Stellungnahme zum Entwurf einer «Public Key Infrastruktur Verordnung» (PKIV-E) vom 3. Juni 1999

Transkript

1 DAVID ROSENTHAL LIC. IUR. INSIDER COMMUNICATIONS, ROSENTHAL & PARTNER HANS HUBER-STR. 15 POSTFACH 228 CH-4003 BASEL TELEFON 061/ TELEFAX 061/ Stellungnahme zum Entwurf einer «Public Key Infrastruktur Verordnung» (PKIV-E) vom 3. Juni 1999 Von lic. iur. David Rosenthal 9. Juli Einleitende Bemerkungen Die vorgelegte Verordnung ist meines Erachtens zu begrüssen. Allerdings darf dabei ihre Funktion nicht verkannt werden. Sie wird die Public-Key-Infrastrukturen (PKI) weder abschliessend und noch für längere Zeit regeln können. Dazu fehlen die Erfahrungswerte und entsprechenden Regelungen im Ausland, auf die früher oder später Rücksicht genommen werden muss. Dieser Verordnung kommen daher m.e. primär folgende Funktionen zu: - Sie soll die Diskussion über das Thema anregen und dessen Relevanz für Wirtschaft und Staat dokumentieren. Sie soll insbesondere auch Gerichte und Verwaltungen, soweit überhaupt möglich, zu «Gedanken» über die Technik der Digitalen Signatur drängen. - Sie soll es ermöglichen, Erfahrungswerte zu sammeln, die schliesslich in ein formelles Gesetz Eingang finden können, das nun in Angriff genommen werden sollte. - Sie soll Vertrauen schaffen, nicht aber notwendigerweise Rechtssicherheit (sprich: Rechtswirkungen; weitere Ausführungen dazu folgen weiter hinten). - Sie soll für die Bereitstellung von Ressourcen und finanziellen Mitteln zu ihrer Umsetzung sorgen; diese Mittel kommen der ganzen Sache zugute. Aus diesen Überlegungen folgt, dass dieser Verordnung nach Möglichkeit keine (formellen) hoheitlichen Rechtswirkungen zukommen soll, die sich zu Lasten einer privaten Person oder in anderer Weise einschränkend auswirken kann. Vor diesem Hintergrund muss der Entwurf der Verordnung (etwa hinsichtlich seiner Rechtsgrundlage) beurteilt und bereinigt werden. Das mag zwar ungewöhnlich erscheinen, doch ist dies auch in formaler Hinsicht durchaus möglich. Es muss allerdings betont werden, dass m.e. vor allem die Entwicklung einer Regelung bzw. Anerkennung von Rechtswirkungen aus dem Einsatz digitaler Signaturen und Dokumente die höchste Priorität geniesst. Es ist, wie vom Autor bereits in anderen Dokumenten geäussert, unumgänglich, dass nicht nur die Frage der einfachen Schriftlichkeit beurteilt wird. Sie stellt nur ein, wenn auch wichtiges Element der Problematik dar. Leider wird dieser Differenzierung auch im Ausland noch viel zu wenig Beachtung geschenkt, ebenso der Tatsache, dass es nicht nur eine Art von digitaler Signatur gibt, sondern eine Person unterschiedlichste Signaturen mit unterschiedlicher Wirkung haben wird. PC KONTO MWST.-NR

2 Diese Vernehmlassungseingabe soll nicht auf die technischen Definitionen und Kriterien eingehen. Es darf erwartet werden, dass dies in anderen Eingaben ausreichend geschehen wird. Hier sollen vor allem bisher möglicherweise nicht zur Sprache gekommene rechtliche Aspekte diskutiert werden. 2. Annahme eines «öffentlichen Registers» Der digitalen Signatur soll mit dieser Verordnung erklärtermassen keine Rechtswirkung zukommen. Diese Verordnung wird aber möglicherweise zur Folge haben, dass den von anerkannten Anbietern von Zertifizierungsdiensten ausgestellten Zertifikaten eine solche zukommt. Ausgangspunkt des Gedankens ist Art. 9 ZGB, der für öffentliche Urkunden und öffentliche Register eine erhöhte Beweiskraft vorsieht. Eine öffentliche Urkunde wäre ein digitales Ze r- tifikat zwar (noch) nicht, doch der anerkannte Anbieter von Zertifizierungsdiensten könnte durchaus als Betreiber eines öffentlichen Registers in Frage kommen, auch wenn klar sein dürfte, dass dies nicht unbedingt dem traditionellen Begriffsverständnis eines öffentlichen Registers entsprechen würde. Die wichtige Voraussetzung für die eine Annahme eines öffentlichen Registers, dessen «Regelung» im Bundesrecht, könnte bereits mit einer PKIV erfüllt sein, da diese vom Bundesrat erlassen würde und durchaus Regelungen zur Führung des Registers enthält. Wird dieser Ansicht gefolgt, so hätte dies zur Folge, dass ein digitales Zertifikat zwar möglicherweise im Beweisverfahren des Zivilprozesses nicht als Urkunde anerkannt wird, der vorhandene Eintrag im Register des Anbieters von Zertifizierungsdiensten aber als Eintrag eines öffentlichen Registers den Beweis für die darin bezeugte Tatsache, die Identität des Inhabers einer digitalen Signatur und möglicherweise weiterer Erklärungen, erbringen kann und erhöhten Glauben geniesst. Gerichte hätten die Tatsache aufgrund von Art. 9 ZGB im Beweisverfahren nicht nur zu beachten, sondern (vermutungsweise) als erwiesen anzune h- men. Damit wäre eine prozessuale und materielle Wirkung der digitalen Signatur bzw. Zertifikate erreicht, deren Konsequenzen noch nicht abzuschätzen sind. Da nicht mehr auf den Urkundenbegriff abgestellt wird, spielt es vermutlich auch keine Rolle mehr, dass das Zertifikat nur in digitaler Form vorliegt. Interessant an dieser Betrachtung ist m.e. die Tatsache, dass in einem Streitfall nicht die digitale Signatur der Angelpunkt der Beweisführung wäre, sondern das Zertifikat (als Teil bzw. Auszug des «Registers» des Zertifizierungsdienstanbieters). Der Kläger, der einen Anspruch mit einem digital signierten Dokument nachweisen will, müsste nachweisen, a) dass es sich beim Verfahren der digitalen Signatur um ein sicheres Verfahren der Technik handelt (was durch entsprechende Anerkennung durch die Gerichte überflüssig gemacht werden könnte) und b) dass die fragliche Signatur zu einem Zertifikat des Schuldners passt (dies kann durch eine entsprechende Dienstleistung des Bakom erfolgen, vgl. Art. 22 PKIV-E). Die Tatsache, dass das Zertifikat in der Tat vom darin erwähnten Schuldner stammt, müsste nach gesagtem vermutungsweise als erwiesen gelten, sofern das Zertifikat von einem anerkannten Anbieter von Zertifizierungsdiensten ausgestellt wurde. Welcher Bedeutung die digitale Signatur im Zusammenhang mit dem fraglichen Dokument (z.b. einer Bestellung oder Verzichtserklärung) zukommt, wäre dem Zertifikat zwar möglicherweise nicht zu entnehmen, wohl aber dem signierten Dokument und wäre nicht mehr eine Beweis- sondern Rechtsfrage. Sie dürfte allerdings die schwierigste Frage sein

3 Weil hier nicht von formbedürftigen Geschäften die Rede sein soll, wird das Gericht jedes Indiz und Beweisstück berücksichtigen können, um sich davon überzeugen zu lassen, dass eine vorliegende Erklärung einer bestimmten Person zugerechnet werden muss oder nicht. Der Schuldner könnte immerhin geltend machen, dass sein privater Schlüssel nicht nur ihm alleine bekannt sei. Doch erstens ist er gegenüber dem Zertifizierungsdienstanbeiter in der Regel vertraglich (mit Drittwirkung?) zur Geheimhaltung des privaten Schlüssels verpflichtet und zweitens könnte sich der Gläubiger für diesen Fall auf den Standpunkt stellen, dass bei Anwendung der Signatur durch eine Drittperson aus Sicht des Gläubigers zumindest eine Stellvertretung der im Zertifikat ausgewiesenen Person angenommen werden durfte, die der Vertretene wiederum gegen sich gelten lassen müsste (siehe nachfolgend). So bleibt für den Richter zwar durchaus ein Entscheidungsspielraum. Wesentlich aber ist, dass es mit der hier dargelegten Überlegung keiner Vereinbarung zwischen Schuldner und Gläubiger zwecks Identifikation der Signatur brauchen würde, da eine Vereinbarung zwischen Schuldner (als Signatur- bzw. Zertifikatsinhaber) und Zertifizierungsdienstanbieter vorliegt und die Erklärung jenes Anbieters erhöhte Beweiskraft geniessen könnte. Ohne PKIV müsste dagegen sowohl die Verbindung zwischen Signatur und Person als auch ausreichende Gründe für die Annahme einer Stellvertretung nachgewiesen werden. Ob eine solche Wirkung der PKIV angesichts der Missbrauchsmöglichkeiten und Haftungsfrage vertretbar ist, ist allerdings eine andere Frage (siehe hinten). 3. Fragen der Stellvertretung Art. 6 Abs. 3 PKIV-E sieht die Möglichkeit eines Zertifikats zur Vertretung einer anderen Person vor. Gemeint sind hier offensichtlich nur Vertretungen im Sinne der gewöhnlichen Stellvertretung von Art. 32 OR, nicht aber etwa die Vertretung einer juristischen Person durch ihre Organe. Gibt ein Anbieter von Zertifizierungsdiensten Zertifikate für Stellvertreter aus und überprüft er dabei wie in Art. 6 Abs. 3 PKIV-E vorgesehen die Stellvertretungsbefugnis, so besche i- nigt das Zertifikat das Vorliegen einer Vollmachtserklärung im Sinne von Art. 33 Abs. 3 OR (die Vollmachtserklärung wird dem Zertifizierungsdienstanbieter abgegeben). Kommt dessen Zertifikaten eine erhöhte Beweiskraft aufgrund von Art. 9 ZGB oder zumindest ein erhöhtes Vertrauen aufgrund der Anerkennung in der PKIV zu, so ist es durchaus vertretbar, diesen Zertifikaten aus der Sicht eines Dritten dieselbe Wirkung wie eine direkte Vollmachtserklärung des Vertretenen zuzugestehen. Wo aber eine solche Vollmachtserklärung erfolgt ist und diese nicht widerrufen wurde (was bei digitalen Zertifikaten auch für den Vollmachtgeber einfach möglich sein müsste), muss der Vertretene die mit diesem Zertifikat von dem darin ausgewiesenen Stellvertreter eingegangenen Rechtsgeschäfte gegen sich gelten lassen. Denn der Dritte, der auf das Zertifikat vertraut und dessen Gültigkeit überprüft hat, dürfte als «gutgläubig» im Sinne von Art. 34 Abs. 3 OR gelten, weil die in den Registern des Zertifizierungsdienstanbieters enthaltene Aussage (nämlich das Fehlen eines Widerrufs) vermutungsweise richtig ist. Erhält ein Dritter zum Beispiel eine Produktebestellung eines Mitarbeiters einer Firma, die digital signiert und mit einem Stellvertretungszertifikat begleitet wird, wird das Unterne h- men in der Folge das signierte Schreiben des Mitarbeiters, auch wenn es nur elektronisch vorliegen sollte, gegen sich gelten lassen müssen, sofern es die Echtheit und Herkunft dieses Schreibens nicht bestreiten kann. Das Gericht würde nach gesagtem aufgrund der Vermutung von Art. 9 ZGB ohne Beweis des Gegenteils den Bestand einer Vollmacht annehmen - 3 -

4 müssen. Zertifikaten eines nicht im Rahmen der PKIV anerkannten Anbieters von Zertifizierungsdiensten wird diese Wirkung nicht zukommen. Nun muss diese Rechtssituation nicht a priori negativ sein. Sie sollte jedoch wohl überlegt erfolgen. Der digitalen Signatur kann mit der PKIV möglicherweise eine materielle Rechtswirkung zukommen, über die eine vertretene Person sich nicht im klaren ist. Denn Art. 6 Abs. 3 PKIV-E lässt als Vollmachtserklärung an den Zertifizierungsdienstanbieter bereits eine digital signierte Nachricht genügen. M.E. ist es zum gegenwärtigen Zeitpunkt zu früh, um solche Anwendungen zu regeln. Es bleibt den Inhabern von digitalen Zertifikaten unbenommen, digitale Vollmachtserklärungen in Form von Zertifikaten selbst auszustellen. 4. Zertifikate für juristische Personen Der PKIV-E sieht in Art. 6 die Ausgabe von Zertifikaten auch an juristische Personen vor. Während es dafür zweifellos einen gewisse Bedarf geben dürfte, kann diese Bestimmung dazu führen, dass Anbieter von Zertifizierungsdiensten eine rechtliche Stellung ähnlich der eines Handelsregisters zukommt. Der PKIV-E schreibt den Anbietern vor, auch den Handelsregisterauszug bei juristischen Personen zu überprüfen. Sinn und Zweck ist es, dass sich Benutzer im Markt darauf verlassen können, dass natürliche Personen, die ein Zertifikat für juristische Personen mit passender Signatur vorlegen können, entsprechend des Handelsregistereintrags berechtigt sind, für die juristische Person zu handeln bzw. dass ein entsprechend signiertes Dokument dieser zuzurechnen ist. Signiert nun eine Person mit der Signatur einer juristischen Person ein geschäftliches Dokument, so wird der Empfänger aufgrund des bereits gesagten davon ausgehen dürfen, dass der Vertreter tatsächlich für das Unternehmen zeichnen darf (ob als Organ oder Stellvertreter). Ein Zertifikat entspricht dabei in gewisser Hinsicht einem beglaubigten Auszug aus dem Handelsregister. Ob aber Anbieter von Zertifizierungsdiensten den Anforderungen an ein («privates») Handelsregister wirklich gerecht werden können, ist fraglich. Es ist auch nicht klar, ob die faktische Wahrnehmung von Handelsregisterfunktionen durch Zertifizierungsdienstanbieter nicht im Zusammenhang mit anderen gesetzlichen Bestimmungen, die auf das Handelsregister Bezug nehmen, zu unbilligen Ergebnissen führt. Solange die Angaben auf einem digitalen Zertifikat einer juristischen Person denen im Handelsregister entsprechen, dürfte die Situation wenig problematisch sein, da der Inhalt des Handelsregisters als bekannt vorausgesetzt werden darf. Sollte aber aus irgendwelchen Gründen der Inhalt des Handelsregisters mit denen im Register des Anbieters von Zertifizierungsdiensten abweichen, so sind (in Anbetracht von Art. 9 ZGB) Konflikte über die Geltung und den Gutglaubensschutz vorprogrammiert. 5. Haftung von Zertifizierungsdienstanbietern Art. 20 PKIV-E umschreibt die Haftung von Anbietern von Zertifizierungsdiensten. Dabei wird in Abs. 1 Satz 1 richtigerweise auf die Bestimmungen des Obligationsrechts (OR) verwiesen, da die PKIV keine Haftung konstituieren kann. Dem Verweis kommt somit ein rein informativer Charakter zu. Die Haftung der Anbieter nach OR würde auch ohne diesen Verweis bestehen, wenn die üblichen Voraussetzungen erfüllt sind. Im zweiten Satz des Art. 20 Abs. 1 PKIV-E ist nun aber ausdrücklich festgehalten, dass Zertifizierungsdienstanbieter für die «Richtigkeit der Zuordnung eines öffentlichen Schlüssels» haften sollen, und zwar gegenüber Dritten, wie angenommen werden muss. Eine solche Haftung liesse sich mit den bestehenden Regeln des OR durchaus im Sinne einer Vertrau

5 enshaftung konstruieren und wäre m.e. auch sinnvoll, wo die Zertifizierungsdienstanbieter ein erhöhtes Vertrauen geniessen. Doch der Verordnungsgeber hat im vorliegenden Falle m.e. nicht die Kompetenz, über die PKIV eine solche Vertrauenshaftung gewissermassen «gesetzlich» festzuhalten. Art. 20 Abs. 1 Satz 2 PKIV-E ist somit lediglich als eine Art «Wunsch» oder «Erinnerung» des Verordnungsgebers zu verstehen, wie Art. 41 OR im Falle eines Haftungsstreits anzuwenden ist. Einem Juristen, der sich mit der Thematik auseinandergesetzt hat, wird sich dieser Tatsache rasch bewusst sein. Eine andere Person aber muss nach der Lektüre des Art. 20 davon ausgehen, dass die Haftung der Zertifizierungsdienstanbieter in der Tat so besteht, wie sie in der PKIV-E formuliert ist. Diese Haftung wird möglicherweise sogar der Grund sein, warum sie sich auf ein Zertifikat überhaupt erst verlässt sie kann ja nötigenfalls auf den Aussteller zurückgreifen. Die Formulierung der PKIV-E ist daher irreführend und sollte entweder präzisiert oder weggelassen werden, auch wenn es verständlich ist, dass auf diese Weise ve r- sucht wird, dem Rechtsanwender bzw. Rechtssuchenden eine gewisse Orientierungshilfe zu bieten. 6. Die Rolle des Bundes Es wurde in der Vernehmlassungsschrift um Meinungen zur Rolle des Bundes im Rahmen einer PKIV, insbesondere der vorgeschlagenen obligatorischen «Root»-Instanz beim Bund, gebeten. Es zeigt sich nun, dass sich Verfechter sowohl eines Systems mit als auch ohne Beteiligung des Bundes in der vorgeschlagenen Weise finden und beide Lager gute Argumente vorbringen können. Es zeigt sich auch, dass jede der Seiten, sollte sie unterliegen, aufgrund der wackligen Rechtsgrundlage und der «politischen» Umstände die geplante PKIV zu Fall bringen kann. So stellt sich m.e. die Frage, ob nicht ein Mittelweg alle Bedürfnisse befriedigen und letztlich für Konsens in der Sache sorgen kann. Es muss zudem vorab darauf hingewiesen werden, dass die Frage einer «Bundes-Root» zwar wichtig ist, aber das Grundanliegen der Anerkennung von Zertifizierungsdienstanbietern nicht berührt, da diese unabhängig von einem Zertifikats des Bundes ist; dieses Zertifikat würde lediglich die Anerkennung bescheinigen und hätte somit auch im Falle einer Bundes-Root lediglich deklaratorischen Wert. Der Kompromiss liegt m.e. in einer fakultativen Bundes-Root. Die anerkannten Anbieter könnten sich auf Wunsch für einen bestimmten Zertifikatstyp einer Bundes-Root unterordnen, für andere Zertifikatstypen dagegen eigene Lösungen (Kreuzzertifizierungen, private Root-Organisationen) suchen. Es ist ohnehin davon auszugehen, dass ein kommerzieller Anbieter von Zertifizierungsdiensten aus geschäftlichen Überlegungen eine ganze Reihe von Zertifikatstypen anbieten will und muss. Dieses System hat eine Reihe von Vorteilen: - Die Anerkennung von Zertifizierungsdienstanbietern erfordert nicht eine sofortige Einführung einer PKI durch den Bund bzw. wird die Anerkennung von Anbietern nicht durch das Fehlen einer Bundes-Root nicht aufgehalten. - Die Frage der Staatshaftung braucht bis zur Einführung einer Bundes-Root nicht bzw. nicht generell geklärt zu werden, sondern lässt sich anwendungsbezogen regeln. - Fällt der Zwang zur Unterstellung unter eine Root weg, sinkt damit auch das Erfordernis an die ausreichende Rechtsgrundlage der PKIV (siehe nachfolgend). - Anbieter von Zertifizierungsdiensten behalten ihre Flexibilität, können sich aber dennoch «anerkennen» lassen. Denkbar wäre etwa eine Anerkennung für eine Familie von Zerti

6 fikaten, wovon aber nur ein Teil einer Bundes-Root untergeordnet wäre. Der Markt würde entscheiden, was ein Anbieter in seinem Sortiment führen muss. Der Fördergedanke der PKIV könnte durch die Anerkennung in jedem Fall zum Tragen kommen, da die Anerkennung nicht für einen bestimmten Zertifikatstyp erfolgt, sondern für eine bestimmte Verfahrensweise und Organisation, die als Ergebnis letztlich ein oder mehrere Zertifikatstypen hervorbringt. Wäre eine obligatorische Root vorgeschrieben, könnten all jene Anbieter nicht von der generellen Anerkennung profitieren, die ihre Zertifikate anderen Root-Stellen unterordnen wollen. - Der Bund kann an die Vergabe von digitale Zertifikaten für Anbieter von Zertifizierungsdiensten zusätzliche Bedingungen knüpfen, die für eine grundsätzliche «Anerkennung» nicht erforderlich sind. Dadurch lassen sich spezifische Zertifikatsanwendungen leichter realisieren. Sollen beispielsweise steuer- oder zollrelevante Belege digital signiert werden, könnte für solche Zertifikate eine Bundes-Root vorgeschrieben sein, die wiederum nur natürliche Personen und keine Stellvertretungen zulässt, wie es der PKIV- E vorsieht. Es sind in diesem Sinne mehrere Bundes-Root-Stämme für unterschiedliche Anwendungen denkbar. Diese Flexibilität böte sich mit einer einzigen, für alle obligatorischen Root nicht in dem Masse. - Kleinere Anbieter von Zertifizierungsdiensten, die keine aufwendigen Beziehungen mit anderen Zertifizierungsdienstanbietern oder privaten Root-Organisationen aufbauen können, können die Bundes-Root zur Stärkung ihrer Position und internationalen Verne t- zung nutzen, sofern der Bund entsprechende Abkommen mit anderen (staatlichen) Root- Stellen im Ausland abschliesst. Am Rande dieser Überlegungen sollte m.e. unabhängig von einer Bundes-Root noch die Frage aufgeworfen werden, wie gegen Anbieter von Zertifizierungsdiensten vorgegangen werden soll, die sich zu unrecht als «anerkannte» Anbieter bezeichnen. Das Lauterkeitsrecht ist nur eine Möglichkeit. Es stellt sich zum Beispiel auch die Frage der Eintragung einer Garantiemarke, was einen gewissen speziellen Rechtsschutz mit sich bringen würde (siehe weiter hinten). 7. Frage der ausreichenden Rechtsgrundlage Der im Laufe der Entstehung des PKIV-E immer wieder geäusserten Sorge der mangelnden Rechtsgrundlage ist m.e. zuzustimmen. Die Rechtsgrundlage darf als sehr schwach bezeic h- net werden. Dem Bund obliegt nach Art. 28 Abs. 1 FMG die Verwaltung von «Adressierungseleme n- ten». Solche sind gemäss Legaldefinition von Art. 3 lit. f und g FMG «Komunikationsparameter sowie Nummerierungselemente, wie Kennzahlen, Rufnummer und Kurznummern», wobei als Kommunikationsparameter «Elemente zur Identifikation von Personen (...), die an einem fernmeldetechnischen Kommunikationsvorgang beteiligt sind» definiert wird. Digitale Signaturen bzw. Zertifikate können m.e. in gewissen Fällen durchaus unter diese Definition fallen. Diese Zuordnung ist jedoch heikel, weil Zertifikate zwar im Rahmen eines fernmeldetechnischen Kommunikationsvorganges zur Identifikation (bzw. Sicherung einer Identifikation) benutzt werden können, dies jedoch nur ein Anwendungsfall von vielen darstellt; ein anderer wäre etwa der Nachweis der Abgabe einer Willenserklärung, der klarerweise mit dem FMG nichts zu tun hätte, aber ebenfalls zur Diskussion steht. Auch mit einer teleologischen Auslegung des Art. 28 FMG liesse es sich wohl zeigen, dass diese Kompetenz des Bakoms nicht die Verwaltung von digitalen Zertifikaten jeglicher Art meinen kann, wie das im PKIV-E vom Bakom vertreten wird

7 Doch selbst wenn eine solche Kompetenz angenommen würde und digitale Zertifikate global als Adressierungselemente im Sinne des Art. 28 FMG betrachtet würden, würden a priori alle Zertifikate in der Schweiz zwingend der Verwaltung des Bakom unterstehen. Davon geht aber selbst das Bakom und die PKIV-E (inkonsequenterweise) nicht aus. Das Bakom regelt im PKIV-E nicht die generelle Delegation der Verwaltungskompetenz an die Privatwirtschaft im Sinne einer Konzession im Sinne von Art. 28 Abs. 2 FMG, sondern nur die «Anerkennung» einzelner Anbieter, ohne jedoch den anderen die Ausgabe von digitalen Zertifikaten zu untersagen. Diese Anerkennung, welche Rechtsnatur sie auch immer hat, hat für sich betrachtet m.e. nichts mit der Verwaltungskompetenz des Bakom bezüglich von Adressierungselementen zu tun. Somit wäre hiermit keine standfeste Rechtsgrundlage gegeben. Dieser Makel liesse sich aber teilweise beheben, indem das Bakom bzw. der Bundesrat mit der PKIV formal die Verwaltung von digitalen Zertifikaten speziell zum Zwecke der Identifikation von Personen im fernmeldetechnischen Verkehr an die Privatwirtschaft delegiert. Durch diese Formulierung fällt die Delegationsbefugnis nunmehr klar in den Bereich des FMG. Die Delegation müsste im einzelnen auf dem Wege einer speziellen Konzession geschehen, für die das Gesetz ohne weiteres einen Rechtsanspruch vorsehen könnte, sofern gewisse Mindestanforderungen erfüllt sind (ähnlich wie dies schon für nicht-funkgestützte Fernmeldedienstanbieter geschehen ist, wobei es sich bei den hier diskutierten Konzessionen nicht um eine Fernmeldedienstekonzession handeln würde). Eine solche Konzession würden all jene Anbieter von Zertifizierungsdiensten benötigen, die digitale Zertifikate spezifisch zum Zwecke der Identifikation von Personen im Fernmeldeverkehr im Sinne des FMG anbieten möchten. Diese Zweckumschreibung aber lässt für die Anbieter jede Tür offen und kommt m.e. dem jetzigen System der freiwilligen Anerkennung in der PKIV-E de facto gleich: Will ein Anbieter eine Konzession als Zeichen der «staatlichen Anerkennung» erwerben, wird er seine Zertifikate im Konzessionsgesuch entsprechend als Kommunikationsparameter deklarieren. Will er es nicht, definiert er den Zweck seiner Zertifikate weiter und braucht sich um Art. 28 FMG nicht mehr zu kümmern. Wozu und wie ein Zertifikat letztlich von seinem Kunden eingesetzt wird, wird durch Art. 28 FMG ohnehin nicht geregelt. Diese Konstruktion würde den Befürwortern einer PKIV im Rahmen von Art. 28 FMG eine sehr viel stärkere Position in der Frage der ausreichenden Rechtsgrundlage bieten, sollte diese das Hindernis für eine rasche Einführung einer Regelung sein. Sie würde auch die Haftungsproblematik berühren. Denn sobald Anbieter von Zertifizierungsdiensten konzessionierte Betriebe sind, sind ihre Möglichkeiten für Haftungsausschlüsse gemäss Obligationenrecht beschränkt. Das würde sich zwar in erster Linie auf die Vertragspartner der Anbieter auswirken, die als einzige Haftungsbeschränkungen gegen sich gelten lassen müssen, hätte aber generell eine vertrauenssteigernde Wirkung. Auch würde eine Konzessionierung Sanktionierungsmöglichkeiten im Rahmen des Verwaltungsrechts bieten, wie sie bereits im Rahmen von Fernmeldedienstkonzessionen als Zwangsmittel genutzt werden. Die PKIV-E in ihrer jetzigen Form kann keine oder kaum Sanktionen zu ihrer Durchsetzung vorsehen. Es stellt sich allerdings die Frage, inwieweit die zur Zeit schwache Rechtsgrundlage das Gebot der Rechtsstaatlichkeit überhaupt in relevanter Weise verletzt. Das Grundanliegen dieses Gebots ist es in erster Linie, die Freiheit des Bürgers zu sichern. Je stärker diese eingeschränkt wird, desto höher sind die Anforderungen an eine entsprechende Rechtsgrundlage. Wo aber eine Verordnung keine Rechte einschränkt, darf m.e. an die Rechtsgrundlage ein entsprechend geringerer Massstab angesetzt werden als in Fällen, in denen ein Erlass direkte - 7 -

8 Rechtswirkungen zeitigt. Solche aber sind in der PKIV, wie eingangs postuliert, ohnehin zu vermeiden oder politisch nicht durchsetzbar. 8. Alternativen mit anderer Rechtsgrundlage Sollte sich das Ziel der PKIV aufgrund der schwachen Rechtsgrundlage auf dem geplanten Wege nicht realisieren lassen, so gibt es m.e. eine Reihe von Alternativen. Zwei davon seien an dieser Stelle ansatzweise erwähnt: - Die erste Alternative besteht im Institut der Garantiemarke. Das Markenschutzgesetz sieht die Garantiemarke in Art. 21 ff. vor. Es handelt sich dabei um ein Zeichen, das unter der Kontrolle des Markeininhabers von verschiedenen Unternehmen gebraucht wird und dazu dient, «... die Beschaffenheit... oder andere gemeinsame Merkmale von... Dienstleistungen dieser Unternehmen zu gewährleisten.» Jedes Unternehmen, das die im dazugehörigen Markenreglement aufgeführten Voraussetzung erfüllt, ist berechtigt, die betreffende Marke zu tragen; Gebühren sind dabei denkbar. Solche Garantiemarken sollen in erster Linie dem Marketing und Vertrauensbildung dienen. Da sich dies mit gewissen Zielen des PKIV-E deckt, wäre es in Betracht zu ziehen, diese Bestimmung des Markenschutzgesetzes für die Zwecke der digitalen Signatur zu nutzen zumindest als einfache, schnell zu realisierende «Einstiegslösung». Der Bund könnte entweder selbst eine Garantiemarke als «Qualitätssiegel» für digitale Zertifikate einer bestimmten Qualität hinterlegen und ein Markenreglement ähnlich dem Entwurf der PKIV ausgestalten. Wie zweckdienlich dies wäre, sei dahingestellt. Es wäre aber ebenfalls denkbar, wenn auch sehr ungewöhnlich, das Markenschutzgesetz und die in Art. 73 enthaltene Verordnungskompetenz des Bundesrates als Rechtsgrundlage für eine PKIV mitzubenutzen, sofern deren Zweck die Förderung des Vertrauens in Anbieter von digitalen Zertifikaten sein soll. In einem solchen Falle wäre freilich auch das Eidg. Institut für Geistiges Eigentum an der PKIV beteiligt. - Die zweite Alternative ist die Unterstützung einzelner, williger Kantone bei der Scha f- fung eines Konkordats oder zumindest kantonaler Erlasse, die die Zulassung von digitalen Zertifikaten bzw. Signaturen im Gerichtsverfahren vorsehen. Die Kompetenz der Kantone reicht hier im Rahmen des Zivilprozessrechts (noch) relativ weit. Es sollte abgeklärt werden, ob der eine oder andere Kanton bereit wäre, die digitale Signatur im Rahmen der durch ihn geregelten öffentlichen Beurkundung zu berücksichtigen. Der Bund könnte hier aktiv als Vermittler auftreten und auch, wie im PKIV-E ohnehin vorgesehen, gewisse Infrastrukturen bereitstellen, um digitale Signaturen im Streitfall kostengünstig, zuverlässig und rasch zu überprüfen. (David Rosenthal) (V1.0) - 8 -