Aktenzeichen 2 Ni 22/16 (EP)
Tenor
In der Patentnichtigkeitssache
…
…
betreffend das europäische Patent EP 1 320 012 (DE 602 41 341)
hat der 2. Senat (Nichtigkeitssenat) des Bundespatentgerichts auf Grund der mündlichen Verhandlung vom 7. Juni 2018 unter Mitwirkung des Vorsitzenden Richters Guth sowie der Richterin Hartlieb und der Richter Dipl.-Ing. Baumgardt, Dipl.-Phys. Dr. Forkel und Dipl.-Ing. Hoffmann
für Recht erkannt:
I. Das europäische Patent 1 320 012 wird mit Wirkung für das Hoheitsgebiet der Bundesrepublik Deutschland für nichtig erklärt.
II. Die Beklagte hat die Kosten des Rechtsstreits zu tragen.
III. Das Urteil ist gegen Sicherheitsleistung in Höhe von 120% des jeweils zu vollstreckenden Betrages vorläufig vollstreckbar.
Tatbestand
1
Die Nichtigkeitsklage betrifft das am 11. Dezember 2002 in der Verfahrenssprache Englisch angemeldete, die Prioritäten zweier US-Anmeldungen vom 12. Dezember 2001 und vom 12. Februar 2002 beanspruchende und am 19. Oktober 2011 veröffentlichte europäische Patent EP 1 320 012 B1 (Streitpatent) mit der Bezeichnung „System and method for providing distributed access control to secured items“.
2
Das Streitpatent umfasst 8 Patentansprüche, von denen die Ansprüche 1 und 5 nebengeordnet, die Unteransprüche 2 bis 4 auf den Patentanspruch 1 und die Patentansprüche 6 bis 8 auf den Patentanspruch 5 unmittelbar oder mittelbar rückbezogen sind.
3
Die Ansprüche 1 und 5 des Streitpatents lauten in der Verfahrenssprache Englisch jeweils mit einer Gliederung versehen:
4
Anspruch 1:
5
M1 1. A distributed access control system adapted to restrict access of a user to secured items, said system comprising:
6
M1.1 a central server (500) having a server module (502) adapted to provide overall access control;
7
M1.1.1 wherein the access control, performed by said central server (500), is adapted to operate to permit or deny an access request of the user to the secured items in accordance with access privileges granted to the requesting user and access rules (229) in the secured items;
8
characterized by
9
M1.2 a plurality of local servers (570) coupled to the central server (500), each of said local servers (570) including a local module (572) adapted to provide local access control to a group of designated users;
10
M1.2.1 wherein the access request by the user is processed in a distributed manner by one or more of said local servers (570); and
11
M1.2.2 wherein, when the access request is processed in said local server (570), the requesting user is granted access to the secured items without having to access said central server (500) when the access privileges of the requesting user are permitted by the access rules (229) in the secured items.
12
Anspruch 5:
13
M5
5. A method used in a distributed access control system, the method comprising:
14
M5.1 providing overall access control by a server module (502) in a central server (500);
15
M5.1.1 wherein the access controls, performed by said central server (500) operates to permit or deny an access request to the secured items by a requesting user in accordance with access privileges granted to the requesting user and access rules (229) in the secured items;
16
characterized by
17
M5.2 providing local access control to a group of designated uses by a local module (572) respectively provided in local servers (570), wherein the local servers (670) are coupled to the central server (600);
18
M5.2.1 wherein the access request by the user is processed in a distributed manner by one or more of said local servers (570); and
19
M5.2.2 wherein, when the access request is processed in said local server (570), the requesting user is granted access to the secured items without having to access said central server (500) when the access privileges of the requesting user are permitted by the access rules (229) in the secured items.
20
Hinsichtlich des Wortlauts der weiteren Patentansprüche 2 bis 4 und 6 bis 8 wird auf die Patentschrift verwiesen.
21
Die Beklagte verteidigt das Streitpatent in vollem Umfang und hilfsweise mit den Hilfsanträgen 1 bis 6.
22
Anspruch 1 des Hilfsantrags 1 hat – unter Kenntlichmachung der Unterschiede zum Hauptantrag – folgenden Wortlaut:
23
H1-M1 A distributed access control system adapted to restrict access of a user to secured items
including executable code
, said system comprising:
24
M1.1 a central server (500) having a server module (502) adapted to provide overall access control;
25
M1.1.1 wherein the access control, performed by said central server (500), is adapted to operate to permit or deny an access request of the user to the secured items in accordance with access privileges granted to the requesting user and access rules (229) in the secured items;
26
characterized by
27
M1.2 a plurality of local servers (570) coupled to the central server (500), each of said local servers (570) including a local module (572) adapted to provide local access control to a group of designated users;
28
M1.2.1 wherein the access request by the user is processed in a distributed manner by one or more of said local servers (570); and
29
M1.2.2 wherein, when the access request is processed in said local server (570), the requesting user is granted access to the secured items without having to access said central server (500) when the access privileges of the requesting user are permitted by the access rules (229) in the secured items.
30
Anspruch 1 des Hilfsantrags 2 hat – unter Kenntlichmachung der Unterschiede zum Hauptantrag – folgenden Wortlaut:
31
M1 A distributed access control system adapted to restrict access of a user to secured items, said system comprising:
32
H2-M1.1 a central server (500) having a server module (502) adapted to provide overall access control
, wherein the server module in the central server maintains a database that includes a list of users and corresponding access privileges
;
33
M1.1.1 wherein the access control, performed by said central server (500), is adapted to operate to permit or deny an access request of the user to the secured items in accordance with access privileges granted to the requesting user and access rules (229) in the secured items;
34
characterized by
35
H2-M1.2 a plurality of local servers (570) coupled to the central server (500), each of said local servers (570) including a local module (572) adapted to provide local access control to a group of designated users
, wherein the local module is a copy or a subset of the server module
;
36
M1.2.1 wherein the access request by the user is processed in a distributed manner by one or more of said local servers (570); and
37
M1.2.2 wherein, when the access request is processed in said local server (570), the requesting user is granted access to the secured items without having to access said central server (500) when the access privileges of the requesting user are permitted by the access rules (229) in the secured items.
38
Anspruch 1 des Hilfsantrags 3 hat – unter Kenntlichmachung der Unterschiede zum Hilfsantrag 2 – folgenden Wortlaut:
39
M1 A distributed access control system adapted to restrict access of a user to secured items, said system comprising:
40
H3-M1.1 a central server (500) having a server module (502) adapted to provide overall access control, wherein the server module in the central server maintains a database that includes a list of users and corresponding access privileges,
wherein the access privileges specify membership in one or more user groups
;
41
M1.1.1 wherein the access control, performed by said central server (500), is adapted to operate to permit or deny an access request of the user to the secured items in accordance with access privileges granted to the requesting user and access rules (229) in the secured items;
42
H2-M1.2 a plurality of local servers (570) coupled to the central server (500), each of said local servers (570) including a local module (572) adapted to provide local access control to a group of designated users, wherein the local module is a copy or a subset of the server module;
43
M1.2.1 wherein the access request by the user is processed in a distributed manner by one or more of said local servers (570); and
44
M1.2.2 wherein, when the access request is processed in said local server (570), the requesting user is granted access to the secured items without having to access said central server (500) when the access privileges of the requesting user are permitted by the access rules (229) in the secured items.
45
Anspruch 1 des Hilfsantrags 4 hat – unter Kenntlichmachung der Unterschiede zum Hilfsantrag 3 – folgenden Wortlaut:
46
M1 A distributed access control system adapted to restrict access of a user to secured items, said system comprising:
47
H4-M1.0
a user authentication process (600) for authenticating the user before being able to access secured items;
48
H3-M1.1 a central server (500) having a server module (502) adapted to provide overall access control, wherein the server module in the central server maintains a database that includes a list of users and corresponding access privileges, wherein the access privileges specify membership in one or more user groups;
49
M1.1.1 wherein the access control, performed by said central server (500), is adapted to operate to permit or deny an access request of the user to the secured items in accordance with access privileges granted to the requesting user and access rules (229) in the secured items;
50
H2-M1.2 a plurality of local servers (570) coupled to the central server (500), each of said local servers (570) including a local module (572) adapted to provide local access control to a group of designated users, wherein the local module is a copy or a subset of the server module;
51
M1.2.1 wherein the access request by the user is processed in a distributed manner by one or more of said local servers (570); and
52
M1.2.2 wherein, when the access request is processed in said local server (570), the requesting user is granted access to the secured items without having to access said central server (500) when the access privileges of the requesting user are permitted by the access rules (229) in the secured items.
53
Anspruch 1 des Hilfsantrags 5 hat – unter Kenntlichmachung der Unterschiede zum Hilfsantrag 4 – folgenden Wortlaut:
54
H1-M1 A distributed access control system adapted to restrict access of a user to secured items
including executable code
, said system comprising:
55
H4-M1.0 a user authentication process (600) for authenticating the user before being able to access secured items;
56
H3-M1.1 a central server (500) having a server module (502) adapted to provide overall access control, wherein the server module in the central server maintains a database that includes a list of users and corresponding access privileges, wherein the access privileges specify membership in one or more user groups;
57
M1.1.1 wherein the access control, performed by said central server (500), is adapted to operate to permit or deny an access request of the user to the secured items in accordance with access privileges granted to the requesting user and access rules (229) in the secured items;
58
H2-M1.2 a plurality of local servers (570) coupled to the central server (500), each of said local servers (570) including a local module (572) adapted to provide local access control to a group of designated users, wherein the local module is a copy or a subset of the server module;
59
M1.2.1 wherein the access request by the user is processed in a distributed manner by one or more of said local servers (570); and
60
M1.2.2 wherein, when the access request is processed in said local server (570), the requesting user is granted access to the secured items without having to access said central server (500) when the access privileges of the requesting user are permitted by the access rules (229) in the secured items.
61
Anspruch 1 des Hilfsantrags 6 hat – unter Kenntlichmachung der Unterschiede zum Hilfsantrag 5 – folgenden Wortlaut:
62
H1-M1 A distributed access control system adapted to restrict access of a user to secured items including executable code, said system comprising:
63
H4-M1.0 a user authentication process (600) for authenticating the user before being able to access secured items;
64
H2-M1.1 a central server (500) having a server module (502) adapted to provide overall access control, wherein the server module in the central server maintains a database that includes a list of users and corresponding access privileges, wherein the access privileges specify membership in one or more user groups;
65
M1.1.1 wherein the access control, performed by said central server (500), is adapted to operate to permit or deny an access request of the user to the secured items in accordance with access privileges granted to the requesting user and access rules (229) in the secured items;
66
H2-M1.2 a plurality of local servers (570) coupled to the central server (500), each of said local servers (570) including a local module (572) adapted to provide local access control to a group of designated users, wherein the local module is a copy or a subset of the server module;
67
M1.2.1 wherein the access request by the user is processed in a distributed manner by one or more of said local servers (570); and
68
M1.2.2 wherein, when the access request is processed in said local server (570), the requesting user is granted access to the secured items without having to access said central server (500) when the access privileges of the requesting user are permitted by the access rules (229) in the secured items.
69
Die Klägerin begründet die Klage mit dem Nichtigkeitsgrund der fehlenden Patentfähigkeit, insbesondere der fehlenden Neuheit. Schriftsätzlich hat die Klägerin die weiteren Nichtigkeitsgründe der mangelnden Ausführbarkeit und der unzulässigen Erweiterung hinsichtlich der Hilfsanträge geltend gemacht.
70
Sie stützt ihr Vorbringen auf die nachstehend genannten Dokumente
71
NK6
US 5 495 533 A
NK7
US 6 064 656 A
NK8, 8a, 8d
BEA WebLogic Server
NK9
US 2001 / 7 133 A1
NK10
EP 0 672 991 A2
NK11
US 5 933 498 A
NK12
EP 0 447 339 A2
72
sowie
73
NK6b – STEINER, J.G. et al.: Kerberos: An Authentication Service For Open Network Systems. In: Usenix Conference Proceedings, Februar 1988, pp. 191 – 202
74
NK13 – Gutachten Prof. Dr. R…
75
NK15 – SINHA, Pradeep K.: Distributed Operating Systems, Concepts and Design. IEEE Press, 1997 (Auszüge)
76
NK16 – Windows NT 3.5 Guidelines for Security, Audit, and Control. Microsoft Press, 1994 (Auszüge)
77
NK17 – Internet Security Glossary RFC 2828, Mai 2000, page 94
78
NK18 – SPANIOL, O.: Sicherheit in Kommunikationsnetzen. Skript zur Vorlesung an der RWTH Aachen, korrigierte erste Fassung, 14. Juli 2000, Kapitel 7: Kerberos
79
NK19 – The Kerberos Network Authentication Service (V5), Network Working Group, Protokoll RFC 1510, September 1993, pp. 1 – 47
80
In Ergänzung seines ersten Hinweises hat der Senat mit weiterem Hinweis die folgenden beiden Druckschriften als Beleg für das Fachwissen des Durchschnittsfachmanns in das Verfahren eingeführt:
81
D1 NK6 Reference 8: Steiner, J.G. et al.: Kerberos: An Authentication Service For Open Network Systems, Usenix Conference Proceedings, pp. 183 – 190, February 1988 (erwähnt in NK6 Sp. 4 Z. 5 – 8)
82
D2 Security Model von Windows NT, zitiert aus US 6 308 274 B1 Sp. 4 Z. 29 ff. und Figur 2, Figur 3.
83
Die Klägerin ist der Ansicht, das Streitpatent sei nicht patentfähig, weil die Druckschriften NK6, NK7, NK8, NK9 und NK10 sämtliche Merkmale der Ansprüche 1 und 5 neuheitsschädlich vorwegnähmen oder weil die Ansprüche jedenfalls ausgehend von den Entgegenhaltungen NK7, NK11 mit NK6 bzw. NK7 und von NK12 in Verbindung mit NK6 nahegelegt seien. Die zusätzlichen Merkmale der Unteransprüche seien vom Stand der Technik gemäß NK9, NK7 sowie NK6 bis NK11 vorweggenommen oder durch diesen nahegelegt. Die vom Senat eingeführten Entgegenhaltungen D1 und D2 beinhalteten zum Prioritätszeitpunkt des Streitpatents bereits allgemein bekanntes Fachwissen, wie auch etwa die Unterlagen NK15 und NK6 sowie NB5, NK17 und NB7, NK18 zeigten.
84
Der Gegenstand von Hilfsantrag 1 sei nicht neu, gegenüber NK6 bis NK10 und ausgehend von NK11 nahegelegt. Die Ansprüche 1 und 3 gemäß Hilfsantrag 2 seien nicht ausführbar, unklar, gegenüber NK6 nicht neu bzw. beruhten ausgehend von NK6 in Verbindung mit D1 oder NK6 in Verbindung mit D2 ergänzt durch NK16 nicht auf erfinderischer Tätigkeit, ebenso wie ausgehend von NK9.
85
Anspruch 1 gemäß Hilfsantrag 3 sei – auch den Schutzbereich betreffend – unzulässig erweitert, und beruhe nicht auf erfinderischer Tätigkeit gegenüber NK6 in Verbindung mit dem Kerberos-Server gemäß NK15, NK18, NK19 oder auch mit dem Betriebssystem Windows NT gemäß D2. Dies gelte im Wesentlichen auch für die Hilfsanträge 4, 5 und 6.
86
Die Klägerin stellt den Antrag,
87
das europäische Patent 1 320 012 mit Wirkung für das Hoheitsgebiet der Bundesrepublik Deutschland in vollem Umfang für nichtig zu erklären.
88
Die Beklagte stellt den Antrag,
89
die Klage abzuweisen,
90
hilfsweise
91
unter Klageabweisung im Übrigen das europäische Patent 1 320 012 dadurch teilweise für nichtig zu erklären, dass seine Patentansprüche die Fassung eines der Hilfsanträge 1 und 2 vom 20. Oktober 2017, weiter hilfsweise die Fassung eines der Hilfsanträge 3 bis 6 in der Fassung vom 7. Juni 2018, in dieser Reihenfolge, erhalten.
92
Die Beklagte erklärt, dass sie die Patentansprüche nach Hauptantrag und Hilfsanträgen jeweils als geschlossene Anspruchssätze versteht, die jeweils in ihrer Gesamtheit beansprucht werden.
93
Die Beklagte tritt der Argumentation der Klägerin in vollem Umfang und hilfsweise beschränkt mit sechs Hilfsanträgen entgegen.
94
Sie ist der Meinung, die vom Senat eingeführten Entgegenhaltungen D1 und D2 seien als Beleg für allgemeines Fachwissen nicht geeignet. Auch werde der Zeitpunkt der Veröffentlichung der D1 bestritten.
95
Das Streitpatent unterscheide streng zwischen Authentifizierung und Autorisierung.
96
Das streitpatentgemäße Zugangskontrollsystem beruhe – funktional getrennt – einerseits auf Zugangsprivilegien, die die Identitätsfeststellung eines Benutzers beträfen und ausschließlich auf einem zentralen Server hinterlegt seien, sowie andererseits auf Zugangsregeln, die in den gesicherten Elementen hinterlegt seien und die bestimmten, ob ein bestimmter identifizierter Benutzer über bestimmte Zugriffsrechte verfüge. Der zentrale Server sei in der Lage, die Gesamtzugangskontrolle im Hinblick auf den Zugriff auf ein gesichertes Element bereitzustellen und übermittle in diesem Rahmen die Zugangsprivilegien an den lokalen Server.
97
Keine der Entgegenhaltungen zeige eine solche zeitgleiche, zweigeteilte Speicherung der zugriffsrelevanten Informationen an zentraler Stelle und in gesicherten Elementen oder lege diese nahe. Insbesondere offenbare das Kerberos-Ticket der NK6, die auf einem fundamental anderen Sicherungsmechanismus beruhe, nämlich auf einem Archiv zur Verteilung von kryptographischen Schlüsseln, jedenfalls nicht das gleichzeitige Vorhandensein eines anspruchsgemäßen zentralen Servers und gesicherten Elementen mit darin enthaltenen Zugangsregeln als auch das gleichzeitige Vorhandensein von lokalen Servern und gesicherten Elementen und auch nicht designierte Benutzer, die einem lokalen Server zugeordnet sind.
98
Außerdem hätte der Fachmann weder D1 noch D2 zur Lösung der Aufgabe des Streitpatents herangezogen, da dort keine zweigeteilte Speicherung von autorisierungsbezogenen Daten offenbart sei.
99
Jedenfalls aber sei das Streitpatent in der Fassung der zulässigen Hilfsanträge bestandsfähig, deren Lehre ursprünglich offenbart und ausführbar sei. Keine der Entgegenhaltungen offenbare gesicherte Dateien mit einem ausführbaren Code. Eine zweiteilige Speicherung der für die Autorisierung des anfragenden Benutzers benötigten Daten sei ebenfalls nicht im Stand der Technik beschrieben oder durch diesen nahegelegt. Insbesondere handele es sich bei dem der Authentifizierung – der dann eine Autorisierung folgen könne – dienenden „Kerberos-Ticket“ nicht um ein Zugangsprivileg im Sinne des Streitpatents.
100
Hierzu bezieht sie sich auf die folgenden Dokumente:
101
NB2 – Wikipedia: Server
102
NB3 – Internet Security Glossary RFC 2828, Mai 2000, pp. 1 – 18, p. 212
103
NB4 – LI GONG, C.L. et al.: User Authentication and Authorization in the Java Platform. In: Proceedings of the 15th Annual Computer Security Applications Conference, Dezember 1999 (6 Seiten)
104
NB5 – KABAY, M.E.: Identification, Authentication and Authorization on the World Wide Web. ICSA White Paper, 1997, pp. 1 – 33
105
NB6 – PESANTE, Linda: Introduction to Information Security. Carnegie Mellon University, 2008
106
NB7 – SPANIOL, O.: Sicherheit in Kommunikationsnetzen. Skript zur Vorlesung an der RWTH Aachen, korrigierte erste Fassung, 14. Juli 2000, Kapitel 5: Authentifizierungssysteme
107
In der mündlichen Verhandlung hat die Beklagte noch zwei Schaubilder („Handouts“) eingereicht:
108
– „Vorläufiges Verständnis des Senats der NK6“
109
– „NK16: Keine untrennbare Verbindung zwischen Ressourcen und Access Control Lists“
110
Wegen der weiteren Einzelheiten wird auf den Akteninhalt verwiesen.
