Einstweilige Verfügung wegen EP-Patent: kein glaubhaftes Proformazertifikat
KI-Zusammenfassung
Die Patentinhaberin begehrte im Eilverfahren ein Verbot des Angebots und Vertriebs einer E-Mail-Gateway-Software wegen behaupteter Verletzung eines EP zu E-Mail-Verschlüsselung. Streitentscheidend war, ob das Gateway dem Sender ein dem jeweiligen Empfänger entsprechendes „Proformazertifikat“ übermittelt. Das LG Düsseldorf verneinte eine hinreichende Glaubhaftmachung, da die Indizien (Outlook-Standardprüfung, Werbung, RFC 8550) die Möglichkeit eines generischen Gateway-Zertifikats nicht ausschließen und eine Outlook-Umkonfiguration plausibel ist. Der Verfügungsantrag wurde daher zurückgewiesen; die Antragstellerin trägt die Kosten.
Ausgang: Antrag auf Erlass einer einstweiligen Verfügung mangels glaubhaft gemachter Patentverletzung zurückgewiesen
Abstrakte Rechtssätze
Ein Verfügungsanspruch aus § 139 Abs. 1 PatG i.V.m. Art. 64 EPÜ setzt im einstweiligen Verfügungsverfahren die Glaubhaftmachung der Patentverletzung voraus.
Das Merkmal eines „dem Empfänger entsprechenden Proformazertifikats“ erfordert ein ad-hoc-Zertifikat, das in einem inneren Zusammenhang zum jeweiligen Empfänger steht und nicht lediglich ein einheitliches, generisches Gateway-Zertifikat ist.
Indizien aus der Standardkonfiguration eines kompatiblen E-Mail-Clients, aus Werbeaussagen zur Nutzbarkeit mit „Bordmitteln“ und aus Empfehlungen eines (Vor‑)Standards genügen für sich genommen nicht, wenn eine abweichende Client-Konfiguration als realistisch und zumutbar erscheint.
Ist die Verwendung eines generischen Zertifikats technisch plausibel und durch eidesstattliche Versicherung zur Produktgestaltung untermauert, kann die Verwirklichung eines empfängerbezogenen Proformazertifikats ohne konkrete Kenntnisse zur Softwareausgestaltung nicht als glaubhaft gemacht angesehen werden.
Kann ein streitentscheidendes Anspruchsmerkmal nicht festgestellt werden, sind Ausführungen zu weiteren Merkmalen und Unteransprüchen im Eilverfahren entbehrlich.
Tenor
I. Der Antrag auf Erlass einer einstweiligen Verfügung wird zurückgewiesen.
II. Die Verfügungsklägerin trägt die Kosten des Verfahrens.
III. Das Urteil ist vorläufig vollstreckbar. Die Verfügungsklägerin kann die Vollstreckung durch Sicherheitsleistung in Höhe von 110 Prozent des vollstreckbaren Betrages abwenden, wenn nicht die Verfügungsbeklagte vor der Zwangsvollstreckung Sicherheit in Höhe von 110 Prozent des jeweils zu vollstreckenden Betrags leistet.
Tatbestand
Die Verfügungsklägerin nimmt die Verfügungsbeklagte im Wege des einstweiligen Rechtsschutzes auf Unterlassung wegen einer behaupteten Patentverletzung in Anspruch.
Die Verfügungsklägerin ist eingetragene Inhaberin des europäischen Patents EP A(Anlage AST 1, im Folgenden „Verfügungspatent“). Das Verfügungspatent wurde am 26. November 2003 angemeldet. Die Anmeldung wurde am 1. Juni 2005 und der Hinweis auf die Erteilung des Verfügungspatents am 13. August 2008 veröffentlicht. Das Verfügungspatent steht mit Wirkung für die Bundesrepublik Deutschland in Kraft. Es betrifft ein Verschlüsselungsverfahren für E-Mails, die von einem Sender an einen Empfänger über ein Verschlüsselungssystem gesendet werden.
Anspruch 1 des Verfügungspatents lautet in englischer Verfahrenssprache:
„Encryption method for emails sent from a sender (1) in his private network to a recipient (6), comprising the following steps:
the sender (1) requests from an encryption system (16) in said private network a certificate corresponding to said recipient (6), the encryption system (16) returns to said sender (1) a first, proforma certificate corresponding to said recipient (6), wherein the proforma certificate is generated or retrieved by the encryption system (16) for the recipient (6) and only used between the sender (1) and the encryption system (16), the sender (1) sends with his email client (11) an outgoing email to said recipient (6) encrypted with said proforma certificate, said email is forwarded through said encryption system (16), said encryption system (16) decrypts said email using a private key corresponding to said certificate, said encryption system makes the content of said email available to said recipient (6).“
Übersetzt lautet er:
„Verschlüsselungsverfahren für Emails, die von einem Sender (1) in seinem privatem Netzwerk zu einem Empfänger (6) gesendet werden, umfassend folgende Schritte
der Sender (1) fragt von einem Verschlüsselungssystem (16) in besagtem privatem Netzwerk ein Zertifikat ab, welches besagtem Empfänger (6) entspricht, das Verschlüsselungssystem (16) sendet zu besagten Sender (1) ein erstes Proformazertifikat, welches besagtem Empfänger (6) entspricht, wobei das Proformazertifikat durch das Verschlüsselungssystem (16) für den Empfänger (6) generiert oder abgeholt wird, und nur zwischen dem Sender (1) und dem Verschlüsselungssystem (16) verwendet wird, der Sender (1) sendet mit seinem Emailklienten (11) eine ausgehende Email zu besagtem Empfänger (6) verschlüsselt mit besagtem Proformazertifikat, besagte Email wird durch besagtes Verschlüsselungssystem (16) weitergeleitet, besagtes Verschlüsselungssystem (16) entschlüsselt besagte Email unter Verwendung eines privaten Schlüssels, der besagtem Zertifikat entspricht, besagtes Verschlüsselungssystem macht den Inhalt besagter Email besagtem Empfänger (6) verfügbar.“
Anspruch 4 des Verfügungspatents lautet in englischer Verfahrenssprache:
„The method of one of the claims 1 to 3, wherein said encryption system (16) encrypts said email with the certificate of said recipient (6) before forwarding it to said recipient (6).“
Übersetzt lautet er:
„Das Verfahren gemäß einem der Ansprüche 1 bis 3, in welchem besagtes Verschlüsselungssystem (16) besagte Email mit dem Zertifikat von besagtem Empfänger (6) verschlüsselt, bevor sie zu besagtem Empfänge (6) weitergeleitet wird.“
Nachfolgend wiedergegeben ist Figur 1 der Verfügungspatentschrift zur Veranschaulichung des Hintergrundes der erfindungsgemäßen Lehre:
Fig. 1 zeigt eine schematische Darstellung eines im Stand der Technik bereits bekannten Netzwerks mit einer serverseitigen Verschlüsselungslösung. Durch die Firewall (17) werden das interne Netzwerk (links zu (16)) und das externe Netzwerk (rechts zu (17)) getrennt. Das interne Netzwerk (13) umfasst eine Vielzahl von E-Mailklienten (10), (11), die untereinander mit Hubs (12) und/oder Switches (14) verbunden sind. Vor der Firewall (17) befindet sich ein Verschlüsselungssystem (16). Die Referenz 10 bezeichnet den E-Mailklient des Senders (1). E-Mails, die die Firewall (17) verlassen, werden über einen Router (18) durch das Internet (3) weitergeleitet und von einem E-Mail-Server (5) im Netz des Empfängers (6) empfangen. Der Pfad einer E-Mail, welche von einem Sender (1) im internen Netzwerk mittels eines Emailklienten (11) zum Empfänger gesendet wird, wird durch die Verbindungslinie dargestellt. Auf dem von der durchgehenden Linie dargestellten Pfadabschnitt wird die E-Mail unverschlüsselt transportiert. Den durch die gestrichelten Linie dargestellten Pfadabschnitt legt die E-Mail verschlüsselt zurück. Nach der Lehre des Verfügungspatents wird die E-Mail auch auf dem Pfadabschnitt zwischen den Emailklienten (11) und dem Verschlüsselungssystem (16) mit einem dem Empfänger (6) entsprechenden Proformazertifikat verschlüsselt.
Gegen das Verfügungspatent wurden am 11. Mai 2009 und 12. Mai 2009 Einsprüche eingelegt, die nach mündlicher Verhandlung von der Einspruchsabteilung des Europäischen Patentamts mit Entscheidung vom 27. Juni 2011 zurückgewiesen wurden (Anlage AST 10a). Die hiergegen gerichtete Beschwerde wurde mit Entscheidung vom 25. September 2013 ebenfalls zurückgewiesen (Anlage AST 10b).
Die Verfügungsklägerin bietet Lösungen für den sicheren Austausch geschäftlicher Informationen an, insbesondere zum Schutz von E-Mail-Kommunikation und zum Datentransfer durch Verschlüsselung sowie auch unter Einbeziehung von mobilen Geräten. Sie vertreibt ihre Produkte weltweit und hat ihren Hauptsitz in X.
Die Verfügungsbeklagte ist eine Software-Herstellerin im Bereich der IT-Sicherheit mit Sitz in X. Sie vertreibt unter anderem im gesamten Bundesgebiet die Software „B“, welche zusätzlich mit dem Modul „C“ (insgesamt nachfolgend: angegriffene Ausführungsform) kombiniert werden kann. Die Kombination dieser beiden Softwareprodukte ist seit mehr als sechs Jahren so auf dem Markt erhältlich.
Die angegriffene Ausführungsform kann für eine sichere E-Mail-Kommunikation im geschäftlichen Umfeld eingesetzt werden. Dabei wirkt die Software der Verfügungsbeklagten mit einem vom Nutzer der Software bereitgestellten E-Mailklienten zusammen, der von diesem oder vom Kunden der Verfügungsbeklagten bereitgestellt wird.
Bei der angegriffenen Ausführungsform wird ein sog. „Gateway“ verwendet, das als „virtuelle Poststelle“ für die E-Mailkommunikation eines Unternehmens fungiert. Dabei verläuft sämtliche E-Mailkommunikation über dieses Gateway. Sowohl eingehende Nachrichten aus dem (externen) Internet als auch ausgehende Nachrichten aus dem (internen) Netzwerk des Unternehmens laufen über das Gateway. Das Gateway kann eine „Filterfunktion“ übernehmen, indem auffällige Nachrichten (in beide Richtungen) aussortiert werden, so dass sie nicht in das interne Netzwerk gelangen (z.B. bei Verdacht auf Viren oder sonstige Angriffe) bzw. das interne Netzwerk nicht verlassen können (z.B. falls Geschäftsgeheimnisse von einem Mitarbeiter per E-Mail versandt werden).
Die grundsätzliche Ausgestaltung der angegriffenen Ausführungsform ist schematisch nachfolgend wiedergegeben (vgl. Anlage AST 5, S. 2):
X
Das Gateway, mit „Z“ bezeichnet, befindet sich in der Mitte. Die angegriffene Ausführungsform sieht vor, dass die Kommunikation zwischen den jeweiligen E-Mailklienten (dargestellt ganz links, etwa beispielhaft durch die Abbildung eines Laptops) und dem Gateway unverschlüsselt ablaufen kann. Für höhere Sicherheitsanforderungen sieht das Produkt „C“ der Verfügungsbeklagten eine Verschlüsselung auch im internen Netzwerk vor.
Die Verschlüsselung kann hierbei unter Verwendung eines asymmetrischen Verschlüsselungsverfahrens erfolgen. Bei einem solchen werden für die Verschlüsselung und die Entschlüsselung unterschiedliche Schlüssel verwendet. Der Empfänger einer zu verschlüsselnden Nachricht verfügt über einen privaten Schlüssel, der zum Entschlüsseln verwendet werden kann und geheim gehalten werden muss. Zu diesem privaten Schlüssel gehört ein zweiter öffentlicher Schlüssel, der zum Verschlüsseln der Nachricht verwendet wird und jedem Sender bekannt gegeben werden kann und für die Übersendung einer verschlüsselten Nachricht auch muss. Ein zur Verschlüsselung im Rahmen eines solchen Verfahrens vorgesehenes Zertifikat enthält neben weiteren Informationen den öffentlichen Schlüssel, der für die Verschlüsselung verwendet werden soll.
Die angegriffene Ausführungsform verwendet für die Verschlüsselung im internen Netzwerk ein Zertifikat, dessen genaue Ausgestaltung zwischen den Parteien streitig ist.
Im Rahmen der Kommunikation unter Verwendung der Software der Verfügungsbeklagten und bei eingestellter Verschlüsselung mittels des Moduls „C“ fragt der E-Mailklient des Senders vom Gateway ein Verschlüsselungszertifikat ab. Das Gateway sendet daraufhin ein Zertifikat an den E-Mailklienten, der mit diesem Zertifikat die ausgehende E-Mail verschlüsselt. Diese wird sodann verschlüsselt über das Gateway gesendet. Dort wird die E-Mail mit dem zum übermittelten Zertifikat passenden und dem Gateway bekannten Schlüssel entschlüsselt. Unter Verwendung eines weiteren, diesmal vom Empfänger stammenden Zertifikats wird die E-Mail sodann neu verschlüsselt und an den Empfänger weitergeleitet. Das vom Gateway für eine erneute Verschlüsselung verwendete Zertifikat kann dem Empfänger entsprechen und ist nicht Gegenstand des Streits der Parteien.
Ein geeigneter E-Mailklient zur Verwendung der Software der Verfügungsbeklagte, mit dessen Kompatibilität diese auch wirbt, ist die Software Microsoft Outlook.
Das Programm Microsoft Outlook in seiner Standardkonfiguration prüft bei der Verschlüsselung einer E-Mail, ob das verwendete Zertifikat dem potentiellen Empfänger entspricht. Ist dies nicht der Fall, so wird eine Fehlermeldung ausgegeben. Das Programm lässt sich mittels der Änderung eines Registry-Eintrags so verändern, dass die entsprechende Prüfung unterbleibt und die Mail verschlüsselt und versendet wird, auch wenn sich Zertifikat und Empfängeradresse nicht entsprechen. Hinsichtlich der Einzelheiten der notwendigen Konfiguration wird auf den Schriftsatz der Verfügungsbeklagten vom 16. Dezember 2022 verwiesen.
Weiter bewirbt die Verfügungsbeklagte ihre Softwarelösung damit, dass diese mittels „Bordmitteln“ realisiert werden könne und keine Softwareinstallation auf den Mailklienten erforderlich mache. Dabei werden folgende Aussagen getroffen (Anlage AST 5, S. 4):
X kann mit den S/MIME Bordmitteln der Standardmailclients (Outlook, Notes, Webmailer, mobilen Mail-Apps etc.) verwendet werden. Als LDAP- und ActiveSync-Proxy ermöglicht C Anwendern so, E-Mails von ihren gewohnten mobilen und stationären Clients aus zu verschlüsseln.
Der wesentliche Vorteil beim Einsatz von C mit Bordmitteln ist der ausbleibende administrative Aufwand, da keine Softwareinstallationen auf den Clients notwendig sind.“
Hinsichtlich der weiteren Einzelheiten wird auf die Anlage AST 5 verwiesen.
Zudem werden von dem Dokument X, welches – wie zuletzt zwischen den Parteien unstreitig war – einen Vorstandard (sog. Proposed Standard) darstellt, welcher die Verwendung von bestimmten Zertifikaten für S/MIME-Agenten behandelt, bestimmte Anforderungen hinsichtlich der Sicherheitsaspekte erörtert. Insbesondere muss sich ein Mailklient bzw. /MIME-Agent mit Sicherheitsproblemen wie dem versehentlichen Verschlüsseln einer Nachricht für den falschen Empfänger auseinandersetzen. Wenn ein Zertifikat nicht nachweislich gültig und mit der entsprechenden Nachricht verknüpft ist, sollte (im englischen Original „should“) die jeweilige Verarbeitungssoftware sofortige und spürbare Schritte unternehmen, um den Endnutzer zu informieren. Hinsichtlich des Inhalts des Dokuments X wird auf die Anlage AST 6 verwiesen.
Zwischen den Parteien erfolgten Anfang 2022 Gespräche über eine Fusion. Die Verfügungsklägerin hat die Verfügungsbeklagte mit Schreiben vom 20. Juli 2022 wegen Verletzung des Verfügungspatents abgemahnt. Die Verfügungsbeklagte hat mit Schreiben vom 01. August 2022 eine Verletzung des Verfügungspatents von sich gewiesen und sich auf nach Ende des Einspruchsverfahrens neu entdeckten Stand der Technik, die DE D(Anlage AST 10c) berufen. Die Verfügungsklägerin hat die Beklagte sodann mit E-Mail vom 21. Oktober 2022 erneut wegen Verletzung des zur Patentfamilie des Verfügungspatents gehörenden US Patent No E abgemahnt.
Die Verfügungsklägerin behauptet, die Software der Verfügungsbeklagten sende an den E-Mailklienten ein auf den jeweiligen Empfänger individuell abgestimmtes Zertifikat. Weiter entstünden durch die von der Verfügungsbeklagten vorgetragene Modifikationsmöglichkeit von Microsoft Outlook solche Sicherheitslücken, dass die Verwendung solcher Konfigurationen fernliegend und in der Praxis ausgeschlossen sei.
Sie ist der Ansicht, die angegriffene Ausführungsform verwende dadurch ein dem Empfänger entsprechendes Proformazertifikat, so dass von der Lehre des Verfügungspatents Gebrauch gemacht werde.
Die Verfügungsklägerin hat ursprünglich die Untersagung einer unmittelbaren Patentverletzung durch die Verfügungsbeklagte begehrt. Hinsichtlich der Fassung des ursprünglich gestellten Antrags wird auf den Schriftsatz der Verfügungsklägerin vom 16. November 2022 verwiesen. Nach Hinweis der Kammer hat die Verfügungsklägerin ihren Antrag umgestellt.
Sie beantragt zuletzt,
der Verfügungsbeklagten im Wege der einstweiligen Verfügung unter Androhung eines Ordnungsgeldes von bis zu zweihundertfünfzigtausend Euro oder einer Ordnungshaft bis zu sechs Monaten – Ordnungshaft auch für den Fall, dass das Ordnungsgeld nicht beigetrieben werden kann – wegen der Zuwiderhandlung
zu untersagen,
Software, die dazu geeignet ist, ein
Verschlüsselungsverfahren für Emails, die von einem Sender (1) in seinem privatem Netzwerk zu einem Empfänger (6) gesendet werden, anzuwenden,
umfassend folgende Schritte der Sender (1) fragt von einem Verschlüsselungssystem (16) in besagtem privatem Netzwerk ein Zertifikat ab, welches besagtem Empfänger (6) entspricht, das Verschlüsselungssystem (16) sendet zu besagten Sender (1) ein erstes Proformazertifikat, welches besagtem Empfänger (6) entspricht, wobei das Proformazertifikat durch das Verschlüsselungssystem (16) für den Empfänger (6) generiert oder abgeholt wird, und nur zwischen dem Sender (1) und dem Verschlüsselungssystem (16) verwendet wird, der Sender (1) sendet mit seinem Emailklienten (11) eine ausgehende Email zu besagtem Empfänger (6) verschlüsselt mit besagtem Proformazertifikat, besagte Email wird durch besagtes Verschlüsselungssystem (16) weitergeleitet, besagtes Verschlüsselungssystem (16) entschlüsselt besagte Email unter Verwendung eines privaten Schlüssels, der besagtem Zertifikat entspricht, besagtes Verschlüsselungssystem macht den Inhalt besagter Email besagtem Empfänger (6) verfügbar;
[EP AB1 – Anspruch 1]
und
in welchem besagtes Verschlüsselungssystem (16) besagte Email mit dem Zertifikat von besagtem Empfänger (6) verschlüsselt, bevor sie zu besagtem Empfänger (6) weitergeleitet wird;
[EP AB1 – Anspruch 4]
Abnehmern im Gebiet der Bundesrepublik Deutschland anzubieten und/oder an solche zu liefern.
Die Verfügungsbeklagte beantragt,
den Antrag auf Erlass einer einstweiligen Verfügung zurückzuweisen.
Sie behauptet, die von ihr vertriebenen Softwareprodukte „A“ und „C“ verwendeten kein auf den individuellen Empfänger bezogenes Zertifikat, sondern ein generisches und fest eingestelltes Zertifikat. Dieses sei stets unabhängig davon, wer beabsichtigter Empfänger der E-Mail sei. Es enthalte den öffentlichen Schlüssel des Gateways und eine beliebige E-Mailadresse, die bei Einrichtung des Gateways festgelegt werde. An den E-Mailklienten werde bei einer Anfrage immer dieses generische Zertifikat übermittelt. Zudem seien die von der Verfügungsklägerin genannten Sicherheitsrisiken, welche bei einer Umkonfiguration von Microsoft Outlook entstünden, nicht erheblich. Die entsprechenden Risiken würden durch andere Elemente einer modernen IT-Infrastruktur abgewendet.
Die Verfügungsbeklagte ist der Ansicht, aufgrund der Verwendung dieses generischen und fest eingestellten Zertifikats fehle es bei der Verwendung ihrer Software durch ihre Kunden an einem Proformazertifikat, welches dem Empfänger entspreche. Die von der Verfügungsklägerin indiziell angeführten Tatsachen ergäben keinen ausreichend sicheren Schluss auf die von der Verfügungsklägerin behauptete Softwarebeschaffenheit. Weiterhin sei das Verfügungspatent auch nicht rechtsbeständig und zudem eine Dringlichkeit aufgrund des Verhaltens der Verfügungsklägerin nicht gegeben.
Im Übrigen wird wegen des weiteren Sach- und Streitstandes auf die auf zwischen den Parteien gewechselten Schriftsätze nebst Anlagen verwiesen.
Entscheidungsgründe
Der zulässige Antrag auf Erlass einer einstweiligen Verfügung ist unbegründet.
A.
Der Verfügungsklägerin steht der geltend gemachte Verfügungsanspruch nicht zu, § 139 Abs. 1 PatG i.V.m. Art. 64 EPÜ. Sie hat eine Verletzung des Verfügungspatents nicht glaubhaft gemacht.
I.
Die Verfügungsklägerin ist als Inhaberin des Verfügungspatents aktivlegitimiert.
II.
Das Verfügungspatent betrifft ausweislich des Abs. [0001] ein Verfahren zum Verschlüsseln von E-Mails, die von einem Sender an einen Empfänger über ein Verschlüsselungssystem gesendet werden.
Das Verfügungspatent führt zum Stand der Technik aus, dass serverseitige Lösungen zum Schutz der Vertraulichkeit von E-Mails auf ihrem Weg durch das Internet zu ihrem Empfänger bekannt waren. Eine derartige Lösung war etwa unter dem Namen „TrustMail“ bekannt, bei der die Verschlüsselung der E-Mail erst erfolgte, wenn die ausgehende E-Mail das sogenannte Verschlüsselungssystem (Gateway) erreicht hatte, in der Regel kurz bevor sie das private Netzwerk, beispielsweise das Firmennetz, des Senders verließ.
Das Verfügungspatent sieht es als Nachteil an, dass bei solchen Verschlüsselungssystemen die E-Mails, bis sie das Verschlüsselungssystem im E-Mail-Server (Gateway) erreicht haben, ungeschützt sind. Während die (verschlüsselte) E-Mail somit zwar für (externe) Angreifer nicht zugänglich ist, ist sie dies im (unverschlüsselten) privaten Netzwerk schon. Sie ist dort für jeden Mitarbeiter und auch für einen Angreifer, der in das Netz eindringt und einen Paketschnüffler installiert, leicht zugänglich (Absatz [0006]). Ohne die Verschlüsselung von E-Mails bereits in den internen E-Mailklienten der Mitarbeiter hält das Verfügungspatent keine umfassende Sicherheit für gegeben (Abs. [0007]).
Das Verfügungspatent erachtet es als möglich, diese umfassende Sicherheit durch eine Ende-zu-Ende-Verschlüsselung zwischen dem Sender und dem Empfänger zu implementieren (Abs. [0007]). Dies geschieht typischerweise durch die Verwendung eines Zertifikats, also eines (zertifizierten) öffentlichen Schlüssels eines Schlüsselpaares, wobei der dazugehörige private Schlüssel beim Empfänger verbleibt und dieser lediglich das Zertifikat dem Sender mitteilt. Dieser verwendet das Zertifikat dann dazu, die E-Mail zu verschlüsseln. Für die Entschlüsselung muss der Empfänger dann den zum Zertifikat korrespondierenden privaten Schlüssel verwenden.
Diese Lösung sieht das Verfügungspatent aus anderen Gründen als nachteilig an. Zunächst ist die Installation von Empfängerzertifikaten umständlich und für viele unerfahrene Nutzer zu kompliziert oder zeitaufwendig. Sodann ist der Prozess überhaupt nur möglich, wenn der Empfänger tatsächlich in der Lage ist, ein Zertifikat zur Verfügung zu stellen. Das bedeutet, dass der Sender zunächst ein Zertifikat für den Empfänger neu anfordern muss (falls dies noch niemand aus seinem Unternehmen getan und das Zertifikat zentral gespeichert hat) und dann auf die Reaktion des Empfängers warten muss. Vorher kann nichts verschickt werden (Abs. [0007]). Ferner macht es diese Lösung unmöglich, die E-Mails an einer zentralen Stelle im privaten Netzwerk auf Viren zu prüfen oder eine Inhaltskontrolle durchzuführen, da sie verschlüsselt sind. Dies bedeutet für das Unternehmen einen erheblichen Verlust an Kontrolle darüber, was an seine Mitarbeiter gesendet oder von ihnen empfangen wird, seien es anstößige beziehungsweise vertrauliche Inhalte oder Viren (Abs. [0009]).
Das Verfügungspatent stellt sich daher die Aufgabe, eine sicherere verschlüsselte E-Mail-Kommunikation zwischen dem E-Mailklienten des Benutzers und einem zentralen Verschlüsselungssystem im Netzwerk bereitzustellen, vorzugsweise ohne Installation von Plugins, ohne Aufbau von SSL-Verbindungen und ohne die Art und Weise, wie Nutzer E-Mails versenden, stark zu verändern (Abs. [0013]). Zudem soll zusätzlich auf dem ganzen Pfad der E-Mail eine durchgängige Verschlüsselung erfolgen können, ohne dass die Möglichkeit einer Sicherheitsprüfung des Inhalts der E-Mail gefährdet wird (Abs. [0017]).
Zur Lösung dieser Aufgabe schlägt das Verfügungspatent in den in Kombination geltend gemachten Ansprüchen 1 und 4 ein Verfahren mit folgenden Merkmalen vor:
| 1.1 | Verschlüsselungsverfahren für Emails, die von einem Sender (1) in seinem privaten Netzwerk zu einem Empfänger (6) gesendet werden, umfassend folgende Schritte |
| 1.2 | der Sender (1) fragt von einem Verschlüsselungssystem (16) in besagtem privatem Netzwerk ein Zertifikat ab, welches besagtem Empfänger (6) entspricht, |
| 1.3 | das Verschlüsselungssystem (16) sendet zu besagten Sender (1) ein erstes Proformazertifikat, welches besagtem Empfänger (6) entspricht, wobei das Proformazertifikat durch das Verschlüsselungssystem (16) für den Empfänger (6) generiert oder abgeholt wird, und nur zwischen dem Sender (1) und dem Verschlüsselungssystem (16) verwendet wird, |
| 1.4 | der Sender (1) sendet mit seinem Emailklienten (11) eine ausgehende Email zu besagtem Empfänger (6) verschlüsselt mit besagtem Proformazertifikat, |
| 1.5 | besagte Email wird durch besagtes Verschlüsselungssystem (16) weitergeleitet, |
| 1.6 | besagtes Verschlüsselungssystem (16) entschlüsselt besagte Email unter Verwendung eines privaten Schlüssels, der besagtem Zertifikat entspricht, |
| 1.7 | besagtes Verschlüsselungssystem macht den Inhalt besagter Email besagtem Empfänger (6) verfügbar. |
| 4.1 | Das Verfahren gemäß einem der Ansprüche 1 bis 3, in welchem besagtes Verschlüsselungssystem (16) besagte Email mit dem Zertifikat von besagtem Empfänger (6) verschlüsselt, bevor sie zu besagtem Empfänger (6) weitergeleitet wird. |
III.
Zwischen den Parteien im Streit steht zurecht lediglich die Verwirklichung des Merkmals 1.3 durch die angegriffene Ausführungsform. Die Kammer vermag die Verwirklichung des Merkmals 1.3 in tatsächlicher Hinsicht nicht festzustellen. Ausführungen zu weiteren Merkmalen des Anspruchs 1 sowie des weiter geltend gemachten Unteranspruchs 4 des Verfügungspatents sind vor diesem Hintergrund entbehrlich.
Nach Merkmal 1.3 sendet das Verschlüsselungssystem (16) dem Sender (1) ein sog. „Proformazertifikat“. Dieses Proforma-Zertifikat ist ein ad hoc-Zertifikat, welches nur zwischen einem oder mehreren E-Mailklienten des oder der Absender und dem Verschlüsselungssystem verwendet wird. Der E-Mailklient kann hierbei nicht zwingend zwischen dem Proformazertifikat und dem tatsächlich vom Endempfänger generierten Zertifikat unterscheiden. Das vom Verschlüsselungssystem (16) versendete Proformazertifikat entspricht hierbei dem Empfänger, steht also mit diesem in einem inneren Zusammenhang. Weiter wird das Proformazertifikat durch das Verschlüsselungssystem (16) generiert oder abgeholt und nur zwischen dem Sender (1) und dem Verschlüsselungssystem (16) verwendet.
Diese Auslegung folgt zunächst aus dem Wortlaut des Anspruchs. So spricht dieser von einem dem Empfänger entsprechenden Proformazertifikat (englisch „proforma certificate corresponding to said recipient“). Hieraus folgt, dass gerade nicht jedes Proformazertifikat ausreichend ist. Vielmehr wird ein Bezug des Zertifikats zu dem Empfänger hergestellt.
Weiter wird das genannte Verständnis durch die Beschreibung gestützt. So werden im Verfügungspatent Proformazertifikate ausdrücklich beschrieben (Abs. [0034]) als ad hoc-Zertifikate, die nur zwischen einem oder mehreren Emailklienten der Sender und dem sicheren Gateway im Verschlüsselungssystem verwendet werden. Der E-Mailklient denkt, dass er das Zertifikat des Endempfängers verwendet, aber in Wirklichkeit verwendet er das Proforma-Zertifikat. Der zu diesem Zertifikat gehörende private Schlüssel ist dem Verschlüsselungssystem bekannt, das damit die ausgehenden E-Mails entschlüsseln kann.
Zudem grenzt sich das Verfügungspatent auch insoweit vom Stand der Technik ab, welcher die Verwendung eines einheitlichen Zertifikats bereits kennt. So wird in Abs. [0011] des Verfügungspatentes ein Stand der Technik beschrieben, der ausgehende E-Mails mit einem Zertifikat des E-Mail-Servers des LAN verschlüsselt, anstatt sie mit Zertifikaten zu verschlüsseln, die der E-Mail-Adresse des Endempfängers entsprechen (Abs. [0011]). Hiervon grenzt sich das Verfügungspatent durch die Verwendung von dem jeweiligen Empfänger entsprechenden Zertifikaten ab.
Auch aus funktionaler Sicht spricht für den Fachmann ein Verständnis des dem Empfänger entsprechenden Proformazertifikates als individuell festgelegtes und in einer inneren Beziehung zum Empfänger stehendes Zertifikat. So verdeutlicht Abs. [0021], dass gerade dadurch, dass der E-Mailklient des Senders nicht notwendigerweise weiß, dass das Zertifikat nicht vom Empfänger stammt, Sicherheitseinrichtungen, die in den meisten E-Mailklienten verfügbar sind, verwendet werden können, ohne dass die Installation von Plug-ins oder neuer Software vorgenommen werden müsste. Dass das Zertifikat dem jeweiligen Empfänger entspricht und die Verwendung eines für das interne Netzwerk bestimmten Proformazertifikates somit für den E-Mailklienten des Senders nicht erkennbar sein muss, hat also konkrete technische Vorteile.
Dabei kann zwar für jeden Vorgang ein inhaltlich identisches Proforma-Zertifikat verwendet werden (Abs. [0061]). Indes muss vom Verschlüsselungssystem stets ein Proforma-Zertifikat verwendet werden, dass in einem inneren Zusammenhang mit dem Empfänger steht. Ist nun, etwa im Rahmen einer Tabelle, die jedem Empfänger ein individuelles Zertifikat zuweist, mehreren Empfängern jeweils individuell ein identisches Zertifikat zugewiesen, so hindert dies die Verwirklichung von Merkmal 1.3 nicht.
Diese Auslegung ist zwischen den Parteien unstreitig und entspricht auch dem Verständnis der Einspruchsabteilung im Einspruchsverfahren (vgl. Anlage K10a, S. 4 ff.).
IV.
Ausgehend von dem vorstehend erläuterten Verständnis kann nicht festgestellt werden, dass die angegriffene Ausführungsform das anspruchsgemäße Verfahren verwirklicht.
Es ist der Kammer nicht hinreichend dargelegt und glaubhaft gemacht, dass die angegriffene Software bei ihrer Ausführung Merkmal 1.3 des anspruchsgemäßen Verfahrens gemäß dem vorstehend erörterten Verständnis verwirklicht.
1.
Die Ausgestaltung der angegriffenen Software steht zwischen den Parteien im Streit.
Unstreitig zwischen den Parteien ist zunächst, dass mit der Kombination der Softwareprodukte der Beklagten „B“ und „C“ ein Verschlüsselungsverfahren für E-Mails durchgeführt wird.
Dies wird auch an der schematischen Darstellung der Software der Verfügungsbeklagten deutlich, wie sie bereits im Tatbestand wiedergegeben wurde:
X
Bei Ausführung der Software fragt der Sender, etwa symbolisiert durch das Endgerät Laptop oder PC, vom Verschlüsselungssystem, dem B, ein Zertifikat ab. Das Gateway sendet dem Sender ein solches Zertifikat, der hiermit eine ausgehende E-Mail verschlüsselt. Diese ausgehende E-Mail wird sodann durch besagtes B geleitet, unter Verwendung des zum verwendeten Zertifikat passenden Schlüssels entschlüsselt und schließlich vom Gateway dem Empfänger verfügbar gemacht, also über das Internet dem Empfänger zugeleitet.
Streitig zwischen den Parteien ist, ob bei Ausführung der Software der Beklagten durch den B ein erstes Proformazertifikat an besagten Sender gesendet wird, welches besagtem Empfänger entspricht oder ob stets ein generisches und einheitliches Zertifikat auf die Anfrage hin verschickt wird.
2.
Die Verfügungsklägerin vermochte nicht darzulegen und glaubhaft zu machen, dass die angegriffene Ausführungsform ein erstes Proformazertifikat an besagten Sender schickt, welches dem Empfänger entspricht.
Über konkrete Kenntnisse hinsichtlich der Ausgestaltung der angegriffenen Ausführungsformen verfügt die Verfügungsklägerin nicht. Die von der Verfügungsklägerin vorgetragenen Begründungsansätze sind nicht geeignet, einen Schluss auf die von ihr geltend gemachte Ausgestaltung der angegriffenen Ausführungsformen derart nahezulegen, dass die Kammer diese als glaubhaft gemacht erachtet.
a.
Insoweit zieht die Verfügungsklägerin zur Begründung ihrer Ansicht die Beschaffenheit von Microsoft Outlook an.
Es ist danach zwischen den Parteien unstreitig, dass der Mailklient Microsoft Outlook in seiner Standardkonfiguration bei der Verschlüsselung einer Mail mit einem Zertifikat, welches von einem Verschlüsselungssystem übermittelt wurde, eine Prüfung vornimmt, ob die Empfängeradresse der im Zertifikat neben dem zur Verschlüsselung verwendeten öffentlichen Schlüssel enthaltenen E-Mail-Adresse entspricht. Ist dies nicht der Fall, so wird eine Fehlermeldung an den Benutzer zurückgegeben und ein verschlüsselter Mailversand ist nicht möglich.
Mit dieser Standardkonfiguration wäre die Funktionsweise eines Verschlüsselungssystems, wie es die Verfügungsbeklagte beschreibt, nicht durchzuführen. Versendet das Verschlüsselungssystem an den abfragenden E-Mailklienten für jeden beliebigen Empfänger stets ein einheitliches und generisches Zertifikat, dass dementsprechend nur eine einheitliche E-Mailadresse enthält, so würde der Betrieb eines solchen Verschlüsselungssystems mit Microsoft Outlook in der Standardkonfiguration scheitern.
Weiterhin ist zwischen den Parteien unstreitig, dass eine Umkonfiguration von Microsoft Outlook ohne die Installation zusätzlicher Software durch das Anlegen bzw. Modifizieren eines Registry-Eintrags dergestalt stattfinden kann, dass die vorstehend genannte Prüfung nicht stattfindet. Dann ist ein entsprechender Betrieb möglich. Diese Umkonfiguration kann am jeweiligen Rechner vorgenommen werden und erfordert 16 Schritte bzw. Benutzereingaben pro Endgerät. Alternativ kann die Umkonfiguration auch einheitlich für alle von einem Unternehmen verwalteten Endgeräte erfolgen. Hierzu ist nach dem Vortrag der Parteien eine zusätzliche Management-Software notwendig, die zur zentralen Verwaltung der Endgeräte eingesetzt wird.
Die Verfügungsklägerin verweist auf Sicherheitsprobleme, die bei Modifikation des Mailklienten Microsoft Outlook in vorgenannter Weise entstünden, was ein entsprechendes Vorgehen der Verfügungsbeklagten fernliegend erscheinen lasse und die letztlich eine kommerzielle Verwertbarkeit der Software beseitigen würden. Insbesondere führt die Verfügungsklägerin verschiedene Angriffsmethoden an, die bei Modifikation von Microsoft Outlook wie vorgeschlagen nunmehr angewendet werden könnten und bei denen letztlich vom jeweiligen Absender einer E-Mail eine falsche Identität vorgetäuscht wird.
b.
Als weitere Begründung verweist die Verfügungsklägerin auf die Werbung der der Verfügungsbeklagten.
Diese bewirbt die Softwarelösung als mit Microsoft Outlook kompatibel. Insbesondere werden die Aussagen getroffen, dass die Software mit den S/MIME Bordmitteln der Standardmailklienten (Outlook, Notes, Webmailer, mobilen Mail-Apps etc.) verwendet werden kann und den Anwendern ermöglicht, E-Mails von ihren gewohnten mobilen und stationären Mailklienten aus zu verschlüsseln. Ein Vorteil beim Einsatz mit Bordmitteln sei der ausbleibende administrative Aufwand, da keine Softwareinstallationen auf den Mailklienten notwendig seien.
c.
Ferner nimmt die Verfügungsklägerin Bezug auf das Dokument RFC 8550, welches einen Vorstandard darstellt. Dieser sieht insbesondere vor, dass ein S/MIME-Agent (vorliegend etwa Microsoft Outlook) sich mit verschiedenen Sicherheitsproblemen auseinander setzt, wie etwa das versehentliche Verschlüsseln einer Nachricht für den falschen Empfänger. Insbesondere verlangt das RFC 8550, dass wenn ein Zertifikat nicht nachweislich gültig und mit der entsprechenden Nachricht verknüpft ist, die jeweilige Verarbeitungssoftware sofortige und spürbare Schritte unternehmen sollte (im englischen Original „should“), um den Endnutzer zu informieren.
d.
Diese Erwägungen können weder für sich noch in ihrer Gesamtheit die Verwirklichung des Merkmals 1.3 belegen.
Die angegriffen Ausführungsform ist dergestalt beschaffen, dass das Gateway auf die Anfrage gemäß dem Merkmal 1.2 hin ein Zertifikat sendet. Dieses Zertifikat wird auch nur zwischen dem Sender und dem Gateway verwendet. Die Kammer sieht es in Ansehung der vorstehend genannten Erwägungen als nicht zwingend an, dass das Gateway ein dem Empfänger entsprechendes Zertifikat versendet. Vielmehr erscheint es jedenfalls ebenso möglich und wahrscheinlich, dass ein generelles und einheitliches Zertifikat vom Gateway versendet wird.
Ein entsprechender Schluss könnte lediglich vor dem Hintergrund der Werbeaussagen der Verfügungsbeklagten gerechtfertigt sein, wenn eine Umkonfiguration von Microsoft Outlook ohne weitere Software nicht möglich gewesen wäre. Zwischen den Parteien unstreitig kann allerdings eine entsprechende Umkonfiguration erfolgen. Diese stellt auch keinen derart großen Aufwand dar, dass eine Durchführung lebensfremd erscheinen würde. Die einmalige Konfiguration eines Mailklienten mittels 16 Benutzereingaben in einem kleinen Unternehmen ist nicht übermäßig aufwendig. Es ist hierbei zu berücksichtigen, dass entsprechende Endgeräte vor ihrer Verwendung ohnehin mit der für ihren jeweiligen Einsatzzweck nötigen Software und Konfiguration versehen werden müssen. Anders als im Privatbereich ist es in aller Regel fernliegend, komplexe Endgeräte ohne weitere Konfiguration in Betrieb zu nehmen und in Unternehmensstrukturen einzubinden. Die Vornahme von 16 Schritten bzw. Benutzereingaben am jeweiligen Endgerät erscheint vor diesem Hintergrund als nicht so aufwendig, dass sie fernliegend wäre. Zudem werden in großen Unternehmen, wie die Verfügungsbeklagte unbestritten vorgetragen hat und wie es überdem der allgemeinen Lebenserfahrung heutiger beruflicher Strukturen entspricht, Computer und Betriebssysteme zentral verwaltet und können demzufolge zentral und einheitlich konfiguriert werden. Entsprechende Verwaltungssoftware ist in aller Regel im Unternehmen vorhanden und in Anwendung, so dass auch insoweit die zitierten Werbeversprechen jedenfalls auch so verstanden werden können, dass im Einzelfall eine entsprechende Verwaltungssoftware beim Kunden vorhanden sein wird. Insoweit wäre bei Einrichtung der Softwarelösung der Verfügungsbeklagten keine neue, hierüber hinausgehende Softwareinstallation notwendig. Verzichtet ein Unternehmen auf solche Managementsoftware, etwa weil die Zahl der zu verwaltenden Endgeräte überschaubar ist und diese zentral an einem Ort verfügbar sind, so erscheint eine manuelle Konfiguration gerade aus diesem Grund nicht als unvertretbarer Aufwand.
Auch das Dokument X lässt eine entsprechende Konfiguration des Mailklienten Microsoft Outlook und damit die Möglichkeit der Verwendung eines einheitlichen und generischen Zertifikats durch die Software der Verfügungsbeklagten nicht als unplausibel erscheinen. So sieht das Dokument zwar vor, dass die entsprechende Rückmeldung an den Benutzer erfolgen soll, wenn Empfänger und Zertifikat nicht übereinstimmen. Dies entspricht auch der genannten Standardkonfiguration von Outlook. Eine Umkonfiguration von Outlook ist jedoch ohne weiteres möglich, wie zwischen den Parteien unstreitig ist. Zudem ist die Vorgabe der X, selbst bei der von der Verfügungsklägerin nahegelegten Interpretation des Wortes „sollte“ nicht zwingend. So spricht das Dokument davon, die Software „sollte […] Schritte unternehmen, um den Endbenutzer darüber zu informieren“ (englisch: „should take […] steps to inform the end user about it“). Diese Begriffswahl schließt, selbst bei Einhaltung der in X vorgesehen Vorgaben, ein abweichendes Vorgehen jedenfalls in atypischen Fällen nicht aus. So führt das Dokument selbst aus, auch in diesem Fall abweichende Lösungen aus bestimmten Gründen gewählt werden können. Lediglich sollten die Konsequenzen einer abweichenden Gestaltung verstanden und sorgfältig abgewogen werden. Warum im Falle einer im Rahmen einer zusätzlich zum verwendeten E-Mailklienten eingesetzten externen Softwarelösung für den E-Mail-Versand solche üblichen Einstellungen nicht zweckmäßigerweise anders konfiguriert werden können, insbesondere da solche Softwarelösungen typischerweise im Unternehmensbereich von Fachleuten konzipiert und installiert werden, hat die Verfügungsklägerin nicht dargelegt und ist auch nicht plausibel. Selbst das von der Verfügungsklägerin vorgetragene Verständnis der X ist damit nicht geeignet, die Verwendung eines einheitlichen und generischen Zertifikats durch die Software der Beklagten als fernliegend erscheinen zu lassen.
Auch die von der Verfügungsklägerin aufgeworfenen Sicherheitsbedenken bei Vornahme der entsprechenden Konfiguration von Microsoft Outlook rechtfertigen keine andere Betrachtung. So hat die Verfügungsklägerin Bedrohungsszenarien aufgeworfen, die durch die Umkonfiguration wahrscheinlicher gemacht würden. Es ist zwischen den Parteien umstritten, inwieweit die Zertifikatskontrolle von Microsoft Outlook in modernen Sicherheitsarchitekturen zur Abwehr dieser Bedrohung einen eigenständigen Beitrag leistet und nicht vielmehr solche Angriffe jedenfalls auch mit anderen Mitteln vereitelt werden. Jedenfalls ist aber für die Kammer nicht erkennbar, dass solch gravierenden Sicherheitslücken entstehen, so dass die Möglichkeit einer Umkonfiguration und damit die Verwendung eines einheitlichen und generischen Zertifikats durch die Software der Beklagten als fernliegend erscheint. Hinzu kommt, dass die Umkonfiguration im Rahmen der einheitlichen Einrichtung eines E-Mail-Systems erfolgen würde, also nicht plausibel ist, dass Sicherheitsbedenken nicht an anderer Stelle adressiert werden können, wenn der Gesamtzuschnitt des Systems konzipiert wird.
Dies steht in Einklang mit der eidesstattlichen Versicherung des Geschäftsführers der Verfügungsbeklagten, E.
Dieser führt insbesondere aus (Anlage AG 1, S. 2):
„Unsere Produkte A und B implementieren ein Gateway, das ein fest eingestelltes und generisches Zertifikat als Gateway-Zertifikat verwendet. Auf eine Anfrage des Senders nach einem Zertifikat für eine an einen bestimmten Empfänger gerichtete E-Mail sendet unser Gateway immer dieses fest eingestellte und generische Zertifikat Zertifikat an den Sender, und zwar unabhängig davon, welcher Empfänger in der Anfrage des Senders genannt war.
[…]
Wie in Anlage 1 dargestellt, muss vor dem Einsatz unserer Produkte eine Änderung der Konfiguration in der Software Microsoft Outlook (dem E-Mail Client) vorgenommen werden.“
Hinweise, an der Richtigkeit dieser Aussage zu zweifeln, sind für die Kammer aufgrund der vorstehenden Erwägungen nicht ersichtlich.
Damit kann das Vorhandensein eines dem Empfänger entsprechenden Proformazertifikats und in der Folge Merkmal 1.3 nicht festgestellt werden.
Eine Verwirklichung der verfügungspatentgemäßen Lehre durch die angegriffene Ausführungsform kann daher nicht festgestellt werden.
B.
Die Kostenentscheidung folgt aus § 91 Abs. 1 ZPO.
Die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus §§ 708 Nr. 6, 711 ZPO.
Der Streitwert wird auf 1.500.000,00 EUR festgesetzt.
| Klepsch | Wimmers | Janich |