. Er ist dann in der Lage, mit Hilfe des ihm bekannten (weil ebenfalls von ihm erzeugten) privaten Schlüssels die Nachricht lesbar zu machen30. Dieses Problem ist allerdings lösbar31.
Asymmetrische Algorithmen haben wie gesehen den Vorteil, daß vor der Kommunikation kein Schlüsselaustausch stattfinden muß. Auch wird ein Problem vermieden, das bei der Verwendung symmetrischer Kryptographie in größeren Personengruppen entsteht: Soll jeder Teilnehmer wirklich nur an ihn gerichtete Nachrichten lesen können, so ist für jedes mögliche Sender-
Es gibt jedoch auch einen wichtigen Nachteil asymmetrischer Algorithmen: Alle heute bekannten Implementierungen sind wesentlich langsamer als symmetrische Verschlüsselung33. Dies ist der Hauptgrund34 dafür, daß in der Praxis ganz überwiegend eine Kombination aus symmetrischer und asymmetrischer Verschlüsselung angewendet wird, die sogenannten Hybridsysteme35.
Dabei erzeugt der Sender einen zufälligen Sitzungsschlüssel für den symmetrischen Algorithmus, den er dann mit dem öffentlichen Schlüssel des Empfängers verschlüsselt. Nun schickt er dem Empfänger den Sitzungsschlüssel und die damit verschlüsselte Nachricht zu. Der Empfänger kann mit seinem privaten Schlüssel den chiffrierten Sitzungsschlüssel dechiffrieren und mit diesem dann die eigentliche Nachricht lesen. Die durch den Sitzungsschlüssel entstehenden Zwischenschritte werden normalerweise von der Software für den Benutzer unbemerkt vorgenommen, so daß sich für diesen kein Mehraufwand ergibt. Er kommt mit dem Sitzungsschlüssel nie in Kontakt; für ihn stellt sich das ganze Verfahren wie die normale Kommunikation mit asymmetrischer Kryptographie dar.
Der Vorteil liegt darin, daß der Sitzungsschlüssel normalerweise viel kleiner ist als die Nachricht, so daß die geringe Geschwindigkeit asymmetrischer Algorithmen kaum ins Gewicht fällt. Mit Hybridsystemen läßt sich asymmetrische Kryptographie sogar für sehr zeitkritische Anwendungen wie die Verschlüsselung von Echtzeit-Datenströmen (ISDN- oder Internet-
Bisher war nur von Kryptosystemen die Rede, mit deren Hilfe man Nachrichten vor unbefugtem Mitlesen absichern kann. Solche Systeme dienen dem Ziel der Vertraulichkeit36 und heißen Konzelationssysteme (lat. celare: verbergen, verheimlichen). Moderne kryptographische Verfahren lassen sich aber auch einsetzen, um die anderen drei Ziele - Integrität, Authentikation und Verbindlichkeit - zu erreichen. Man spricht dabei von Authentikationssystemen37.
Ein symmetrisches Authentikationssystem funktioniert wie folgt38: Der Sender berechnet aus der Nachricht mit Hilfe einer sogenannten Einwegfunktion einen vergleichsweise kleinen Datenblock, den man Hashwert nennt39. Es ist nicht möglich, ohne Kenntnis der Nachricht eine zu einem solchen Hashwert passende Nachricht zu finden. Auch ist es praktisch nicht möglich, zwei Nachrichten zu finden, die denselben Hashwert haben40. Nun verschlüsselt der Sender den Hashwert mit dem vereinbarten Schlüssel und sendet Nachricht und verschlüsselten Hashwert an den Empfänger. Der Empfänger kann dann den Hashwert durch Dechiffrierung wieder herstellen. Durch erneute Anwendung der (öffentlichen) Einweg-
Ein solches System hat einige Nachteile. Zum einen kann nur eine Person, die den geheimen Schlüssel kennt, eine solche Überprüfung vornehmen; wünschenswert wäre aber in vielen Situationen, daß jeder Beliebige die Echtheit einer Nachricht überprüfen kann. Zum anderen kann jeder, der über den zur Überprüfung nötigen Schlüssel verfügt, auch authentifizierte Nachrichten erstellen. Das bedeutet, daß das System in Gruppen von mehr als zwei Teilnehmern dem Empfänger keine Auskunft mehr darüber gibt, von wem eine bestimmte Nachricht eigentlich stammt, und daß es auch bei nur zwei Teilnehmern stets möglich ist, das Erstellen einer bestimmten Nachricht abzustreiten: Den Hashwert könnte genau so gut der Kommunikationspartner verschlüsselt haben, denn auch er hat den Schlüssel41. Integrität und Authentizität einer Nachricht werden also nur gegen Angriffe von außenstehenden Personen gesichert, Verbindlichkeit dagegen wird überhaupt nicht erreicht.
Asymmetrische Systeme umgehen diese Schwierigkeiten. Solchermaßen authentifizierte Nachrichten ähneln in ihren Eigenschaften unterschriebenen Schriftstücken, weshalb in diesem Zusammenhang auch von digitalen Signaturen die Rede ist42.
Bei einem asymmetrischen Authentikationssystem besitzt jeder Teilnehmer - wie auch beim asymmetrischen Konzelationssystem - zwei Schlüssel: einen privaten Signaturschlüssel und einen öffentlichen Prüfschlüssel. Will jemand eine Nachricht als von ihm erstellt ausweisen ("unterzeichnen"), so berechnet er den Hashwert einer Nachricht und verschlüsselt diesen mit seinem Signaturschlüssel. Jeder, der im Besitz des zugehörigen öffentlichen Prüfschlüssels ist, kann nun die Echtheit der Nachricht überprüfen, sie verifizieren. Unterzeichnen kann die Nachricht allerdings nur der Besitzer des privaten Signaturschlüssels, so daß Integrität, Authentikation und Verbindlichkeit realisiert werden können.
Noch bleibt das bei den Konzelationssystemen bereits angesprochene43 Problem zu lösen, daß kein nachvollziehbarer Zusammenhang zwischen einem öffentlichen Schlüssel und der vorgeblich zu ihm gehörenden Person besteht. Jemand kann sich als eine andere Person ausgeben, indem er unter deren Namen einen selbst erzeugten öffentlichen Schlüssel - sei es einen Authentikations- oder einen Konzelationsschlüssel - in Umlauf bringt. In anderen sozialen Strukturen wird das Problem des Vortäuschens einer anderen Identität dadurch gelöst, daß ein vertrauenswürdiger Dritter eingeschaltet wird, der sich für die Identität einer Person verbürgt. Dies kann z. B. ein Freund oder Bekannter, eine Organisation, ein Wirtschaftsunternehmen oder eine staatliche Stelle sein. Dadurch wird eine Beziehung zum sozialen Umfeld hergestellt, die es erst ermöglicht, von Identität zu sprechen44.
Dieses Verbürgen läßt sich mit Hilfe digitaler Signaturen auch im Rahmen kryptographischer Systeme realisieren45. Der vertrauenswürdige Dritte unterzeichnet eine Nachricht, in der er zusichert, daß ein bestimmter öffentlicher Schlüssel zu einer bestimmten sozialen Person gehört. Jeder, der dem Dritten vertraut und diese Nachricht liest, kann sich sicher sein, daß er seine Nachrichten an eine bestimmte Person tatsächlich mit deren öffentlichem Schlüssel verschlüsselt bzw. daß eine zu dem genannten Prüfschlüssel passende Nachricht tatsächlich von dieser Person unterzeichnet wurde. Die Zusicherung des Dritten wird Zertifikat genannt; das Format solcher Zertifikate läßt sich standardisieren, so daß sie automatisch auswertbar sind. Bei dem vertrauenswürdigen Dritten spricht man oft auch von einer Zertifizierungsinstanz.
Das Problem wird also darauf reduziert, daß ein Benutzer vertrauenswürdige Zertifizierungsinstanzen finden und deren Schlüssel ihnen zweifelsfrei zuordnen können muß. Dazu ist zumindest anfangs persönlicher Kontakt oder ein sonstiger sicherer Kommunikationskanal nötig.
Auch und gerade für den Juristen besonders interessant ist die Frage, wie verläßlich und sicher kryptographische Algorithmen, insbesondere für digitale Signaturen verwendete, eigentlich sind. Diese Frage läßt sich nur beantworten, wenn man sich mit den Grundlagen der Kryptanalyse vertraut macht.
Kryptanalyse kann auf eines oder mehrere der folgenden Ziele gerichtet sein46.
Einem Angreifer, der versucht, ein kryptographisches System zu brechen, stehen je nach seiner Situation verschiedene Informationen zur Verfügung. Danach werden auch verschiedene Angriffsarten unterschieden47.
Gute kryptographische Verfahren müssen all diesen Angriffsarten möglichst viel Widerstand entgegensetzen.
Daneben kommt die Ermittlung von Schlüssel oder Klartext durch Bedrohung, Erpressung, Folter oder Bestechung in Frage. Doch hängt der Erfolg solcher Angriffe natürlich nicht von der Sicherheit des verwendeten Kryptosystems ab.
Von dieser Form der "Kryptanalyse mit Gewalt" ist der sogenannte brute-
Dieser Angriff ist zwar der schwächste denkbare, läßt sich aber theoretisch gegen jedes kryptographische Verfahren anwenden. Je höher die Anzahl der möglichen Schlüssel jedoch ist, desto länger dauert die Suche nach dem richtigen Schlüssel. Daher ist die Schlüssellänge ein wichtiges Maß für die Beurteilung der Sicherheit eines Verfahrens. Obwohl es vielleicht nicht möglich ist, einen besseren als den brute-
Schätzungen, wie lange ein brute-
Es gibt ein Verfahren, das sogar gegen den brute-
Aus diesem Prinzip ergibt sich, daß ein Chiffretext einer bestimmten Länge jeden beliebigen Klartext der gleichen Länge repräsentieren kann. Selbst bei Ermittlung aller möglichen Klartexte - das sind alle nur möglichen Zeichenfolgen dieser Länge, einschließlich aller sinnvollen - weiß der Angreifer also nicht, wie der wirkliche Klartext lautet. Dieser sogenannte One-
Dieser Algorithmus hat jedoch auch einen so gravierenden Nachteil, daß er in der Praxis fast nicht eingesetzt wird: Für jedes übertragene Zeichen Klartext muß auch ein Zeichen des Schlüssels zwischen Sender und Empfänger auf einem sicheren Kanal übertragen werden. Damit liegt der einzige Vorteil, den die Verschlüsselung noch bietet, in der freien Wahl des Zeitpunkts zum Schlüsselaustausch. One-
Im folgenden werden einige ausgewählte symmetrische und asymmetrische Algorithmen vorgestellt, die heute in der Praxis von besonderer Bedeutung sind.
Der amerikanische Data Encryption Standard (DES) von 1977 beruht auf einem von IBM seit Beginn der 70er Jahre entwickelten Algorithmus56. Er wurde im Rahmen einer öffentlichen Ausschreibung des National Bureau of Standards (NBS, heute NIST) ausgewählt und von dem mit der Überwachung der internationalen Nachrichtenstrecken betrauten und kryptologisch überragend kompetenten Geheimdienst NSA (National Security Agency)57 untersucht und teilweise verändert. Es handelt sich um eine symmetrische Blockchiffre mit einer Blocklänge von 64 und einer Schlüssellänge von 56 Bit.
DES hat sich in Amerika als Standard zur Verschlüsselung von Daten durchgesetzt, obwohl es stets Kritik an der Herabsetzung der Schlüssellänge von 128 auf nur 56 Bit durch die NSA und der Geheimhaltung der Designkriterien für die von der NSA vorgenommenen Veränderungen gab58. Es dürfte sich um den meist analysierten kryptographischen Algorithmus überhaupt handeln, und er gilt heute noch als recht sicher. Allerdings muß mittlerweile bei pessimistischer Betrachtung davon ausgegangen werden, daß DES keinen Schutz vor Angriffen durch große Regierungen bietet59.
Der International Data Encryption Algorithm (IDEA) stammt aus dem Jahr 199160. Er wurde trotz seines geringen Alters bereits vielen Analysen unterzogen und gilt als einer der sichersten verfügbaren Algorithmen. IDEA ist eine symmetrische Blockchiffre mit einer Blocklänge von 64 und einer Schlüssellänge von 128 Bit.
Der 1978 von Rivest, Shamir und Adleman vorgestellte Algorithmus setzt die Idee von Diffie und Hellman aus dem Jahr 197661 um. Es ist ein asymmetrischer Algorithmus mit variabler Schlüssellänge62.
Die Sicherheit von RSA beruht darauf, daß es kein Problem darstellt, zwei große Primzahlen miteinander zu multiplizieren, es aber praktisch nicht möglich ist, aus dem Produkt wieder die beiden Primfaktoren zu ermitteln. Die Rekonstruktion des Klartextes oder des privaten Schlüssels aus Chiffretext und öffentlichem Schlüssel ist nach heutigem Erkenntnisstand genauso schwierig, wie die Lösung dieses Problems der Faktorisierung großer Zahlen, allerdings gibt es dafür keinen Beweis. Für die Beurteilung der praktischen Sicherheit kommt es vor allem darauf an, wie groß die Zahlen sind, die in der Praxis gerade noch faktorisierbar sind. 512 Bit gelten mittlerweile als unsicher, und auch 768 Bit genügen nicht den höchsten Sicherheitsansprüchen. 1024-
Der Algorithmus läßt sich nicht nur zur Verschlüsselung, sondern auch zum Erzeugen und Überprüfen digitaler Signaturen einsetzen64. Dabei kann der private Konzelationsschlüssel gleichzeitig als privater Signaturschlüssel und der öffentliche Konzelationsschlüssel zur Überprüfung von Signaturen eingesetzt werden. Signiert wird durch Verschlüsseln des Hashwerts mit dem privaten Schlüssel.
Das auf der Idee von Diffie und Hellman aufbauende, 1985 von Taher ElGamal entwickelte Schema ist ebenfalls ein asymmetrischer Konzelationsalgorithmus65. Es beruht auf dem sogenannten Problem des diskreten Logarithmus, das von manchen Mathematikern für noch schwieriger als das Problem der Faktorisierung großer Zahlen gehalten wird66.
Es gibt auch ein ElGamal-
Fast alle Daten bewegen sich in kleinen Datenpaketen durchs Netz und durchlaufen dabei konzeptbedingt eine unüberschaubare Anzahl von Rechnern, oft sogar in verschiedenen Ländern69. Jeder, der auf einem solchen Rechner über ausreichende lokale Zugriffsmöglichkeiten verfügt, kann die übers Netz übertragenen Daten mitlesen oder verändern; die Möglichkeit dazu kann sogar durch einen "Einbruch" in das entsprechende Rechnersystem erlangt werden70. Bei diesen Daten kann es sich um elektronische Post (E-Mail), um Telefongespräche, Videokonferenzen, Banktransaktionen, medizinische Daten, Firmendaten und vieles mehr handeln. Schon an diesem Punkt wird klar, daß sich die verschlüsselte und signierte Übertragung solcher Daten zum Verhindern unbefugten Ausspähens und Verfälschens anbietet.
Software dafür ist bereits erhältlich oder in Entwicklung. Zum Verschlüsseln und digitalen Signieren von E-Mail (wie auch von anderen Dokumenten) hat sich weltweit zumindest im privaten Bereich das Programm PGP (Pretty Good Privacy) durchgesetzt, das auf den Algorithmen IDEA und RSA basiert71. Es ist für Privatanwender kostenlos und steht im Internet jedermann zum Download zur Verfügung72; auch existiert eine Variante zum Verschlüsseln von über das Internet geführten Telefongesprächen. WWW-
Für den "elektronischen Handel" wie überhaupt für jede rechtsverbindliche Kommunikation über das Netz wird es von entscheidender Bedeutung sein, die Abgabe von Willenserklärungen beweisen zu können75. Verbindliche digitale Signaturen werden hier eines ihrer wichtigsten Einsatzfelder finden. Über ausgeprägte Zertifizierungsstrukturen wird es möglich sein, jedem digital signierten Dokument einen Urheber zuzuordnen, so daß Verträge auch übers Netz ohne Einbuße an Beweissicherheit geschlossen werden können.
Mit digitalem (oder auch "elektronischem") Geld ist im Gegensatz zum elektronischen Zahlungsverkehr (Scheckkarten, Kreditkarten, Überweisungen etc.) ein System gemeint, in dem digital symbolisierte Zahlungsmittel ("Münzen" oder Tokens) ohne Einschaltung Dritter (wie etwa einer Bank) von einer Person an eine andere transferiert werden können76. Das Funktionieren eines solchen Systems wäre eine weitere wichtige Voraussetzung für die Etablierung einer echten Handelsinfrastruktur im Internet77.
Ideales digitales Geld sollte einige Voraussetzungen erfüllen78: Das Geld kann über Computernetze transferiert, es kann nicht kopiert und dann wiederverwendet werden, niemand kann grundsätzlich die Geschäfte eines Benutzers nachvollziehen (Anonymität), zur Bezahlung muß keine Verbindung zu einem Zentralrechner bestehen, das Geld kann zu anderen Benutzern übertragen werden und eine Einheit über einen bestimmten Betrag läßt sich in kleinere Einheiten zerlegen. Daneben ist für die Durchsetzung von digitalem Geld auch wichtig, daß es einfach zu benutzen, kostengünstig, überall einsetzbar und auf einem robusten System basierend realisiert ist79. Sogenannte elektronische Geldbörsen, die ihr Einsatzgebiet außerhalb des Netzes im alltäglichen Leben finden sollen, müssen daneben auch über Vorteile gegenüber normalem Bargeld verfügen, damit sie von den Kunden akzeptiert werden. Hier sind vor allem die bereits erwähnte Teilbarkeit von Münzen, Verlusttoleranz, Quittierung und Stornierung von Zahlungen sowie Geldwechsel zwischen verschiedenen Währungen zu nennen80.
Es existieren mittlerweile sehr komplexe kryptographische Protokolle81, die viele oder alle dieser Anforderungen erfüllen und sich somit prinzipiell zur Umsetzung in die Praxis eignen82. Einige Firmen bieten digitales Geld auch schon zur Bezahlung im Internet an83.
Kryptographische Protokolle können zur Lösung vieler Probleme eingesetzt werden, von denen man auf den ersten Blick nie denken würde, daß sie in der Umgebung eines Computernetzes überhaupt lösbar sind. Einige Beispiele für solche Protokolle sind: Verteilen eines Geheimnisses auf mehrere Personen, datierte Stempel, faire Simulation eines Münzwurfs, Beweis von Geheimniskenntnis ohne Geheimnisenthüllung, gleichzeitige Vertragsunterzeichnung, gleichzeitiger Geheimnisaustausch, sichere Wahlen84 und Anonymität85. Es dürfte nicht übertrieben sein, die Kryptographie als absolute Schlüsseltechnologie für die Entwicklung des Internet und der Informationsgesellschaft überhaupt zu bezeichnen86.
Aufbauend auf die Darstellung der tatsächlichen Rahmenbedingungen sollen nun rechtliche Fragen der Kryptographie, wie sie sich in Deutschland derzeit stellen, untersucht werden.
Der deutsche Gesetzgeber behandelt Authentikations- und Konzelationssystemen getrennt, obwohl beides kryptographische Verfahren sind. Während erste mittlerweile eine recht ausführliche gesetzliche Regelung erfahren haben (1), verbleiben letztere weitgehend ungeregelt (2). Die Differenzierung zwischen Signatur- und Verschlüsselungsverfahren erscheint gerechtfertigt, da sie aus juristischer Sicht völlig unterschiedlichen Zwecken dienen, die Erwartungen der Benutzer an die Systeme verschieden sind und sich auch jeweils andere Probleme ergeben.
Das Gesetz zur Regelung der Rahmenbedingungen für Informations- und Kommunikationsdienste (Informations- und Kommunikationsdienste-
Die Gesetzgebungszuständigkeit des Bundes ergibt sich aus seiner Kompetenz zur konkurrierenden Gesetzgebung für das Recht der Wirtschaft (Art. 74 Abs. 1 Nr. 11 GG). Damit überall im Bundesgebiet die gleichen Sicherheitsbedingungen und -anforderungen herrschen und die Wirtschaftsunternehmen die notwendige technische Infrastruktur ökonomisch sinnvoll zur Verfügung stellen können, ist zur Wahrung der Rechts- und Wirtschaftseinheit eine bundesgesetzliche Regelung im gesamtstaatlichen Interesse erforderlich (Art. 72 Abs. 2 GG)89.
Zweck des SigG ist es, "Rahmenbedingungen für digitale Signaturen zu schaffen, unter denen diese als sicher gelten und Fälschungen digitaler Signaturen oder Verfälschungen von signierten Daten zuverlässig festgestellt werden können" (§ 1 Abs. 1 SigG).
Änderungen an Formvorschriften oder dem Beweisrecht wurden nicht vorgenommen, insbesondere wurde die digitale Signatur nicht der gesetzlichen Schriftform (§ 126 BGB) gleichgestellt. Es soll zunächst durch tatsächliche Sicherheit Vertrauen in die gesetzliche digitale Signatur geschaffen werden90, so daß sie vom Rechtsverkehr akzeptiert wird und Gerichte ihr im Rahmen der freien Beweiswürdigung die nötige Beweiskraft zuerkennen können. Später wird dann möglicherweise in bestimmten Fällen, in denen heute Schriftform verlangt wird, auch die digitale Signatur zugelassen werden; außerdem könnte es dann auch Änderungen im Beweisrecht geben91.
Das SigG stellt die Anwendung anderer Verfahren in § 1 Abs. 2 ausdrücklich frei; es besteht also kein Zwang, nur Authentikationssysteme nach dem SigG zu verwenden.
Das SigG regelt im wesentlichen die Rahmenbedingungen für die Arbeit von Zertifizierungsinstanzen92, die es Zertifizierungsstellen nennt. Nach § 2 Abs. 2 SigG sind dies Personen, die die Zuordnung von öffentlichen Prüfschlüsseln93 zu natürlichen Personen bescheinigen und dafür eine Lizenz nach § 4 SigG besitzen. Die Prüfschlüssel der Zertifizierungsstellen werden nach § 4 Abs. 5 SigG ihrerseits von der zuständigen Behörde zertifiziert, so daß sich eine zweistufige Zertifizierungshierarchie mit der Behörde an der Spitze ergibt.
Mit der Festlegung, daß alle Zertifizierungsstellen von der zuständigen Behörde zu zertifizieren sind, wird ein zentrales Sicherheitsrisiko geschaffen. Sollte der Schlüssel der Behörde kompromittiert werden, so ist die gesamte Zertifizierungshierarchie und damit der gesamte elektronische Rechtsverkehr gefährdet. Daneben wird aber auch verhindert, daß Zertifizierungsstellen "Dependancen" gründen können und sich somit eine mehrstufige Zertifizierungshierarchie ausbilden kann. Es ist fraglich, ob dies zweckmäßig ist94.
Nach § 4 SigG bedarf der Betrieb einer Zertifizierungsstelle einer Lizenz. Es besteht ein Rechtsanspruch auf Erteilung einer Lizenz durch die Behörde, wenn der Antragsteller die für den Betrieb einer Zertifizierungsstelle nötige Zuverlässigkeit und die dort tätigen Personen die nötige Fachkunde besitzen und außerdem in einem Sicherheitskonzept und bei einer Vorortprüfung die Erfüllung der technischen und organisatorischen Sicherheitsanforderungen des SigG nachgewiesen werden. Die Lizenz kann mit erforderlichen Nebenbestimmungen versehen werden (§ 4 Abs. 4 SigG).
Aufgrund eines Zirkelschlusses zwischen § 2 Abs. 2 SigG, der in die Legaldefinition einer "Zertifizierungsstelle" als Voraussetzung den Besitz einer Lizenz nach § 4 SigG aufnimmt, und § 4 Abs. 1 SigG, der für den Betrieb einer Zertifizierungsstelle eine Lizenzierungspflicht aufstellt, ist unklar, ob eine Lizenz für den Betrieb jeder Zertifizierungsinstanz erforderlich ist, oder ob sich nur diejenigen lizenzieren lassen müssen, die Zertifikate nach dem SigG ausstellen und damit an der gesetzlichen Sicherheitsfiktion des § 1 Abs. 1 SigG teilhaben wollen95. Der Wortlaut von § 4 Abs. 1 SigG, der sich eines im selben Gesetz legaldefinierten Begriffs bedient, und die grundsätzliche Freistellung alternativer Verfahren für die digitale Signatur in § 1 Abs. 2 SigG sprechen für die liberalere Auslegung. Die Bundesregierung wollte jedoch offenbar jegliche Ausstellung von Zertifikaten für Signaturprüfschlüssel einer Lizenzierungspflicht unterwerfen96. Dieser Wunsch hat im maßgeblichen Gesetzestext allerdings keinen Ausdruck gefunden. Nimmt man die Legaldefinition in § 2 Abs. 2 SigG ernst, so ergibt sich, daß die Lizenzierung eine freiwillige Unterwerfung unter die Bestimmungen des SigG darstellt und keine Pflicht dazu besteht, wenn eine Zertifizierungsinstanz die Vorteile des SigG (wie etwa die Fiktion in § 1 Abs. 1 SigG) nicht in Anspruch nehmen möchte. Diese Auslegung allein ist auch in der Lage, den durch § 1 Abs. 2 SigG angestrebten Wettbewerb97 des gesetzlichen Modells mit anderen Sicherungsinfrastrukturen zu gewährleisten, da ein Authentikationssystem ohne Zertifizierungsstruktur im großen Maßstab nicht einsetzbar ist98. Die dem experimentellen Charakter des SigG99 entsprechende Erprobung von Technologien, von denen noch nicht bekannt ist, ob sie den Sicherheitsanforderungen des SigG entsprechen, wird nur so ermöglicht. Auch wird damit die absurde Konsequenz vermieden, daß praktisch jeder Benutzer des im Internet gebräuchlichen Verschlüsselungsprogramms PGP als "Zertifizierungsstelle" eine Lizenz nach § 4 SigG benötigte100. Und schließlich verlangt das rechtsstaatliche Erfordernis der Klarheit und Bestimmtheit eine Regelung, die für den Einzelnen erkennen läßt, was von ihm verlangt wird und inwiefern seine Grundrechte eingeschränkt werden101. Eine Gesetzesauslegung, die einen Eingriff in die Berufsfreiheit (Art. 12 Abs. 1 GG) oder die allgemeine Handlungsfreiheit (Art. 2 Abs. 1 GG) darauf stützen wollte, daß sie eine durch das selbe Gesetz aufgestellte Legaldefinition für unbeachtlich hält, müßte sich vorwerfen lassen, dieses Erfordernis aufzugeben.
Demnach ist der Auslegung der Vorzug zu geben, nach der keine Lizenzierungspflicht besteht.
Durch das SigG und die aufgrund von § 16 SigG durch die Bundesregierung erlassene Verordnung zur digitalen Signatur (Signaturverordnung, SigV) vom 22. Oktober 1997102, die Detailfragen regelt und gemäß § 19 SigV am 1. November 1997 in Kraft getreten ist, werden den Zertifizierungsstellen eine Reihe von Pflichtaufgaben übertragen.
Die Zertifizierungsstelle muß die Identität einer Person, die ein Zertifikat beantragt, durch Überprüfung des Personalausweises feststellen (§§ 5 Abs. 1 SigG, 3 Abs. 1 SigV). Sie muß für den Antragsteller ein Schlüsselpaar erzeugen und es ihm zuordnen oder aber sich davon überzeugen, daß der Antragsteller zur Erzeugung des Schlüsselpaars geeignete technische Komponenten eingesetzt hat (§ 5 SigV). Hat sie das Schlüsselpaar erstellt, muß sie es dem Antragsteller persönlich übergeben (§ 6 SigV). Sie stellt ein Prüfschlüssel-
Daneben muß die Zertifizierungsstelle einen immer erreichbaren Sperrdienst (§§ 8 SigG, 9 SigV), einen 10 Jahre lang über öffentlich zugängliche Telekommunikationsverbindungen erreichbaren Verzeichnisdienst für Zertifikate und Sperrungen (§§ 5 Abs. 1 Satz 2 SigG, 8 SigV) sowie einen Service zum "Zeitstempeln" digital signierter Daten103 (§ 9 SigG) unterhalten.
Personenbezogene Daten, die die Zertifizierungsstelle nach § 12 Abs. 1 SigG erhoben hat, unterliegen einer Zweckbindung. Der Antragsteller ist nicht einmal gezwungen, sein Zertifikat veröffentlichen zu lassen; es genügt nach § 5 Abs. 1 Satz 2 SigG, wenn eine Online-
Nach § 5 Abs. 3 SigG sind auch Zertifikate, die anstelle eines Namens mit einem Pseudonym versehen sind, zulässig, wobei dieser Umstand im Zertifikat kenntlich zu machen ist; auf Wunsch des Kunden muß ein solches Zertifikat sogar ausgestellt werden. Jedoch ermächtigt § 12 Abs. 2 SigG Sicherheits- und Geheimdienstbehörden, die wahre Identität eines Zertifikat-
Zum einen ist keine Möglichkeit für Privatpersonen vorgesehen, um eine Aufdeckung der pseudonymen Identität zu erreichen. Dies wird die tatsächlichen Einsatzmöglichkeiten von pseudonymen digitalen Signaturen erheblich behindern, da sich ein Vertragspartner normalerweise auf einen Abschluß mit einem unter Pseudonym agierenden Partner nur einlassen wird, wenn er bei Leistungsverweigerung die wahre Identität in Erfahrung bringen und auf dem Rechtsweg gegen seinen Vertragspartner vorgehen kann104.
Zum anderen ist die Regelung aber auch zu weitgehend. Die Aufdeckung der pseudonymen Identität durch eine Behörde stellt einen Eingriff in das informationelle Selbstbestimmungsrecht des Betroffenen aus Art. 1 Abs. 1, 2 Abs. 1 GG105 dar. Die Eingriffsvoraussetzungen in § 12 Abs. 2 SigG sind allerdings zu unbestimmt und es gibt auch keine besonderen verfahrensmäßigen Sicherungen, was beides den von BVerfG vorgegebenen Bedingungen widerspricht106. Insbesondere ist nicht einmal eine Unterrichtung des Betroffenen nach Ende der Ermittlungen vorgesehen107, so daß dieser möglicherweise noch lange auf die Geheimhaltung seiner pseudonymen Identität vertraut, während der Staat weiterhin in der Lage ist, seine Aktionen zu verfolgen. Dadurch geht der Eingriff in zeitlicher Hinsicht weiter als erforderlich und wird damit unverhältnismäßig. In seiner jetzigen Fassung ist § 12 Abs. 2 SigG aus diesen Gründen verfassungswidrig108.
§§ 5 Abs. 4, 5 Abs. 5 SigG, 10 f., 14 ff. SigV enthalten Regelungen, die organisatorische, personelle und technische Sicherheit garantieren sollen. Besondere Bedeutung hat das Verbot der Speicherung des privaten Signaturschlüssels bei der Zertifizierungsstelle in § 5 Abs. 4 Satz 3 SigG, denn wer über diesen Schlüssel verfügt, kann theoretisch beliebige Dokumente mit der digitalen Signatur des legitimen Schlüsselinhabers versehen; diese Möglichkeit würde dem Vertrauen in die digitale Signatur schweren Schaden zufügen. Die Maßnahmen, die eine Zertifizierungsstelle zur Einhaltung der Sicherheitsanforderungen durchführt, sind in einem Sicherheitskonzept niederzulegen (§§ 4 Abs. 3 Satz 3 SigG, 12 SigV).
Dieses Konzept wird bei der Lizenzierung und danach jeweils im Abstand von zwei Jahren überprüft (§ 15 SigV). Außerdem hat die zuständige Behörde zur Überwachung der Zertifizierungsstelle Durchsuchungs-, Einsichts- und Auskunftsrechte. Sie kann Maßnahmen gegen die Zertifizierungsstelle verhängen und die Lizenz zurücknehmen oder widerrufen (§ 13 SigG). Daneben hat die Datenschutzbehörde gemäß § 12 Abs. 3 das Recht zu verdachtsunabhängigen Kontrollen.
§ 13 Abs. 2 SigG sieht zwar vor, daß die Kontrollbehörde bei einer Überprüfung Einsicht in die schriftlichen Unterlagen der Zertifizierungsinstanz nehmen kann, doch fehlt eine Ermächtigung zum Zugriff auf Datensammlungen und technische Anlagen. Eine umfassende Überprüfung scheint ohne diese Möglichkeit nahezu ausgeschlossen109.
Das SigG enthält keine eigene Haftungsregelung und überläßt die Beantwortung von Haftungsfragen den allgemeinen Regeln110. Danach haftet die Zertifizierungsstelle gegenüber dem Schlüsselinhaber gemäß § 278 BGB ohne Exkulpationsmöglichkeit für ein Verschulden ihrer Mitarbeiter und sonstigen Erfüllungsgehilfen aus positiver Forderungsverletzung des Zertifizierungsvertrags, wobei dem Schlüsselinhaber die übliche Beweislastverteilung nach Verantwortungsbereichen111 (Rechtsgedanke des § 282 BGB) zugute kommt: er muß nur die Pflichtverletzung und deren Kausalität für den Schaden beweisen112. Gegenüber Dritten haftet die Zertifizierungsstelle für primäre Vermögensschäden jedoch nur bei vorsätzlichen Manipulationen durch einen ihrer Mitarbeiter (§ 831 BGB iVm § 826 BGB bzw. §§ 823 Abs. 2 BGB, 263 StGB)113, und dies mit Exkulpationsmöglichkeit.
Damit ergibt sich eine Haftungslücke zumindest für Fälle, in denen fahrlässiges Verhalten von Mitarbeitern oder Handlungen Dritter einen Vermögensschaden bei einem anderen als dem Schlüsselinhaber verursacht haben114. Es wurde vorgeschlagen, zur Behebung dieser Lücke eine Gefährdungshaftung mit Haftungshöchstgrenze, Deckungsvorsorge und Ursachenvermutung einzuführen115. Dies würde jedoch für Zertifizierungsstellen eine schärfere Haftung als für Notare bedeuten, obwohl die von letzteren ausgestellten Beglaubigungen und Beurkundungen im Gegensatz zu digitalen Signaturen und Zertifikaten öffentlichen Glauben besitzen116. Auch wegen einiger weiterer dogmatischer und Wertungswidersprüche117 sollte auf die Einführung einer solchen Gefährdungshaftung deshalb verzichtet werden118.
Im Gegensatz zu einigen anderen Staaten gibt es in Deutschland keine rechtlichen Beschränkungen des Einsatzes von Verschlüsselungsverfahren119. Allerdings unterliegt der Export der meisten kryptographischen und kryptanalytischen Technologien nach §§ 7 Abs. 1, 5 Abs. 1 AWG einem Genehmigungsvorbehalt120.
§ 8 Abs. 4 Satz 2 der Fernmeldeüberwachungsverordnung (FÜV) vom 18. Mai 1995121 lautet: "Falls der Betreiber dem Teilnehmer Verschlüsselungsmöglichkeiten für die Nachrichten bereitstellt, hat er [...] dem Bedarfsträger die für eine Entschlüsselung erforderlichen Informationen zeitgerecht zur Verfügung zu stellen." Die FÜV wurde aufgrund einer Ermächtigung in § 10b FAG erlassen, der seit dem 1. August 1996 durch § 99 Abs. 1 Nr. 3 TKG außer Kraft gesetzt ist.
Es fragt sich, ob diese Vorschrift vom Betreiber einer Telekommunikationsanlage auch verlangt, sich die von seinen Benutzern verwendeten geheimen Schlüssel aushändigen zu lassen und diese den Behörden im Bedarfsfall zur Verfügung zu stellen, oder ob sich die Verpflichtung auf vom Betreiber mit eigenen Schlüsseln vorgenommene Verschlüsselung beschränkt. Dazu ist zunächst zu untersuchen, ob § 8 Abs. 4 Satz 2 FÜV von einer ausreichenden gesetzlichen Ermächtigung getragen wird (Art. 80 GG). Die Verordnung könnte nach dem Wegfall von § 10b FAG unwirksam geworden sein122. Dies ist jedoch nicht der Fall, da die alte Ermächtigungsgrundlage in § 10b FAG durch eine neue in § 88 Abs. 2 Satz 2 TKG ersetzt wurde, die ihrerseits § 8 Abs. 4 Satz 2 FÜV trägt123.
Die Ermächtigung im TKG erlaubt allerdings nur eine Verordnung, die "die technische und organisatorische Umsetzung von Überwachungsmaßnahmen in diesen Telekommunikationsanlagen" regelt. Eine solche Verordnung kann also keine Verpflichtungen enthalten, die sich auf Bereiche außerhalb der Telekommunikation beziehen. Nun ist aber teilnehmerautonome Kryptographie kein Bestandteil der Nachrichtenübertragung, sondern Gestaltung des Nachrichteninhalts. Außerdem können die Benutzer ihre eigenen Schlüssel auch zu anderen Zwecken als zur Verschlüsselung von zu übertragenden Nachrichten benutzen, so daß insgesamt festzustellen ist, daß die oben dargestellte weitgehende Auslegung des § 8 Abs. 4 Satz 2 FÜV von der Ermächtigung im TKG nicht mehr getragen und damit verfassungswidrig wäre124.
Die unbeschränkte Zulassung kryptographischer Verfahren zur Konzelation stellt vor allem die Sicherheits- und Strafverfolgungsbehörden vor das Problem, daß (organisierte) Kriminelle moderne Kommunikationstechnik zur Koordination einsetzen können, ohne daß der Staat eine Möglichkeit hat, vom Inhalt der Kommunikation Kenntnis zu erlangen und präventiv oder repressiv tätig zu werden125. Es gibt verschiedene Regelungsmodelle, die diesen Nachteil eines weitverbreiteten Einsatzes von kryptographischen Verfahren beseitigen sollen126. Es soll daher untersucht werden, inwiefern solche Regelungen mit dem Grundgesetz vereinbar wären. Dazu wird zunächst geklärt, welchen grundrechtlichen Schutz die Verwendung kryptographischer Konzelationssysteme genießt (1), um dann auf die einzelnen Vorschläge und ihre Verfassungskonformität einzugehen (2).
Den Schutzbereich des Fernmeldegeheimnisses (Art. 10 Abs. 1 Fall 3 GG) bildet die Vertraulichkeit der unkörperlich vermittelten Individualkommunikation127. Neben dem Nachrichteninhalt selbst ist aber auch die Befugnis der Kommunikationspartner geschützt, selbst darüber zu bestimmen, wem der Inhalt der Nachricht zugänglich werden soll128. Es muß ihnen daher auch offenstehen, den Inhalt durch technische Maßnahmen vor unbefugter Kenntnisnahme zu schützen, wie etwa im Bereich des Brief- und Postgeheimnisses durch die Verwendung von Briefumschlägen129. Die Verwendung kryptographischer Verfahren zur Konzelation des Nachrichteninhalts durch die Kommunikationsteilnehmer ist daher ebenfalls vom Schutzbereich des Art. 10 GG erfaßt130.
Neben Art. 10 GG kommen als Prüfungsmaßstab für mögliche Kryptographieregelungen auch - nämlich in Bezug auf kommerzielle Anbieter - die Berufsfreiheit (Art. 12 Abs. 1 GG) und, soweit nicht eines der spezielleren Grundrechte einschlägig ist, das Auffanggrundrecht der allgemeinen Handlungsfreiheit (Art. 2 Abs. 1 GG) in Betracht. Außerdem muß wie bei jeder Regelung der Gleichheitssatz (Art. 3 Abs. 1 GG) beachtet werden. Gegenüber dem Recht auf informationelle Selbstbestimmung (Art. 1 Abs. 1, 2 Abs. 1 GG) ist das Fernmeldegeheimnis allerdings das speziellere Grundrecht131, so daß insoweit nur am Maßstab des Art. 10 GG zu prüfen ist132.
Das Fernmeldegeheimnis (Art. 10 Abs. 1 Fall 3 GG) kann nach Art. 10 Abs. 2 Satz 1 GG, die Berufsfreiheit (Art. 12 Abs. 1 Satz 1 GG) nach Art. 12 Abs. 1 Satz 2 GG auf Grund eines Gesetzes eingeschränkt werden133. Jedoch sind stets nur solche Einschränkungen zulässig, die einem von der Verfassung anerkannten Zweck dienen134. Der Zweck, der allen im folgenden besprochenen Eingriffen gemeinsam ist, liegt darin, zum einen die Benutzung moderner Kommunikationstechnik zur Koordination oder Ausübung illegaler Aktivitäten durch die abschreckende Wirkung potentieller Überwachung zu erschweren; zum anderen sollen der Strafrechtspflege und anderen Behörden Beweis- und Hinweisquellen erschlossen werden135. Sowohl die öffentliche Sicherheit als auch die Effektivität der Strafverfolgung sind verfassungslegitime Zwecke. An diesen Zwecken werden die im folgenden vorgestellten Regelungsmöglichkeiten zu messen sein136.
Einer der weitestgehenden Eingriffe in die Verschlüsselungsfreiheit137 wäre ein strafbewehrtes gesetzliches Verbot der Herstellung, des Vertriebs, des Besitzes und der Verwendung kryptographischer Produkte ohne behördliche Erlaubnis, wobei die Erlaubnis nur unter engen Voraussetzungen und in der Regel nur staatlichen Stellen und großen Wirtschaftsunternehmen - etwa Kreditinstituten oder Unternehmen der Rüstungsindustrie - erteilt wird138.
Bei der Prüfung der Verhältnismäßigkeit einer Regelung ist nach der Feststellung ihres Zwecks139 zunächst danach zu fragen, ob sie geeignet ist, diesen Zweck zu erreichen. Damit eine Regelung als geeignet angesehen werden kann, ist allerdings nicht nötig, daß sie ihren Zweck in jedem Fall voll erreicht, denn ansonsten wäre nahezu jedes Gesetz - vor allem im Bereich des Strafrechts - als ungeeignet und damit unverhältnismäßig anzusehen; normativer Anspruch und faktischer Zustand können sich nie völlig decken. Es genügt vielmehr, daß die Regelung den Zweck fördert; insofern ist oft auch von einer Einschätzungsprärogative des Gesetzgebers die Rede140.
Die vorgestellte Regelung würde dazu führen, daß Privatpersonen und die meisten Organisationen keinen legalen Zugang mehr zu kryptographischen Anwendungen hätten und deren Einsatz auch wegen der Strafandrohung unterlassen würden.
Sie könnte freilich nicht verhindern, daß in kriminellen Kreisen, vor allem im Bereich der organisierten Kriminalität, des Terrorismus und der Spionage, weiterhin Kryptographie - wenngleich illegal - zum Einsatz käme141. Denn starke kryptographische Software ist für jeden, der Zugriff auf das Internet hat, verfügbar142. Und auch die Gefahr, beim Einsatz solcher Software "erwischt" zu werden, läßt sich ausschalten: Eine Technik namens Steganographie erlaubt es, in völlig unverdächtigen Nachrichten wie Bildern, Musikdateien, ISDN-
Dazu kommt noch ein weiteres Problem: Es ist aufgrund der Eigenschaft kryptographischer Verfahren, Nachrichten beim Verschlüsseln in möglichst zufällig erscheinende Zeichenfolgen zu überführen, nicht möglich zu beweisen, ob eine solche Zeichenfolge eine verschlüsselte Nachricht ist oder nicht. Ebenso könnte es sich um durch einen technischen Fehler entstandenen "Datenmüll", absichtlich erzeugte Zufallszahlen, Meßergebnisse, Daten in einem exotischen Datenformat etc. handeln. Nur wenn die Kommunikationspartner sich bekannter Standardsoftware bedient haben, kann es möglich sein, einen entsprechenden Nachweis zu führen145.
Wenn sich also die Möglichkeit des Einsatzes von Kryptographie durch diese Regelung nicht ausschalten ließe, so läge darin trotzdem - insbesondere für "Kleinkriminelle" - eine nicht unerhebliche Erschwernis. Es ist nicht auszuschließen, daß die Verwendung kryptographischer Methoden zu kriminellen Zwecken bei einer solchen Regelung zurückginge und die Strafverfolgungsbehörden deshalb mehr Straftäter überführen könnten. Unter Berücksichtigung der Einschätzungsprärogative müßte die Regelung deshalb als den angestrebten Zweck fördernd und damit als geeignet angesehen werden.
Eine Regelung ist dann erforderlich und somit nur dann verhältnismäßig, wenn es kein gleich geeignetes, aber weniger belastendes Mittel gibt, um den angestrebten Zweck zu erreichen146.
Wegen der dargestellten Umgehungsmöglichkeiten ist auch von anderen Mitteln keine besonders hohe Wirksamkeit zu verlangen, um sie als gleich geeignet ansehen zu können. Daß es solche ebenso geeigneten Mittel gibt, wird im folgenden gezeigt werden147.
Diese müßten aber auch weniger belastend wirken. Die besprochene Regelung führte dazu, daß insbesondere Privatpersonen ihre im Netz übertragenen Daten nicht mehr vor unbefugtem Zugriff schützen könnten. Diese wären somit dem Zugriff nicht nur des Staates, sondern auch von anderen Personen ausgesetzt, die sie in krimineller Absicht abfangen und zum Schaden des Absenders oder Empfängers mißbrauchen könnten. Diese Gefahr ist gerade in einem offenen Netz wie dem Internet nicht zu unterschätzen; ihr kann ohne Einsatz kryptographischer Protokolle nicht wirksam begegnet werden148. Da es, wie noch zu zeigen ist149, aber Mittel gibt, die zumindest dieses Problem nicht aufwerfen, muß die vorgestellte Regelung mangels Erforderlichkeit als unverhältnismäßig verworfen werden.
Schon weniger einschneidend wäre ein Verbot nur solcher kryptographischer Methoden, die vom Staat nicht mehr in vertretbarer Zeit entschlüsselt werden können, etwa durch Begrenzung der zulässigen Schlüssellänge150. Auch hier wäre wahrscheinlich ein Erlaubnisvorbehalt vorgesehen, so daß in besonders sensiblen Bereichen im Einzelfall doch starke Kryptographie zur Anwendung kommen könnte.
Die Eignung einer solchen Regelung ist ähnlich zu beurteilen wie die des Totalverbotes151. Zwar ist bei diesem Modell im Fall einer Überwachung die gesamte Kommunikation zunächst zu entschlüsseln, doch ist dies bei entsprechender finanzieller Ausstattung und Festlegung von niedrigen Schlüsselhöchstlängen kein besonderes Problem152. Eine solche Regelung wäre also (gerade noch) geeignet, um den angestrebten Zweck zu erreichen.
Auch dieses Modell ist mit dem Problem behaftet, daß Unbefugte - hier allerdings nur finanziell leistungsfähige wie z. B. organisierte Kriminelle - Zugriff auf zu schützende Daten erlangen können. Es ist also ebenfalls unzulässig, wenn es ein anderes Mittel gibt, das zu einer insgesamt milderen Belastung führt153.
Eine weitere denkbare Beschränkung wäre es, kryptographische Anwendungen nur dann zu erlauben, wenn die Benutzer (bzw. ihre Software) die verwendeten Schlüssel oder wesentliche Teile davon so hinterlegen, daß staatliche Stellen darauf Zugriff haben und somit im Bedarfsfall von den Benutzern unbemerkt Nachrichten entschlüsseln können (sog. Key Recovery)154. Es sind hier verschiedene Varianten denkbar. Um das Risiko zu minimieren, könnte der Schlüssel etwa mittels secret sharing auf mehrere Hinterlegungsstellen verteilt werden, so daß keine davon alleine Zugriff auf den Schlüssel hat. Auch könnte das System möglicherweise so eingerichtet werden, daß die Hinterlegungsstellen keine Schlüssel an Behörden herausgeben müßten, sondern lediglich einzelne Nachrichten damit zu entschlüsseln bräuchten.
Geeignet ist eine solche Regelung freilich nur, wenn sie auch technisch durchführbar ist. Schon die bloße Konzeption und Ausführung eines umfassenden Key-
Geht man also davon aus, daß ein solches System machbar ist, so ergibt sich zur Eignung ein ähnliches Bild wie schon beim Totalverbot und beim Verbot starker Kryptographie156: Große Erfolge sind nicht zu erwarten, weil die Einschränkungen zu leicht unterlaufen werden können. Ein Unterlaufen ist durch die Anwendung sogenannter Überschlüsselung sogar noch einfacher als bei den anderen Modellen157. Dabei wird im Prinzip eine mit einem nicht hinterlegten Schlüssel chiffrierte Nachricht zusätzlich mit einem hinterlegten Schlüssel verschlüsselt. "Von außen" kann dieser Nachricht nun nicht mehr angesehen werden, daß sie mit verbotener Kryptographie behandelt wurde. Auch der Austausch solcher "verbotener" Schlüssel läßt sich ohne größere Probleme durchführen, und zwar unter Ausnutzung der staatlichen Infrastruktur für Signaturschlüssel oder sogar des Key-
Doch fördert die Regelung immerhin den angestrebten Zweck. Auch sie kann daher nicht als ganz untauglich angesehen werden.
Nach der Rechtsprechung des BVerfG und der im Schrifttum ganz herrschenden Ansicht ist allerdings nicht jeder zur Erreichung eines verfassungslegitimen Zwecks geeignete und erforderliche Grundrechtseingriff auch als verhältnismäßig anzusehen. Als weiteres Kriterium - Verhältnismäßigkeit im engeren Sinn oder Angemessenheit - wird eine stimmige Zweck-
Der Vorteil des Key-
Die Beobachtung kann freilich auf vielfältige Weise unterlaufen und die Verwendung solcher Verfahren nur äußerst schwer nachgewiesen werden159. Es ist davon auszugehen, daß dies in immer stärkerem Umfang geschehen würde und die Key-
Ein Key-
Zu bewältigen wäre eine Dimension mit Tausenden von Produkten und Hinterlegungsstellen, Zehntausenden von Behörden, Millionen von Benutzern, mehreren Zehnmillionen Schlüsselpaaren und Hunderten von Milliarden von Sitzungsschlüsseln, die immer weiter wachsen wird und deshalb letztlich nicht sicher zu überwachen sein dürfte161. Es bestünden konzeptionsbedingt sehr hohe Anforderungen an die Sicherheit und gleichzeitig an Geschwindigkeit und Leistungsmenge der Hinterlegungsstellen, wodurch Fehlleistungen nach aller menschlichen Erfahrung völlig unvermeidlich wären162.
Auch die Angriffsanfälligkeit stiege stark an. Durch die Konzentrationen sehr sensitiver Daten bei der Hinterlegungsstelle bestünde neben anderen Angriffsmöglichkeiten auch Anreiz und Gelegenheit zur Benutzung von Insidern - Verführung, Bestechung, Erpressung, Bedrohung, Gewalt usw. -, um unberechtigt Schlüssel zu erlangen; eine Methode, die erfahrungsgemäß häufig zum Erfolg führen wird und daher eine enorme Steigerung der Risiken bewirkt163. Auch die Gefährdung durch fremde Nachrichtendienste ist in diesem Zusammenhang zu bedenken. Dieser besonderen Gefährdung durch Konzentration, die auch kostenintensive und riskante Angriffe lohnend erscheinen lassen würde, ließe sich durch Verteilung der geheimen Schlüssel auf möglichst viele Hinterlegungsstellen entgegenwirken, doch würde dies die Kosten für das System enorm erhöhen und im Gegenzug die Risiken durch technische Fehler steigern oder die Brauchbarkeit für den verfolgten Zweck beeinträchtigen.
Die durch die Realisierung dieser Gefahren angerichteten Schäden könnten vom Umfang her den eigentlich zu verhindernden Schäden durchaus entsprechen oder sie übersteigen. All diese Gefahren müßten auch dazu führen, daß das Vertrauen der Benutzer in die Verwendung kryptographischer Verfahren und in moderne Netze überhaupt erschüttert würde.
Mithin stehen einem kaum spürbaren Vorteil für das Gemeinschaftsinteresse zahlreiche und schwerwiegende Nachteile für die Grundrechtsträger gegenüber. In Anbetracht dessen, daß auch das Key-
Auch das Totalverbot und das Verbot starker Kryptographie165 können deshalb als noch einschneidendere Maßnahmen vor dem Grundsatz der Verhältnismäßigkeit keinen Bestand haben.
In den offenen Netzen, die das Bild der Kommunikation im 21. Jahrhundert bestimmen werden, sind Daten dem unbefugten Mitlesen und Verändern schutzlos ausgeliefert. Starke Kryptographie erlaubt zuverlässig das technische Schützen von übermittelten oder gespeicherten Daten vor unbefugter Kenntnisnahme durch Verschlüsselung und bietet die Voraussetzungen für die digitale Signatur, mit deren Hilfe elektronische Dokumente einem bestimmten Urheber zugerechnet und vor unbemerkten Veränderungen geschützt werden können.
Die organisatorischen Anforderungen an sichere digitale Signaturen sind im Signaturgesetz (SigG) vom 22. Juli 1997 (BGBl. I S. 1870, 1872; FNA 9020-8) und der Signaturverordnung (SigV) vom 22. Oktober 1997 (BGBl. I S. 2498; FNA 9020-8-1) geregelt, die unter anderem eine Lizenzierungspflicht vorsehen für solche Personen, die die Zuordnung anderer Personen zu ihren Signaturschlüsseln verbindlich bescheinigen wollen (Zertifizierungsstellen). Daneben werden Aspekte des Datenschutzes und der Sicherheitsüberprüfung geregelt, aber keine spezielle Haftungsgrundlage und keine Form- oder Beweisfragen im Zusammenhang mit der digitalen Signatur.
Für den Bereich der Verschlüsselung bestehen in Deutschland nur vereinzelte Vorschriften im Recht der Telekommunikation, wobei § 8 Abs. 4 Satz 2 FÜV nicht so ausgelegt werden darf, daß er Betreiber von Telekommunikationsanlagen zwingen würde, Schlüssel der Kommunikationsteilnehmer an die Behörden auszuhändigen; es besteht lediglich eine Verpflichtung zum Aufheben nicht-
(Fußnoten)
Literaturverzeichnis
|
Krypto & Privacy Webring
|
|
| Info | Vorheriger | Nächster | Alle | nächsten 5 | nächsten 10 | nächsten 15 Seiten | |