Beschwerdekammern des Europäischen Patentamts Entscheidung vom 12.02.2026 – T 1561/22

Beschwerde-Aktenzeichen: T 1561/22 - 3.5.06

E N T S C H E I D U N G

der Technischen Beschwerdekammer 3.5.06 vom 12. Februar 2026 Beschwerdeführerin:

(Patentinhaberin) Siemens Aktiengesellschaft Werner-von-Siemens-Straße 1 80333 München (DE) Vertreter:

Siemens Patent Attorneys Postfach 22 16 34 80506 München (DE) Beschwerdeführerin:

Boehmert & Boehmert Anwaltspartnerschaft mbB Pettenkoferstr. 22 80336 München (DE) (Einsprechende) Vertreter:

Bittner, Thomas L. Boehmert & Boehmert Anwaltspartnerschaft mbB Pettenkoferstrasse 22 80336 München (DE) Angefochtene Entscheidung:

Zwischenentscheidung der Einspruchsabteilung des Europäischen Patentamts über die Aufrechterhaltung des europäischen Patents Nr. 3451215 in geändertem Umfang, zur Post gegeben/elektronisch übermittelt am 2. Mai 2022.

Zusammensetzung der Kammer:

Vorsitzender Mitglieder:

M. Müller T. Alecu K. Kerber-Zubrzycka

Sachverhalt und Anträge

I. Die Beschwerden richten sich gegen die Entscheidung der Einspruchsabteilung, das Patent in geänderter Fassung auf Basis des damaligen Hilfsantrags 6 aufrechtzuerhalten. Die Einspruchsabteilung hat darüber hinaus entschieden, dass der Gegenstand von Anspruch 1 der damaligen Anträge 1 bis 5 nicht neu sei gegenüber D1: DE 10 2011 002 706 A1.

II. Am 12. Februar 2026 wurde eine mündliche Verhandlung vor der Kammer in Anwesenheit der Vertreter der beiden Beschwerdeführerinnen durchgeführt.

III. Die erste Beschwerdeführerin (Patentinhaberin) beantragte, die angefochtene Entscheidung aufzuheben und das Patent wie erteilt aufrechtzuerhalten. Hilfsweise beantragte sie die Aufrechterhaltung des Patents auf Basis eines der Hilfsanträge 1 bis 3 (eingereicht mit der Beschwerdebegründung) oder 6, 7 oder 8 aus dem Einspruchsverfahren (eingereicht mit der Beschwerdeerwiderung vom 13. Januar 2023).

IV. Die zweite Beschwerdeführerin (Einsprechende) beantragte, die angefochtene Entscheidung aufzuheben und das Patent zu widerrufen.

V. Anspruch 1 des Patents wie erteilt lautet:

Verfahren zum Betreiben einer Hardwareeinrichtung (1, 10), die zum Durchführen von mehreren unterschiedlichen Funktionen geeignet ist, umfassend:

Speichern (S1), in der Hardwareeinrichtung (1, 10), von mehreren Integritätsschutzprofilen (PI - P4) für die Hardwareeinrichtung (1, 10), wobei jedes Integritätsschutzprofil (PI - P4) einer der mehreren unterschiedlichen Funktionen zuweisbar ist und wobei jedes Integritätsschutzprofil (PI - P4) Sicherheitsmaßnamen zum Schützen einer Hardware der Hardwareeinrichtung (1, 10) gegen Manipulationen definiert; Auswählen (S2) eines Integritätsschutzprofils aus den mehreren Integritätsschutzprofilen (PI - P4) als ein ausgewähltes Integritätsschutzprofil über eine Schnittstelle (6) unter Berücksichtigung einer durch die Hardwareeinrichtung (1, 10) durchzuführende Funktion aus den mehreren unterschiedlichen Funktionen; und Durchführen (S3) der Sicherheitsmaßnamen des ausgewählten Integritätsschutzprofils; wobei das Durchführen der Sicherheitsmaßnamen zumindest umfasst:

Überwachen von Tampersensoren (30) der Hardwareeinrichtung (1, 10), die physikalische Eigenschaften der Hardwareeinrichtung (1, 10) erfassen.

VI. Anspruch 1 des Hilfsantrags 1 unterscheidet sich von Anspruch 1 des Hauptantrags dadurch, dass das folgende Merkmal hinzugefügt wurde:

wobei jedes Integritätsschutzprofil (P1 – P4) ferner Sicherheitsmaßnamen zum Schützen einer Software der Hardwareeinrichtung (1, 10) gegen Manipulationen definiert.

VII. Anspruch 1 des Hilfsantrags 2 unterscheidet sich von Anspruch 1 des Hilfsantrags 1 dadurch, dass die Hardwareeinrichtung als "ein Feldgerät oder ein Internet-der-Dinge-Gerät oder ein Steuergerät oder ein eingebettetes System" definiert wurde.

VIII. Anspruch 1 des Hilfsantrags 3 unterscheidet sich vom Anspruch 1 des Hilfsantrags 1 dadurch, dass die Hardwareeinrichtung als ein Feldgerät" definiert wurde.

IX. Anspruch 1 des Hilfsantrags 6 unterscheidet sich vom Anspruch 1 des Hilfsantrags 3 dadurch, dass das folgende Merkmal hinzugefügt wurde:

wobei Schwellwerte, die von Tampersensoren überwacht werden, abhängig vom ausgewählten Integritätsschutzprofil festgelegt werden.

X. Anspruch 1 des Hilfsantrags 7 unterscheidet sich vom Anspruch 1 des Hilfsantrags 6 dadurch, dass das folgende Merkmal hinzugefügt wurde:

wobei die Integritätsschutzprofile den unterschiedlichen Funktionen zugeordnet sind.

XI. Anspruch 1 des Hilfsantrags 8 unterscheidet sich vom Anspruch 1 des Hilfsantrags 7 dadurch, dass das folgende Merkmal hinzugefügt wurde:

wobei das Auswählen (S2) des Integritätsschutzprofils während einer Herstellung der Hardwareeinrichtung (1, 10) erfolgt.

Das Patent 1. Das Patent bezieht sich auf den Integritätsschutz einer Hardwareeinrichtung (Absatz 2), insbesondere auf ein eingebettetes System.

1.1 Die Hardwareeinrichtung ist dazu geeignet, unterschiedliche Funktionen wie Steuern, Speichern oder Berechnen auszuführen (Absatz 10). Es werden mehrere Integritätsschutzprofile verwendet, die den Funktionen zugeordnet sein können (Absatz 11). Ein Integritätsschutzprofil definiert Sicherheitsmaßnahmen zum Schutz der Hardwareeinrichtung, insbesondere die Erkennung einer Manipulation durch Überwachung von "Tampersensoren" sowie gegebenenfalls das Ausführen einer Notfunktion, z.B. das Ausgeben eines Meldesignals oder das Löschen von Daten (Absätze 25–35).

Hauptantrag und die ersten drei Hilfsanträge: Neuheit 2. Das Dokument D1 bezieht sich auf den Schutz von Sicherheitsmodulen gegen Manipulationsversuche, insbesondere in industriellen Feldgeräten (Absatz 1). Die Aufgabe in D1 besteht darin, die Geheimhaltung sicherheitsrelevanter Daten sicherzustellen (Absatz 7). D1 schlägt vor, eine "Zwischenschnittstelle" zwischen der Steuereinrichtung des Feldgeräts und dem Sicherheitsmodul vorzusehen, welche Manipulationsversuche durch die Überwachung von sogenannten Tampersensoren erkennen soll (Absätze 8, 9 und 25).

2.1 Bei einem erkannten Manipulationsversuch kann die Zwischenschnittstelle beispielsweise die Kommunikation zwischen der Steuereinrichtung 1 und dem Sicherheitsmodul sperren. Autorisierungscodes oder kryptografische Schlüsseldaten können dann nicht mehr weitergeleitet werden. Die Kommunikation "[kann] komplett gesperrt oder in Teilen eingeschränkt [werden]. Eine entsprechende Abstufung kann beispielsweise nach Schwere des Manipulationsversuchs vorgenommen werden" (Absatz 39).

2.2 Zusätzlich können auch die kryptographischen Schlüsseldaten gelöscht werden (Absatz 40).

3. Es ist zwischen den Parteien strittig, ob D1 Integritätsschutzprofile und die Auswahl eines Integritätsschutzprofils unter Berücksichtigung einer durch die Hardwareeinrichtung (1, 10) durchzuführenden Funktion offenbart.

4. Die Einspruchsabteilung war der Ansicht (Entscheidung, Punkt 25), dass die beanspruchten Begriffe Integritätsschutzprofile und Funktionen weit auszulegen seien. Die entsprechenden Merkmale seien in D1 dadurch offenbart (Punkte 26 und 27), dass - - - die Authentisierung und die Bereitstellung von gespeicherten kryptographischen Schlüsseldaten zwei durchzuführende Funktionen darstellten, und dass das Unterbinden der Datenübertragung zwischen der Steuereinrichtung und dem Sicherheitsmodul sowie das Löschen der kryptographischen Schlüsseldaten zwei verschiedene Sicherheitsmaßnahmen und dementsprechend Integritätsschutzprofile darstellten, welche den zwei benannten Funktionen zugeordnet werden könnten.

Die Argumente der Parteien 5. Der Patentinhaberin zufolge offenbare D1 nicht mehrere Integritätsschutzprofile im Sinne des Patents, und keine Möglichkeit, eines davon auszuwählen. Die Sicherheitsmaßnahmen seien Teil eines einzigen Sicherheitsprofils. Sie seien festgelegt und würden in unterschiedlichen Schritten des Verfahrens in D1 durchgeführt.

5.1 Ein Integritätsschutzprofil im Sinne des Anspruchs definiere mehrere Sicherheitsmaßnahmen und müsse als eine gespeicherte Liste von Sicherheitsmaßnahmen verstanden werden. Der Anspruch erfordere die Speicherung mehrerer solchen Integritätsschutzprofile, von denen abhängig von der durchgeführten Funktion eines ausgewählt würde. Es ginge um die Funktion der Einrichtung als Ganzes, nicht um untergeordnete Funktionen.

6. Die Einsprechende argumentiert, dass der Begriff des Integritätsschutzprofils weder im Anspruch noch in der Beschreibung definiert sei. Der Anspruch sage lediglich aus, dass ein Integritätsschutzprofil Sicherheitsmaßnahmen definiere, und das Patent selbst erkläre in Absatz 14, dass die Auswahl eines Integritätsschutzprofils, und damit der definierten Sicherheitsmaßnahmen, schon bei der Herstellung oder Projektierung der Einrichtung erfolgen könne. Dies sei in D1 der Fall.

6.1 Bei der Projektierung des Geräts in D1 habe der Programmierer die Wahl zwischen verschiedenen Sicherheitsmaßnahmen (z. B. Sperrung der Kommunikation, Löschung der Daten usw.). Er entscheide, welche Sicherheitsmaßnahmen in welchem Moment, beispielsweise bei der Authentisierung oder bei der Datenübertragung, durchzuführen sind, falls ein Manipulationsversuch detektiert wird. Somit offenbare D1 die Speicherung und Auswahl der durchzuführenden Sicherheitsmaßnahmen, die von der aktuellen Funktion der Hardware abhängen. Mehr verlange der Anspruch nicht.

Die Ansicht der Kammer 7. Die strittigen Begriffe müssen im Kontext des Anspruchs und unter Heranziehung der Beschreibung ausgelegt werden. Wie von der Einsprechenden vorgetragen, wird im Anspruch von einem Integritätsschutzprofil nur verlangt, dass es gespeichert ist, Sicherheitsmaßnahmen definiert und einer von der Hardwareeinrichtung durchzuführenden Funktionen zuweisbar ist.

8. Im Anspruch wird nicht verlangt, dass sich die Funktionen auf die gesamte Hardwareeinrichtung beziehen. Die Beschreibung enthält Beispiele, bei denen dies der Fall ist, aber auch andere, bei denen dies offen bleibt. Insbesondere die allgemein formulierten Funktionen in Absatz 10 des Patents (siehe auch Punkt 1.1 oben) betreffen gewöhnlich nicht die Hardwareeinrichtung "als Ganzes".

9. Es wird auch nicht verlangt, dass ein Integritätsschutzprofil eine Liste mit mehreren Sicherheitsmaßnahmen definiert. Es wird nur verlangt, dass "jedes Integritätsschutzprofil [...] Sicherheitsmaßnahmen [...] definiert". Die Kammer ist der Ansicht, dass mit diesem Plural eine oder mehrere Sicherheitsmaßnahmen definiert werden, denn unter Umständen ist nur eine einzige Sicherheitsmaßnahme zu ergreifen, beispielsweise das Ausschalten oder Deaktivieren der Hardwareeinrichtung (vgl. das Patent, Absatz 37).

10. Wie weiterhin von der Einsprechenden argumentiert, muss das relevante Integritätsschutzprofil nicht bei Gebrauch des Geräts erfolgen. Die Sicherheitsmaßnahmen und deren Zuordnung zu Funktionen können bei der Herstellung festgelegt (also vorprogrammiert) werden.

11. Es ergibt sich daraus, dass festgelegte (und somit "ausgewählte") und gespeicherte Sicherheitsmaßnahmen, die unterschiedlichen Funktionen der Hardwareeinrichtung zugeordnet sind (wobei die Funktionen aber nicht diese als Ganzes betreffen müssen), als Integritätsschutzprofile im Sinne des Anspruchs gelten müssen.

12. Gemäß dieser Auslegung ist der Gegenstand des Anspruchs 1 des Patents aus D1 bekannt, insbesondere mit Blick auf die von der Einspruchsabteilung identifizierten Sicherheitsmaßnahmen und Funktionen (siehe Punkt 4 hier oben).

13. Diese Schlussfolgerung gilt auch für die ersten drei Hilfsanträge. Patent wie aufrechterhalten ("Hilfsantrag 6") Zulassung und Klarheit 14. Die Einsprechende ist der Ansicht, dass das hinzugefügte Merkmal nicht klar sei (Beschwerdebegründung, Abschnitt V) und dass deshalb dieser Antrag "unzulässig" gewesen sei. Das Merkmal lautet:

wobei Schwellwerte, die von Tampersensoren überwacht werden, abhängig vom ausgewählten Integritätsschutzprofil festgelegt werden.

15. Die Kammer merkt an, dass es sich bei der Zulassung durch die Einspruchsabteilung um eine Ermessensentscheidung gehandelt hat. Die Einsprechende hat weder im Einspruchs- noch im Beschwerdeverfahren vorgetragen, dass die Einspruchsabteilung kein Ermessen gehabt hätte, oder dass sie ihr Ermessen fehlerhaft ausgeübt hätte. Die materielle Frage der Klarheit des hinzugefügten Merkmals hingegen wurde in der mündlichen Verhandlung vor der Einspruchsabteilung diskutiert (vgl. Punkt 7 aus der Niederschrift).

16. Auch die Kammer ist von den Klarheitseinwänden der Einsprechenden (siehe erneut Abschnitt V) nicht überzeugt, sondern der Ansicht, dass das genannte Merkmal klar ist.

16.1 Aus dem Wortlaut des Merkmals ergibt sich unmittelbar, dass es sich um mehrere Schwellwerte pro Sensor handelt, da diese abhängig vom Integritätsschutzprofil festgelegt werden. Auch die Beschreibung in Absatz 26, auf den die Einsprechende selbst verwiesen hat (Abschnitt IV.5), unterstellt diese Auslegung. Die von der Einsprechenden vorgeschlagene alternative Auslegung, dass für mehrere Tampersensoren jeweils genau ein Schwellwert vorgesehen sein könnte, erscheint der Kammer als künstlich.

Neuheit 17. Die Einsprechende argumentiert (Beschwerdebegründung, Abschnitt VI), dass D1 (Absatz 39, siehe 2.1 hier oben) eine Abstufung der Manipulationsversuche und die entsprechenden Sicherheitsmaßnahmen, d.h. Integritätsschutzprofile, offenbare. Die Abstufung könne nur auf zwei Weisen erfolgen: Entweder auf Basis des betroffenen Satzes von Sensoren oder auf Basis mehrerer Schwellwerte für jeden der überwachten Sensoren. Beide Alternativen würde der Fachmann in D1 mitlesen. Somit offenbare das Dokument D1 auch das hinzugefügte Merkmal.

18. Die Kammer ist von diesem Argument schon deswegen nicht überzeugt, weil weitere Alternativen möglich sind. Beispielsweise könnten die Sensorwerte kombiniert werden, bevor eine Entscheidung getroffen wird. Dementsprechend ist das hinzugefügte Merkmal nicht in D1 offenbart.

Erfinderische Tätigkeit 19. Die Einsprechende ist der Ansicht, dass die Verwendung mehrerer Schwellwerte zur Abstufung von Manipulationsversuchen für den Fachmann angesichts D1 naheliegend sei. D1 offenbare die Verwendung von Sensoren, die physikalische Werte messen, wie Druck oder Temperatur (Absatz 25). Bei der Umsetzung der Begriffe "Abstufung" oder "Schwere des Manipulationsversuchs" (Absatz 39) mit diesem Art von Sensoren würde der Fachmann Schwellwerte verwenden.

20. Die Patentinhaberin argumentiert, dass D1 selbst keine Verwendung von Schwellwerte offenbare. Die Sensoren in D1 seien Manipulation Sensoren, die binäre Signale ausgeben würden: Eine Manipulation wird detektiert oder nicht. Selbst wenn für die physikalischen Sensoren ein Schwellwert erforderlich sei, handele es sich dabei nur um einen Wert, der bei der Kalibrierung festgelegt wird, um ein binäres Signal zu erzeugen.

20.1 Die Verwendung mehrerer Schwellwerte sei auch nicht die einzige Möglichkeit, um die Schwere eines Manipulationsversuchs zu messen. Zum Beispiel könnte ein Manipulationsversuch, den mehrere Sensoren gleichzeitig melden, als schwerer eingestuft werden als einer, den nur ein einzelner Sensor meldet.

20.2 D1 deute eher auf diese zweite Möglichkeit hin, weil die Verwendung verschiedener Kombinationen von Sensoren ausdrücklich offenbart sei (Absatz 31, letzte 2 Sätze, und Absatz 34, erste zwei Sätze). Damit würde D1 dem Fachmann von der Verwendung mehrerer Schwellwerte ausdrücklich abraten ("teach away").

21. Die Kammer folgt dem Argument der Einsprechenden. Wenn zur Feststellung eines Manipulationsversuchs Sensoren verwendet werden, die eine kontinuierliche physikalische Größe wie Druck oder Temperatur messen, ist es unmittelbar naheliegend, den gemessenen Wert als einen Hinweis auf die "Schwere" des Manipulationsversuchs (vgl. D1, Absatz 39) zu interpretieren. Beispielsweise kann der gemessene Druck einen Hinweis darauf darstellen, ob der Manipulationsversuch mit der Hand oder mit einem Hammer erfolgt. Damit ist ein Vergleich der gemessenen Werte mit unterschiedlichen Schwellwerten (z. B. "kein Druck", "leichter Druck", "großer Druck") naheliegend.

21.1 Es ist richtig, dass auch andere Möglichkeiten existieren, die Schwere eines Manipulationsversuchs zu bewerten. Dies ändert jedoch nichts an der Tatsache, dass die Umsetzung durch einen Vergleich mit mehreren Schwellwerten naheliegend ist. Die Kammer sieht insbesondere kein "teaching away" in D1: D1 lässt schlicht offen, wie die Schwere eines Manipulationsversuchs zu bewerten ist, und verwirft weder die Verwendung mehrerer Schwellwerte, noch betont es eine Umsetzung durch Konstellationen von Sensoren als besonders vorteilhaft.

Die Absätze 31 und 34 sind insofern irrelevant.

22. Die Kammer kommt daher zum Schluss, dass Anspruch 1 dieses Antrags nicht auf einer erfinderischen Tätigkeit beruht. "Hilfsantrag 7" und "Hilfsantrag 8" 23. Die gleiche Schlussfolgerung gilt auch für diese Anträge, da der Inhalt der hinzugefügten Merkmale bei der Auslegung des Anspruchs schon mitbetrachtet wurde (siehe oben 8 und 10).

Entscheidungsformel

Aus diesen Gründen wird entschieden:

1. Die Entscheidung der Einspruchsabteilung wird aufgehoben.

2. Das Patent wird widerrufen. Die Geschäftsstellenbeamtin:

Der Vorsitzende:

L. Stridde Martin Müller