Digital-Rights-Management (DRM) steht für die Bürde, eigene und fremde Rechte richtig zu verwalten, aber auch für die Erlösung von dieser Last durch Technik. Oft werden unter DRM nur Techniken verstanden, mit denen Urheber ihre Werke schützen. Das ist nicht falsch, denn im engen juristischen Sinn gründet sich DRM auf den Paragrafen 95 des Urheberrechts, der verbietet, technische Maßnahmen auszuhebeln, mit denen geschützte Werke gegen nicht zulässige Nutzung gesichert werden (siehe Kasten "Paragraf 95a des Urheberrechts). Auch Unternehmen stehen in der Pflicht: Sie haften, wenn man ihnen nachweisen kann, dass etwa ihre Nachlässigkeit dazu geführt hat, dass von ihnen erworbene Software bei nicht berechtigten Nutzern auftaucht.

Einhalten von Lizenzrechten

Das klingt danach, als ginge es darum, den Job der Hersteller zu machen und deren Software zu schützen. Tatsächlich besteht ein Teil des Rechte-Managements darin, dafür zu sorgen, dass die Lizenzverträge mit den Soft-warelieferanten eingehalten werden. Für kleinere und mittlere Unternehmen entwickelt sich diese Aufgabe angesichts Hunderter von Softwareprogrammen und immer neuer Lizenzmodelle zunehmend zu einer Last. Software lässt sich leasen, kaufen, mieten, abonnieren. Gebühren fallen monatlich, jährlich oder pro Benutzung an. Manche Programme sind CPUs zugeordnet, andere Personen, Gruppen oder Lokalitäten. In einigen Fällen gilt es, die Rechte für den internationalen Einsatz zu erwerben, und bei der Verwendung von Blade-Servern ist sicherzustellen, dass die dort verwendete Software beliebig oft gelöscht und kopiert werden darf.

Anders sieht die Situation bei großen Unternehmen aus. Hier gibt es Spezialisten, die aus der Vielfalt den größtmöglichen Vorteil für das Unternehmen ziehen. Nicht nur, dass hauptamtliche Asset-Manager über Zeit und Know-how verfügen, das jeweils günstigste Angebot auszuwählen. Oft gelten für wichtige Kunden auch keine Listenpreise und Standardkonditionen. Hier müssen die Fachleute im Vorfeld klären, welche Rechte das Unternehmen überhaupt in Anspruch nehmen möchte, und diese Anforderungen für einen Vertrag auflisten. Kurz: Es geht darum, die Lizenzkosten den Bedürfnissen anzupassen.

Viele Facetten

Einfacher wird das Rechte-Management durch solche individuellen, und häufig nachgebesserten Vertragskonditionen nicht. Schließlich sollen Nutzungsverletzungen verhindert werden. Solange es sich um die Gefahr von Raubkopien handelt, hilft die Softwareindustrie nach Kräften. Die meisten Anbieter statten ihre Produkte mit Sicherungen unterschiedlichster Wirksamkeit aus. Unter der Fahne von DRM segeln heute unterschiedliche Sicherheitstechniken, die von Verschlüsselung, Dongles, Authentifzierung, Verfolgung von Dokumenten durch digitale Wasserzeichen bis hin zu Trusted Computing mit Hash-Algorithmen und vielem mehr reichen. Zu den besonders wirksamen Methoden gehört, Software zentral zu halten, so dass nur berechtigte Anwender darauf zugreifen können. Verzichten die Softwareanbieter jedoch darauf, ihre Produkte durch technische Maßnahmen zu sichern, so entbindet das den Anwender keineswegs von der Pflicht, Raubkopien nach Möglichkeit zu unterbinden.

Allerdings kümmert sich DRM nicht nur um erworbene Software. Die Anwender selbst schaffen ständig urheberrechtlich geschützte Werke. Dazu zählen Konstruktionszeichnungen, Werbetexte, besonders schöpferische Business-Pläne, selbst entwickelte Maschinen, die Gestaltung von Gebäuden, kurz alles, was einen erheblichen kreativen Anteil enthält. Obwohl ebenfalls schutzwürdig, fallen viele Betriebsgeheimnisse wie etwa Geschäftszahlen oder Korrespondenz nicht unter das Urheberrecht, werden aber meist mit den gleichen DRM-Techniken geschützt.

Besonders ernst genommen wird DRM in der Automobilindustrie. Bei der Entwicklung neuer Fahrzeugmodelle entstehen große Mengen patent- und urheberrechtlich geschützter Ideen. Dazu zählen technische Blaupausen ebenso wie Designentwürfe und Marketing-Broschüren. Zu den zentralen Schutzmaßnah-men der Branche gehört, dass möglichst wenige Informationen außer Haus geraten. Auf diese Weise lassen sich zum Beispiel alle Rechner kontrollieren, über die digitale Inhalte übertragen werden. Jeder Kopiervorgang kann protokolliert und zugeordnet werden.

Angesichts einer immer tiefer gestaffelten Zulieferkette ist eine derart straffe Organisation allerdings nicht immer möglich. In solchen Fällen müssen neben technischer Unterstützung und Vorgaben für die Prozesse schriftliche Vereinbarungen mit entsprechenden Vertragsstrafen dafür sorgen, dass auch die Partner die gewünschten Sicherheitsstandards einhalten.

Wenn DRM versagt

Dennoch gibt es Pannen: Es ist erst knapp zwei Jahre her, als BMW einen Modell-Launch für seine 3er-Serie vorbereitete. Der "Erlkönig" stand noch unter höchster Geheimstufe. Doch schon Monate vor der Präsentation fand eine fertige Werbebroschüre aus Slowenien auf ungeklärte Weise den Weg ins Internet und auf die Rechner der Automobilpresse. Das DRM des Herstellers hatte versagt.

Das Beispiel aus der Automobilindustrie zeigt, dass DRM nicht nur für die Software-, Musik- und Filmindustrie (siehe Kasten "Aufregung in der Medienindustrie"), sondern übergreifend für Unternehmen von Bedeutung ist. Besonders gefährdet sind derzeit nach Informationen des Fraunhofer-Instituts die Softwareprogramme der CNC-Maschinen, mit denen hiesige Unternehmen in China Produkte vom Lenkrad bis zum Snowboard fertigen. Die Maschinenbauer setzen auf Hardwarelösungen wie Field Programmable Gateway Arrays (FPGA). Die fest eingebauten Komponenten enthalten in verschlüsselter Form Teile des Programms, so dass dieses nur auf einer speziellen CNC-Maschine läuft. Ein Verfahren, dass sich auf die Sicherung von Software in Autos und anderen Geräten übertragen lässt.

Sicherer Dokumenten-Workflow

Meist geht es bei Anwenderunternehmen jedoch nicht um den Schutz von Software, sondern - wie bei dem BMW-Beispiel - um einen gesicherten Workflow für sensible Informationen (siehe Kasten "Workflow-Fragen"). Hier ist DRM technisch am weitesten fortgeschritten. Mit den PDF-Dateien von Adobe beispielsweise gibt es schon lange einen Standard, der gewährleisten kann, dass Bearbeiter nur die Rechte erhalten, die sie für ihre jeweilige Aufgabe brauchen. Die Druckfunktion lässt sich ebenso unterbinden wie das Sichtbarmachen von Bildern.

Dennoch gibt es auch hier Pannen. So blamierte sich das US-Verteidigungsministerium vor einem Jahr mit seinem offiziellen Bericht zur Beschießung des Fahrzeugs der entführten italienischen Journalistin Giuliana Sgrena. Viele Stellen des PDF-Dokuments waren zwar geschwärzt, aber per Cut-and-Paste wieder lesbar zu machen. Solche Anwendungsfehler lassen sich vermeiden. Damit die Nutzer das nicht selber machen müssen, sorgt ein Policy-Server dafür, dass alle Regeln wie gewünscht eingehalten werden. Selbst digitale Signaturen sind inzwischen eingebettet. Nimmt man den Bearbeitern zudem die Möglichkeit, Screenshots anzufertigen, könnte das Verfahren ziemlich sicher sein.

Herausforderung für DRM

Doch irgendwann fängt Sicherheit an, die Arbeit empfindlich zu stören. So sind Agenturen bei der Erarbeitung von Broschüren - wie im BMW-Beispiel - darauf angewiesen, mit Texten und Bilden experimentieren zu dürfen, sie müssen alle Bilder sehen können, um sie richtig beschreiben zu können, und wollen in der Lage sein, Ausdrucke verschiedener Entwürfe miteinander zu vergleichen (siehe Kasten "Dokumenten-Management mit DRM").

Ein Gebiet des Rechte-Managements, das Unternehmen leicht übersehen, ist ihr Web-Auftritt. Jede Website gilt als Publikation. Für alles, was dort erscheint, muss das Unternehmen die Rechte besitzen. So darf eine Firma nicht ohne Erlaubnis eine Liste der eigenen Kunden, gar deren Logo, veröffentlichen. Jeder Text und jedes Bild, jeder Bildinhalt ist auf die Urheberrechte zu prüfen. Selbst Texte von Mitarbeitern darf man nur mit deren expliziter Zustimmung auf die Seite stellen. Auch darf man nicht einfach Meldungen aus anderen Publikationen (inklusive Web-Seiten) übernehmen.

Website-Betreiber in der Pflicht

Verlangen Urheber, dass ihre Inhalte gegen unberechtigtes Kopieren geschützt werden, dann muss der Website-Betreiber das Mögliche dafür tun. Eine Lösung stellt die Einrichtung eines geschlossenen Benutzerbereichs dar - auch wenn es sich dabei um keinen zuverlässigen Kopierschutz handelt. Da absolute Sicherheit technisch nicht möglich ist, reicht eine solche Maßnahme zumindest aus, um sich gegen Haftungsforderungen von Urhebern zu schützen. Diese bleiben dabei allerdings im Regen stehen.

Ein besonders schwieriges Gebiet sind Blogs. Hier kann es geschehen, dass jemand geschützte Inhalte ohne Erlaubnis des Urhebers auf die Unternehmensseite lädt. Der Blog-Betreiber muss aufgrund seiner Kontrollpflicht solche Inhalte entfernen. Ansonsten kann der Urheber seine Rechte (auf Unterlassung, Honorarzahlung oder Schadensersatz) bei ihm einklagen.

Ginge es nur um die Sicherung von Workflows und die Erfüllung von Lizenzverträgen, dann wäre die Aufregung unverständlich, die es um DRM gibt. Tatsächlich ringen Politik, Urheber und Unternehmen seit Jahren darum, wem die Regeln dienen sollen. Im so genannten zweiten Korb (2.Teil) der Urheberrechtsnovelle soll unter anderem über die Vergütung von Urheberrechten entschieden werden.

"Das Kürzel DRM lässt sich als Digitales Rechte-Management auflösen oder als Digitales Restriktions-Management", brachte kürzlich Suns Cheftechnologe Greg Papadopoulos, die Grundhaltungen auf den Punkt: "Wir brauchen eine Wirtschaft mit freiem Austausch von Daten und einer Abrechnungsmethode, die den Schöpfern und den Verbreitungsorganen solcher Daten eine gerechte Vergütung zukommen lässt. Es geht um Vergütungen, nicht um Kontrolle." Dazu müsse darüber Buch geführt werden, wer was wann verwendet.

Schwierigkeiten in der Praxis

Dahinter steckt die Grundidee des Pay-per-Use. Jedesmal, wenn ein Recht in Anspruch genommen wird, soll dafür bezahlt werden. Dafür muss die Nutzung von Werken lückenlos dokumentiert werden. Geteilt wird diese marktwirtschaftliche Vision hierzulande vom Branchenverband Bitkom, der sich vehement für DRM einsetzt. Verband und Sun-Manager verschweigen jedoch, dass ein technisch funktionierendes DRM noch nicht existiert. Stattdessen haben sich für die private Nutzung etablierte Verfahren bewährt, die das gesellschaftlich heikle Überwachungsproblem umgehen: die Verwertungsgesellschaften. Sie erheben Abgaben auf Geräte, mit denen sich urheberrechtlich geschützte Inhalte kopieren lassen, und verteilen das Geld nach einem festen Schlüssel an die Urheber.

Würde man dieses Verfahren zugunsten von DRM aufgeben, dann müsste jeder Nutzer bei jedem Kopiervorgang (am Rechner, Drucker, Kopierer etc.) zur Kasse gebeten werden. Solange das technisch nicht machbar ist, plädiert der Verband für eine drastische Senkung der Urheberrechtsabgaben - auf Kosten der Urheber.

Open Source und Microsoft

Zu den Gegnern von Digital-Rights-Management gehören auch Teile der Open-Source-Community. Im Entwurf zur dritten Version der General Public Licence (GPL) wird "Digital Restriction Management" als grundsätzlich nicht mit der Open-Source-Idee vereinbar ausgeschlossen. Da wäre es zum Beispiel im Grunde nicht zulässig, einen Kopierschutz unter GPL zu lizenzieren. Allerdings teilen Open-Source-Größen wie Linus Torvalds die Haltung der GPL-Verfasser um Richard Stallman nicht unbedingt. Für die Anwendung einschlägiger Software in Unternehmen dürfte die DRM-Ablehnung wenig Bedeutung haben. Sie spielt nur dann eine Rolle, wenn in den Lizenzbedingungen festgeschrieben wird, dass GPL-Software nicht mit DRM-Software gemeinsam verwendet werden darf.

Ähnlich ideologisch aufgeladen ist der seit Jahren anhaltende Widerstand gegen Microsofts DRM-Pläne. Sie sorgten ursprünglich unter der Bezeichnung Palladium für Aufruhr, weil Datenschützer befürchteten, dass die Hard- und Softwarekombination dazu dienen könnte, die Rechner der Anwender auszuspionieren. Außerdem gab es Gerüchte, dass nicht konforme Software unter Palladium nicht mehr lauffähig sei. Erste Ergebnisse des inzwischen in Next Generation Secure Computing Base (NGSCB) umbenannten Konzepts sind laut Ankündigung bald in Windows Vista zu begutachten. Die dazugehörige Trusted Computing Platform (TCP) wurde auch wegen datenschutzrechtlicher Bedenken von DRM-Bedürfnissen wegentwickelt.

Dennoch setzen DRM-Verfechter einige Hoffnungen in die Hash-Algorithmen, mit denen zumindest unautorisierte Änderungen am Rechner festgestellt werden können. Auf diese Weise ließe sich zum Beispiel heimlich aufgespielte Spionage- oder Kopiersoftware entdecken. (ave)