Ein Nachweis der Urheberschaft wird genau einmal auf die Probe gestellt, nämlich dann, wenn jemand Grund hat, daran zu zweifeln. Das ist der falsche Moment, um festzustellen, dass man in Wahrheit nur eine Behauptung in der Form eines Belegs in Händen hielt.
Vier getrennte Dinge entscheiden, ob ein digitaler Nachweis diese Prüfung übersteht: ein Hash, der ihn an genau eine Datei bindet, ein Zeitstempel, der festhält, wann er existierte, eine Signatur, die ihn an eine echte Identität bindet, und ein Zertifikat, das eine fremde Person alle drei prüfen lässt, ohne Sie etwas zu fragen. Fehlt eines davon, kann der Nachweis trotzdem vollständig wirken. Er funktioniert nur nicht mehr in dem Moment, in dem jemand einen Grund hat, ihn zu prüfen.
Der Hash: Beweis für genau welche Datei
Ein kryptografischer Hash ist ein Wert fester Länge, berechnet aus den Bytes einer Datei. Ändern Sie ein Zeichen, ein Pixel, eine Zeile versteckter Metadaten, und der Hash passt nicht mehr. Genau das ist sein Zweck: Ein Hash beschreibt eine Datei nicht allgemein, er identifiziert eine bestimmte Fassung davon.
Die meisten Streitfälle drehen sich nicht wirklich darum, ob Sie etwas geschaffen haben. Sie drehen sich darum, welche Fassung Sie geschaffen haben, und wann. Ein Dateiname und eine Beschreibung sind Behauptungen, die jemand eingetippt hat. Ein Hash ist ein Wert, der aus der Datei selbst abgeleitet ist, und deshalb übersteht er eine Anfechtung auf eine Weise, die ein Etikett nie schafft.
Ein Hash wirkt zudem nur in eine Richtung. Aus ihm lässt sich die Ausgangsdatei nicht rekonstruieren. Das erlaubt es, einen Inhalts-Hash in eine öffentliche, durchsuchbare Datenbank zu stellen, einen ISCC-artigen Bezeichner, der ein Werk für Verletzungsprüfungen und KI-Trainingslizenzierung auffindbar macht, ohne dass die Originaldatei jemals Ihren Besitz verlässt.
Der Zeitstempel: Beweis für wann, von jemand anderem als Ihnen
Ein Datum im eigenen System ist ein Datum, das Sie selbst gesetzt haben. Es liegt in einer Datenbank, die Sie verwalten, auf einem Server, den Sie kontrollieren, und jemand mit den passenden Rechten könnte es ändern. Das macht es nicht falsch. Es macht es als Beweis gegenüber einer skeptischen Gegenseite unbrauchbar, weil die Partei, die die Behauptung aufstellt, und die Partei, die das Datum geschrieben hat, dieselbe Partei sind.
Ein qualifizierter elektronischer Zeitstempel kommt von ausserhalb dieses Kreises. Ein qualifizierter Vertrauensdiensteanbieter stellt ihn über den Hash aus, und nach eIDAS geniesst ein qualifizierter Zeitstempel eine gesetzliche Vermutung hinsichtlich des angegebenen Datums und der Uhrzeit sowie der Integrität der damit verbundenen Daten. Das Datum ist dann nicht mehr etwas, das Sie behaupten, sondern etwas, das ein Dritter unabhängig von Ihren eigenen Systemen bezeugt hat.
Das ist der Teil, der aus "wir hatten das am dritten März" einen Satz macht zu einer Tatsache, die jemand anderes prüfen kann.
Die Signatur: Beweis für wen
Ein Hash beweist, welche Datei. Ein Zeitstempel beweist, wann. Keines von beiden sagt etwas darüber, wer sie geschaffen hat, und genau das ist die Aufgabe der Signatur, weshalb die drei nicht austauschbar sind, sondern sich addieren.
Eine qualifizierte elektronische Signatur, ausgestellt über einen akkreditierten Anbieter von Zertifizierungsdiensten, entfaltet nach Schweizer Recht dieselbe Rechtswirkung wie eine handschriftliche Unterschrift, gemäss ZertES. Diese Wirkung hängt davon ab, dass die Signatur zum Zeitpunkt der Ausstellung an eine geprüfte Identität gebunden ist, nicht davon, dass eine unterzeichnende Person ihren eigenen Namen in ein Formular tippt. Ein Name in einem Textfeld ist eine Behauptung über eine Identität. Eine qualifizierte Signatur wird erst ausgestellt, nachdem diese Identität von einer anderen Partei als der unterzeichnenden Person geprüft wurde.
Das Zertifikat: Beweis, den tatsächlich jeder prüfen kann
Die ersten drei Teile können allesamt zutreffen, und der Nachweis kann trotzdem versagen, wenn die Prüfung eines davon voraussetzt, der behauptenden Partei zu vertrauen oder sie direkt zu kontaktieren. Ein Zertifikat, das Hash, Zeitstempel und Signatur in einem Dokument bündelt, mit einem Link auf eine öffentliche Prüfseite, schliesst genau diese Lücke.
Die Probe ist einfach. Schicken Sie den Link an jemanden ohne Konto, ohne Beziehung zu Ihnen und ohne Grund, Ihnen irgendetwas zu glauben. Kann diese Person die Datei, das Datum und die Identität öffnen und bestätigen, ohne Ihnen auch nur eine einzige Nachricht zu schicken, hält der Nachweis stand. Verlangt die Prüfung zuerst eine E-Mail an Ihr Team, haben Sie eine Behauptung mit besserer Formatierung, keinen Beweis.
Ein Beispiel aus der Praxis
Eine Designerin liefert an einem Dienstag ein Markenkonzept an eine Kundin. Drei Monate später taucht ein fast identisches Design aus anderer Quelle auf, und die Designerin muss zeigen, dass ihre Fassung zuerst existierte, unverändert war und ihr gehörte.
Eine E-Mail mit angehängter Datei zeigt ein Datum, aber dieses Datum liegt auf einem Mailserver, den die Absenderin nicht vollständig kontrolliert, und der Anhang liesse sich theoretisch in einen älteren Thread einfügen. Ein Hash, berechnet aus der exakten gelieferten Datei, versehen mit einem Zeitstempel eines qualifizierten Vertrauensdiensteanbieters am Liefertag und signiert unter einer geprüften Identität, beantwortet alle drei Fragen zugleich: diese Datei, dieses Datum, diese Person. Wer das Zertifikat später prüft, muss der Darstellung der Designerin nicht vertrauen. Er prüft stattdessen den Nachweis.
Warum unvollständiger Beweis im schlimmsten Moment versagt
Eine Datei mit nur einem Hash beweist, dass eine Fassung existiert, nicht wann oder von wem. Eine Datei mit nur einem internen Zeitstempel beweist ein Datum, das sich jemand selbst hätte setzen können. Eine Datei mit nur einer Signatur beweist eine Identität, aber nicht, welche Fassung des Werks diese Identität tatsächlich unterschrieben hat. Jeder Teil beantwortet eine andere Frage, und ein Streitfall bleibt selten auf genau die eine Frage beschränkt, die Ihr jeweiliger Nachweis beantwortet.
Das ist auch der Grund, warum ein Häkchen kein Nachweis ist. Eine Erklärung wie "KI-erzeugt" oder "von Menschen verfasst" ist nur so wahr, wie das Vertrauen reicht, das man der Person entgegenbringt, die sie geschrieben hat. Binden Sie dieselbe Erklärung an einen Hash und einen qualifizierten Zeitstempel, hört sie auf, eine von Ihnen gemachte Aussage zu sein, und wird zu einer Tatsache über ein bestimmtes Objekt, datiert von jemandem, der nicht Sie waren.
Warum das Grenzen überquert, und was es nicht leistet
Nach der Berner Übereinkunft entsteht Urheberrecht automatisch mit der Schöpfung in über 180 Ländern, ohne dass irgendwo eine Registrierung nötig wäre. Das ist ein Recht, und es überquert diese Grenzen bereits von selbst. Der Nachweis, wann und wie Sie es ausgeübt haben, überquert eine Grenze nicht auf dieselbe automatische Weise wie eine nicht belegte Behauptung, aber ein Hash, ein qualifizierter Zeitstempel und eine geprüfte Signatur sind prüfbare Daten, und prüfbare Daten funktionieren gleich, egal wo jemand den Link öffnet.
Eng formuliert, weil eng hier zutreffend ist: Eine Prüfseite bestätigt, dass eine bestimmte Datei zu einer bestimmten Zeit zu einem bestimmten Hash passte, signiert von einer bestimmten Identität. Das ist keine automatische gerichtliche Zulässigkeit vor jedem Gericht. Wie ein bestimmtes Gericht ein bestimmtes Beweismittel behandelt, ist eine Frage seines eigenen Verfahrens, und keine Technologie ändert das. Was der Nachweis liefert, ist dieselbe zugrunde liegende Tatsache, gleich prüfbar, unabhängig davon, an welcher Grenze der Streit landet.
Eine kurze Prüfung für Ihre eigenen Unterlagen
Bevor Sie sich auf einen bereits vorhandenen Nachweis der Urheberschaft verlassen, entscheiden vier Fragen, ob er einer Anfechtung standhält: Identifiziert er genau eine Datei statt nur einer Beschreibung davon. Wurde das Datum von einer anderen Partei als Ihnen selbst gesetzt. Ist die dahinterstehende Identität von jemand anderem als der eintippenden Person geprüft. Und kann eine fremde Person all das prüfen, ohne zuerst irgendjemandem eine E-Mail zu schreiben. Ein Nachweis, der alle vier Fragen mit Ja beantwortet, ist Beweis. Einer, der ein oder zwei mit Ja beantwortet, ist eine gut organisierte Sammlung von Behauptungen.
Die vollständige Mechanik, einen solchen Nachweis zu erstellen, vom Hochladen bis zum Prüflink, behandelt unsere Seite wie der Ablauf funktioniert.
