Der Gerichtsstreit „Metall auf Metall“ verhandelt weiterhin die Nutzung eines zwei Sekunden langen Musiksamples, das Moses Pelham dem Track „Metall auf Metall“ von Kraftwerk entnommen und bei der Produktion von Sabrina Setlurs Hiphop Song „Nur mir“ verwendet hat. Nach vielen Wendungen hatte das Oberlandesgericht Hamburg im Jahr 2022 drei rechtlich-historische Phasen zur urheberrechtlichen Bewertung dieser Nutzung unterschieden, von der die letzte Phase weiterhin in Streit steht. Mittlerweile geht es darum, ob Sampling in „Nur mir“ unter die urheberrechtliche Ausnahme („Schranke“) des Pastiche fällt.

Schranken im Urheberecht wie das Zitatrecht oder die Privatkopie erlauben unter bestimmten, eng abgegrenzten Voraussetzungen, ein Werk auch ohne Zustimmung des Rechteinhabers zu nutzen. Die Schranke des „Pastiche“ fand erst 2021 im Zuge der Umsetzung der EU-Urheberrechtsrichtlinie Eingang in das deutsche Urheberrecht, konkret in § 51a UrhG. Für „Nur mir“ stellt sich seither die Frage: Stellt die Nutzung des Samples ein Pastiche dar? Damit wäre zumindest seit 2021 die Verbreitung des Songs wegen dieser Ausnahme zulässig.

Nachdem das Oberlandesgericht Hamburg diese Bewertung in seiner Entscheidung von 2022 weitgehend gerechtfertigt hatte, legte der deutsche Bundesgerichtshof dem europäischen Gerichtshof Fragen vor, um die Schranke des Pastiche genauer auszulegen. Im Detail fragt der Bundesgerichtshof, ob Pastiche einerseits einen Auffangtatbestand für die künstlerische Auseinandersetzung mit einem vorbestehenden Werk darstellt und ob andererseits Pastiche die Intention zur Schaffung eines Pastiche in der Nutzerin voraussetzt, oder es ausreicht, dass es von informierten Personen als Pastiche erkannt wird.

Kein Auffangtatbestand: der „künstlerische oder kreative Dialog“

Der europäische Gerichtshof sieht davon ab, mit dem Pastiche eine allgemeine Ausnahme für die künstlerische Auseinandersetzung mit einem vorbestehenden Werk zu schaffen. Entscheidend für ein Pastiche ist in erster Linie die offen erkennbare Nutzung von urheberrechtlich geschützten Werken. „Versteckte Imitationen“ oder auch die in der ersten Entscheidung des europäischen Gerichtshof von 2019 ausgeführte Nutzung in „nicht wiedererkennbarer Form“ werden nicht vom Pastiche umfasst. So schreibt Gerichtshof, dass Pastiche…

…Schöpfungen erfasst, die an ein oder mehrere bestehende Werke erinnern, gleichzeitig aber wahrnehmbare Unterschiede diesen gegenüber aufweisen, um mit diesen Werken eine als solche erkennbare Form des künstlerischen oder kreativen Dialogs aufzunehmen.

Dieser Dialog könne „verschiedene Formen annehmen“, das Gericht unterscheidet die Form einer „offenen Nachahmung des Stils dieser Werke, einer Hommage an sie oder einer humoristischen oder kritischen Auseinandersetzung mit ihnen“. Damit formuliert der europäische Gerichtshof eine nicht-abgeschlossene Liste konkreter Zwecke, die einen künstlerischen oder kreativen Dialog auszeichnen und erweitert die Taxonomie von „Karikatur, Parodie und Pastiche“. Mit dieser Auflistung bleibt der europäische Gerichtshof hinter dem Vorschlag des Generalanwalts von 2025 zurück. Dieser hatte formuliert, dass „der mit dieser offenen stilistischen Nachahmung verfolgte Zweck hingegen unerheblich [ist]“. Allerdings scheint die Auflistung offen für Erweiterungen aus der künstlerischen Praxis zu sein.

Intention zum Pastiche?

Hinsichtlich der Frage nach der Intention der Nutzerin folgt der europäische Gerichtshof hingegen weitestgehend den Vorschlägen des Generalanwalts. Zur Gewährleistung der Rechtssicherheit, so das Gericht, müssten objektive Kriterien zur Prüfung der Absicht einer Nutzerin herangezogen werden. Insofern genügt…

… für eine Nutzung ‚zum Zwecke von‘ Pastiches im Sinne dieser Bestimmung, dass der Charakter als ‚Pastiche’ für denjenigen erkennbar ist, dem das bestehende Werk bekannt ist, dem diese Elemente entnommen sind.

Damit müssen Nutzerinnen nicht nachweisen, die Absicht gehabt zu haben, mit einem anderen Werk in einen Dialog zu treten. Es genügt, wenn eine mit dem genutzten Werk vertraute und über die Bedeutung von Pastiche informierte Person ein solches in dem neu geschaffenen Werk erkennt. Das könnte beispielsweise eine Musikgutachterin sein.

Was bedeutet das für den Fall „Metall auf Metall“?

„Metall auf Metall“ verlässt nach der Entscheidung des EuGH nun wieder die europäische Bühne und wird weiter vor dem deutschen Bundesgerichtshof verhandelt. Zu klären dürfte noch sein, ob „Nur mir“ in einen künstlerischen oder kreativen Dialog mit „Metall auf Metall“ tritt. Das ist – zumindest vor dem Hintergrund der jetzt durch den europäischen Gerichtshof eingeführten Begrifflichkeiten – noch nicht in ausreichendem Maß geschehen.

Ausgeschlossen werden kann wohl die Einordnung als „humoristische Auseinandersetzung“, da ja bereits mehrfach Karikatur und Parodie als Schranken für Sampling in „Nur mir“ abgelehnt wurden. Auch die Einordnung als „offene Nachahmung des Stils“ für einen HipHop-Song wie „Nur mir“ muss wohl als unwahrscheinlich angesehen werden.

Weniger eindeutig ist das bei Punkten wie „kritischer Auseinandersetzung“ oder „Hommage“. Womit wir beim Kern der Frage angekommen sind: Ist Sampling im Fall von „Nur mir“ eine „erkennbare Form des künstlerischen oder kreativen Dialogs“ im Sinne des EuGH-Urteils? Und angesichts dessen, dass das Oberlandesgericht Hamburg in seiner Entscheidung von 2022 bereits eine „künstlerische Auseinandersetzung“ festgestellt hat, ist das in diesem konkreten Fall mit dem überaus bekannten Sample wohl zu bejahen.

Ist Remix-Kunst jetzt Pastiche?

Pastiche als Auffangtatbestand für die Auseinandersetzung mit einem vorbestehenden Werk wäre hingegen einer noch weitreichenderen Legalisierung Remix-basierter Kunstformen gleichgekommen. Der europäische Gerichtshof hat sich gegen eine solche allgemeine Ausnahmeregelung entschieden.

Dennoch: Die weitreichenden Verschiebungen in diesem Urteil des europäischen Gerichtshofs sind bemerkenswert. Im Jahr 2019 urteilte der europäische Gerichtshof noch, dass allein die nicht-wiederkennbare Nutzung eines Samples ohne Zustimmung rechtlich erlaubt sei. Eine Einschätzung, die den Praktiken und Diskursen in der Remix-Kunst widersprechen.

Im neuen Urteil wird hingegen die Bedeutung der wahrnehmbaren Unterschiede und des Dialogs zwischen urheberrechtlich geschützten Werken für die Freiheit künstlerischen Schaffens in den Vordergrund gerückt. Das ist ein deutliches Signal für Remix-Kunst als Pastiche und für die Legalisierung von Remix-Kunst allgemein.

Abzuwarten bleibt allerdings, wie sich diese inklusive Auslegung des Pastiche-Begriffs in die digitale Praxis überführen lassen wird und welche Fallstricke die Konkretisierung der Dialogformen für Remix-Kunst und Sampling bereithält. So könnte die Verwendung besonders obskurer oder unbekannter Samples größeren Rechtfertigungsdruck erzeugen als die Nutzung weit verbreiteter Werke. Auch das graduelle Kriterium der „wahrnehmbaren Unterschiede“ bleibt noch unterspezifiziert und könnte zu Abgrenzungsschwierigkeiten führen, die auch zukünftig einer Einzelfallbewertung unterliegen.

Was passiert als nächstes?

Mit dem vorliegenden Urteil des europäischen Gerichtshofs ist die unendliche Geschichte von „Metall auf Metall“ ein gutes Stück weitergekommen. Das nächste Kapitel spielt erneut am deutschen Bundesgerichtshof. Es liegt an ihm, ob Sampling in „Nur mir“ nach den Vorgaben des europäischen Gerichtshofs als Pastiche bewertet werden kann.

Die Geschichte könnte also bald zu Ende gehen. Denkbar ist allerdings auch, dass der Bundesgerichtshof für seine Entscheidung eine weitere Konkretisierung des Dialog-Charakters der in Streit stehenden Sample-Nutzung benötigt. Dann könnte sogar eine erneute Schleife über das Oberlandesgericht Hamburg eingeschoben werden.

Kurz vor den Osterfeiertagen erreichte viele Admins eine unangenehme E-Mail: Ihre TLS-Zertifikate, unerlässlich für den Betrieb verschlüsselter Webseiten oder Mailserver, mussten bis Ostermontag zurückgezogen und neu ausgestellt werden. Nun teilte die verantwortliche Zertifizierungsstelle D-Trust mit, dass sie im vergangenen Jahr fast 60.000 Zertifikate ausgestellt hat, die den strengen Vorgaben des zuständigen Standardisierungsgremiums nicht genügten.

Das „CA/Browser Forum“ CA/B verwaltet diese „Baseline Requirements“, nach denen sich jede Zertifizierungsstelle (CA) richten muss, um die existenzsichernde Verankerung in den großen Webbrowsern nicht zu riskieren. Deren Entwickler, allen voran das Team hinter Chrome und Mozilla, sind bei Verstößen nicht zimperlich und greifen bei Bedarf zum Bannhammer. Die Baseline Requirements umfassen neben Vorgaben zur Gültigkeitsdauer und Zertifikatsverwendung auch Richtlinien zur Fehlerprüfung und Berichtspflichten.

Drei Tage zu lang

Seit dem 15. März 2026 gilt etwa: Zertifikate dürfen maximal 200 Tage lang gültig sein. Dennoch stellte D-Trust an diesem Tag mehrere sogenannte „Precertificates“ aus, die drei Tage länger gültig waren. Zunächst als lässliche Sünde eingestuft – Precertificates sind keine für Webserver nutzbaren Zertifikate, sondern so etwas Ähnliches wie ein Versprechen, ein Zertifikat mit identischen Daten auszustellen – ergab sich im Laufe der Diskussion des Vorfalls ein neues Bild.

Plötzlich fragten die gestrengen Prüfer des CA/B, wie D-Trust denn Zertifikate vor der Ausstellung auf Korrektheit überprüfe – was seit 15. März 2025, also bereits über einem Jahr, Pflicht für CAs ist. Das sogenannte „Linting“ soll seitdem Fehler verhindern, die die Sicherheit des TLS-Ökosystems gefährden könnten – und die Konformität mit den Regeln der BR sicherstellen. Mit ZLint und PKILint existieren zwei Werkzeuge fürs Linting, die als Industriestandard gelten – D-Trust hatte jedoch hausgemachte Prüfsysteme und schätzte diese noch Mitte März als ausreichend ein.

Diese Einschätzung revidierten die Berliner jedoch Anfang April nach einer Überprüfung durch einen ungenannten externen Experten. Man sei zu dem Schluss gekommen, dass die bisherige Prüfpraxis nicht der Vorgabe genüge, somit müsse man alle seit Mitte März 2025 ausgestellten Zertifikate zurückziehen, konstatierte D-Trust.

Am 2. April (Gründonnerstag) stellte die zur Bundesdruckerei gehörende CA ihre Prozesse auf ZLint und PKILint um und benachrichtigte ihre Kunden über die bevorstehende Tauschaktion. Bis Ostermontag zog die CA alle betroffenen und noch gültigen Zertifikate zurück, nach heise-Schätzungen mehrere Tausend. Insgesamt stellte D-Trust 57.565 formal ungültige TLS-Zertifikate aus.

Glück im großen Unglück

Denn auch das darf nicht unerwähnt bleiben: Die Nichtkonformität der Zertifikate ist ein rein formaler Verstoß – ein tatsächlicher Schaden, etwa durch betrügerische Zertifikatsvergaben, ist höchstwahrscheinlich nicht entstanden. Dieses Fazit zieht auch D-Trust: „Das Konformitätsproblem trat [..] zutage, bevor weitere Vorfälle passieren konnten.“ Man wolle nun gründlich durchfegen und stelle alle Prozesse und Vorgänge rund um die Zertifikatsvergabe auf den Prüfstand. Und auch das CA/Browser Forum wird den Vorgang wohl nicht auf sich beruhen lassen.

Der österliche Zertifikats-GAU ist eines der Themen in der aktuellen Folge von „Passwort – der Podcast von heise Security“, verfügbar auf allen Podcast-Plattformen.

(cku)

Michael O. Rabin wurde als Sohn des Rabbiners Israel Rabin und der Schriftstellerin Ester Rabin am 1. September 1931 in Breslau geboren. Die Familie wanderte 1935 in das britische Mandatsgebiet für Palästina aus. Sein mathematisches Interesse wurde durch seinen Lehrer Elisha Netanyahu mit der Aufnahme in einen kleinen Kreis interessierter Schüler gefördert. Als er mit 16 Jahren 1948 im israelisch-arabischen Krieg in die Armee eingezogen werden sollte, setzte sich der berühmte Mathematiker Abraham Fraenkel für seine weitere Ausbildung an der Universität ein. 1952 schloss Rabin das Studium mit einer Masterarbeit über ein von Emmy Noether entdecktes Problem ab, was ihm ein Stipendium an der Universität Princeton einbrachte. Dort studierte er zusammen mit Dana Scott bei Alonzo Church, bei dem auch Alan Turing studiert hatte.

Grundlegende Arbeiten

Rabin und Scott wurden im Sommer 1957 von IBM eingeladen und schrieben dort die Arbeit über „Finite Automata and Their Decision Problems“, in der sie sich mit den (heute so genannten) neuronalen Netzwerken von Warren McCulloch und Walter Pitts beschäftigten. 1956 hatte der Logiker Stephen Cole Kleene mit seinem Theorem die Klasse der regulären Sprachen in die Informatik eingeführt und deshalb konnten Rabin und Scott mit ihrer Arbeit über nichtdeterministische Automaten Kleenes Annahmen bestätigen. „Wir hatten eigentlich keinen tieferen philosophischen Grund, diesen Nichtdeterminismus in Betracht zu ziehen, obwohl er, wie wir heute wissen, im Zentrum der P = NP-Frage steht – einem Problem von immenser praktischer und theoretischer Bedeutung. Für uns war das lediglich eine von mehreren Varianten“, sagte Rabin im Interview über seinen Lebensweg, das er seinem Schüler Dennis Shasha gewährte. Im Jahre 1976 bekamen er und Scott für diese Arbeit den Turing Award, was bis heute Gegenstand von angeregten Diskussionen ist.

Nach dieser Episode beschäftigte sich Rabin mit kryptographischen Problemen, angeregt über ein Problem, das ihm John McCarthy gestellt hat: Wie kann ein Spion, der sein Passwort sagt, zuverlässig von einem Wächter erkannt werden, der das Passwort errechnen soll? Die Antwort war der Aufsatz „Probabilistic Algorithm for Testing Primality“ von Rabin. Der Primzahlentest, heute als Miller-Rabin-Test bekannt, liefert nach sechs Tests bei langen Zahlen schnell mit einer Wahrscheinlichkeit von 99,9 Prozent die Antwort auf die Frage, ob eine Zahl eine Primzahl ist und wird deshalb in vielen kryptografischen Anwendungen eingesetzt. Mit seinem Aufsatz „Digitalized Signatures and Public-Key Functions as Intractable as Factorization“ lieferte Rabin 1979 die Grundlagen für das Rabin-Kryptosystem, das im Gegensatz zum Primzahlentest kaum genutzt wird.

Später war Rabin nach jahrelanger Forschung und Lehre an der Hebrew University, deren Rektor er zeitweilig war, ab 1982 wieder bei IBM und gehörte dort bis 1994 zum Science Advisory Committee. 1987 entwickelte er mit Richard M. Karp den Rabin-Karp-Algorithmus, der bei der Suche nach Plagiaten mit einem effizienten Hash-Verfahren aufwartet. Im Interview über seinen Lebensweg schildert er, wie wichtig die Rolle des Zufalls für seine Arbeit gewesen ist. „Das Einwirken von Zufall bei so vielen algorithmischen Problemen ist mir völlig rätselhaft. Es ist effizient, es funktioniert; aber warum und wie, ist mir ein absolutes Rätsel. Algorithmen benötigen in ihrer Reinform eine physikalische Zufallsquelle. Es handelt sich also um eine Art Zusammenarbeit zwischen uns Informatikern und der Natur als Quelle des Zufalls. Das ist einzigartig und wirft einige Fragen in der Physik und Philosophie auf.“

(mho)