Erläuternder Bericht

kein qualifiziertes, da es etwas weniger weitgehende Anforderungen erfüllen muss und eben direkt auf juristischen Personen und Behörden lauten kann.

Dieses neu geregelte Unternehmens- oder Behördenzertifikat profitiert nicht vom privilegierten Status des qualifizierten Zertifikats. Generell regelt das ZertES ja nur die Qualität gewisser Zertifizierungsprodukte und die Pflichten, die den Anbietern solcher Produkte obliegen. Die Bedeutung bestimmter Produkte oder Verfahren im Rechtsverkehr wird ausserhalb des ZertES geregelt. Im Falle der Anerkennung der qualifizierten elektronischen Signatur als Ersatz für die handschriftliche Unterschrift, geschieht dies in Artikel 14 Absatz 2^bisOR (SR 220). Für das neue geregelte Zertifikat und die geregelte elektronische Signatur steht es dem jeweils zuständigen Gesetzgeber frei, diese für bestimmte Funktionen zuzulassen oder eben nicht, genauso wie beispielsweise bisher die Mehrwertsteuer-Behörden für die Einreichung von Rechnungen für den Vorsteuerabzug ein von ihnen definiertes Zertifikat akzeptiert haben. Ebenso können Geschäftspartner eine gewillkürte Form wählen, für welche ein geregeltes Zertifikat genügt, wie sie das mit den EDI-Agreements im elektronischen Massen-

Geschäftsverkehr bisher auch getan hatten. Im Unterschied zu bisher stehen für solche Zwecke nun aber ein einheitlich geregeltes Zertifikat und Signatur-Verfahren zur Verfügung.

Wird diese Betrachtungsweise sauber eingehalten, besteht keine Gefahr, dass aus dem Unternehmenszertifikat auf eine nicht vorhandene Vertretungsbefugnis geschlossen wird. Als zusätzliche Absicherung gegen eine diesbezügliche Fehlinterpretation wird diese Einschränkung auch noch in einem neuen Absatz 2 des Zweckartikels (Artikel 1) formuliert.

Solange das qualifizierte Zertifikat und die qualifizierte elektronische Signatur, sowie ihre Kompatibilität mit der EU-Richtlinie nicht tangiert werden und keine Einschränkungen des freien Marktes, weder bezüglich Produkte, noch bezüglich Anbieter gemacht werden, besteht kein Grund, nicht zusätzliche ausgewählte Zertifizierungsprodukte im Sinne einer Dienstleistung für die Wirtschaft staatlich zu regeln. Die vorgeschlagene Regelung stellt in gewissem Sinne für ganze Anwendungsfelder einen staatlich geregelten «Vertrauens-Anker» auf der technisch/organisatorischen Ebene bereit und fördert bzw. schafft damit Märkte in diesem Bereich. Welche juristische Bedeutung den auf diesen standardisierten Produkten basierenden Anwendungen beigemessen wird, bleibt dem Parteiwillen, weiterer Rechtsetzung und der Doktrin überlassen.

1.3.3 Authentifikation

Für einen gedeihlichen elektronischen Geschäftsverkehr unter Privaten sowie auch mit Behörden ist es für die teilnehmenden Partner wichtig, sicher zu sein, mit wem genau sie kommunizieren, bzw. sicher zu sein, ob die andere Seite auch wirklich die ist, die sie vorgibt zu sein. Als das heutige ZertES vor gut 10 Jahren geschaffen wurde, ging man davon aus, dass der elektronische Geschäftsverkehr primär durch den Austausch von Meldungen in der Art von E-Mail oder strukturierten Daten geschehen und die Sicherheit über die Identität der Absenderinnen und Absender demzufolge durch elektronisch signierte Meldungen hergestellt würde. Dieses Kommunikationsmodell hat sich nur in Teilbereichen und eher für die Kommunikation unter professionellen Geschäftspartnern durchgesetzt. Hingegen läuft die Online-Kommunikation immer häufiger nach dem Modell, dass sich der eine Kommunikationspartner – meist der Kunde oder die Bürgerin – bei einem Anwendungssystem bzw. Portal der anderen Kommunikationspartnerin – meist die Unternehmung oder Behörde – anmeldet und auf diesem System ihr resp. sein Geschäft abwickelt. Oder die Anmeldung geschieht eine Ebene tiefer, indem sich eine Anwendung des Kunden mit einem Web-Dienst der Anbieterin verbindet und die beiden Programme sich gegenseitig authentifizieren. In beiden Fällen wird die Gewissheit über die Identität des Kommunikationspartners sofort bei der Verbindung der beiden Systeme über eine sogenannte Authentisierung (aus Sicht der anmeldenden Person) bzw. Authentifizierung (aus Sicht des Dienstes) bewerkstelligt. Zwar werden bei diesem Verfahren auf einer tieferen Ebene auch signierte Meldungen ausgetauscht, jedoch nicht in der Art von willentlich signierten Meldungen. Entsprechend werden grundsätzlich auch die gleichen Zertifikate wie für die elektronische Signatur verwendet,