Signaturgesetz am Prüfstand

[Im dritten Teil der FuturezoneSerie zum Signaturgesetzentwurf ging es um die Haftung der Zertifizierungsstellen]

Zertifikatsanbieter trifft Beweislast

Der Gesetzgeber verfolgt den ehrgeizigen Plan, das österreichische Signaturgesetz noch vor dem Sommer zu erlassen. Insider halten allerdings eine Erlassung des Gesetzes im Herbst für wahrscheinlicher.

"Der kurz bemessene Begutachtungszeitraum von nur zwei Wochen lässt den Verdacht aufkommen, dass in letzter Minute, ohne ausführliche und breite Diskussion aller Betroffenen ein Gesetzesentwurf durchgepeitscht werden soll", sagt ein Kritiker, der nicht namentlich genannt werden möchte, zur Futurezone.

ad "Elektronische Signatur"

Ähnlich wie handschriftliche Unterschriften werden elektronische Signaturen benutzt, um den Autor eines Mails oder einer elektronischen Transaktion zu identifizieren. Bei digitalen Signaturen besitzt der Unterzeichner ein Signatur-Schlüsselpaar, das aus einem privaten und einem öffentlichen Schlüssel besteht. Der private Schlüssel wird zur Erzeugung der Signatur verwendet. Mit dem öffentlichen Schlüssel wird die Signatur vom Empfänger einer Nachricht überprüft. Zertifizierungsstellen ordnen den öffentlichen Schlüssel einem Unterzeichner zu.

Die Futurezone hat erste Stellungnahmen von Anbietern elektronischer Signaturen, Branchenexperten und der Wirtschaftskammer zum Entwurf eines österreichischen Signaturgesetzes eingeholt.

Einer der meistgenannten Kritikpunkte ist die Möglichkeit, dass sich die Inhaber elektronischer Signaturen hinter einem Pseudonym verbergen können, und das nicht nur bei einfachen, sondern auch bei qualifizierten Zertifikaten, bei denen eine Vielzahl von Bedingungen erfüllt werden muss.

Grundsätzlich wird das Pseudonym begrüsst, allerdings wird es auch Situationen geben, in denen die Verwendung eines Pseudonyms untragbar wäre. Die Wirtschaftskammer nennt den Behördenkontakt als einen jener Kommunikationswege, bei denen ein Pseudonym nicht angebracht ist und schlägt - ebenso wie eine Reihe anderer Kritiker - vor, bei qualifizierten Zertifikaten kein Pseudonym zuzulassen.

Privaturkunde, öffentlich beglaubigte Urkunde oder nix

Die Wirtschaftskammer kritisiert auch, dass der Gesetzesentwurf keine Aussage darüber macht, ob Signatur und Zertifikat die Kriterien einer Privaturkunde oder einer öffentlich beglaubigten Urkunde erfüllen. [Dieser Punkt wurde auch in den Foren zur SignaturgesetzSerie in der Futurezone angeschnitten.]

Eine Gleichstellung mit dem Urkundenbegriff hätte den grossen Vorteil, dass die Urkundendelikte des Strafgesetzbuches zur Anwendung kämen und damit sowohl Signator und Empfänger einer Nachricht als auch die Zertifizierungsstelle mehr Rechtssicherheit hätten.

"Im österreichischen Signaturgesetzentwurf sind weder die Rechtsfolgen im Strafrecht, noch die verwaltungsrechtlichen oder zivilrechtlichen Folgen explizit geregelt. Die Verbindung des Signaturgesetzes zu anderen Rechtsvorschriften ist nicht geklärt", sagt Gerhard Wagner, Generalsekretär des Verbands für Informationswirtschaft [VIW].

"Nicht EU-konform"

Kritisiert wird auch, dass der Signaturgesetzentwurf in einigen Punkten nicht mit dem Entwurf der EU-Signaturrichtlinie, der in der Endfassung vorliegt, übereinstimmt. In § 4 Abs. 2 des österreichischen Signaturgesetzes wird eine elektronische Unterschrift als nicht ausreichend für die Abgabe einer Bürgschaftserklärung angesehen. Und das, obwohl für eine Bürgschaftserklärung normalerweise die Schriftlichkeit im Sinn des § 886 ABGB [Allgemeines Bürgerliches Gesetzbuch] ausreicht und die elektronische Unterschrift diese Schriftlichkeit des § 886 auch erfüllt.

Artikel 5 des EU-Richtlinienentwurfs sieht eine grundsätzliche Gleichstellung von handschriftlicher und elektronischer Unterschrift vor. In den Erläuterungen zum österreichischen Gesetzesentwurf wird diese Abweichung von der Richtlinie als sachlich gerechtfertigt bezeichnet: "Bürgschaften sind für den Bürgen in der Regel mit einem beträchtlichen Risiko verbunden. Die Unterschrift soll dem Erklärenden die mit der Abgabe seiner Willenserklärung möglicherweise verbundenen Gefahren und Nachteile deutlich vor Augen führen."

Zertifikat für juristische Personen

Im Gegensatz zur EU-Richtlinie können laut österreichischem Gesetzentwurf [§ 2 Ziffer 2] nur natürliche Personen Signator sein. Mit anderen Worten: Juristische Personen können kein Zertifikat bekommen. In Artikel 2 des EU-Entwurfes heisst es aber: "Unterzeichner ist eine Person, ..." Damit ist sowohl eine natürliche als auch eine juristische Person gemeint.

"Oft läuft der Geschäftsverkehr ausschliesslich zwischen Computern ab. Es gibt Angebotsserver, mit denen Offerte per Programm generiert werden. Da sitzt niemand vor dem Computer, der unterschreiben würde", erklärt Hans Zeger, Geschäftsführer des Datenschutzvereins und Internet Service Providers ARGE DATEN.

ARGE DATEN

Diese Abweichung des österreichischen Signaturgesetzes vom EU-Richtlinienentwurf bringt für den E-Commerce also eine beträchtliche Erschwernis. "Grundsätzlich ist der Gesetzentwurf zu begrüssen. Hier habe ich aber den Eindruck, dass bestimmte Ministerien und das Bundeskanzleramt Leute drinnensitzen haben, die E-Commerce und elektronische Kommunikation noch nicht verstehen", kritisiert Zeger.

SIT ist Problempunkt

Die Liste der Kritikpunkte am Signaturgesetzentwurf ist lang. Teilweise reagieren die Kritiker mit einem strikten Nein auf den Entwurf, zum Grossteil wird das Gesetz aber - zumindest grundsätzlich - begrüsst. Auf breite Ablehnung stösst allerdings die geplante Einrichtung des Vereins "Zentrum für sichere Informationstechnologie" [SIT] als Bestätigungsstelle für Zertifikatsanbieter.

Zu regierungsnah, zu amtswegig, heisst es. Vorgeschlagen wird, dass bereits einschlägig tätige Unternehmen, wie Prüfanstalten oder TÜV diese Tätigkeit übernehmen.

[Im fünften Teil der SignaturgesetzSerie wird es um internationale Signaturregelungen und die Zusammenarbeit zwischen EU und Drittstaaten gehen.]