← Deutschland

BPatG München 4. Senat, 4 Ni 61/22 (EP)# 4 Ni 41/23 (EP)

JURE239032055 ECLI:DE:BPatG:2025:010925U4Ni61.22EP.0 BPatG München 4. Senat 20250901 4 Ni 61/22 (EP)# 4 Ni 41/23 (EP) Urteil DEU Bundesrepublik Deutschland Hinweis der Dokumentationsstelle des Bundesp

. Im Übrigen werden die Klagen abgewiesen.

I. Die Gerichtskosten des Rechtsstreits tragen die Klägerinnen als Gesamtschuldnerzu25% und die Beklagte zu 75 %. Die außergerichtlichen Kosten der Beklagten tragen die Klägerinnen jeweils zu 12,5 %. Die außergerichtlichen Kosten der Klägerinnen trägt die Beklagte jeweils zu 75 %. Im Übrigen tragen die Parteien ihre außergerichtlichen Kosten selbst. IV. Das Urteil ist gegen Sicherheitsleistung in Höhe von 120 % des jeweils zu vollstreckenden Betrages vorläufig vollstreckbar. 1 Beide Klägerinnen streben die Nichtigerklärung des Streitpatents in vollem Umfang an. 2 Die Beklagte ist Inhaberin des auch mit Wirkung für das Hoheitsgebiet der Bundesrepublik Deutschland erteilten europäischen Patents 2 926 290 (Streitpatent), das am

  1. November 2013 unter Inanspruchnahme der Priorität der britischen Patentanmeldung GB 201221433 vom
  2. November 2012, der US-PatentanmeldungUS 201213706307 vom
  3. Dezember 2012 und der britischen Patentanmeldung GB 201303677 vom
  4. März 2013 angemeldet worden ist. Die Erteilung des Patents istam
  5. Juni 2020 veröffentlicht; das Patent ist in Kraft. 3 Das Streitpatent betrifft ein Verfahren und ein System zur Authentifizierung eines Nutzers an einer Computerressource über eine Mobilvorrichtung. 4 Das in der Verfahrenssprache Englisch veröffentlichte und beim Deutschen Patent- und Markenamt unter dem Aktenzeichen DE 60 2013 069 972.0 geführte Streitpatent trägt die Bezeichnung 5 „A METHOD AND SYSTEM OF PROVIDING AUTHENTICATION OF USER ACCESS TO A COMPUTER RESOURCE VIA A MOBILE DEVICE USING MULTIPLE SEPARATE SECURITY FACTORS“ 6 in deutscher Sprache laut Streitpatentschrift: 7 „Verfahren und System zur Bereitstellung der Authentifizierung des Benutzerzugangs zu einer Computerressource über eine mobile Vorrichtung mit mehreren separaten Sicherheitsfaktoren“ 8 Es umfasst in der erteilten Fassung 15 Patentansprüche mit den nebengeordneten Patentansprüchen 1 und
  6. Die Patentsprüche 2 bis 8 sind mittelbar oder unmittelbar auf den Patentanspruch 1 und die Patentansprüche 10 bis 15 mittelbaroder unmittelbar auf Patentanspruch 9 zurückbezogen. 9 Dienebengeordneten Patentansprüche 1 und 9 haben in der Verfahrenssprache laut Streitpatentschrift den folgenden Wortlaut: 10
  7. A method of authenticating a user to access a computer resource via a mobile device comprising: 11 storing an encrypted resource authorization; 12 transmitting the encrypted resource authorization to at least one separate portable security token device; 13 on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response; 14 securely transmitting the generated unlock response to the mobile device; and 15 providing access via the mobile device to the computer resource if the required unlock response is valid; 16 wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device, and the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. 17
  8. A system for authenticating a user to access a computer resource via a mobile device, the system comprising a mobile device and at least one separate portable security token device, which comprise means for carrying out the method of claim
  9. 18 In deutscher Übersetzung lauten die Patentansprüche 1 und 9 nach der Streitpatentschrift wie folgt: 19
  10. Verfahren zum Authentifizieren eines Benutzers für den Zugriff auf eine Computerressource über eine Mobilvorrichtung, umfassend: 20 Speichern einer verschlüsselten Ressourcenautorisierung; Übertragen der verschlüsselten Ressourcenautorisierung an wenigstens eine getrennte tragbare Sicherheitstoken-Vorrichtung; 21 auf der wenigstens einen getrennten tragbaren Sicherheitstoken-Vorrichtung, Entschlüsseln der verschlüsselten Ressourcenautorisierung und Generieren, wenigstens teilweise daraus, einer Entsperrantwort; 22 sicheres Übertragen der generierten Entsperrantwort an die Mobilvorrichtung; und 23 Gewähren des Zugriffs, über die Mobilvorrichtung, auf die Computerressource, falls die erforderliche Entsperrantwort gültig ist; 24 wobei sich ein Benutzer auf der Mobilvorrichtung oder auf der wenigstens einen getrennten tragbaren Sicherheitstoken-Vorrichtung authentifizieren muss und die Benutzerauthentifizierung auf der wenigstens einen getrennten tragbaren Sicherheitstoken-Vorrichtung validiert wird, bevor die Entsperrantwort gesendet wird. 25
  11. System zum Authentifizieren eines Benutzers für den Zugriff auf eine Computerressource über eine Mobilvorrichtung, wobei das System eine Mobilvorrichtung und wenigstens eine getrennte tragbare Sicherheitstoken-Vorrichtung umfasst, die Mittel zum Ausführen des Verfahrens nach Anspruch 1 umfassen. 26 Die Klägerinnen greifen mit ihren Nichtigkeitsklagen vom
  12. Juni 2022 und
  13. Oktober 2023 das Streitpatent insgesamt an. Die Klägerinnen sind der Ansicht, der Gegenstand des Streitpatents gehe über den Inhalt der Anmeldung in der ursprünglich eingereichten Fassung hinaus, sei nicht so deutlich und vollständig offenbart, dass die Fachperson ihn ausführen könne und sei nicht patentfähig.Sie machen daher übereinstimmend die Nichtigkeitsgründe der unzulässigen Erweiterung, der für die Ausführbarkeit nicht hinreichenden Offenbarung und der fehlenden Patentfähigkeit geltend.Die Beklagte verteidigt ihr Patent in erteilter Fassungen und mit letztlich 36 Hilfsanträgen. 27 Die Klägerinnen stützen ihr Vorbringen auf folgende Dokumente (Nummerierung und Kurzzeichen nach den Schriftsätzen der Klägerinnen): 28 Klägerin zu 1 Klägerin zu 2 Im Weiteren Dokument Veröffentlicht D1 D1 US 2010/0228991 A1 09.09.2010 D2 D2 WO 2013/167 043 A2 14.11.2013 D2a EP 2 919 413 A2 16.09.2015 D3 D3 Anlagenkonvolut hoverkey.com , archiviert Mai 2013 D3a How Hoverkey works 14.05.2013 D3b Logging in with Hoverkey 14.05.2013 D3c Hoverkey SDK Developer Overview 06.12.2012 D3d SDK Tutorial 12.12.2012 D3e Hoverkey loves developers 14.05.2013 D4 D4 Hallsteinsen et al: Using the mobile phone as a security token for unified authentication. In: 2007 2 nd Int. Conf. on Systems and Networks Communications (ICSNC 2007) 09.2007 D4a IEEE Xplore: Bibliograph. Daten / Abstract D5 D5 Clark: Hoverkey adds NFC security to Android apps. 13.02.2013 D6 D6 US 8,302,167 B2 30.10.2012 D7 D7 WO 2008/147457 A1 04.12.2008 D8 D8 DE 10 2009 040 009 A1 14.04.2011 D9 D1 D9 Du Sun et al: A New Design of Wearable Token System for Mobile Device Security. IEEE Transactions on Consumer Electronics, Vol. 54, No. 4, November 2008 11.2008 D10 D2 D10 Corner et al: Protecting File Systems with Transient Authentication. Wireless Networks
  14. – 19.11.2005 11.2005 D11 D4 D11 Nicholson et al: Mobile Device Security Using Transient Authentication. IEEE Transactions on Mobile Computing, Vol. 5, No. 11, November 2006 11.2008 D12 D12 D12 Stanoevska-Slabeva et al: Grid and Cloud Computing, A Business Perspective on Technology and Applications. November 2009, Seiten 47 bis 61 11.2009 D13 D13 Grandison et al: Towards a Formal Definition of a Computing Cloud. IEEE Computer Society, 2010 IEEE 6 th World Congress on Services 2010 D14 D14 Grossman: The Case for Cloud Computing. IT Professional. IEEE Computer Society, Mai 2009 05.2009 D15 D15 Lu: Accessing Cloud through API in a more Secure and Usable Way. In: Proceedings of the 8 th International Workshop on Security in Information Systems (WOSIS-2011), S. 25-38, ISBN: 978-989-8425-61-4 2011 D16 D16 US 2012/0297190 A1 22.11.2012 D17 D17 Sosinsky: Cloud Computing Bible. Wiley, 2011 (Auszug) 2011 D18 D18 US 2010/0266132 A1 21.10.2010 D19 D19 WO 2012/027708 A2 01.03.2012 D20 D20 Ma et al: IRRES: Intrusion-Resilient Remote Email Storage. 2010 IEEE 30 th Int. Conf. on Distributed Computing Systems Workshops ICDCSW 2010, S. 72-76 2010 D3 D21 EP 1 881 664 B1 15.10.2008 D22 D22 Hiltgen et al: Secure Internet banking authentication. IEEE Security & Privacy, Vol. 4, Issue 2, März/April 2006 04.2006 D23 D23 US 2008/0065892 A1 13.03.2008 D24 D24 EP 1 552 661 B1 13.07.2005 D25 D25 US 8 065 718 B2 22.11.2011 D26 D26 Hunter: An Analysis of the Alternatives to Traditional Static Alphanumeric Passwords. Athabasca University, Athabasca, Kanada, Mai 2012 05.2012 D27 D27 EP 1 739 913 A1 27.10.2005 29 Die Klägerin zu 1 beantragt, 30 das europäische Patent 2 926 290 für das Gebiet der Bundesrepublik Deutschland in vollem Umfang für nichtig zu erklären. 31 Die Klägerin zu 2 beantragt, 32 das europäische Patent 2 926 290 für das Gebiet der Bundesrepublik Deutschland in vollem Umfang für nichtig zu erklären. 33 Die Beklagte beantragt, 34 die Klage abzuweisen, 35 hilfsweise, die Klage abzuweisen, 36 soweit sie sich auch gegen eine der Fassungen des Streitpatents nach dem in der mündlichen Verhandlung vom
  15. Oktober 2023 (im Verfahren zum Az.: 4 Ni 61/22 (EP)) eingereichten Hilfsantrag 1 und den mit Schriftsätzen vom
  16. September 2024 sowie
  17. Januar 2025 eingereichten bzw. modifizierten Hilfsanträgen 1 bzw. 2A bis 11 und den in der mündlichen Verhandlung vom
  18. April 2025 eingereichten Hilfsanträgen 3Ea, 3Eb und 12 richten, 37 mit der Maßgabe, dass die Hilfsanträge 1 bzw. 2A bis 11 in der numerischen und darunter in der alphabetischen Reihenfolge geprüft werden sollen und diese Anträge, wie auch die erteilte Fassung des Streitpatents jeweils als geschlossener Anspruchssatz gestellt werden. 38 Die einzeln verteidigten Patentansprüche nach Hilfsantrag 12 sollen nach der neuen Nummerierung in der Reihenfolge 39 Patentanspruch 1, Patentanspruch 2, Patentanspruch 3, Patentanspruch 4, 40 Patentanspruch 5 bezogen auf Patentanspruch 1 und dann auf Patentanspruch 2 (auf die weiteren rückbezogenen Anspruchsfassungen wird verzichtet), 41 Patentanspruch 6 bezogen auf Patentanspruch 1 und dann auf Patentanspruch 2 (auf die weiteren rückbezogenen Anspruchsfassungen wird verzichtet), 42 Patentanspruch 7, 43 Patentanspruch 8 bezogen auf Patentanspruch 1 (auf die weiteren rückbezogenen Anspruchsfassungen wird verzichtet), 44 Patentanspruch 9 bezogen auf Patentanspruch 1 (auf die weiteren rückbezogenen Anspruchsfassungen wird verzichtet), Patentan-spruch 10 bezogen auf Patentanspruch 1 und dann auf Patentanspruch 2, 45 Patentanspruch 11, 46 Patentanspruch 12 bezogen auf Patentanspruch 10 dann auf Patentanspruch 11, 47 Patentanspruch 13 bezogen auf Patentanspruch 10, dann auf Patentanspruch 11 und dann auf Patentanspruch 12, 48 Patentanspruch 14 bezogen auf Patentanspruch 10, dann auf Patentanspruch 11, dann auf Patentanspruch 12 und dann auf Patentanspruch 13, 49 Patentanspruch 15 bezogen auf Patentanspruch 10, dann auch Patentanspruch 11, dann auf Patentanspruch 12, dann auf Patentanspruch 13 und dann auf Patentanspruch 14, 50 geprüft werden und Patentanspruch 16 wird nicht gestellt. 51 Die Beklagte tritt der Argumentation der Klägerinnen entgegen und hält den Gegenstand des Streitpatents für bestandskräftig. Insbesondere die Patentansprüche 1 und 9 seien ursprungsoffenbart, ausführbar offenbart, gegenüber dem vorgelegten Stand der Technik neu und beruhten auch auf einer erfinderischen Tätigkeit. Darüber hinaus sei der Gegenstand des Patentanspruchs 1 wenigstens in einer der verteidigten Fassungen nach den eingereichten Hilfsanträgen 1 bis 11 bzw. den Patentansprüchen nach Hilfsantrag 12 schutzfähig. 52 Patentanspruch 1 in den Fassungen nach den Hilfsanträgen hat die Beklagte gegenüber der erteilten Fassung wie folgt geändert (Änderungen sind durch Unterstreichen bzw. Durchstreichen kenntlich gemacht): 53 Patentanspruch 1 des Hilfsantrags 1 unterscheidet sich von der erteilten Fassung dadurch, dass nach „... storing an encrypted resource authorization ...“ Folgendes aufgenommen ist: 54 “ , wherein the encrypted resource authorization is stored in the cloud and is retrieved from the cloud to the mobile device. ” 55 Patentanspruch 1 des Hilfsantrags 2A hat die Beklagte wie folgt geändert (Änderungen sind durch Unterstreichen bzw. Durchstreichen kenntlich gemacht): 56
  19. A method of authenticating a user to access a computer resource on a remote server via a mobile device comprising: 57 storing an encrypted resource authorization , wherein the encrypted resource authorization is stored in the cloud and is retrieved from the cloud to the mobile device ; 58 transmitting the encrypted resource authorization to at least one separate portable security token device; 59 on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response; 60 securely transmitting the generated unlock response to the mobile device; 61 providing access via the mobile device to the computer resource on the remote server if the required unlock response is valid; 62 wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device , and the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. 63 Patentanspruch 1 des Hilfsantrags 2B hat die Beklagte wie folgt geändert (Änderungen sind durch Unterstreichen bzw. Durchstreichen kenntlich gemacht): 64
  20. A method of authenticating a user to access a n application computer resource on a remote server via a mobile device comprising: 65 storing an encrypted resource authorization , wherein the encrypted resource authorization is stored in the cloud and is retrieved from the cloud to the mobile device ; 66 transmitting the encrypted resource authorization to at least one separate portable security token device; 67 on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response; 68 securely transmitting the generated unlock response to the mobile device; 69 providing access via the mobile device to the application computer resource on the remote server if the required unlock response is valid; 70 wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device , and the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. 71 Patentanspruch 1 des Hilfsantrags 3A hat die Beklagte wie folgt geändert (Änderungen sind durch Unterstreichen bzw. Durchstreichen kenntlich gemacht): 72
  21. A method of authenticating a user to access a computer resource on a remote server via a mobile device comprising: 73 storing an encrypted resource authorization , wherein the encrypted resource authorization is stored in the cloud and is retrieved from the cloud to the mobile device ; 74 transmitting the encrypted resource authorization to at least one separate portable security token device; 75 on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response , wherein generating the unlock response comprises performing a computation on a plain authorization, obtained by decrypting the encrypted resource authorization, and additional information, wherein the computation is a digital signature function ; 76 securely transmitting the generated unlock response to the mobile device; 77 providing access via the mobile device to the computer resource on the remote server if the required unlock response is valid; 78 wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device , and the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. 79 Patentanspruch 1 des Hilfsantrags 3B hat die Beklagte wie folgt geändert (Änderungen sind durch Unterstreichen bzw. Durchstreichen kenntlich gemacht): 80
  22. A method of authenticating a user to access a computer resource via a mobile device comprising: 81 storing an encrypted resource authorization , wherein the encrypted resource authorization is stored in the cloud and is retrieved from the cloud to the mobile device ; 82 transmitting the encrypted resource authorization to at least one separate portable security token device; 83 on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response , wherein generating the unlock response comprises performing a computation on a plain authorization, obtained by decrypting the encrypted resource authorization, and additional information, wherein the computation is a digital signature function ; 84 securely transmitting the generated unlock response to the mobile device; 85 providing access via the mobile device to the computer resource if the required unlock response is valid; 86 wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device , and the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. 87 Patentanspruch 1 des Hilfsantrags 3C hat die Beklagte wie folgt geändert (Änderungen sind durch Unterstreichen bzw. Durchstreichen kenntlich gemacht): 88
  23. A method of authenticating a user to access a computer resource via a mobile device comprising: 89 storing an encrypted resource authorization; 90 transmitting the encrypted resource authorization to at least one separate portable security token device; 91 on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response , wherein generating the unlock response comprises performing a computation on a plain authorization, obtained by decrypting the encrypted resource authorization, and additional information, wherein the computation is a digital signature function ; 92 securely transmitting the generated unlock response to the mobile device; 93 providing access via the mobile device to the computer resource if the required unlock response is valid; 94 wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device , and the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. 95 Patentanspruch 1 des Hilfsantrags 3D hat die Beklagte wie folgt geändert (Änderungen sind durch Unterstreichen bzw. Durchstreichen kenntlich gemacht): 96
  24. A method of authenticating a user to access a computer resource on a remote server via a mobile device comprising: 97 storing an encrypted resource authorization; 98 transmitting the encrypted resource authorization to at least one separate portable security token device; 99 on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response , wherein generating the unlock response comprises performing a computation on a plain authorization, obtained by decrypting the encrypted resource authorization, and additional information, wherein the computation is a digital signature function ; 100 securely transmitting the generated unlock response to the mobile device; 101 providing access via the mobile device to the computer resource on the remote server if the required unlock response is valid; 102 wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device, and the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. 103 Patentanspruch 1 des Hilfsantrags 3E hat die Beklagte wie folgt geändert (Änderungen sind durch Unterstreichen bzw. Durchstreichen kenntlich gemacht): 104
  25. A method of authenticating a user to access a computer resource on a remote server via a mobile device comprising: 105 storing an encrypted resource authorization; 106 transmitting the encrypted resource authorization to at least one separate portable security token device; 107 on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response , wherein generating the unlock response comprises performing a computation on a plain authorization, wherein the plain authorization is a private signing key obtained by decrypting the encrypted resource authorization, and additional information, wherein the computation is a digital signature function ; 108 securely transmitting the generated unlock response to the mobile device; 109 providing access via the mobile device to the computer resource on the remote server if the required unlock response is valid; 110 wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device, and the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. 111 Patentanspruch 1 des Hilfsantrags 3Ea unterscheidet sich von Hilfsantrag 3E dadurch, dass nach „... wherein the computation is a digital signature function ...“ Folgendes aufgenommen ist: 112 “, and wherein the plain authorization is not included in the unlock response”. 113 Patentanspruch 1 des Hilfsantrags 3Eb unterscheidet sich von Hilfsantrag 3E dadurch, dass Folgendes geändert ist: 114 In dem Teilsatz “on the at least one separate portable security token device, decrypting the encrypted resource authorization” ist nach “decrypting” eingefügt “and verifying” und 115 in dem Teilsatz “wherein the plain authorization is a private signing key obtained by decrypting the encrypted resource authorization, and additional information;” “additional information” ersetzt ist durch “additional information including a hash of a massage” und der Teilsatz ergänzt ist um den Zusatz “, and wherein the plain authorization is not included in the unlock response”. 116 Zum Wortlaut von Hilfsantrag3F wird auf den Urteilstenor Bezug genommen. Hinsichtlich des Wortlauts der weiteren Patentansprüche in den zuvor genannten Hilfsanträgen sowie den Patentansprüchen nach den weiteren Hilfsanträgen wird auf die Akte verwiesen. 117 Die Klägerinnen treten auch den Hilfsanträgen entgegen und sehen die Gegenstände nach den Patentansprüchen in der Fassung der jeweiligen Hilfsanträge als nicht klar, unzulässig erweitert, nicht ausführbar, nicht neu bzw. nicht erfinderisch an. Zudem rügen sie die Stellung der Hilfsanträge 3E und 3F erst mit Schriftsatz vom
  26. Januar 2025 und der Hilfsanträge 3Ea,3Eb und 12 erstmals in der mündlichen Verhandlung vom
  27. April 2025 als verspätet. 118 Der Senat hat den Parteien im Verfahren mit dem Az.: 4 Ni 61/22 (EP) einen qualifizierten Hinweis vom
  28. Januar 2023, ergänzt mit Hinweis vom
  29. Juli 2024, und im Verfahren mit dem Az.: 4 Ni 41/23 (EP) einen Hinweis vom
  30. Juli 2024 zugeleitet und hierin Fristen (letztere jeweils verlängert bis zum
  31. Januar 2025) zur Stellungnahme gesetzt. 119 Wegen der weiteren Einzelheiten des Sach- und Streitstands wird auf die zwischen den Parteien gewechselten Schriftsätze nebst Anlagen, das Protokoll der mündlichen Verhandlung vom
  32. April 2025 sowie den weiteren Akteninhalt Bezug genommen. A. 120 Die zulässigen Klagen haben in der Sache nur teilweise Erfolg, und zwar hinsichtlich der erteilten Fassung des Streitpatents sowie hinsichtlich der jeweiligen Fassung nach den Hilfsanträgen 1, 2A, 2B, 3A, 3B, 3C, 3D, 3E, 3Ea und 3Eb. Denn insoweit ist der Nichtigkeitsgrund der mangelnden Patentfähigkeit gemäß Art.

§ 6Abs. 1 Nr. 1 Int

PatÜG, Art. 138 Abs. 1 Buchst. a) EPÜ i. V. m. Art. 52, 56 EPÜ bzw. der unzulässigen Erweiterung Art.

§ 6Abs. 1 Nr. 3 Int

PatÜG, Art. 138 Abs. 1 Buchst. c) EPÜ gegeben. 121 In der Fassung nach dem Hilfsantrag 3F erweist sich das Patent hingegen als schutzfähig, so dass die Klagen, soweit sie sich auch gegen diese Fassung richten, abzuweisen sind. Auf die Frage, ob das Streitpatent auch in der Fassung nach den weiteren Hilfsanträgen Bestand hätte, kommt es bei dieser Sachlage nicht mehr an. 122 I. Gegenstand des Streitpatents, Aufgabe, Fachperson, Merkmalsgliederung und Auslegung 123

  1. Das Streitpatent betrifft ein Verfahren und ein System zum Authentifizieren eines Nutzers gegenüber einer Computerressource, auf die über ein mobiles Gerät zugegriffen wird, unter Verwendung eines tragbaren Sicherheitstokens (beispielsweise einer kontaktlosen Smartcard oder eines Armbands), zusammen mit einem Geheimnis, an das sich der Benutzer leicht erinnern kann (z. B. ein PIN-Code). Dieses Geheimnis stellt einen zweiten, separaten, vorzugsweise unabhängigen Sicherheitsfaktor bereit, der die Computerressource schützen kann, selbst wenn der tragbare Sicherheitstoken und das mobile Gerät zusammen verloren gehen oder gestohlen werden(vgl. Streitpatentschrift, Absatz 0001). 124 Das Streitpatent geht von bekannten Systemen zur Authentifizierung eines Nutzers aus, welche einfache Passwörter oder PINs verwenden. Ein ideales Passwort müsse einerseits lang und schwer vorherzusagen, andererseits jedoch leicht zu merken sein. Dieser Widerspruch verstärke sich bei einer Vielzahl von Anwendungen (Apps) mit unterschiedlichen Passwörtern. Außerdem wollten einige Nutzer zusätzlich zum Zugriff auf Anwendungen ein hohes Maß an Sicherheit für Daten auf ihrem Gerät gewährleistet haben. Das könne durch eine Verschlüsselung auf Ebene des mobilen Betriebssystems erreicht werden, bei dem ein kryptographischer Schlüssel aus dem Entsperrpasswort des Geräts abgeleitet werde. Auch hierbei sei die Verwendung eines langen und komplexen Passworts sehr unbequem für den Nutzer (Absätze 0003 - 0007). 125 Ferner seien verschiedene Verfahren bekannt, die einen tragbaren physischen Token für ein zusätzliches Maß an Sicherheit verwendeten. Die Mobilvorrichtung ( mobile device ) überprüfe fortlaufend, ob sich der Token in der Nähe der Mobilvorrichtung befinde. Ein solches System habe den Nachteil, dass die häufige Kommunikation zwischen Mobilvorrichtung und Token leicht abgefangen und analysiert werden könne. Zudem könne ein Dieb die Mobilvorrichtung weiter nutzen, wenn er sich in der Nähe des Tokens aufhalte oder diesen gemeinsam mit der Mobilvorrichtung entwende (Absätze 0007 - 0009). 126 Aus der Patentanmeldung US 2011/0212707 A1 sei eine generische Authentifizierungslösung mit einem zusätzlichen Token bekannt, der einem Mobiltelefon einen asymmetrischen Schlüssel bereitstelle, den das Mobiltelefon zum Erstellen einer digitalen Signatur verwende, mit dem sich das Mobiltelefon bei einem außenstehenden Dienstanbieter authentifiziere. Bei Verlust eines solchen Tokens seien die darauf gespeicherten Anmeldedaten gefährdet. Die Verwendung des Tokens sei aus verschiedenen Gründen äußerst aufwendig und nicht mit bestehenden Anwendungen möglich (Absätze 0010, 0011). 127 Ein weiterer Ansatz zur Mehrfach-Faktor-Authentifizierung sei aus der Patentanmeldung US 2008/0289030 A1 bekannt. Die Authentifizierungslösung verwende einen kontaktlosen Token, der nach der Validierung den Zugriff auf die auf der Mobilvorrichtung gespeicherten Authentifizierungsdaten ermögliche. Dies setze die Verwendung eines sicheren Speichers in der Mobilvorrichtung voraus, der aber in der Regel vom Hersteller der Mobilvorrichtung oder dem Anbieter des Betriebssystems kontrolliert werde und Anwendungsentwicklern in der Regel nicht zur Verfügung stehe. Zudem könnten RFID-Tokens von jedem kompatiblen Lesegerät gelesen und einfach geklont werden (Absätze 0012, 0013). 128 Ein weiterer Ansatz sei in der Patentanmeldung WO 2011/089423 A1 beschrieben. Dabei erlaube das Vorhandensein eines kontaktlosen Tokens den Zugriff auf eine gesicherte Funktion oder Anwendung. Wesentlicher Nachteil sei, dass eine logische Kontrolle verwendet werde, die leicht zu umgehen sei (Absätze 0014, 0015). 129 Im Allgemeinen sieht das Streitpatent insbesondere im Unternehmensumfeld ein erhebliches Sicherheitsrisiko, wenn Benutzern das Verbinden von Mobilvorrichtungen mit dem Netzwerk des Unternehmens erlaubt werde. Dadurch steige die Wahrscheinlichkeit eines unbefugten Datenzugriffs – der zu einem Verlust der Vertraulichkeit und/oder Integrität der Daten führe – aufgrund von beispielsweise versehentlich (z. B. durch Über-die-Schulter-Schauen)offengelegten Passcodes wie PINs oder alphanumerischen Codes oder leicht zu erratenden Passcodes oder verlorenen oder gestohlenen Geräten oder nicht überwachten Geräten von Drittanbietern (Absatz 0016). 130 Durch die Ausführungsformen des beanspruchten Systems sollen Lösungen bereitgestellt werden, um diesen Gefahren entgegenzuwirken. Der Nutzer könne einen kryptographischen Hauptschlüssel ( master key ) mit hoher kryptographischer Stärke (128 Bit oder mehr) auf dem tragbaren Sicherheitstoken speichern und dieser Schlüssel könne verwendet werden, um entweder direkt den Datenverschlüsselungsschlüssel einer Anwendung oder ein langes und komplexes Passwort zu schützen, aus dem ein ausreichend langer und sicherer Verschlüsselungsschlüssel abgeleitet werden kann. Dies erlaube dem Nutzer, jegliche Daten auf der Mobilvorrichtung mit einer starken Verschlüsselung zu schützen, ohne dass ein Angreifer diese ohne Besitz des zugehörigen Tokens entschlüsseln könne (Absatz 0017). Der Token werde zusammen mit einem Geheimnis, z. B. einem PIN-Code, verwendet, das der Nutzer sich leicht merken könne (Absatz 0001). 131
  2. Dem Streitpatent liege daher die Aufgabe zugrunde, ein Verfahren und ein System zum Authentifizieren eines Benutzers gegenüber einer Computerressource anzugeben, auf die über eine Mobilvorrichtung zugegriffen wird, unter Verwendung eines tragbaren Sicherheitstokens (z. B. einer kontaktlosen Chipkarte oder eines Armbands), zusammen mit einem Geheimnis, das sich der Benutzer leicht merken kann (z. B. einem PIN-Code) (vgl. Absätze 0001, 0016). 132
  3. Die maßgebliche Fachperson zur Bearbeitung dieser Aufgabe verfügt über einen Fachhochschulabschluss der Fachrichtung Informatik und mehrjähriger Berufserfahrung im Bereich der Implementierung von Zugriffs- und Authentifizierungsverfahren in Computersystemen. 133
  4. Die vom Streitpatent vorgeschlagene Lösung der Aufgabe nach Patentanspruch 1 lässt sich auf der Grundlage der von den Parteien vorgeschlagenen Merkmalsgliederung wie folgt gliedern: 134 1 in der Verfahrenssprache Englisch Übersetzung gemäß Streitpatent 1.1 A method of authenticating a user to access a computer resource via a mobile device comprising: Verfahren zum Authentifizieren eines Benutzers für den Zugriff auf eine Computerressource über eine Mobilvorrichtung, umfassend: 1.2 storing an encrypted resource authorization; Speichern einer verschlüsselten Ressourcenautorisierung; 1.3 transmitting the encrypted resource authorization to at least one separate portable security token device; Übertragen der verschlüsselten Ressourcenautorisierung an wenigstens eine getrennte tragbare Sicherheitstoken-Vorrichtung; 1.4 on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response; auf der wenigstens einen getrennten tragbaren Sicherheitstoken-Vorrichtung, Entschlüsseln der verschlüsselten Ressourcenautorisierung und Generieren, wenigstens teilweise daraus, einer Entsperrantwort; 1.5 securely transmitting the generated unlock response to the mobile device; and sicheres Übertragen der generierten Entsperrantwort an die Mobilvorrichtung; und 1.6 providing access via the mobile device to the computer resource if the required unlock response is valid; Gewähren des Zugriffs, über die Mobilvorrichtung, auf die Computerressource, falls die erforderliche Entsperrantwort gültig ist; 1.7 wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device, and wobei sich ein Benutzer auf der Mobilvorrichtung oder auf der wenigstens einen getrennten tragbaren Sicherheitstoken-Vorrichtung authentifizieren muss und 1.8 the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. die Benutzerauthentifizierung auf der wenigstens einen getrennten tragbaren Sicherheitstoken-Vorrichtung validiert wird, bevor die Entsperrantwort gesendet wird. 135 Der Patentanspruch 9 lässt sich danach wie folgt gliedern: 136 9 in der Verfahrenssprache Englisch Übersetzung gemäß Streitpatent A system for authenticating a user to access a computer resource via a mobile device, System zum Authentifizieren eines Benutzers für den Zugriff auf eine Computerressource über eine Mobilvorrichtung, the system comprising a mobile device and at least one separate portable security token device, wobei das System eine Mobilvorrichtung und wenigstens eine getrennte tragbare Sicherheitstoken-Vorrichtung umfasst, which comprise means for carrying out the method of claim
  5. die Mittel zum Ausführen des Verfahrens nach Anspruch 1 umfassen. 137
  6. Die Fachperson versteht die Lehre des Streitpatents und die Merkmale der sich im Wesentlichen entsprechendennebengeordneten Ansprüche, Verfahrensanspruch 1und Systemanspruch 9,wie folgt: 138 5.1 Gegenstand des Verfahrens gemäß Patentanspruch 1 ist nach Merkmal 1.1 das Authentifizieren eines Benutzers für den Zugriff auf eine Computerressource über eine Mobilvorrichtung ( A method of authenticating a user to access a computer resource via a mobile device ). 139 Nach den Angaben in der Beschreibung kann die Computerressource auf der Mobilvorrichtung oder auf einem entfernten Server angeordnet sein (vgl. Streitpatentschrift, Abs. 0002: … user access to a computer resource on the mobile device and secondly on a remote server ; Abs. 0042: The resource may comprise data, or an application running or stored on the mobile device ; sowie Abs. 0023, 0049). Aber auch ausgehend von einer Computerressource auf der Mobilvorrichtung liest die Fachperson mit, dass sich jedenfalls ein Teil der Computerressource auf einem externen Server befinden kann, denn Anwendungen ( app / application ) speichern regelmäßig einen Teil ihrer Daten nicht auf den Mobilvorrichtungen, sondern auf einem Server (vgl. auch Abs. 0066: mobile apps and web apps ; Abs. 0068: application server ). 140 In beiden Fällen erfolgt gemäß Merkmal 1.1 der Zugriff auf die Computerressource durch den Nutzer über die Mobilvorrichtung ( via a mobile device ). Diese Formulierung versteht die Fachperson so, dass der Zugriff auf die Computerressource unter Verwendung der Mobilvorrichtung erfolgt. Sie stellt jedoch keine Beschränkung des Anspruchs auf Computerressourcen dar, die ausschließlich außerhalb der Mobilvorrichtung vorliegen. 141 Der Begriff „Computerressource“ (computer resource) selbst ist im Streitpatent nicht definiert. Der Beschreibung einer Ausführungsform in Absatz 0001 und weiteren Ausführungsbeispielen entnimmt die Fachperson, dass das Streitpatent unter den zu schützenden Ressourcen ganz allgemein Anwendungen und gespeicherte Daten versteht, auf die unter Verwendung einer Mobilvorrichtung zugegriffen werden kann (vgl. Abs. 0001: A preferred embodiment relates to providing data protection and secure access to applications and stored data accessed via a mobile device …; sowie Abs. 0042: The resource may comprise data, or an application running or stored on the mobile device ; und Abs. 0085: At the minimum, a suitable service preferably supports the following functions: … Storage of arbitrary data on the server in an arbitrarily named file and directory ). Das beanspruchte System und Verfahren soll den Schutz jeglicher Art von Daten unter Verwendung eines starken Schlüssels ermöglichen (vgl. Abs. 0017: This allows the user to protect any data stored on the device with a very strong encryption key .). 142 Vom Zugriff auf die Computerressource zu unterscheiden ist die zusätzlich – vor dem zu erlaubenden Zugriff ( access ) auf die Computerressource – durchzuführende Authentifizierung des Nutzers. Hierfür muss der Nutzer gemäß Merkmal 1.7 entweder an der Mobilvorrichtung ( on the mobile device ) oder an der separaten, tragbaren Sicherheitstoken-Vorrichtung ( on the … token device ) eine Eingabe vornehmen. 143 Bei der Mobilvorrichtung kann es sich um ein beliebiges mobiles Gerät handeln, das geeignet ist, die erforderlichen Funktionen gemäß den vorliegenden Patentansprüchen (in Verbindung mit dem Token) auszuführen. Als Beispiele für Mobilvorrichtungen sind u. a. Mobiltelefone, Tablets, Laptops, Smartphones und Smart Watches genannt (vgl. Abs. 0048). 144 Merkmal 1.2 sieht vor, dass eine verschlüsselte Ressourcenautorisierung ( encrypted resource authorization ) gespeichert wird. Das Streitpatent nennt als Beispiele für eine Autorisierung ein Passwort, eine PIN, einen kryptographischen Schlüssel oder eine biometrische Information (vgl. Abs. 0027, 0031). Wo die Speicherung der verschlüsselten Ressourcenautorisierung erfolgt, ist im Anspruch 1 nicht festgelegt (s. u.); die Fachperson erkennt allerdings, dass eine Speicherung auf der tragbaren Sicherheitstoken-Vorrichtung ( portable security token device ) ausscheidet, da die verschlüsselte Ressourcenautorisierung erst im Verfahrensablauf mit Merkmal 1.3 zur Entschlüsselung an diese übertragen wird (vgl. auch Abs. 0047, 0062). Dabei ist zwischen der (verschlüsselten) Ressourcenautorisierung ( encrypted resource authorization ) und dem Schlüssel zu deren Entschlüsselung ( Password Encryption Key (PEK) ) (vgl. Abs. 0034, 0093, 0100, 0134) durch den Token zu unterscheiden (vgl. Abs. 0036). Dieser Schlüssel zum Entschlüsseln der verschlüsselten Ressourcenautorisierung ist auf dem Token gespeichert (vgl. Abs. 0132: ... never leave the applet (nor the physical token) ), bspw. als Teil der dort jeweils gespeicherten „ user credentials “ (vgl. Abs. 0029, 0034, 0036). Durch das Speichern der verschlüsselten Ressourcenautorisierung außerhalb des Tokens, bspw. auf der Mobilvorrichtung (vgl. Abs. 0036: encrypted authorization stored on the mobile device ) soll sichergestellt werden, dass allein der Besitz des Tokens oder allein die Kenntnis der verschlüsselten Ressourcenautorisierung jeweils nicht ausreicht, um auf die Computerressource zugreifen zu können (vgl. Abs. 0036: …can be decrypted solely with the corresponding user credentials stored on the token ). 145 Die Speicherung der verschlüsselten Ressourcenautorisierung versteht die Fachperson als ein Bereithalten für deren spätere oder wiederholte Nutzung. Keine Speicherung im Sinne des Streitpatents stellt dagegen dar, wenn die verschlüsselte Ressourcenautorisierung im Rahmen einer Verarbeitung oder Übertragung – technisch bedingt – kurzzeitig in einem lokalen Speicher gehalten werden muss, bspw. während der Entschlüsselung auf dem Token nach Merkmal 1.4 oder in der Mobilvorrichtung während der Übertragung von einem Cloudspeicher über die Mobilvorrichtung zum Token (vgl. Abs. 0114, Schritte 3 und 5). 146 Die verschlüsselte Ressourcenautorisierung wird gemäß Merkmal 1.3 an wenigstens eine separate tragbare Sicherheitstoken-Vorrichtung ( separate portable security token device ) übertragen. 147 Bei der Sicherheitstoken-Vorrichtung (im Folgenden kurz: Token) handelt es sich um ein beliebiges tragbares bzw. mobiles Gerät, das einen Speicher und ein Betriebssystem ( executable system ) aufweist, das geeignet ist, die erforderlichen Kommunikations- und kryptografischen Funktionen auszuführen. Als Beispiele nennt das Streitpatent unter anderem Mobiltelefone, Tablets, Laptops, Smartphones, aber auch Smartcards (vgl. Abs. 0048, 0065). Aus der Bezeichnung als separater tragbarer Token folgt, dass dieser nicht Bestandteil der Mobilvorrichtung ( mobile device ) ist, über die der Zugriff auf die Computerressource erfolgt, bzw. diese Mobilvorrichtung nicht zugleich als Token dient. Ausgehend von den vorgenannten Beispielen gibt es keinen Hinweis darauf, dass ein anspruchsgemäßer Token aus mehreren Vorrichtungen besteht, bspw. ein (externes) Kartenlesegerät für Smartcards als „Teil“ des Tokens und nicht als Teil der Mobilvorrichtung angesehen wird, auch wenn dies im Streitpatent nicht explizit ausgeschlossen ist. 148 Der Patentanspruch legt auch in Merkmal 1.3 nicht fest, wo die verschlüsselte Ressourcenautorisierung ( encrypted resource authorization ) gespeichert ist (vgl. Merkmal 1.2). Damit ist in Anspruch 1 umfasst, dass die Speicherung lokal auf der Mobilvorrichtung (vgl. Abs. 0036) oder in einem externen Gerät (Server, Cloud) erfolgt. Anspruch 1 umfasst damit auch, dass die verschlüsselte Ressourcenautorisierung erst von der Mobilvorrichtung aus der Cloud – also von einem externen Server – abgerufen wird und von dieser an den Token übertragen wird, wie dies bspw. das Ausführungsbeispiel nach Figur 6der Streitpatentschrift vorsieht (vgl. Abs. 0114, Schritte 3 und 5): Abbildung in Originalgröße in neuem Fenster öffnen 149 In Anspruch 1 bleibt auch offen, wodurch die Übertragung der verschlüsselten Ressourcenautorisierung ( encrypted resource authorization ) an den Token ausgelöst wird. 150 Zur Bedeutung des möglichen Übertragens der verschlüsselten Ressourcenautorisierung an mehr als einen Token (Merkmal 1.3: to at least one … token device ) sind dem Streitpatent keine näheren Angaben zu entnehmen. Vielmehr sind die Verfahrensabläufe im Streitpatent lediglich unter Verwendung einer Mobilvorrichtung zusammen mit nur einem einzelnen Token beschrieben ( Each mobile device may only be paired with one token; vgl. Abs. 0077). 151 Auf der wenigstens einen separaten tragbaren Sicherheitstoken-Vorrichtung erfolgt gemäß Merkmal 1.4 ein Entschlüsseln der verschlüsselten Ressourcenautorisierung ( decrypting encrypted resource authorization ) und – wenigstens teilweise daraus – ein Generieren einer Entsperrantwort ( unlock response ). 152 Bei der Entsperrantwort kann es sich um die entschlüsselte Ressourcenautorisierung selbst handeln, die im Streitpatent als „ plain authorization “ bezeichnet wird (vgl. Abs. 0025). Sie kann aber auch auf weiteren Berechnungen ausgehend von der entschlüsselten Ressourcenautorisierung, ggf. unter Verwendung weiterer, Token-basierter Daten beruhen, wie bspw. eine digitale Signatur, eine Schlüsselableitung oder eine Wiederverschlüsselung (vgl. Abs. 0026). 153 Merkmal 1.5 sieht ein sicheres Übertragen der generierten Entsperrantwort an die Mobilvorrichtung vor. In welcher Weise die Sicherheit der Übertragung gewährleistet wird, geht aus dem Anspruch 1 nicht hervor. Als bevorzugte Implementierung der Kommunikation zwischen Mobilvorrichtung und Token sieht das Streitpatent NFC oder andere Arten der Funkkommunikation, wie bspw. Bluetooth, vor (vgl. Abs. 0044, 0057, 0059, 0066). Das Streitpatent spricht dabei von einer Ausgestaltung der Implementierung der Kommunikation zwischen Mobilvorrichtung und Token durch jede Art der Kommunikation, die in ausreichender Weise für die Übertragung von Authentifizierungsdaten gesichert werden kann (vgl. Abs. 0058: … communication between the mobile device and the portable token may be implemented using any form of communication that can be sufficiently secured for the transmission of authentication credentials …), und nennt als Beispiele für Kommunikationsformen, die grundsätzlich für eine sichere Kommunikation geeignet sind, unter anderem ein lokales WLAN-Netzwerk, eine „WiFi direct“-Verbindung, eine direkte Verbindung mit USB-Kabel sowie die Verwendung von Kamera oder Mikrofon und Lautsprecher von Mobilvorrichtung und Token (vgl. Abs. 0058). 154 Dem Begriff „sicheres Übertragen“ in Merkmal 1.5 kommt damit eine technische Bedeutung zu. Im Kontext des Streitpatents bedeutet dies, dass eine ausreichend sichere Übertragung der Entsperrantwort gewährleistet werden soll, was die Fachperson zumindest als Verhindern eines direkten Zugriffs durch Dritte bei der Übertragung der Daten versteht. Als Beispiel hierfür sieht Absatz 0028 des Streitpatents vor, dass die Entsperrantwort ( unlock response ) durch einen kryptographischen Schlüssel, bspw. einen Session Key, geschützt werden kann. Eine direkte USB-Verbindung, wie sie beispielgebend in Absatz 0058 genannt ist, wird die Fachperson insoweit als „sicher“ verstehen, als kein direkter externer Zugriff auf diese Kommunikationsverbindung zwischen Token und Mobilvorrichtung erfolgen kann (bspw. kein „Mithören“). 155 Falls die erforderliche Entsperrantwort ( unlock response ) gültig ist, erfolgt gemäß Merkmal 1.6 über die Mobilvorrichtung das Gewähren des Zugriffs auf die Computerressource. Dem Streitpatent ist nicht zu entnehmen, wie der Zugriff erfolgt. Auch findet sich im Streitpatent keine Angabe dazu, wie die Gültigkeit der Entsperrantwort (… if the required unlock response is valid ) festgestellt wird (vgl. auch Abs. 0043, 0059, 0060, 0062, 0063). Die Fachperson versteht dies so, dass keine explizite – d. h. zusätzliche – Überprüfung der Gültigkeit der Entsperrantwort erfolgen muss, sondern die Mobilvorrichtung die an sie übertragene Entsperrantwort unmittelbarverwendet, um auf die Computerressource zugreifen zu können. Wenn die Entsperrantwort nicht gültig ist, z. B. wegen einer Manipulation, wird die Mobilvorrichtung diese Ungültigkeit daran erkennen, dass sie auf die Computerressource nicht zugreifen kann. 156 Entsprechend der Authentifizierung für den Zugriff auf eine Computerressource über die Mobilvorrichtung ( via a mobile device ) nach Merkmal 1.1 erfolgt der Zugriff auf die Computerressource nach Merkmal 1.6 über die Mobilvorrichtung. Die Computerressource kann sich – wie dargelegt – ganz oder teilweise auf der Mobilvorrichtung oder auf einem Server befinden; jedenfalls erfolgt der Zugriff auf die Computerressource unter Verwendung der Mobilvorrichtung. 157 Bei dem anspruchsgemäßen Verfahren muss sich der Benutzer gemäß Merkmal 1.7 (zusätzlich) auf der Mobilvorrichtung oder auf der wenigstens einen getrennten tragbaren Sicherheitstoken-Vorrichtung authentifizieren. Eine solche Authentifizierung gemäß Merkmal 1.7 auf der Mobilvorrichtung ist in Absatz 0030 des Streitpatents beschrieben (vgl. auch Ausführungsbeispiele in den Absätzen 0041, 0045, 0059, 0060, 0061, 0114) und die Alternative der Authentifizierung auf dem Token ist in den Absätzen 0062, 0063 und 0064 genannt. Sofern die Authentifizierung auf dem Token erfolgt, muss dieser eine Eingabevorrichtung, beispielsweise ein Display und/oder eine Tastatur, aufweisen. Ein Token kann dabei auch ein Smartphone, eine Smartwatch, ein Tablet o. Ä. sein (vgl. Abs. 0065). 158 Nach Merkmal 1.8 muss die Benutzerauthentifizierung (siehe Merkmal 1.7) auf der wenigstens einen getrennten tragbaren Sicherheitstoken-Vorrichtung validiert werden, bevor die Entsperrantwort gesendet wird (siehe Merkmal 1.5). Zur Validierung selbst macht das Streitpatent keine näheren Angaben. Die Fachperson versteht unter der Validierung ein Überprüfen der Benutzerauthentifizierung, also bspw. der eingegeben PIN bzw. des Passworts, das entweder an der Mobilvorrichtung oder am Token selbst eingegeben wurde (vgl. Abs. 0030 bis 0032, 0041, 0114). Mithin beschreibt die Authentifizierung auf ( on ) einem Gerät (Mobilvorrichtung oder Token) nach Merkmal 1.7 nur die Eingabe dieses Nutzergeheimnisses am entsprechenden Gerät, deren Validierung im Sinne einer Prüfung dann gemäß Merkmal 1.8 auf dem Token erfolgt (vgl. Abs. 0030), bspw. durch Vergleich mit einer auf dem Token hinterlegten PIN (vgl. Abs. 0114). 159 Die Fachperson versteht Merkmal 1.8 so, dass die im Merkmal 1.5 genannte Übertragung der im Token generierten Entsperrantwort nur bei erfolgreich validierter Authentifizierung erfolgt, d. h. wenn die eingegebene PIN bzw. das Passwort gültig ist. Dabei legt Anspruch 1 nicht fest, zu welchem Zeitpunkt die Validierung auf dem Token erfolgt, vielmehr folgt aus Merkmal 1.8 nur, dass diese vor dem Übertragen der Entsperrantwort, d. h. vor dem Verfahrensschritt gemäß dem Merkmal 1.5, erfolgen muss. So ist in der Beschreibung des Streitpatents bspw. auch vorgeschlagen, dass die Validierung bereits vor der Entschlüsselung der verschlüsselten Ressourcenautorisierung, d. h. vor dem Verfahrensschritt gemäß dem Merkmal 1.4, erfolgen kann (vgl. Abs. 0045: The device communications system may send a user secret to the token which is validated by the token before the decryption operation takes place ; sowie Abs. 0041). Zur Vorgehensweise bei nicht erfolgreicher Validierung trifft das Streitpatent keine Aussage. Anspruch 1 fordert auch nicht, dass die Authentifizierung nach Merkmal 1.7 und deren Validierung nach Merkmal 1.8 bei jedem Zugriff auf die Computerressource bzw. im Rahmen dieses Zugriffs durchgeführt werden müssen, sondern gemäß Merkmal 1.8 nur, dass die Validierung vor dem Senden der Entsperrantwort erfolgt ist. 160 Die erste Alternative einer Authentifizierung nach Merkmal 1.7, also die Authentifizierung auf der Mobilvorrichtung, dient dabei dazu, die Eingabemittel der Mobilvorrichtung für die Nutzereingabe zu nutzen. Dadurch benötigt der Token in diesem Fall nicht zwangsläufig eine eigene Tastatur oder andere Eingabemittel, um eine Benutzerauthentifizierung nach Merkmal 1.8 validieren zu können. 161 Die Authentifizierung mit ihrer Validierung gemäß den Merkmalen 1.7 und 1.8 bildet damit neben der aus der verschlüsselten Ressourcenautorisierung im Token generierten Entsperrantwort den zweiten Teil der Zwei-Faktor-Authentifizierung ( two-factor authentication ) zum Zugriff auf die Computerressource (vgl. Abs. 0030). 162 5.2 Gegenstand des Patentanspruchs 9 ist ein System zum Authentifizieren eines Benutzers für den Zugriff auf eine Computerressource über eine Mobilvorrichtung, wobei das System eine Mobilvorrichtung und wenigstens eine getrennte tragbare Sicherheitstoken-Vorrichtung umfasst, aber nicht auf diese Vorrichtungen beschränkt ist. Das System umfasst weiterhin Mittel zum Ausführen des Verfahrens nach Patentanspruch 1, d. h. es weist geeignet gestaltete und eingerichtete Mittel zur Ausführung des Verfahrens nach Patentanspruch 1 auf. 163

. Zur erteilten Fassung 164 Die Patentansprüche 1 bis 9 der erteilten Fassung erweisen sich als nicht rechtsbeständig. Insoweit ist jedenfalls der Nichtigkeitsgrund der mangelnden Patentfähigkeit gemäß Art.

§ 6Abs. 1 Nr. 1 Int

PatÜG, Art. 138 Abs. 1 Buchst. a) EPÜ i. V. m. Art. 52, 56 EPÜ gegeben. 165

  1. Zum Nichtigkeitsgrund der mangelnden Ausführbarkeit 166 Die Erfindung ist im Streitpatent hinreichend deutlich und vollständig offenbart, so dass eine Fachperson die beanspruchte Lehre ausführen kann. 167 Das Streitpatent muss nicht für alle denkbaren Ausgestaltungen über die gesamte Anspruchsbreite Ausführungsbeispiele liefern, solange die Fachperson sinnvolle Ausgestaltungen „ohne erfinderisches Zutun“ ausführen kann (EPA-Prüfungsrichtlinien, D. V.
  2. und F.

I. 1.-3.; BGH, Urteil vom 12. Dezember 2006 – X ZR 131/02, GRUR 2007, 309 - Schussfädentransport). Eine Erfindung ist ausführbar offenbart, wenn die Fachperson ohne erfinderisches Zutun und ohne unzumutbare Schwierigkeiten in der Lage ist, die Lehre des Patentanspruchs auf Grund der Gesamtoffenbarung der Patentschrift in Verbindung mit dem allgemeinen Fachwissen und Fachkönnen so zu verwirklichen, dass der angestrebte Erfolg erreicht wird. Dazu genügt es, wenn die Patentschrift ansatzweise erkennen lässt, durch welche Mittel und auf welche Weise die beanspruchte technische Lehre verwirklicht werden kann (BGH, Urteil vom 29. März 2022 – X ZR 16/20,juris – Übertragungsleistungssteuerungsverfahren, Leitsatz 2). Es ist daher nicht erforderlich, dass mindestens eine praktisch brauchbare Ausführungsform als solche unmittelbar und eindeutig offenbart ist. Vielmehr reicht es aus, wenn die Fachperson ohne eigenes erfinderisches Bemühen Unvollständigkeiten ergänzen und sich notfalls mit Hilfe orientierender Versuche Klarheit verschaffen kann (BGH, Urteil vom 13. Juli 2010 – Xa ZR 126/07, GRUR 2010, 916 – Klammernahtgerät, juris Leitsatz und Rn. 17). Denn sie entnimmt bereits die zur Ausführung der Erfindung in den Ansprüchen regelmäßig nicht vollständig enthaltenen aber für die praktische Verwirklichung erforderlichen Einzelangaben der allgemeinen Beschreibung (BGH, Urteil vom 28. März 2017 – X ZR 17/15, juris Rn. 23 m. w. N.). 168 Auch wenn das beanspruchte Verfahren mit den Merkmalen 1.3 und 1.8 abweichend von der Beschreibung das Verfahren auch für mehr als einen Tokenformuliert, ist die Fachperson in der Lage, dies auszuführen. Eine solche Verwendung von mehr als einem Token stellt die Fachperson nicht vor größere Hindernisse, da die Verwendung eines zweiten Tokens bereits durch analoge Durchführung der Verfahrensschritte für den ersten Token gelöst werden kann, bspw. indem zur Gewährung des Zugriffs auf die Ressource bspw. beide Token bzw. beide Entsperrantworten zum Zugriff auf die Computerressource vorliegen müssen. 169 Soweit die Klägerin zu 1 die Schwierigkeiten bei Verlust des Tokens beschreibt, stellt dies kein Problem der Ausführbarkeit dar, da sich das Streitpatent nicht mit der Frage von Lösungen für einen Verlust von Authentifizierungsmitteln befasst. Letztere sind der Fachperson zudem durchaus bekannt in Form von zusätzlichen Sicherheitsabfragen („Super-PIN“, Pass-Phrase oder insbesondere mehreren Authentifizierungsmerkmalen) sowie von Lösungen unter Verwendung von Administratorrechten, bspw. durch den Anbieter des Dienstes oder der Computerressource. 170 2. Zur Patentfähigkeit des Streitpatents in der erteilten Fassung 171 Der Gegenstand des Patentanspruchs 1 erweist sich in der erteilten Fassung (Hauptantrag) gegenüber Dokument D10 (Corner et al.) oder auch ausgehend von Dokument D1 (US 2010/0228991 A1) in Verbindung mit dem Fachwissen als nicht patentfähig. 172 2.1 Zur Frage der wirksamen Inanspruchnahme der Priorität 173 Der Senat hat durchaus Zweifel, dass die Priorität der britischen Patentanmeldung GB 1221433.4 (Anlage NK3), der US-Patentanmeldung US 13/706,307 (Anlage NK4) und der britischen Patentanmeldung GB 1303677.7 (Anlage NK5) materiell wirksam in Anspruch genommen sind, da sich aus keiner der drei Prioritätsanmeldungen ein Authentifizieren eines Benutzers für den Zugriff auf eine Computerressource über eine Mobilvorrichtung ergibt, bei dem sich der Benutzer auf der wenigstens einen getrennten tragbaren Sicherheitstoken-Vorrichtung authentifizieren muss (Merkmal 1.7, zweite Alternative). 174 Diese Frage kann allerdings im Hinblick auf die für die Beurteilung der Patentfähigkeit des Patentanspruchs 1 in erteilter Fassungbedeutsamen Dokumente D1 und D10 dahinstehen, da beide Dokumente vor dem frühesten Prioritätsdatum veröffentlicht sind. 175 2.2 Der jeweilige Gegenstand der unabhängigen Patentansprüche 1 und 9 gemäß Hauptantrag (erteilte Fassung) ist nicht neu gegenüber dem Dokument D10 (Corner et al.; wobei der Senat die Bezeichnung D10 gewählt hat für das ursprünglich als Dokument D2 ins Verfahren 4 Ni 41/23 (EP) eingeführte und als Dokument D10 ins Verfahren 4 Ni 61/22 (EP) übernommene Dokument). 176

  1. a)Das Dokument D10 befasst sich – wie das Streitpatent – mit dem sicheren Zugriff auf Computerressourcen, hier insbesondere auf Dateien, die mit einem Dateischlüssel ( file key ) K e verschlüsselt sind. Die Entschlüsselung der Datei ( file ) erfolgt jeweils mit dem entschlüsselten Dateischlüssel. Abbildung in Originalgröße in neuem Fenster öffnen 177 Der Dateischlüssel ( file key ) K e selbst ist durch einen Schlüssel-verschlüsselnden Schlüssel K k verschlüsselt, der nur durch Verwendung des Tokens entschlüsselt werden kann (vgl. Abschnitt 2.2 Key-encrypting keys : In ZIA, each on-disk object is encrypted by some symmetric key, K e . The link connecting the laptop and token is slow, and the token is much less powerful than the laptop. Consequently, file decryption must take place on the laptop, not the token. The file system stores each K e , encrypted by some key-encrypting key, K k ; we write this as K k (K e ). Only tokens know key-encrypting keys; they are never divulged. A token with the appropriate K k can decrypt K e , and hence enable reading any file encrypted by K e .). 178 Auch zeigt das Dokument D10eine Zwei-Faktor-Authentifizierung, die eine Authentifizierung des Nutzers beim Zugriff auf eine Datei, also beim Zugriff auf eine Computerressource darstellt. Denn die Authentifizierung des Nutzers gegenüber dem Token ist Voraussetzung und somit Teil der Authentifizierung zum Zugriff auf diese Computerressource ( file ) unter Verwendung des Tokens, der nur dann eine gültige Entsperrantwort ( File key ) aus einer verschlüsselten Ressourcenautorisierung ( Encrypted File key ) generieren kann, wenn sich der Nutzer mittels eines Codes ( PIN ) gegenüber dem Token identifiziert hat. Damit schaffen nur beide Teile dieser Zwei-Faktor-Authentifizierung gemeinsam die Grundlage für das Vorliegen einer validen Entsperrantwort ( File Key ). 179
  2. b)Aus dem Dokument D10 sind – in den Worten des Streitpatents – die folgenden Merkmale des Anspruchs 1 zu entnehmen: 180 1.1 A method of authenticating a user to access a computer resource via a mobile device comprising: [DieD10 befasst sich mit dem sicheren Zugriff eines Nutzers auf verschlüsselte Dateien, wobei der Dateischlüssel ( file key ) selbst durch einen Schlüssel-verschlüsselnden Schlüssel verschlüsselt ist, der nur durch Verwendung eines Tokens entschlüsselt werden kann (vgl. Abschnitt 2.2 Key-encrypting keys : In ZIA, each on-disk object is encrypted by some symmetric key, K e . … A token with the appropriate K k can decrypt K e , and hence enable reading any file encrypted by K e .)] 1.2 storing an encrypted resource authorization; [Dokument D10 sieht eine gespeicherte, als „ encrypted file key “ bezeichnete verschlüsselte Ressourcenautorisierung vor (vgl. Fig. 1: Encrypted File keys are read from disk… ).] 1.3 transmitting the encrypted resource authorization to at least one separate portable security token device; [Die Ressourcenautorisierung wird vom Token empfangen (vgl. Fig. 1: Encrypted File keys are … shipped to the token ).] 1.4 on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response; [Auf dem Token erfolgt die Entschlüsselung der verschlüsselten Ressourcenautorisierung und das Erzeugen einer Entsperrantwort, d. h. des „ File key ” (vgl. Fig. 1: The token decrypts it and returns the File key. ).] 1.5 securely transmitting the generated unlock response to the mobile device; [Die Entsperrantwort wird verschlüsselt an die Mobilvorrichtung übertragen ( vgl . Fig. 1: The token decrypts it and returns the File key. Traffic between the laptop and token is encrypted …); und Abschnitt 2. Design : Second, the token cannot send decrypted File keys over the wireless link in cleartext form. Therefore, the token and laptop use an authenticated, encrypted link .] 1.6 providing access via the mobile device to the computer resource if the required unlock response is valid; [Sofern der richtige Schlüssel ( file key K e ) als Entsperrantwort übermittelt wurde , ist dieser auch gültig und erlaubt den Zugriff auf die Computerressource (vgl. Abschnitt 2.2 Key-encrypting keys : In ZIA, each on-disk object is encrypted by some symmetric key, K e . … A token with the appropriate K k can decrypt K e , and hence enable reading any file encrypted by K e .).] 1.7 2.Alt. wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device, and [Die Token-Vorrichtung ist durch eine PIN geschützt, durch deren Eingabe der Nutzer den Token entsperren kann (vgl. Abschnitt 2.3 Token vulnerabilities : The most serious vulnerability surrounding token loss is the extraction of key-encrypting keys. PIN-protected, tamper-resistant hardware [40] makes this more difficult, … Bounding the authentication session between the user and token also prevents an attacker from profitably stealing a token, and then later a laptop. After the authentication period expires, the token will no longer be able to supply any requested K e ; und Abschnitt 2. Design : Before the first use of a token, the user must unlock it using a PIN . [Unterstreichungen jeweils ergänzt]).] 1.8 the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. [Da die Token -Hardware selbst „PIN-protected“ sein soll, liest die Fachperson eine Authentifizierung und Validierung im Token mit (vgl. Abschnitt 2.3 Token vulnerabilities : The most serious vulnerability surrounding token loss is the extraction of key-encrypting keys. PIN-protected, tamper-resistant hardware [40] makes this more difficult, … ).] 181 Dass die Authentifizierung des Nutzers am Token in Dokument D10 nur einmalig für einen bestimmten Zeitraum ( authentication period ) erfolgt, steht nicht im Widerspruch zu den Merkmalen 1.7 (zweite Alternative) und 1.8, da eine solche, nur einmalige Authentifizierung des Nutzers am Token in Patentanspruch 1 nicht ausgeschlossen ist. Die Authentifizierung nach den Merkmalen 1.7 und 1.8 ist weder direkt mit einem konkreten Zugriffsversuch auf eine bestimmte Computerressource verknüpft, noch erfolgt ein Prüfen der Authentifizierung zwingend erst nach dem Entschlüsseln bzw. Erzeugen der Entsperrantwort. Vielmehr fordert Merkmal 1.8 nur, dass die Validierung der Nutzerauthentifizierung auf dem Token erfolgt, bevor eine Entsperrantwort – also im Fall der D10 ein entschlüsselter Dateischlüssel – vom Token an die Mobilvorrichtung gesendet wird (Merkmal 1.8: … before the unlock response is sent ). Die Lehre der D10 steht insbesondere auch im Einklang mit Absatz 0045 des Streitpatents, der vorsieht, dass die Validierung der Nutzerauthentifizierung auf dem Token erfolgt, bevor die Entschlüsselung der Ressourcenautorisierung erfolgt (vgl. Streitpatent, Abs. 0045: The device communications system may send a user secret to the token which is validated by the token before the decryption operation takes place .; entsprechend auch Absatz 0041). 182 Es steht ebenfalls nicht im Widerspruch zum Streitpatent, dass durch die Entschlüsselung im Token gemäß der D10 direkt eine Entsperrantwort ( file key ) erzeugt wird, da Anspruch 1 nur fordert, dass die Entsperrantwort zumindest teilweise auf der entschlüsselten verschlüsselten Ressourcenautorisierung basiert (Merkmal 1.4). Das Streitpatent sieht zudem eine solche Möglichkeit expliziert vor (vgl. Streitpatent, Abs. 0025: The unlock response may comprise a plain authorization, obtained by decrypting the encrypted authorization .). 183 Schließlich steht auch die aus Performance-Gründen in der D10 gewählte Vorgehensweise in Bezug auf Daten im Cache der Mobilvorrichtung nicht im Widerspruch zur Lehre des Streitpatents, da auf der Festplatte der Mobilvorrichtung gespeicherte Dateien, mithin Computerressourcen im Sinne des Streitpatents, grundsätzlich verschlüsselt sind und somit in der D10 erst bei einem Zugriff unter Verwendung des Tokens entsprechend dem Verfahren nach Anspruch 1 des Streitpatents eine Entsperrantwort ( file key ) bestimmt wird (vgl. Figur 1 in Verbindung mit Abschnitt 2. Design : All on-disk files are encrypted for safety, but all cached Files are decrypted for performance .). 184 Die Gegenstände des auf ein Verfahren gerichteten Patentanspruchs 1 und des nebengeordneten, auf ein System zur Durchführung des Verfahrens gerichteten Patentanspruchs 9 erweisen sich daher jeweils als nicht neu gegenüber Dokument D10 . 185 2.3 Der jeweilige Gegenstand der unabhängigen Patentansprüche 1 und 9 gemäß Hauptantrag (erteilte Fassung) istneu gegenüber dem Dokument D1 (US 2010/0228991 A1; Bezeichnung als D1 übernommen nachdem das Dokument ursprünglich als Dokument D1 ins Verfahren 4 Ni 61/22 (EP) eingeführt worden ist). Er beruht jedoch ausgehend von der D1 nicht auf einer erfinderischen Tätigkeit. 186
  3. a)Ziel des Dokuments D1 ist das Bereitstellen einer Zwei-Faktor-Authentifizierung unter Verwendung einer Sicherheitstoken-Vorrichtung bei einem Zugriff auf Computer, Server oder Datenspeichergeräte und -einrichtungen, die ein Passwort erfordern (Abs. 0009: It is an object of the present invention to provide means of dual factor authentication that will allow a security token device to control access to an unlimited number of Secure Systems, which could be computers, servers, other data storage devices or facilities, each requiring a unique password, without the usual requirement for storing each password inside of the security token .). Dokument D1 lehrt die Verwendung eines solchen Sicherheitstokens für einen Computer, bspw. einen Windows XP Computer, zur Zwei-Faktor-Authentifizierung eines Nutzers beim Zugriff auf den Computer bzw. auf ein Nutzerkonto ( user account ) auf diesem Computer (vgl. Abs. 0027). Der Token wird mit dem USB-Port des Computers verbunden (vgl. Abs. 0029). Abbildung in Originalgröße in neuem Fenster öffnen 187 Dokument D1 – Fig. 3 188
  4. b)Aus DokumentD1 sind – in den Worten des Streitpatents – folgende Merkmale des Anspruchs 1 zu entnehmen: 189 1.1 teil A method of authenticating a user to access a computer resource via a mobile device comprising: [Dokument D1 spricht von verschiedenartigen sicheren Systemen ( computers, servers, other data storage devices or facilities , vgl. Abs. 0009), ohne dass mobile Vorrichtungen explizit erwähnt sind (vgl. Abs. 0009: dual factor authentication that will allow a security token device to control access to an unlimited number of Secure Systems; sowie Abs. 0028: login to the user account). Bei dem Nutzer konto ( user account ) handelt es sich um eine Computerressource im Sinne des Streitpatents (Merkmale 1.1, 1.6), insbesondere, da die D1 darunter nicht den Zugang zur Hardware, sondern den Zugriff auf die mit dem Nutzer verknüpften Ressourcen versteht, wie bspw. in der Verwendung des Begriffs Nutzerkonto ( user account ) in Bezug auf einen „Server“ als Speicherort für Nutzerdaten deutlich wird, wobei hierbei ein Zugriff auf diese (externe) Ressource über eine erste Vorrichtung erfolgt (Abs. 0079; Fig. 7).] 1.2 storing an encrypted resource authorization; [DokumentD1 sieht eine gespeicherte, als „ Hidden Secret “ bezeichnete verschlüsselte Ressourcenautorisierung vor (vgl. Abs. 0014, le. Satz und Abs. 0028, le. Satz).] 1.3 transmitting the encrypted resource authorization to at least one separate portable security token device; [Die Ressourcenautorisierung wird vom Token empfangen (vgl. Abs. 0015, 0029: … the token receives the Hidden Secret ).] 1.4 on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response; [Auf dem Token erfolgt die Entschlüsselung der verschlüsselten Ressourcenautorisierung, d. h. des „ hidden secret ”, und das Erzeugen einer Entsperrantwort (vgl. Abs. 0029: The user token 1 decrypts the Hidden Secret 10 using its internally stored, Primary Secret 5. The plain-text, decrypted password is given … back to the Windows machine ; sowie Abs. 0015).] 1.5 teil securely transmitting the generated unlock response to the mobile device; [Die Entsperrantwort wird über eine USB-Verbindung an das Computersystem übertragen (vgl. Abs. 0029: The plain-text, decrypted password is given from inside the token, back to the Windows machine via the USB port…; sowie Abs. 0015). Eine „sichere“ Übertragung ist zwar in der D1 nicht explizit genannt oder thematisiert. Jedoch versteht die Fachperson die in derD1 vorgesehene Übertragung der Entsperrantwort, d. h. des entschlüsselten Passworts, über den USB-Port bereits als eine “sichere Übertragung” im Sinne von Merkmal 1.5 des Streitpatents (vgl. auch Ausführungen zur Auslegung von Merkmal 1.5).Auch wenn die D1 diese Eigenschaft der USB-Verbindung zwischen Token und Computer nicht thematisiert, versteht die Fachperson diese schon deshalb als “sichere Übertragung”, da eine Übertragung des entschlüsselten Passworts vom Token zum Computer über eine nicht „sichere“ Verbindung im Widerspruch zur Zielsetzung desDokumentsD1 stünde (vgl. Abs. 0001, 0009). Zudem erkennt die Fachperson aufgrund ihres Fachwissen und dem Sinn und Zweck der Ausgestaltung, dass es sich bei der in derD1 vorgeschlagene USB-Verbindung – wie auch in Absatz 0058 des Streitpatents beispielgebend vorgesehen – als eine geeignete, gegen „Mithören“ sichere Übertragung handelt.] 1.6 teil providing access via the mobile device to the computer resource if the required unlock response is valid; [Der Zugriff auf das Nutzerkonto bzw. die damit verbundenen Ressourcen wird durch das an die Vorrichtung übermittelte Passwort, d. h. das im Token entschlüsselte „ Hidden Secret “, ermöglicht (vgl. Abs. 0015, letzter Satz:… which can then be transferred back to the computer as the login password, and access is granted ; sowie Abs. 0029, letzter Satz). Bei dem Nutzerkonto ( user account ) handelt es sich um eine Computerressource im Sinne des Streitpatents (vgl. Ausführungen zu Merkmal 1.1).] 1.7 1.Alt/teil wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device , and [Die Eingabe der PIN zum Authentifizieren des Nutzers erfolgt am Computer beim Einloggen, eine Prüfung dieser Eingabe im Sinne einer Validierung erfolgt auf dem Token, da es sich um eine Authentifizierung für die Verwendung des Tokens handelt (vgl. Abs. 0015, erster Satz: When the user attempts to log into the computer, the token requires the user to enter a PIN (Personal Identification Number) to verify that the user is authorized to use the token… , i. V. m. Abs. 0029).] 1.8 the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. [Die Benutzerauthentifizierung mit PIN wird im Token validiert, bevor das „Hidden Secret“ zur Entschlüsselung an den Token übertragen wird. Damit erfolgt die Validierung zwangsläufig auch bevor die Entsperrantwort, d. h. das entschlüsselte Passwort, über die USB-Verbindung an den Computer zurückgegeben wird (vgl. Abs. 0029).] 190 DokumentD1 zeigt, ebenso wie das Streitpatent, eineZwei-Faktor-Authentifizierung.Abgesehen davon, dass das DokumentD1 diese Zwei-Faktor-Authentifizierung ausdrücklich so bezeichnet( dual factor method of authentication , vgl. Abs. 0001; dual factor authentication , vgl. Abs. 0009), umfasst die Lehre desDokumentsD1 zwei voneinander unabhängige Prüfungen. Einen ersten Faktor der Authentifizierung bildet die Nutzer-Authentifizierung durch PIN-Eingabe ( PIN 8 ), die im Token validiert wird (vgl. Abs. 0029, erster und zweiter Satz), und einen zweiten Faktor bildet das entschlüsselte „Hidden Secret“ als Login-Passwort, das durch den Token entschlüsselt und bereitgestellt wird ( Hidden Secret 10 bzw. encrypted version of the password 10 ). Beim „Hidden Secret“ handelt es sich um eine verschlüsselte Zufallszahl, die ursprünglich im Token erzeugt wurde und die als Login-Passwort ( password 6 ) dient (vgl. Abs. 0028, erster, zweiter und letzter Satz). 191 Es steht nicht im Widerspruch zum anspruchsgemäßen Generieren der Entsperrantwort, dass die Entsperrantwort nach DokumentD1 dem entschlüsselten „Hidden Secret“ entspricht. Denn Merkmal 1.4 des Anspruchs 1 des Streitpatents fordert nur, dass die Entsperrantwort zumindest teilweise auf der entschlüsselten Ressourcenautorisierung basiert, was auch erfüllt ist, wenn sie vollständig der entschlüsselten Ressourcenautorisierung entspricht. Entsprechendes ist auch Absatz 0025 des Streitpatents zu entnehmen, wonach die Entsperrantwort beispielsweise allein durch Entschlüsseln der Ressourcenautorisierung erzeugt werden kann ( The unlock response may comprise a plain authorization, obtained by decrypting the encrypted authorization , vgl. Streitpatent, Abs. 0025). 192 Damit unterscheidet sich DokumentD1 vom Gegenstand des Patentanspruchs 1 des Streitpatents darin, dass eine Mobil vorrichtung für die Sicherheitsprüfung (Merkmale 1.1, 1.5, 1.6, 1.7) nicht explizit genannt ist. 193 Die Gegenstände des Patentanspruchs 1 und des auf diesen rückbezogenen Patentanspruchs 9 erweisen sich daher jeweils als neu gegenüber DokumentD1. 194
  5. c)Der jeweilige Gegenstand der Patentansprüche 1 und 9 des Streitpatents ist der Fachperson jedoch ausgehend von DokumentD1 in Verbindung mit ihrem Fachwissen nahegelegt und beruht daher nicht auf einer erfinderischen Tätigkeit. 195 Eine „Mobilvorrichtung“ war, insbesondere in Form von Laptops und PDAs, zum Anmeldezeitpunkt vom fachmännischen Verständnis der nur allgemein genannten Computersysteme von dem DokumentD1 mit umfasst, so dass die Fachperson die Lehre der D1 ohne Weiteres auf solche Mobilvorrichtungen angewandt hat. Insbesondere stützt sich das Verfahren gemäß Anspruch 1 des Streitpatents nicht auf besondere Eigenschaften mobiler Geräte und ist nicht auf bestimmte Arten von mobilen Geräte beschränkt. Aus der Lehre der D1 ergeben sich auch keine technischen Gründe, die gegen eine Anwendung in Mobilvorrichtungen im Sinne des Streitpatentssprechen ( Merkmale 1.1, 1.5, 1.6, 1.7 ). 196 Die Gegenstände des auf ein Verfahren gerichteten Patentanspruchs 1 und des nebengeordneten, auf ein System zur Durchführung des Verfahrens gerichteten und auf Anspruch 1 rückbezogenen Patentanspruchs 9 beruhen daher jeweils ausgehend von Dokument D1 nicht auf einer erfinderischen Tätigkeit. 197 2.4 Die weiteren angegriffenen Patentansprüche in der Fassung nach Hauptantrag bedürfen keiner weiteren, isolierten Prüfung, weil die Beklagte das Streitpatent im Hauptantrag als geschlossenen Anspruchssatz versteht und das Streitpatent auch insoweit nur als Ganzes verteidigt; dies rechtfertigt, das Patent in der Fassung nach Hauptantrag im Umfang aller Ansprüche für nichtig zu erklären, nachdem sich der Gegenstand eines Patentanspruchs aus dem von der Patentinhaberin verteidigten Anspruchssatz als nicht patentfähig erweist (vgl. BGH, Urteil vom 13. September 2016 – X ZR 64/14, GRUR 2017, 57 – Datengenerator). 198

I. Zu den Hilfsanträgen 1, 2A und 2B 199 Die Beklagte kann das Streitpatent auch in den Fassungen der Hilfsanträge 1, 2A und 2B nicht erfolgreich verteidigen, da diesen jeweils zumindest der Nichtigkeitsgrund der fehlenden Patentfähigkeit entgegensteht, Art.

§ 6Abs.1 Nr. 1 Int

PatÜG, Art. 138 Abs. 1 Buchst. a) EPÜ i. V. m. Art. 52, 56 EPÜ. 200

  1. Hilfsantrag 1 201 Der Gegenstand des Patentanspruchs 1 nach Hilfsantrag 1(wortgleich in der mündlichen Verhandlung vom
  2. Oktober 2023 und im Schriftsatz vom
  3. September 2024 formuliert) beruht ausgehend von Dokument D1 (US 2010/0228991 A1) und dem Fachwissen der Fachperson nicht auf einer erfinderischen Tätigkeit. 202 1.1 Patentanspruch 1 nach Hilfsantrag 1 unterscheidet sich von Anspruch 1 der erteilten Fassung darin, dass Merkmal 1.2 – im Folgenden als Merkmal 1.2 H1 bezeichnet –, wie hervorgehoben, ergänzt ist: 203 1.2 H1 storing an encrypted resource authorization , wherein the encrypted resource authorization is stored in the cloud and is retrieved from the cloud to the mobile device ; 204 Im Streitpatent findet sich keine Definition des Begriffs „Cloud“. Die Formulierung in Absatz 0018 stellt einen Zusammenhang zwischen externer Cloud-Speicherung und lokaler Speicherung in der Mobilvorrichtung her (Abs. 0018: Credentials may be stored either on the mobile device or, remotely, in the cloud .). Im Absatz 0087 wird ein zum Prioritätszeitpunkt des Streitpatents bereits populärer Cloud-basierter Speicherdienst genannt, der für Privat- und Firmenkunden Speicherplatz bereitstellt (Abs. 0087: In practice, Hoverkey can support popular cloud services such as DropBox or may provide its own bespoke service for Hoverkey users. ). 205 Zum Prioritätszeitpunkt des Streitpatents existierte unstreitig keine einheitliche Definition des Begriffs „Cloud“ in der Literatur. Vielmehr wurde der Begriff unterschiedlich verwendet, bspw. im Sinne eines Dienstes, aber auch hinsichtlich dafür geeigneter Hardware-Realisierungen, sowie für lokale (firmeninterne bzw. „private“) Cloud-Lösungen bis hin zu Cloud-Diensten im Internet. 206 Mangels Definition und einem nicht klar einzugrenzenden fachmännischen Verständnis ergibt sich eine entsprechend breite Auslegung des Begriffs, wodurch das Merkmal bei einer (externen) Speicherung in einem nicht weiter konkretisierten Netzwerk bzw. auf einem (aus Sicht der Mobilvorrichtung externen) Server bereits erfüllt ist. Insbesondere liest die Fachperson im Begriff „Cloud“ keine implizite Beschränkung auf eine Speicherung der Daten auf Servern mit, die vom Endnutzer über das Internet zu erreichen sind. 207 1.2 Die Änderungen in Merkmal 1.2 H1 des Hilfsantrags 1 sind der Figur 6 der ursprünglich eingereichten Unterlagen (Stammanmeldung WO 2014/083335 A2, im Verfahren als Dokument NK2) und entsprechend Figur 6 des Streitpatents (Anlage NK1) in Verbindung mit Abs. 0018 (NK1) bzw. S. 4, Z. 30 (NK2) („ Credentials may be stored either on the mobile device or, remotely, in the cloud .“), zweifelsfrei und eindeutig als zur Erfindunggehörend zu entnehmen . Denn im Kontext der Gesamtoffenbarung ist für die Fachperson klar ersichtlich, dass sich die vorgenannte Textstelle auf alle zum Zugriff des Nutzers auf die Computerressource erforderlichen „ Credentials “ bezieht und damit die „ encrypted resource authorisation “ mit umfasst, deren Speicherort im Streitpatent sonst nicht näher spezifiziert ist. 208 Hinsichtlich der ursprünglich nur allgemein genannten Speicherung der verschlüsselten Ressourcenautorisierung konkretisiert der Hilfsantrag 1 in Merkmal 1.2 H1 den Speicherort gegenüber der erteilten Fassung, die den Speicherort offenlässt. Damit stellt das geänderte Merkmal eine Beschränkung des Anspruchsgegenstands und keine Schutzbereichserweiterung dar. 209 1.3 Ausgehend vom vorstehend erläuterten Verständnis des Senats bzgl. der Verwendung des Begriffs „Cloud“ im Streitpatent erweist sich Anspruch 1 gemäß Hilfsantrag 1 für die Fachperson auch als ausführbar , da das geänderte Merkmal hinsichtlich der Speicherung der Ressourcenautorisierung in der „Cloud“ sich allenfalls als breitgefasst erweist und ganz allgemein als eine, aus Sicht der Mobilvorrichtung externe Speicherung in einem lokalen oder externen Netzwerk bzw. auf einem entsprechenden Server verstanden werden kann. 210 1.4 Der Gegenstand des Patentanspruchs 1 nach Hilfsantrag 1 ist der Fachperson ausgehend von Dokument D1 (US 2010/0228991 A1) und ihrem Fachwissen nahegelegt und beruht nicht auf einer erfinderischen Tätigkeit. 211 Die Lehre der D1 sieht unter anderem vor, dass Ressourcen einschließlich der verschlüsselten Nutzerautorisierung ( Hidden Secret ) auch extern von der Nutzervorrichtung auf einem Server vorliegen können (Abs. 0079 und Fig. 7: Linux Server ; sowie Abs. 0081: … the password 42 that is stored on the server is called the User Hidden Secret 42 since although it is stored in the open on Server 40,it cannot be used to log into the Server without first being decrypted inside the User Token
  4. ). 212 Ungeachtet dessen, dass auch das Streitpatent zur Speicherung der verschlüsselten Nutzerautorisierung in der „Cloud“ keine näheren Angaben macht, steht der Vorwegnahme des Merkmals durch die D1 nicht entgegen, dass das Passwort nach dem Verständnis der Beklagten vermeintlich „offen“ auf dem Server liegt. Vielmehr wird diese Frage in der D1 ausdrücklich adressiert, wie die o. g. Fundstelle in Abs. 0081 zeigt: Bei dem gespeicherten Passwort handelt es sich um das „ Hidden Secret “, das verschlüsselt gespeichert und nur mit Hilfe des Tokens zu entschlüsseln werden kann (vgl. Abs. 0081) und damit der verschlüsselten Ressourcenautorisierung ( encrypted resource authorization ) des Streitpatents entspricht. Unabhängig davon war auch die Vergabe und Überwachung von Zugriffsrechten für Server- bzw. Cloud-Zugriffe zum Anmeldezeitpunkt des Streitpatents fachüblich, was auch das Streitpatent voraussetzt, da es – außer den Angaben in Absatz 0081 zur Nutzung eines kommerziellen Cloud-Speicherdienstes – keine näheren Angaben zur Realisierung einer entsprechenden Speicherung der verschlüsselten Ressourcenautorisierung „in der Cloud“ macht. 213 Es ergibt sich zwangsläufig aus der weiteren Verwendung des „Hidden Secret“ im Token gemäß Dokument D1, dass das auf dem Server gespeicherte „Hidden Secret“ durch die Mobilvorrichtung (hier: allgemein durch den Computer) abgerufen wird, da der dortige Token nur über eine (direkte) USB-Verbindung mit dem Computer verbunden ist und damit außer über den Computer keine Möglichkeit des Abrufs vom Server bietet (vgl. u. a. Fig. 7). 214 Für die weiteren Merkmale des Anspruchs 1 nach Hilfsantrag 1 gelten die Ausführungen zur Anspruchsfassung nach Hauptantrag in gleicher Weise. 215 Der Gegenstand des Patentanspruchs 1 gemäß Hilfsantrag 1 ergibt sich daher für die Fachperson ausgehend von Dokument D1 in naheliegender Weise. 216 Die weiteren angegriffenen Patentansprüche in der Fassung nach Hilfsantrag 1 bedürfen keiner weiteren, isolierten Prüfung, weil die Beklagte Hilfsantrag 1 als geschlossenen Anspruchssatz versteht und das Streitpatent auch insoweit nur als Ganzes verteidigt; dies rechtfertigt, dem Patent in der Fassung nach Hilfsantrag 1 insgesamt den Schutz zu versagen, nachdem sich der Gegenstand eines Patentanspruchs aus dem von der Patentinhaberin verteidigten Anspruchssatz als nicht patentfähig erweist(vgl. BGH, Urteil vom
  5. September 2016 – X ZR 64/14, GRUR 2017, 57 – Datengenerator). 217
  6. Hilfsantrag 2A 218 Der Gegenstand des Patentanspruchs 1 nach Hilfsantrag 2A beruht ausgehend von Dokument D1 (US 2010/0228991 A1) und dem Fachwissen nicht auf einer erfinderischen Tätigkeit. 219 2.1 Patentanspruch 1 nach Hilfsantrag 2A unterscheidet sich von Anspruch 1 der Fassung nach Hilfsantrag 1 darin, dass sich die Computer-Ressource gemäß den Merkmalen 1.1 und 1.6 – im Folgenden als Merkmal 1.1 H2A und 1.6 H2A bezeichnet – auf einem externen Server befindet. Darüber hinaus hat die Beklagte Anspruch 1 entsprechend der Alternativen des Merkmals 1.7 in zwei Ansprüche aufgespalten: 220 Patentanspruch 1 gemäß Hilfsantrag 2A lautet mit gegenüber Anspruch 1 der erteilten Fassung hervorgehoben Änderungen: 221 1.1 H2A A method of authenticating a user to access a computer resource on a remote server via a mobile device comprising: 1.2 H1 storing an encrypted resource authorization , wherein the encrypted resource authorization is stored in the cloud and is retrieved from the cloud to the mobile device ; 1.3 transmitting the encrypted resource authorization to at least one separate portable security token device; 1.4 on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response; 1.5 securely transmitting the generated unlock response to the mobile device; and 1.6 H2A providing access via the mobile device to the computer resource on the remote server if the required unlock response is valid; 1.7 H2.1 wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device , and 1.8 the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. 222 Patentanspruch 2 lautet gemäß Hilfsantrag 2A mit gegenüber Anspruch 1 der erteilten Fassung hervorgehobenen Änderungen: 223 2.1 A method of authenticating a user to access a computer resource via a mobile device comprising: 2.2 H1 storing an encrypted resource authorization , wherein the encrypted resource authorization is stored in the cloud and is retrieved from the cloud to the mobile device ; 2.3 transmitting the encrypted resource authorization to at least one separate portable security token device; 2.4 on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response; 2.5 securely transmitting the generated unlock response to the mobile device; and 2.6 providing access via the mobile device to the computer resource if the required unlock response is valid; 2.7 H2.2 wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device, and 2.8 the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. 224 2.2 Die ursprüngliche, in der Anmeldung enthaltene Figur 6 (Bezeichnung der „ App “ als „ Web App “) offenbart zwar entgegen dem Verständnis der Beklagten für sich genommen nicht eindeutig, dass der dargestellte Passwort-Abruf den Nutzerzugriff auf diese Anwendung ( App ) auf einem externen Server selbst ermöglichen soll und nicht einen Ressourcenzugriff mittels dieser App beschreibt, auch wenn einleitend zum Ausführungsbeispiel auf Anwendungen als Ressourcen auf einem „ application server “ verwiesen wird (S. 15, Z. 6).Allerdings erkennt die Fachperson bei einem Ressourcenzugriff, ausgehend von einer Anwendung ( App ) auf einem externen Server, d. h. dem Datenzugriff durch diese App, dass sich auch die entsprechende Ressource (d. h. die Daten) nicht auf der Mobilvorrichtung, sondern ebenfalls auf dem externen Server befindet. 225 Daher ist die Einschränkung des Speicherorts auf „ on the remote server “ in Merkmal 1.1 H2A und 1.6 H2A für die Ressource, auf die zugegriffen werden soll, als ursprungsoffenbart anzusehen. 226 2.3 Die Aufspaltung des in der erteilten Anspruchsfassung mit dem als eigenständiger Alternative formulierten Merkmal 1.7 – Authentifizierung auf der Mobilvorrichtung oder („or“) auf dem Sicherheitstoken – in zwei nebengeordnete Patentansprüche ist zulässig, da hierdurch kein neuer, in der erteilten Anspruchsfassung von Anspruch 1 nicht umfasster Gegenstand geschaffen wird, insbesondere da entsprechend der Alternativen des Merkmals 1.7 in der erteilten Fassung keine Verknüpfung der beiden so entstandenen unabhängigen Ansprüche 1 und 2 besteht (d. h. eine „und“-Verknüpfung ist weder in der aufgespaltenen noch in der erteilten Fassung umfasst). 227 Darüber hinaus sind die Patentansprüche 1 und 2 gemäß Hilfsantrag 2A gegenüber beiden Alternativen der erteilten Fassung beschränkt (Merkmale 1.1 H2A , 1.6 H2A und 1.2 H1 sowie 2.2 H1 ). 228 Schließlich führt auch die unterschiedliche Beschränkung der beiden neu geschaffenen unabhängigen Ansprüche nicht zur Unzulässigkeit der Patentansprüche 1 und 2 gemäß Hilfsantrag 2A, da dies auch ausgehend von den Alternativen der erteilten Fassung in einem einzigen Anspruch möglich wäre. 229 2.4 Der Gegenstand des Patentanspruchs 1 nach Hilfsantrag 2A ist der Fachperson ausgehend von Dokument D1 (US 2010/0228991 A1) und ihrem Fachwissen nahegelegt und beruht nicht auf einer erfinderischen Tätigkeit. 230 Denn die Lehre der D1 sieht unter anderem vor, dass Ressourcen auch extern von der Nutzervorrichtung auf einem Server vorliegen können (Abs. 0079 und Fig. 7: Linux Server ). 231 Hierbei stellt – wie einleitend zur Patentfähigkeit des Anspruchs 1 nach Hauptantrag näher erläutert– bereits ein aus Dokument D1 bekanntes Nutzerkonto, bspw. auf einem externen Server wie dem Linux Server in der Ausführungsform nach Figur 7, eine Computer-Ressource im Sinne des Streitpatents dar. 232 Darüber hinaus verlangt Patentanspruch 1 nur das Ermöglichen des Zugriffs auf die genannte gespeicherte Ressource (Merkmal 1.6 H2A : providing access via the mobile device to the computer resource on the remote server …), so dass von Anspruch 1 gemäß Hilfsantrag 2A auch umfasst ist, dass ein Zugriff auf die einzelnen Ressourcen in einem externen Speicher aufgrund der Zugriffsberechtigung (in Form der „Entsperrantwort“) für diesen Speicher bzw. für ein Verzeichnis in diesem Speichergewährt wird – d. h. aufgrund der Berechtigungen für das genannte Nutzerkonto. Die geänderten Merkmale 1.1 H2A und 1.6 H2A ergeben sich somit aus Dokument D
  7. 233 Für die weiteren Merkmale des Anspruchs 1 nach Hilfsantrag 2A gelten die Ausführungen zur Anspruchsfassung nach Hilfsantrag 1 in gleicher Weise. 234 Patentanspruch 1 gemäß Hilfsantrag 2 ist daher der Fachperson ausgehend von Dokument D1 nahegelegt. 235 Die weiteren angegriffenen Patentansprüche in der Fassung nach Hilfsantrag 2A bedürfen keiner weiteren, isolierten Prüfung, weil die Beklagte Hilfsantrag 2A als geschlossenen Anspruchssatz versteht und das Streitpatent auch insoweit nur als Ganzes verteidigt; dies rechtfertigt, dem Patent in der Fassung nach Hilfsantrag 1 insgesamt den Schutz zu versagen, nachdem sich der Gegenstand eines Patentanspruchs aus dem von der Patentinhaberin verteidigten Anspruchssatz als nicht patentfähig erweist(vgl. BGH, Urteil vom
  8. September 2016 – X ZR 64/14, GRUR 2017, 57 – Datengenerator). 236
  9. Hilfsantrag 2B 237 Der Gegenstand des Patentanspruchs 1 nach Hilfsantrag 2B beruht ausgehend von Dokument D1 (US 2010/0228991 A1) und dem Fachwissen der Fachperson nicht auf einer erfinderischen Tätigkeit. 238 3.1 Patentanspruch 1 nach Hilfsantrag 2B unterscheidet sich von Anspruch 1 der Fassung nach Hilfsantrag 1 darin, dass es sich bei der Computer-Ressource gemäß den Merkmalen 1.1 und 1.6 – im Folgenden als Merkmal 1.1 H2B und 1.6 H2B bezeichnet – um eine Anwendung ( application ) handelt, die sich auf einem externen Server befindet. 239 Wie bereits in Hilfsantrag 2A wurde Anspruch 1 auch gemäß Hilfsantrag 2B entsprechend der Alternativen des Merkmals 1.7 der erteilten Fassung in zwei Ansprüche aufgespalten. 240 Patentanspruch 1 gemäß Hilfsantrag 2B lautet mit gegenüber Anspruch 1 der erteilten Fassung hervorgehoben Änderungen: 241 1.1 H2B A method of authenticating a user to access an application a computer resource on a remote server via a mobile device comprising: 1.2 H1 storing an encrypted resource authorization , wherein the encrypted resource authorization is stored in the cloud and is retrieved from the cloud to the mobile device ; 1.3 transmitting the encrypted resource authorization to at least one separate portable security token device; 1.4 on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response; 1.5 securely transmitting the generated unlock response to the mobile device; and 1.6 H2B providing access via the mobile device to the application computer resource on the remote server if the required unlock response is valid; 1.7 H2.1 wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device , and 1.8 the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. 242 Patentanspruch 2 gemäß Hilfsantrag 2B entspricht der Anspruchsfassung nach Hilfsantrag 2A. 243 3.2 Die Änderungen der Merkmale 1.1 H2B und 1.6 H2B sindzwar nicht an einer konkreten Stelle der ursprünglichen Anmeldeunterlagen unmittelbar offenbart. Die Fachperson versteht jedoch die Offenbarung der ursprünglichen Anmeldung und des Streitpatents dahingehend, dass die Erfindung für die Autorisierung zum Zugriff auf jegliche Art von Computerressourcen geeignet sein soll und zwar unabhängig von ihrem Speicherort, da das Streitpatent keine technischen Besonderheiten der Ressourcenautorisierung für bestimmte Arten von Ressourcen oder deren Speicherung voraussetzt. Die Verwendung der verschlüsselten Ressourcenautorisierung ist auch unabhängig davon, dass im Ausführungsbeispiel „Hoverkey“ weitere Parameter (bspw. AppID) zum Zugriff auf (externe) Ressourcen erforderlich sind und ggf. geprüft werden.Gestützt wird dieses Verständnis durch Unterscheidung zwischen „ Web App “ und „ Native App “ im Ausführungsbeispiel nach Figur 6, die ebenfalls auf eine mögliche externe (Cloud-)Speicherung (d. h. „ remotely “ gemäß Abs. 0018 des Streitpatents (NK1) bzw. S. 4, Z. 30 der Stammanmeldung (NK2)) hinweist. 244 Die gemäß Hilfsantrag 2B geänderten Merkmale 1.1 H2B und 1.6 H2B erweisen sich daher als ursprungsoffenbart. 245 3.3 Wie zu Hilfsantrag 2A dargelegt, ist die Aufspaltung des Merkmals 1.7 der erteilten Anspruchsfassung (Authentifizierung auf der Mobilvorrichtung oder („or“) auf dem Sicherheitstoken)in zwei nebengeordnete Patentansprüche zulässig. 246 3.4 Der Gegenstand des Patentanspruchs 1 nach Hilfsantrag 2B ist der Fachperson ausgehend von Dokument D1 (US 2010/0228991 A1) und ihrem Fachwissen nahegelegt und beruht nicht auf einer erfinderischen Tätigkeit. 247 Die Lehre der D1 sieht unter anderem vor, dass Ressourcen auch extern von der Nutzervorrichtung auf einem Server vorliegen können (Abs. 0079 und Fig. 7: Linux Server ). 248 Dem Naheliegen steht auch nicht entgegen, dass die Lehre der D1 sich nur mit der Zugriffsberechtigung auf ein Nutzerkonto näher befasst, da dies fachüblich umfasst, dass dadurch der Zugriff auf alle damit verbundenen Ressourcen – mithin auch auf Anwendungen , die fachüblich zumindest teilweise auf einem Server gespeichert sind – für den Nutzer ermöglicht wird. Denn Patentanspruch 1 verlangt nur das Gewähren des Zugriffs auf die anspruchsgemäß auf dem Server gespeicherte Ressource (Merkmal 1.6 H2A : providing access via the mobile device to the computer resource on the remote server …), nicht aber, dass jede der einzelnen Ressourcen(hier: Anwendungen / Apps)separat durch ein eigenes Passwort geschützt sind oder einen eigenen Schlüssel erfordern. Damit ist in Anspruch 1 nach Hilfsantrag 2B aber auch umfasst, dass der Zugriff auf eine auf dem Server für dieses Nutzerkonto gespeicherte Ressource aufgrund der Zugriffsberechtigung (Entsperrantwort) für das Nutzerkontogewährt wird. Die geänderten Merkmale 1.1 H2B und 1.6 H2B ergeben sich somit aus Dokument D
  10. 249 Für die weiteren Merkmale des Gegenstands des Anspruchs 1 nach Hilfsantrag 2B gelten die Ausführungen zur Anspruchsfassung nach Hilfsantrag 1 in gleicher Weise. 250 Patentanspruch 1 gemäß Hilfsantrag 2B ist daher der Fachperson ebenfalls ausgehend von Dokument D1 nahegelegt. 251 Die weiteren angegriffenen Patentansprüche in der Fassung nach Hilfsantrag 2B bedürfen keiner weiteren, isolierten Prüfung, weil die Beklagte Hilfsantrag 2B als geschlossenen Anspruchssatz versteht und das Streitpatent auch insoweit nur als Ganzes verteidigt; dies rechtfertigt, dem Patent in der Fassung nach Hilfsantrag 1 insgesamt den Schutz zu versagen, nachdem sich der Gegenstand eines Patentanspruchs aus dem von der Patentinhaberin verteidigten Anspruchssatz als nicht patentfähig erweist(vgl. BGH, Urteil vom
  11. September 2016 – X ZR 64/14, GRUR 2017, 57 – Datengenerator). 252 IV. Zu den Hilfsanträgen3A bis 3Eb 253 Die Beklagte kann das Streitpatent auch in den Fassungen der Hilfsanträge 3A bis 3E, 3Ea und 3Eb nicht erfolgreich verteidigen, da deren Gegenstand über den Inhalt der Anmeldung in der ursprünglich eingereichten Fassung hinausgeht, Art.

§ 6Abs. 1 Nr. 3 Int

PatÜG, Art. 138 Abs. 1 Buchst. c) EPÜ i. V. m. Art. 123 Abs. 2 EPÜ. 254 1. Zum Hilfsantrag 3A 255 Der Gegenstand des Patentanspruchs 1 nach Hilfsantrag 3A geht über den Inhalt der Anmeldung in der ursprünglich eingereichten Fassung hinaus. Hilfsantrag 3A erweist sich daher als nicht zulässig. 256 1.1 Patentanspruch 1 nach Hilfsantrag 3A basiert auf Anspruch 1 gemäß Hilfsantrag 2A, wobei Merkmal 1.4 – im Folgenden als Merkmal 1.4 H3A bezeichnet – dahingehend ergänzt ist, dass es sich beim Erzeugen der Entsperrantwort um eine Berechnung auf Basis der entschlüsselten Ressourcenautorisierung und weiteren Informationen handelt, wobei die Berechnung eine digitale Signaturfunktion ist. 257 Patentanspruch 1 lautet gemäß Hilfsantrag 3A mit gegenüber Anspruch 1 gemäß erteilter Fassung hervorgehoben Änderungen: 258 1.1 H2A A method of authenticating a user to access a computer resource on a remote server via a mobile device comprising: 1.2 H1 storing an encrypted resource authorization , wherein the encrypted resource authorization is stored in the cloud and is retrieved from the cloud to the mobile device ; 1.3 transmitting the encrypted resource authorization to at least one separate portable security token device; 1.4 H3A on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response , wherein generating the unlock response comprises performing a computation on a plain authorization, obtained by decrypting the encrypted resource authorization, and additional information, wherein the computation is a digital signature function ; 1.5 securely transmitting the generated unlock response to the mobile device; and 1.6 H2A providing access via the mobile device to the computer resource on the remote server if the required unlock response is valid; 1.7 H2.1 wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device , and 1.8 the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. 259 Wie bereits in Hilfsantrag 2A hat die Beklagte Anspruch 1 auch gemäß Hilfsantrag 3A entsprechend den Alternativen des Merkmals 1.7 der erteilten Fassung in zwei Ansprüche aufgespalten. 260 Patentanspruch 2 gemäß Hilfsantrag 3A entspricht der Anspruchsfassung nach Hilfsantrag 2A. 261 1.2 Auch wenn die Aufspaltung des Merkmals 1.7 der erteilten Anspruchsfassung (Authentifizierung auf der Mobilvorrichtung oder („or“) auf dem Sicherheitstoken) in zwei nebengeordnete Patentansprüche – wie oben bereits ausgeführt – zulässig ist, ist der Gegenstand von Patentanspruch 1 gemäß Hilfsantrag 3A der Stammanmeldung (Dokument NK2) nicht zweifelsfrei und eindeutig zu entnehmen und damit nicht ursprungsoffenbart i. S. v. Art.

§ 6Abs. 1 Nr. 3 Int

PatÜG, Art. 138 Abs. 1 Buchst. c) EPÜ. 262 Anspruch 1 gemäß Hilfsantrag 3A ist gegenüber der Ursprungsoffenbarung der Stammanmeldung (Dokument NK2)in unzulässiger Weise zwischenverallgemeinert. 263 Anspruch 3 der Stammanmeldung spricht allgemein davon, dass die Entsperrantwort eine Funktion der „einfachen“ oder „reinen“ Ressourcenautorisierung ist, die durch Entschlüsseln der verschlüsselten Ressourcenautorisierung erhalten wurde und weitere Informationenumfasst (Anspruch 3: A method as claimed in claim 1 in which the unlock response comprises a function of a plain authorization, obtained by decrypting the encrypted authorization, and additional information .). Eine digitale Signaturfunktion ist im ursprünglichen Anspruch 3 nicht genannt, vielmehr lässt dieser Anspruch offen, ob „ function “ eine mathematische bzw. logische Funktion bezeichnet oder nur allgemein die Abhängigkeit der Entsperrantwort von der „ plain authorization “ und den „ additional information “ beschreibt. 264 Die „digitale Signaturfunktion“ gemäß Merkmal 1.4 H3A wird in der gesamten Stammanmeldung nur als eines von drei Beispielen auf Seite 5, Zeile 31 bis Seite 6, Zeile 16 erwähnt(entsprechend Absatz 0026 des Streitpatents) und nur in diesem Kontext als „digitale Signaturfunktion“ bezeichnet: „ The unlock response may alternatively comprise a function (such as a hash) of a plain authorization, obtained by decrypting the encrypted authorization, and additional information. Thus, in one usage mode, the token may verify and decrypt the encrypted authorization. Then, instead of returning a plain authorization to the device, protected by a session or other encryption key, the token may perform some computation on the plain authorization and possibly some other information (eg token-based information), and return the result to the device. Examples include the following : 265 • Example 1: Digital Signature: computation = digital signature function, plain authorization = private signing key; parameter = hash of message; output = digital signature on message hash 266 • Example 2: Key Derivation: computation = key derivation function; plain authorization = key derivation master secret; parameters = context information, output length; output = key derived from master secret 267 • Example 3: Re-encryption: computation = encryption function; plain authorization = encryption key; parameter = (another) encryption key; output = the plain authorization encrypted with a different key ” 268 Von diesem Beispiel „ Example 1 “ ist in Merkmal 1.4 H3A nur das Teilmerkmal übernommen, dass die Berechnung die Anwendung der digitalen Signaturfunktion ist ( computation = digital signature function ). Diese digitale Signaturfunktion ist aber nur in Verbindung mit den weiteren Angaben ursprungsoffenbart, wonach die entschlüsselte Ressourcenautorisierung ein privater Signaturschlüssel ( plain authorization = private signing key ) der digitalen Signaturfunktion ist und ein Parameter der digitalen Signaturfunktion der „Hash“-Wert der Nachricht ist ( parameter = hash of message ). Dabei bleibt offen, ob die Nachricht nur durch die weiteren Informationen oder beispielsweise durch die entschlüsselte Ressourcenautorisierung und die weiteren Informationen gebildet wird. Das Ergebnis, mithin die Entsperrantwort, ist gemäß „ Example 1 “ die auf den Hash-Wert der Nachricht angewandte digitale Signatur ( output = digital signature on message hash ), also der mit dem privaten Schlüssel signierte Hash-Wert. Schlüssel, Parameter und Nachricht sind somit bezüglich der Verwendung einer digitalen Signaturfunktion nicht voneinander unabhängig offenbart. 269 Bei Merkmal 1.4 H3A des Patentanspruchs 1 gemäß Hilfsantrag 3A handelt es sich daher um eine unzulässige Zwischenverallgemeinerung , da die oben wiedergegebene einzige Beschreibung einer „digitalen Signaturfunktion“ in der Stammanmeldung Vorgaben dazu macht, wie und worauf die digitale Signatur angewandt wird, nämlich durch Verwenden der reinen Ressourcenautorisierung als privater Schlüssel der digitalen Signaturfunktion, die auf dem Hash-Wert einer Nachricht gebildet wird. Auch wenn die Stammanmeldung das „ Example 1 “ nur als Beispiel bezeichnet, das sich mit den weiteren Beispielen unter der allgemeinen Lehre des Anspruchs 3 der Stammanmeldung subsumieren lässt, findet sich im „ Example 1 “ die einzige ursprüngliche Offenbarungsstelle für die explizite Verwendung einer„digitalen Signaturfunktion“, denn die weiteren Beispiele zur Verwendung des Tokens betreffen nicht etwa alternative Verwendungen der digitalen Signaturfunktion ( computation = digital signature function ), sondern die Ableitung eines Schlüssels ( computation = key derivation ) und Wiederverschlüsselung ( computation = re-encryption ) sowie das im Absatz zuvor genannte direkte Verwenden der reinen oder einfachen entschlüsselten Ressourcenautorisierung (Seite 5, Zeile 28-30: plain authorization ). 270 Zwar könnte es sich auch bei einer „Wiederverschlüsselung“, wie sie „ Example 3 “ beschreibt, um ein Signieren handeln. Dieses Signieren wird jedoch nicht als digitale Signaturfunktion bezeichnet.Hierbei dient die Bezeichnung „ digital signature function “ auch insoweit der Abgrenzung zwischen den Beispielen, in dem „ Example 3 “ allenfalls ein Signieren (bspw. im Sinne der Verwendung von sog. „Session Keys“)der „ plain authorization “ umfasst und „ Example 1 “ dagegen die Verwendung der „ plain authorization “ als Signaturschlüssel vorsieht. Ungeachtet dessen wären auch die Merkmale des „ Example 3 “ nur unvollständig in den Anspruch 1 gemäß Hilfsantrag 3A übernommen. 271 Patentanspruch 1 gemäß Hilfsantrag 3A erweist sich damit als nicht zulässig. 272 Ob die Änderungen nach Hilfsantrag 3A darüber hinaus so ausreichend deutlich und knapp gefasst sind, dass sie entgegen der Ansicht der Klägerinnen dem Klarheitserfordernis des § 84 EPÜ genügen und patentfähig wären, kann daher dahinstehen. 273

  1. Hilfsantrag 3B 274 Auch der Gegenstand des Patentanspruchs 1 nach Hilfsantrag 3B geht über den Inhalt der Anmeldung in der ursprünglich eingereichten Fassung hinaus. Hilfsantrag 3B erweist sich daher ebenfalls als nicht zulässig. 275 2.1 Patentanspruch 1 nach Hilfsantrag 3B basiert auf Anspruch 1 gemäß Hilfsantrag 1, wobei Merkmal 1.4 H3A aus Hilfsantrag 3A in den Anspruch 1 gemäß Hilfsantrag 3B aufgenommen und die Alternativen des Merkmals 1.7 wie auch in Hilfsantrag 3A in zwei Patentansprüche 1 und 2 aufgespalten wurden. 276 Patentanspruch 1 lautet gemäß Hilfsantrag 3B mit gegenüber Anspruch 1 gemäß erteilter Fassung hervorgehoben Änderungen: 277 1.1 A method of authenticating a user to access a computer resource via a mobile device comprising: 1.2 H1 storing an encrypted resource authorization , wherein the encrypted resource authorization is stored in the cloud and is retrieved from the cloud to the mobile device ; 1.3 transmitting the encrypted resource authorization to at least one separate portable security token device; 1.4 H3A on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response , wherein generating the unlock response comprises performing a computation on a plain authorization, obtained by decrypting the encrypted resource authorization, and additional information, wherein the computation is a digital signature function ; 1.5 securely transmitting the generated unlock response to the mobile device; and 1.6 providing access via the mobile device to the computer resource if the required unlock response is valid; 1.7 H2.1 wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device , and 1.8 the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. 278 Patentanspruch 1 nach Hilfsantrag 3B ist damit weiter gefasst als Anspruch 1 des Hilfsantrags 3A, da die Einschränkungen in den Merkmalen1.1 H2A und 1.6 H2A fehlen. 279 Wie bereits in Hilfsantrag 2A hat die Beklagte Anspruch 1 gemäß Hilfsantrag 3B auch hier entsprechend den Alternativen des Merkmals 1.7 der erteilten Fassung in zwei Ansprüche aufgespalten. 280 Patentanspruch 2 gemäß Hilfsantrag 3B entspricht der Anspruchsfassung nach Hilfsantrag 2A. 281 2.2 Der Gegenstand des Patentanspruchs 1 gemäß Hilfsantrag 3B ergibt sich nicht zweifelsfrei und eindeutig aus der Stammanmeldung des Streitpatents. 282 Anspruch 1 gemäß Hilfsantrag 3B weist – wie bereits gemäß Hilfsantrag 3A – das Merkmal 1.4 H3A in unveränderter Form und ohne weitere Ergänzungen auf. Es gelten daher zu Anspruch 1 gemäß Hilfsantrag 3B die Ausführungen zur fehlenden Ursprungsoffenbarung des Merkmals 1.4 H3A zu Hilfsantrag 3A in gleicher Weise: Wie bereits zu Hilfsantrag 3A ausgeführt, handelt es sich bei Merkmal 1.4 H3A des Patentanspruchs 1 gemäß Hilfsantrag 3B um eine unzulässige Zwischenverallgemeinerung hinsichtlich der einzigen Beschreibung einer digitalen Signaturfunktion in der Stammanmeldung (Seite 6, Zeilen 6 bis 8: „ Example 1 “). 283 Ob die Änderungen nach Hilfsantrag 3B darüber hinaus so ausreichend deutlich und knapp gefasst sind, dass sie dem Klarheitserfordernis des § 84 EPÜ genügen und sich als patentfähig erweisen würden, kann daher dahinstehen. 284
  2. Hilfsantrag 3C 285 Der Gegenstand des Patentanspruchs 1 nach Hilfsantrag 3C geht über den Inhalt der Anmeldung in der ursprünglich eingereichten Fassung hinaus. Hilfsantrag 3C erweist sich daher als nicht zulässig. 286 3.1 Patentanspruch 1 nach Hilfsantrag 3C basiert auf Anspruch 1 gemäß Hauptantrag, wobei Merkmal 1.4 – wie bereits in Hilfsantrag 3A – dahingehend ergänzt ist, dass es sich beim Erzeugen der Entsperrantwort um eine Berechnung auf Basis der entschlüsselten Ressourcenautorisierung und weiteren Informationen handelt, wobei die Berechnung eine digitale Signaturfunktion ist. 287 Patentanspruch 1 lautet gemäß Hilfsantrag 3C mit gegenüber Anspruch 1 gemäß erteilter Fassung hervorgehoben Änderungen: 288 1.1 A method of authenticating a user to access a computer resource via a mobile device comprising: 1.2 storing an encrypted resource authorization ; 1.3 transmitting the encrypted resource authorization to at least one separate portable security token device; 1.4 H3A on the at least one separate portable security token device, decrypting the encrypted resource authorization and generating at least partially therefrom an unlock response , wherein generating the unlock response comprises performing a computation on a plain authorization, obtained by decrypting the encrypted resource authorization, and additional information, wherein the computation is a digital signature function ; 1.5 securely transmitting the generated unlock response to the mobile device; and 1.6 providing access via the mobile device to the computer resource if the required unlock response is valid; 1.7 H2.1 wherein a user is required to authenticate on the mobile device or on the at least one separate portable security token device , and 1.8 the user authentication is validated on the at least one separate portable security token device before the unlock response is sent. 289 Patentanspruch 1 nach Hilfsantrag 3C ist damit weiter gefasst als der jeweilige Anspruch 1 der Hilfsanträge 3A oder 3B, da die Einschränkungen in Merkmal 1.1 H2A , 1.6 H2A und 1.2 H1 fehlen. 290 Wie bereits in Hilfsantrag 2A hat die Beklagte Anspruch 1 auch gemäß Hilfsantrag 3C entsprechend der Alternativen des Merkmals 1.7 der erteilten Fassung in zwei Ansprüche aufgespalten. 291 Patentanspruch 2 gemäß Hilfsantrag 3C entspricht der Anspruchsfassung nach Hilfsantrag 2A. 292 3.2 Der Gegenstand des Patentanspruchs 1 gemäß Hilfsantrag 3C ergibt sich nicht zweifelsfrei und eindeutig aus der Stammanmeldung des Streitpatents. 293 Anspruch 1 gemäß Hilfsantrag 3C weist – wie bereits gemäß Hilfsantrag 3A – das Merkmal 1.4 H3A in unveränderter Form und ohne weitere Ergänzungen auf. Es gelten daher zu Anspruch 1 gemäß Hilfsantrag 3C die Ausführungen zur fehlenden Ursprungsoffenbarung des Merkmals 1.4 H3A zu Hilfsantrag 3A in gleicher Weise: Wie bereits zu Hilfsantrag 3A ausgeführt, handelt es sich bei Merkmal 1.4 H3A des Patentanspruchs 1 gemäß Hilfsantrag 3C um eine Zwischenverallgemeinerung hinsichtlich der einzigen Beschreibung einer digitalen Signaturfunktion in der Stammanmeldung (Seite 6, Zeilen 6 bis 8: „ Example 1 “). 294 Ob die Änderungen nach Hilfsantrag 3C darüber hinaus so ausreichend deutlich und knapp gefasst sind, dass sie dem Klarheitserfordernis des § 84 EPÜ genügen und sich als patentfähig erweisen, kann daher dahinstehen. 295
  3. Hilfsantrag 3D 296 Der Gegenstand des Patentanspruchs 1 nach Hilfsantrag 3D geht über den Inhalt der Anmeldung in der ursprünglich eingereichten Fassung hinaus. Hilfsantrag 3D erweist sich daher als nicht zulässig. 297 4.1 Patentanspruch 1 nach Hilfsantrag 3D umfasst die erstmals in Hilfsantrag 3A verwendete Einschränkungen des Merkmals 1.4 H3A sowie die Beschränkung des Speicherorts der Computerressource auf einem externen Server (Merkmale1.1 H2A und 1.6 H2A ). 298 Im Unterschied zu den Hilfsanträgen 3A bis 3C umfasst Hilfsantrag 3D nicht die Aufspaltung der Alternativen des Merkmals 1.7 der erteilten Fassung in zwei Patentansprüche. 299 Patentanspruch 1 lautet gemäß Hilfsantrag 3D mit gegenüber Anspruch 1 gemäß der erteilten Fassung hervorgehoben Änderungen: 300 1.1 H2A A method of authenticating a user to access a computer resource on a remote server via a mobile device comprising: 1.2 storing an encrypted resource authorization ; 1.3 transmitting the encrypted resource authorization to at least one separate portable security token device; 1.4 H3A on the at least one separate portable security token device, decrypting the encrypted r

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.