{"status":"available","ecli":"ECLI:DE:BGH:2021:130421UXZR36.19.0","court":"BGH","senate":"10. Zivilsenat","decided":"2021-04-13","aktenzeichen":"X ZR 36/19","doktyp":"Urteil","leitsatz":null,"text_plain":"BUNDESGERICHTSHOF\nIM NAMEN DES VOLKES\nURTEIL\nX ZR 36/19 Verkündet am:\n13. April 2021\nZöller\nJustizangestellte\nals Urkundsbeamtin\nder Geschäftsstelle\n\nin der Patentnichtigkeitssache\n\nECLI:DE:BGH:2021:130421UXZR36.19.0\n\nDer X. Zivilsenat des Bundesgerichtshofs hat auf die mündliche Verhandlung\nvom 13. April 2021 durch den Vorsitzenden Richter Dr. Bacher, die Richter\nDr. Grabinski, Hoffmann und Dr. Deichfuß sowie die Richterin Dr. Marx\n\nfür Recht erkannt:\n\nAuf die Berufung der Beklagten wird das Urteil des 2. Senats (Nichtigkeitssenats) des Bundespatentgerichts vom 29. November 2018\nabgeändert.\n\nDie Klage wird abgewiesen.\n\nDie Kosten des Rechtsstreits hat die Klägerin zu tragen.\n\nVon Rechts wegen\n\nTatbestand:\n\n1 Die Beklagte ist Inhaberin des mit Wirkung für die Bundesrepublik\nDeutschland erteilten europäischen Patents 965 094 (Streitpatents), das am\n6. November 1997 angemeldet worden ist und eine US-Priorität vom 8. November 1996 in Anspruch nimmt. Das Streitpatent betrifft ein Verfahren und ein System zum Schutz eines Computers und eines Netzes gegen feindliche herunterladbare Programme. Patentanspruch 1, auf den 26 weitere Ansprüche zurückbezogen sind, lautet in der Verfahrenssprache:\n\nA method of operating a computer system comprising an internal network security\nsystem (110) coupling at least one client computer with an external network (105),\nthe method comprising receiving, by said internal network security system, from\nsaid external network, executable application programs, herein referred to as\nDownloadables (602) addressed to said client computer, checking said\nDownloadables and passing or discarding said Downloadables characterised in\nthat the method includes examining said Downloadables according to a security\npolicy defined by at least one test, the method including conducting said test, by\nsaid internal network security system, on a received Downloadable addressed to\nsaid client computer, with reference to a Downloadable security profile, herein\nalso referred to as a DSP, comprising a list of suspicious computer operations\nthat the received Downloadable may attempt if executed, determining, by said\ninternal network security system, that said security policy has been violated if the\nDownloadable fails said test, and discarding the Downloadable and thereby\npreventing the Downloadable from passing to said client computer if the internal\nnetwork security system determines that said security policy has been violated.\n\n2 Die Klägerin, die wegen Verletzung des Streitpatents gerichtlich in Anspruch genommen wird, hat das Schutzrecht im Umfang der Ansprüche 1, 2, 7\nbis 10 und 26 angegriffen und geltend gemacht, der angegriffene Gegenstand\ngehe über den Inhalt der ursprünglich eingereichten Unterlagen hinaus und sei\nnicht patentfähig. Die Beklagte hat das Schutzrecht in der erteilten Fassung und\nhilfsweise in vierzehn geänderten Fassungen verteidigt.\n\n3 Das Patentgericht hat das Streitpatent im beantragten Umfang für nichtig\nerklärt. Hiergegen richtet sich die Berufung der Beklagten, die das Streitpatent\nmit ihren erstinstanzlichen Anträgen und einem zusätzlichen Hilfsantrag verteidigt. Die Klägerin tritt dem Rechtsmittel entgegen.\n\nEntscheidungsgründe:\n\n4 I. Die Berufung ist zulässig und hat auch in der Sache Erfolg.\n\n5 1. Das Streitpatent befasst sich mit dem Schutz eines Computers und\neines Computernetzes vor Schadprogrammen, die aus dem Internet heruntergeladen werden.\n\nIn der Beschreibung des Streitpatents wird ausgeführt, herkömmliche Programme würden als lokale Anwendungen auf einzelnen Computern betrieben.\nZum Schutz vor Schadprogrammen sei aus dem US-amerikanischen Patent\n5 412 717 (K13) ein System bekannt, bei dem der Benutzer Operationen festlegen könne, die einem Programm erlaubt oder verboten seien. Das untersuchte Programm werde in Quarantäne genommen und laufe zunächst in einem\nIsolationsmodus ab. Solche bekannten Sicherheitssysteme könnten nur Programme untersuchen, die bereits im Dateisystem des Computers gespeichert\nseien, nicht aber Scripts und Applets, die ein Webbrowser ohne lokale Speicherung auf einem Computer ausführe (Abs. 2).\n\n6 2. Vor diesem Hintergrund betrifft das Streitpatent das technische\nProblem, Computer und Netzwerke gegen Schadprogramme zu schützen, die\nohne lokale Speicherung ausgeführt werden.\n\n7 3. Zur Lösung dieses Problems schlägt das Streitpatent in Patentanspruch 1 ein Verfahren mit folgenden Merkmalen vor:\n\n8 1 A method of operating a computer Verfahren zum Betreiben eines\nsystem comprising Computersystems,\n2 an internal network security system mit einem internen Netzsicherheits-\n(110) coupling at least one client system (110), das mindestens\ncomputer with an external network einen Client-Computer mit einem\n(105), externen Netz (105) koppelt.\n3 the method comprising Das Verfahren umfasst\n3a receiving, by said internal network das Empfangen von an den Clientsecurity system, from said external Computer adressierten ausführbanetwork, executable application ren Anwendungsprogrammen\nprograms, herein referred to as (602) aus dem externen Netz durch\nDownloadables (602) addressed to das interne Netzsicherheitssystem,\nsaid client computer,\n3b checking said Downloadables and das Überprüfen und\n3c passing or discarding said Down- das Weitergeben oder das Verwerloadables; fen dieser Programme;\n4 the method includes das Verfahren umfasst ferner\n4a examining said Downloadables ac- das Untersuchen der Programme\ncording to a security policy defined anhand einer Sicherheitsrichtlinie,\nby at least one test, die durch mindestens einen Test\ndefiniert ist,\n4b conducting said test, by said inter- wobei der Test durch das interne\nnal network security system, Netzsicherheitssystem erfolgt, und\n- on a received Downloadable ad- zwar\ndressed to said client computer, - an einem empfangenen Pro-\n- with reference to a Down- gramm, das an den Client-Comloadable security profile, herein puter adressiert ist, und\nalso referred to as a DSP, com- - unter Bezugnahme auf ein Siprising a list of suspicious com- cherheitsprofil für empfangbare\nputer operations that the re- Programme (DSP), das eine\nceived Downloadable may at- Liste mit verdächtigen Computempt if executed, teroperationen umfasst, die das\nProgramm nach Aufruf möglicherweise auszuführen versucht,\n\n4c determining, by said internal net- die Feststellung durch das interne\nwork security system, that said se- Netzsicherheitssystem, dass die Sicurity policy has been violated if the cherheitsrichtlinie verletzt worden\nDownloadable fails said test, and ist, wenn das Programm den Test\nnicht besteht, und\n4d discarding the Downloadable and das Verwerfen des Programms und\nthereby preventing the Down- damit das Unterbinden von dessen\nloadable from passing to said client Weitergabe an den Client-Compucomputer if the internal network se- ter, wenn das interne Netzsichercurity system determines that said heitssystem eine solche Verletzung\nsecurity policy has been violated. der Sicherheitsrichtlinie feststellt.\n\n9 4. Im Hinblick auf einige Merkmale bedarf der Anspruch der Erläuterung.\n\n10 a) Entgegen der Auffassung der Beklagten und des Patentgerichts\nmuss das interne Netzsicherheitssystem im Sinne von Merkmal 2 auf einem von\ndem ebenfalls in Merkmal 2 vorgesehenen Client-Computer verschiedenen Gerät\nangesiedelt sein.\n\n11 aa) Bei dem in der Beschreibung des Streitpatents geschilderten Ausführungsbeispiel ist das Sicherheitssystem als Verbindungsstelle zwischen dem\nexternen und dem internen Netz ausgestaltet. Dies ist in der nachfolgend wiedergegebenen Figur 1 wie folgt dargestellt:\n\n12 Das Sicherheitssystem (110) ist über einen Kommunikationskanal (125)\nmit dem externen Netz (105) und über einen Kommunikationskanal (130) mit dem\ninternen Netz (115) verbunden (Abs. 10). Es verhindert, dass verdächtige Programme das interne Netz (115) erreichen (Abs. 11). Ein untersuchtes Programm,\ndas als unbedenklich eingestuft worden ist, wird an den vorgesehenen Empfänger weitergeleitet (Abs. 39 Z. 13-16).\n\n13 bb) Ob die damit beschriebenen Funktionen auch dadurch verwirklicht\nwerden können, dass das Sicherheitssystem als Softwarekomponente in einer\nisolierten Laufzeitumgebung auf dem Client läuft und nur Programme, die den\nTest bestehen, an die für den realen Betrieb vorgesehene Laufzeitumgebung\n\ndesselben Clients weitergegeben werden, bedarf keiner abschließenden Entscheidung. Selbst wenn dies zu bejahen wäre, fiele eine solche Ausgestaltung\nnicht unter den Wortsinn von Patentanspruch 1.\n\n14 (1) Patentanspruch 1 sieht vor, dass das Sicherheitssystem ein an den\nClient-Computer adressiertes Programm aus dem externen Netz empfängt\n(Merkmal 3a) und dieses nur dann an den Client-Computer weitergibt (Merkmal 3c), wenn es sich beim Test als unbedenklich erwiesen hat (Merkmal 4d).\n\n15 Nach dem Wortlaut dieser Merkmale genügt es nicht, wenn das Testergebnis für die Weitergabe an eine bestimmte Softwarekomponente oder Laufzeitumgebung auf dem Client-Computer maßgeblich ist. Vielmehr muss es für\ndie Weiterleitung des Programms an den Computer selbst ausschlaggebend\nsein.\n\n16 (2) Dieses Verständnis steht in Einklang mit den oben aufgezeigten\nAusführungen in der Beschreibung des Streitpatents, die die in K13 offenbarte\nVorgehensweise, ein als schädlich eingestuftes Anwendungsprogramm auf dem\nComputer, auf dem es ausgeführt werden soll, unter Quarantäne zu stellen, als\nnicht mehr zeitgemäß bezeichnen.\n\n17 Die Untersuchung eines Programms vor dessen Weiterleitung an den Zielrechner gehört zu den Merkmalen, mit denen sich das Streitpatent von diesem\nStand der Technik abgrenzt.\n\n18 (3) Dieser Bedeutungsgehalt steht zudem in Einklang mit dem oben\ndargestellten Ausführungsbeispiel, bei dem das Sicherheitssystem an einer anderen Stelle der Netzwerkumgebung angesiedelt ist als die zum internen Netzwerk gehörenden Client-Computer.\n\n19 (4) Eine andere Beurteilung ergibt sich nicht daraus, dass es nach\nMerkmal 2 ausreicht, wenn das Sicherheitssystem einen einzigen Computer mit\neinem externen Netz koppelt.\n\n20 Auch für diese Konstellation gelten die oben aufgezeigten Vorgaben, wonach ein Programm vor der Weiterleitung an den Zielcomputer zu untersuchen\nist.\n\n21 (5) Aus den Ausführungen am Ende der Beschreibung, wonach die Erfindung auch in einem System für den Schutz eines individuellen Computers verwirklicht sein kann und ihre Bestandteile wahlweise durch einen programmierten\nUniversalcomputer, durch anwendungsspezifische integrierte Schaltkreise oder\ndurch ein Netzwerk aus miteinander verbundenen konventionellen Komponenten\nund Schaltkreisen implementiert werden können (Abs. 43), ergibt sich vor diesem\nHintergrund ebenfalls keine abweichende Beurteilung.\n\n22 Dass die Funktion des Systems sich auf den Schutz eines einzelnen Computers beschränken kann, ist im Wortlaut von Merkmal 2 ausdrücklich vorgesehen. Wie bereits oben dargelegt wurde, muss auch in dieser Konstellation die\nPrüfung erfolgen, bevor das zu untersuchende Programm an den Zielrechner\nweitergeleitet wird. Bei dieser Ausgangslage ergibt sich auch aus den Ausführungen zu den unterschiedlichen Arten von Hardware, mit denen die Erfindung ausgeführt werden kann, kein hinreichend deutlicher Hinweis darauf, dass diese\nHardware mit dem Zielrechner eine Einheit bilden kann.\n\n23 cc) Angesichts dessen kann den Merkmalen 2, 3a, 3c und 4d auch\ndann kein weitergehender Bedeutungsgehalt beigemessen werden, wenn eine\nAnordnung des Sicherheitssystems in einer gesicherten Laufzeitumgebung als\ngleichwirkend anzusehen ist, wie dies das Patentgericht angenommen hat. Eine\nsolche Auslegung fände nur dann eine Stütze in der Beschreibung, wenn dieser\nHinweise darauf zu entnehmen wären, dass die Begriffe \"Netzsicherheitssystem\"\nund \"Client-Computer\" lediglich Funktionen beschreiben, nicht aber voneinander\ngetrennte und in unterschiedlichen Bereichen der Netzwerkumgebung angesiedelte Geräte. Solche Hinweise enthält die Beschreibung nicht.\n\n24 Ob eine Ausgestaltung in dem zuletzt genannten Sinne als Verwirklichung\nmit äquivalenten Mitteln anzusehen wäre, ist für das Nichtigkeitsverfahren nicht\nvon Bedeutung.\n\n25 b) Ein herunterladbares Programm (Downloadable) im Sinne von\nMerkmal 3a ist eine Software, die nicht schon im Voraus auf dem zur Ausführung\nbestimmten Computer gespeichert wird, sondern unmittelbar vor der Ausführung\naus einem externen Netzwerk angefordert und heruntergeladen wird, typischerweise durch einen Internetbrowser oder eine Web-Engine. Als Beispiele nennt\ndie Streitpatentschrift Java-Applets, JavaScript-Skripte, ActiveX-Steuerelemente\nund Visual-Basic-Programme (Abs. 4).\n\n26 c) Zentrale Bedeutung kommt dem in Merkmal 4b vorgesehenen Test\nanhand eines Sicherheitsprofils (downloadable security profile, DSP) zu.\n\n27 aa) Das Sicherheitsprofil umfasst gemäß Merkmal 4b eine Liste mit verdächtigen Computeroperationen, die das untersuchte Programm nach seinem\nStart möglicherweise auszuführen versucht.\n\n28 Zu Recht ist das Patentgericht zu dem Ergebnis gelangt, dass als verdächtig in diesem Sinne nicht nur solche Operationen anzusehen sind, die zur Verwerfung des Programms führen. Die Liste darf vielmehr auch solche Operationen\nenthalten, die zwar potentiell schädlich sind, bei einer nachfolgenden Überprüfung aber aufgrund der im jeweiligen Kontext geltenden Sicherheitsvorgaben\ndoch akzeptiert werden.\n\n29 (1) Die Funktion des Sicherheitsprofils besteht nach der Beschreibung\ndes Streitpatents nicht darin, dass ein Eintrag in der Liste zwingend zum Ausschluss des Programms führt. Die Liste mit verdächtigen Programmoperationen\n\ndient vielmehr als Grundlage für einen Abgleich mit Zugangslisten (access control lists, ACL 410), die in der jeweils herangezogenen Sicherheitsrichtlinie\n(security policy 305) enthalten sind (Abs. 25 Z. 35-43).\n\n30 Hierzu sind in einer Datenbank unterschiedliche Sicherheitsrichtlinien und\nRegeln zu deren Auswahl hinterlegt. So können zum Beispiel besondere Richtlinien für einzelne Nutzer, Nutzergruppen oder Programme definiert sein\n(Abs. 18). Je nach den Umständen kann die Zugangsliste etwa vorsehen, dass\nProgramme, die die Operation WRITE ausführen, nicht zugelassen werden.\nDann werden Programme zurückgehalten, deren Sicherheitsprofil diese Operation enthält (Abs. 25 Z. 43-47).\n\n31 In Einklang damit sieht die Beschreibung vor, dass in das Sicherheitsprofil\nalle potentiell feindlichen und schädlichen Computeroperationen aufgenommen\nwerden (Abs. 16). Dies können alle Operationen sein, die unter irgendeinem Gesichtspunkt als potentiell feindlich angesehen werden könnten (Abs. 22 Z. 56 ff.).\n\n32 (2) Merkmal 4b greift diese Funktion auf.\n\n33 Anders als die Beschreibung stellt Merkmal 4b zwar nicht auf potentiell\nfeindliche, sondern nur auf verdächtige Operationen ab. Hieraus ergibt sich aber\nschon deshalb kein abweichender Sinngehalt, weil die Beschreibung diese Begriffe als Synonyme gebraucht.\n\n34 Darüber hinaus sieht Merkmal 4b vor, dass der Test unter Bezugnahme\nauf ein Sicherheitsprofil erfolgt. Dies steht in Einklang mit den Ausführungen in\nder Beschreibung, wonach das Sicherheitsprofil dem Abgleich mit einer vorgegebenen Zugangsliste dient, ein Eintrag im Sicherheitsprofil also nur dann zum Ausschluss des untersuchten Programms führt, wenn er mit den im Einzelfall maßgeblichen Vorgaben nicht vereinbar ist.\n\n35\n\nbb) Merkmal 4b setzt voraus, dass das Sicherheitsprofil erstellt worden\nist, ohne das zu untersuchende Programm auf dem Sicherheitssystem (110) oder\ndem Zielrechner auszuführen.\n\n36 Nach der Beschreibung des Streitpatents sind die Sicherheitsprofile für\nbereits bekannte Programme im System hinterlegt. Steht ein solches Profil nicht\nzur Verfügung, wird es mit Hilfe eines Codescanners (325) erstellt. Dieser nutzt\nbekannte Suchtechniken, um den Programmcode zu zerlegen (Abs. 22\nZ. 41-50).\n\n37 Diese Details haben in Patentanspruch 1 zwar keinen Niederschlag gefunden. Die darin definierte Anforderung, wonach das Sicherheitsprofil Operationen auflistet, die das Programm nach Aufruf (if executed) möglicherweise auszuführen versucht, bringt aber zum Ausdruck, dass die Liste schon vor dem Aufruf\nerstellt worden ist (Abs. 8 Z. 50-56 und Abs. 11 Z. 43-46).\n\n38 cc) Ob als Computeroperationen im Sinne von Merkmal 4b nur Befehle\nanzusehen sind, die ähnlich wie die in der Beschreibung angeführten Beispiele\nRead a file, Listen on a Socket, Read a registry item oder Exit Windows auf einer\nhöheren Ebene angesiedelt sind, oder ob auch einzelne Befehle auf der Ebene\nder Maschinensprache in Betracht kommen, ist für die Entscheidung über den\nRechtsbestand des Streitpatents nicht von Bedeutung.\n\n39 II. Das Patentgericht hat seine Entscheidung im Wesentlichen wie\nfolgt begründet:\n\n40 Der Gegenstand von Patentanspruch 1 beruhe ausgehend von der internationalen Anmeldung WO 95/33237 (K9) in Verbindung mit dem Benutzerhandbuch zu der Software ThunderBYTE der ESaSS B.V. (K4) nicht auf erfinderischer\nTätigkeit.\n\n41\n\nK9 betreffe ein Verfahren zum Betreiben eines Computerprogramms in\neiner virtuellen Umgebung, um Dateien auf mögliche Computerviren zu untersuchen und gegebenenfalls zu entfernen, bevor sie auf dem eigentlichen Computersystem aktiv werden könnten. Zwar offenbare K9 kein Sicherheitsprofil mit\neiner Liste verdächtigter Computeroperationen. Die durchgeführten zyklischen\nRedundanzprüfungen könnten aber nachweisen, ob bei der Emulation des Programms verdächtigte Computeroperationen stattgefunden hätten.\n\n42 K4 offenbare eine Antivirensoftware mit mehreren Modulen. Ein Modul\nTbScan sei dazu ausgelegt, an ausführbaren Programmdateien Signaturscans\nund heuristische Analysen vorzunehmen. Ein speicherresidentes Modul\nTbScanX untersuche Dateien, während sie aus dem Netzwerk heruntergeladen\nwürden. Die Dateien würden zerlegt und auf verdächtige Computeroperationen\nuntersucht. Hierzu würden Kennzeichnungen (heuristic flags) eingesetzt, denen\njeweils eine Punktzahl zugeordnet sei. Wenn die ermittelte Punktzahl einen vordefinierten Grenzwert überschreite, werde das untersuchte Programm als virusbehaftet betrachtet. TbScan erzeuge Listen solcher Kennzeichnungen, die während der Überprüfung am Bildschirm gelesen oder in eine Logdatei geschrieben\nwerden könnten.\n\n43 Der Fachmann, ein Informatiker mit Hochschulabschluss, der über mehrjährige praktische Erfahrung auf dem Gebiet der Sicherheitstechnik für Computer\nund Computernetzwerke verfüge, sei angesichts wachsender Bedrohung durch\nSchadprogramme bestrebt gewesen, Sicherheitslücken in Computernetzwerken\nzu schließen. Daher habe er ausgehend von K9 Anlass gehabt, nach weiteren\nMaßnahmen zum Virenschutz zu suchen. Zur Erhöhung der Sicherheit in einem\nComputernetzwerk habe es nahegelegen, die wenig performante und ressourcenintensive Emulation der K9 zusätzlich mit einem Signaturscanner und einem\nheuristischen Scanner nach dem Vorbild des speicherresidenten Moduls\nTbScanX der K4 zu kombinieren.\n\n44\n\nDie mit den Hilfsanträgen verteidigten Gegenstände beruhten ebenfalls\nnicht auf erfinderischer Tätigkeit.\n\n45 III. Diese Beurteilung hält den Angriffen der Berufung in einem entscheidenden Punkt nicht stand.\n\n46 1. Zutreffend hat das Patentgericht entschieden, dass der Gegenstand von Patentanspruch 1 in der erteilten Fassung neu ist.\n\n47 a) In K9 sind die Merkmale von Patentanspruch 1 nicht vollständig offenbart.\n\n48 aa) K9 betrifft ein Verfahren und eine Vorrichtung zum Detektieren von\nViren.\n\n49 Nach der Beschreibung von K9 bestand die gebräuchlichste Methode zur\nErkennung von Computerviren darin, Datenträger auf bekannte Muster zu untersuchen. Dies sei nachteilig, weil die zum Vergleich benötigten Daten ständiger\nAktualisierung bedürften. Außerdem müsse das Programm häufig aufgerufen\nwerden, insbesondere dann, wenn Daten über Disketten eingespielt würden.\nDarüber hinaus bestehe die Gefahr, dass das Programm nicht ordnungsgemäß\nfunktioniere, wenn der Rechner, auf dem es laufe, bereits infiziert sei (S. 3 unten\nbis S. 4 unten).\n\n50 Zur Lösung schlägt K9 vor, die zu untersuchenden Daten zunächst einem\nanderen Computer zuzuführen, der mit einem anderen Betriebssystem läuft als\nder Zielrechner, aber dessen Betriebssystem emuliert. Hierdurch soll ein Virus\nveranlasst werden, seine Aktivitäten zu entfalten (S. 5 unten bis S. 8 oben). Der\nAufbau einer solchen Virenfalle (virus trapping device) ist in der nachfolgend wiedergegebenen Figur 1 schematisch dargestellt.\n\n51 Die Vorrichtung nimmt Daten, die für einen anderen Computer bestimmt\nsind, über eine oder mehrere Quellen (24) entgegen. Die zu untersuchenden Daten werden in die Emulationsumgebung (48) geladen. Dadurch wird dem Virus\nder Eindruck vermittelt, er befinde sich auf dem Zielcomputer (S. 6 Abs. 2, S. 9).\nEr kann seine Aktivitäten innerhalb der Emulationsumgebung frei entfalten, wird\naber durch das Betriebssystem der Virenfalle an einem Zugriff auf andere Rechner gehindert (S. 11 Abs. 2).\n\n52 Um unerwünschte Aktivitäten erkennen zu können, werden für alle Dateien in der Emulationsumgebung, für die Tabelle der Unterbrechungsanforderungen (interrupt request table, IRQ table) und für die Dateizuordnungstabelle\n(file allocation table, FAT) mittels zyklischer Blockprüfung (Cylic Redundancy\nCheck, CRC) Prüfsummen erstellt. Diese werden außerhalb der Emulationsumgebung gespeichert. Danach wird das zu untersuchende Programm gestartet.\nWenn es Änderungen an IRQ table, FAT oder anderen kritischen Daten vornimmt, wird es als Virus eingestuft (S. 12 f.). Dann wird ein Alarm ausgelöst\n(S. 14 oben). Wenn kein Virus entdeckt worden ist, wird das untersuchte Datenpaket für den Zielcomputer freigegeben (S. 14 unten).\n\n53 bb) Damit sind, wie das Patentgericht zutreffend und unangegriffen angenommen hat, die Merkmale 1 bis 4a und das Merkmal 4d offenbart.\n\n54 cc) Ebenfalls zu Recht hat das Patentgericht angenommen, dass ein\nSicherheitsprofil im Sinne der Merkmale 4b und 4c in K9 nicht offenbart ist.\n\n55 Der in K9 vorgesehene Vergleich von CRC-Prüfsummen ermöglicht zwar\ndie Feststellung, ob das untersuchte Programm verdächtige Operationen durchgeführt hat. Die als Beispiel angeführten Änderungen an IRQ table, FAT und Dateien sind auch auf einer vergleichbaren Programmierebene angeordnet wie die\nin der Beschreibung des Streitpatents angeführten Operationen. Solche Operationen können in K9 jedoch nur dadurch festgestellt werden, dass das zu untersuchende Programm in der geschützten Umgebung gestartet wird. Eine Analyse\nohne das zu untersuchende Programm auf dem Sicherheitssystem oder dem\nZielrechner auszuführen, findet damit nicht statt. Dies ist aus den oben genannten Gründen zur Verwirklichung von Merkmal 4b nicht ausreichend.\n\n56 b) In K4 sind die Merkmale von Patentanspruch 1 ebenfalls nicht vollständig offenbart. Deshalb kann offenbleiben, ob das Handbuch zum Stand der\nTechnik gehört.\n\n57 aa) K4 beschreibt verschiedene Module einer Virenschutzsoftware für\nComputer mit dem Betriebssystem DOS.\n\n58 (1) Ein als TbScan bezeichnetes Modul dient der Überprüfung von ausführbaren Programmdateien, die auf einem Datenträger gespeichert sind. Hierbei\nwird ein Signaturscanner eingesetzt, der anhand einer regelmäßig aktualisierten\nListe von Signaturen nach bekannten Viren sucht (S. 1).\n\n59 Ergänzend erfolgt eine heuristische Analyse, um auch neue und unbekannte Viren erkennen zu können. Hierzu wird die zu untersuchende Datei disassembliert und auf verdächtige Befehlssequenzen untersucht (S. 154). Das Ergebnis dieser Untersuchung wird mit besonderen Markierungen (heuristic flags)\n\nkenntlich gemacht, die aus einzelnen Buchstaben bestehen. Kleinbuchstaben\ndeuten auf Besonderheiten hin, denen Informationswert zukommt, Großbuchstaben zeigen ernsthaftere Gefahren an (S. 76 unter 3.2.5). Dazu gehören zum Beispiel verdächtige Speicherzuweisungen (S. 181 unter A), direkte Zugriffe auf\neinen Datenträger (S. 182 unter D) und die Suche nach Dateien mit den Endungen .com oder .exe (S. 184 unter S). Jeder Kennzeichnung ist eine Punktzahl\nzugeordnet. Übersteigt die Summe der Punktzahlen einen vordefinierten Grenzwert, wird die Datei als virusbehaftet betrachtet (S. 155 unter 4.3.2). Die zugewiesenen Kennzeichnungen können während der Überprüfung am Bildschirm\nausgegeben oder in eine Logdatei geschrieben werden (S. 73 f.).\n\n60 (2) Ein Modul namens TbScanX wird als speicherresidente Version von\nTbScan bezeichnet. Dieser Signaturscanner verbleibe dauerhaft im Speicher und\nscanne Dateien, die ausgeführt, kopiert, einem Archiv entnommen, heruntergeladen oder in ähnlicher Weise aufgerufen würden (S. 2 Mitte).\n\n61 Damit soll die Sicherheitslücke geschlossen werden, die verbleibt, weil\nTbScan nur diejenigen Dateien untersuchen kann, die bei der Ausführung dieses\nModuls bereits auf der Festplatte gespeichert sind (S. 84 unter 3.4.1). Wenn\nTbScanX eine verdächtige Signatur entdeckt, gibt das Modul eine Meldung aus\n(S. 90 unten). Mittels eines beim Aufruf des Moduls einstellbaren Startparameters kann festgelegt werden, dass verdächtige Operationen stattdessen\nungefragt unterbunden werden (S. 89: secure). Um den Namen eines Virus auszugeben, benötigt das Modul Zugriff auf die Datei mit den Virensignaturen. Es\nentdeckt Viren auch dann, wenn diese Datei nicht zugänglich ist; dann zeigt es\ndiese mit dem Zusatz \"(Name unknown)\" an (S. 91).\n\n62 Der Speicherbedarf von TbScanX wird für den Fall, dass alle Funktionen\naktiviert sind und das Modul nach 1.400 Familiensignaturen sucht, mit 30 Kilobyte\nangegeben (S. 148 oben). Mit Hilfe der Optionen EMS und XMS kann das Modul\nin den nicht von DOS genutzten Speicherbereich verlagert werden. Dann verbleibt nur ein Kilobyte im DOS-Speicher (S. 148 unten).\n\n63 bb) Damit sind, wie auch die Berufung nicht in Zweifel zieht, die Merkmale 1, 3b, 3c, 4a und 4d offenbart.\n\n64 cc) Entgegen der Auffassung des Patentgerichts ist Merkmal 4b nur für\ndas Modul TbScan offenbart, nicht aber für TbScanX.\n\n65 (1) Entgegen der Auffassung der Klägerin verwirklicht der in K4 für\nbeide Module vorgesehene Signaturscanner das Merkmal 4b nicht.\n\n66 Dabei kann dahingestellt bleiben, ob und unter welchen Voraussetzungen\nein Vergleich mit der vom Europäischen Institut für Computer-Antiviren-Forschung (EICAR) entwickelten Testdatei das Merkmal 4b verwirklicht. Aus K4 geht\nnicht hervor, dass diese Datei herangezogen wird.\n\n67 Eine Suche anhand von vorgegebenen Signaturen, wie sie in K4 offenbart\nist, reicht zur Verwirklichung von Merkmal 4b nicht aus, weil der Inhalt der Signatur allein von der in der Datei enthaltenen Zeichenfolge abhängt, nicht aber zwingend davon, welche Befehle oder Operationen diese Zeichenfolge repräsentiert.\n\n68 (2) Demgegenüber ist Merkmal 4b bei der in K4 für das Modul TbScan\nbeschriebenen heuristischen Suche verwirklicht.\n\n69 (a) Auch in diesem Zusammenhang kann offenbleiben, ob als Computeroperationen im Sinne von Merkmal 4b nur solche Befehle angesehen werden\nkönnen, die auf einer höheren Ebene angeordnet sind. Zumindest die oben beispielhaft angeführten Befehlssequenzen, für die K4 eine Markierung mit einem\nGroßbuchstaben vorsieht, gehören zu einer solchen Ebene.\n\n70 Dem steht nicht entgegen, dass TbScan die zu untersuchende Datei\ndisassembliert, also auf einer vergleichsweise niedrigen Ebene analysiert. Die\nauf einen Verdacht hinweisenden Kennzeichnungen beziehen sich nicht auf einzelne Befehle auf dieser Ebene, sondern auf Befehlssequenzen, die auf ungewöhnliche Aktivitäten hindeuten. Die hierbei beispielhaft aufgeführten Aktivitäten\nwie verdächtige Speicherzuweisungen, direkte Zugriffe auf einen Datenträger\n\noder Suchvorgänge im Hinblick auf Dateien mit den Endungen .com oder .exe\nsind hinsichtlich ihres Abstraktionsgrads vergleichbar mit den in der Beschreibung des Streitpatents beispielhaft angeführten Operationen wie etwa Read a\nfile, Listen on a Socket, Read a registry item oder Exit Windows.\n\n71 (b) Die in K4 offenbarte Zuordnung von Zahlenwerten und der Vergleich mit einem Höchstwert ist ein Test im Sinne von Merkmal 4b.\n\n72 Diese Maßnahmen führen dazu, dass die vom Modul TbScan ermittelten\nverdächtigen Operationen zu einer Einordnung als Virus und - bei Aufruf des entsprechenden Startparameters - zum automatischen Blockieren des Programms\nführen. Dass K4 nicht näher aufzeigt, welche Zahlenwerte den einzelnen Kennzeichnungen zugeordnet sind und welche Schwellenwerte verwendet werden, ist\nunerheblich, weil auch Patentanspruch 1 insoweit keine näheren Vorgaben enthält.\n\n73 Zutreffend hat das Patentgericht ferner angenommen, dass die in K4 vorgesehene Auswertung und Anzeige der Kennzeichnungen voraussetzt, dass\ndiese zumindest temporär zwischengespeichert werden.\n\n74 (3) Entgegen der Auffassung des Patentgerichts ergibt sich aus K4 jedoch nicht unmittelbar und eindeutig, dass die für TbScan beschriebene heuristische Suche auch bei TbScanX zum Einsatz kommt.\n\n75 Für das vom Patentgericht zugrunde gelegte Verständnis spricht allerdings der in der Einleitung von K4 enthaltene Hinweis, TbScanX sei die speicherresidente Variante von TbScan. Schon im nachfolgenden Satz ist aber von \"diesem Signaturenscanner\" (this signature scanner) die Rede. Vor diesem Hintergrund lässt sich der Bezeichnung als Variante nicht eindeutig entnehmen, dass\nder Funktionsumfang der beiden Module identisch ist.\n\n76 Gegen einen identischen Funktionsumfang spricht der von der Berufung\nangeführte Umstand, dass sich die Listen der Startparameter der beiden Module\n\nunterscheiden und dass in der Liste der Parameter für TbScanX (S. 86 ff. unter\n3.4.3) insbesondere diejenigen Parameter aus der Liste für TbScan (S. 62 ff. unter 3.2.3: heuristic, noautohr, expertlog) nicht vorgesehen sind, mit denen bei\nTbScan das Verhalten der heuristischen Suche beeinflusst werden kann. Damit\nsteht in Einklang, dass bei der Beschreibung der Anzeige eines Prüfergebnisses\nfür TbScan Beispiele mit heuristic flags angeführt werden (S. 155 oben), während\nfür TbScanX nur Meldungen gezeigt werden, aus denen sich ergibt, dass ein bestimmter Virus gefunden wurde (S. 90 f. unter 3.4.4).\n\n77 Bei dieser Ausgangslage lassen sich auch aus den Angaben zum Speicherbedarf keine eindeutigen Schlussfolgerungen ziehen. Zwar mag der geringere Speicherbedarf von TbScanX auch darauf zurückzuführen sein, dass die\nBenutzeroberfläche weniger umfangreich ist. Diese Schlussfolgerung ist aber\nnicht zwingend. Ergänzende Angaben, die eine zusätzliche Stütze dafür bilden\nkönnten, sind nicht ersichtlich. Der Umstand, dass als für den Speicherbedarf von\nTbScan maßgeblicher Faktor nur die Anzahl der eingesetzten Familiensignaturen\nausdrücklich angeführt wird, spricht sogar eher gegen diese Deutung.\n\n78 Ebenfalls keine eindeutigen Schlussfolgerungen ergeben sich aus dem\nUmstand, dass die Erkennung von Viren auch ohne Zugriff auf die Signaturdatei\nmöglich bleibt. Wie die Berufung zu Recht geltend macht, kann diese Funktionalität auch darauf beruhen, dass das Modul die Virensignaturen selbst im Speicher\nhält und nur die Namen aufgefundener Viren bei Bedarf aus der Datei ausliest.\nFür diese Deutung zudem spricht der bereits erwähnte Umstand, dass die Zahl\nder eingesetzten Familiensignaturen ausdrücklich als maßgeblicher Faktor für\nden Speicherbedarf benannt wird.\n\n79 (4) Für eine Vernehmung des Zeugen Z. besteht kein Anlass.\n\n80 Die in das Wissen des Zeugen gestellte Behauptung, das Modul TbScanX\nhabe am Prioritätstag eine heuristische Suche umfasst, wie sie K4 für das Modul\nTbScan beschreibt, ist für die Ermittlung des Offenbarungsgehalts von K4 nicht\n\nvon Bedeutung. Welcher Offenbarungsgehalt K4 zukommt, hängt nicht davon ab,\nwelche Funktionen die darin beschriebene Software tatsächlich aufgewiesen hat,\nsondern allein davon, was den schriftlichen Ausführungen in der Entgegenhaltung zu entnehmen ist.\n\n81 Dass die behauptete Funktionalität von TbScanX am Prioritätstag unabhängig von K4 öffentlich bekannt oder durch Benutzung der Software erkennbar\nwar, ergibt sich aus dem Vorbringen der Klägerin nicht.\n\n82 dd) Entgegen der Auffassung der Klägerin ist auch Merkmal 2 nicht offenbart.\n\n83 Die in K4 beschriebene Software läuft auf dem Zielrechner, der vor den\ngesuchten Viren geschützt werden soll. Wie bereits oben ausgeführt wurde,\nreicht dies zur Verwirklichung von Merkmal 2 nicht aus.\n\n84 Unabhängig davon ist aus K4 nicht ersichtlich, dass die Module TbScan\nund TbScanX in einer von den übrigen Programmen isolierten Betriebssystemumgebung laufen, wie dies das Patentgericht für die Verwirklichung von\nMerkmal 2 als ausreichend angesehen hat.\n\n85 c) In der Veröffentlichung von Swimmer et al. (Dynamic detection and\nclassification of computer viruses using general behaviour patterns, Virus Bulletin\nConference 1995, 75, K8) ist der Gegenstand von Patentanspruch 1 ebenfalls\nnicht vollständig offenbart.\n\n86 aa) K8 offenbart ein Verfahren zur Entdeckung von Computerviren.\n\n87 Als gebräuchlichste Methode zum Erkennen von Viren wird in K8 das\nSuchen nach bestimmten Mustern bezeichnet. Diese Vorgehensweise werde\ndurch verschlüsselte und polymorphe Viren erschwert. Als neuer Ansatz habe\nsich die heuristische Suche entwickelt. Diese führe aber zu einer relativ hohen\nRate an falsch-positiven Ergebnissen (S. 77 unter 2.2).\n\n88 Als weitere Möglichkeit wird das Beobachten von für Viren typischen Replikationsvorgängen angeführt. Unter dem Betriebssystem DOS sei dies aber nur\neingeschränkt möglich, weil DOS keine Prozessisolation zulasse und Viren deshalb die Überwachungsprozesse umgehen könnten. Als Alternative komme die\nÜberprüfung von Dateien mittels Prüfsummen in Betracht. Damit könne aber\nnicht beurteilt werden, ob eine festgestellte Veränderung durch einen Virus verursacht worden sei (S. 77 f. unter 2.3).\n\n89 Als Alternative schlägt K8 den Einsatz eines Expertensystems vor, mit\ndem auf der Grundlage von vordefinierten Regeln das Verhalten des zu untersuchenden Programms beurteilt wird (S. 78 ff. unter 3). Hierzu werde ein Überwachungssystem benötigt, das den Virus zuverlässig daran hindere, das System zu\nkompromittieren. DOS wird hierfür als ungeeignet eingestuft (S. 81 unter 4). Auch\nein DOS-Fenster in OS/2 biete keine ausreichende Sicherheit (S. 82 unter 4.2).\nDeshalb sei ein 8086-Prozessor mit Software emuliert worden. Dies sei sicher,\nweil der Virus keinen Zugang zum Hostcomputer habe (S. 82 f. unter 4.4). In\ndiese Umgebung sei ein Überwachungssystem integriert worden.\n\n90 Die Aktivitäten des zu untersuchenden Programms in der geschützten\nUmgebung werden mit Hilfe einer hierfür geeigneten Sprache in Datensätzen\n(audit records) aufgezeichnet (S. 83 unter 4.5) und anschließend mit Hilfe des\nExpertensystems ASAX (advanced security audit trail analysis on Unix) analysiert (S. 85 f. unter 5). Die hierzu eingesetzten Regeln betreffen unter anderem\ndie Art und Weise, in der das Programm auf vorhandene Dateien zugreift (S. 79 f.\nunter 3.2).\n\n91 Als mögliche Anwendungsbereiche des vorgestellten Systems werden der\nEinsatz als Firewall für Programme, die in ein geschütztes Netzwerk Eingang finden, und die Erkennung von Viren in den DOS-Sitzungen eines künftigen 32-bit-Betriebssystems angeführt (S. 87 unter 6).\n\n92 bb) Damit sind, wie auch die Beklagte nicht in Zweifel zieht, die Merkmale 1 bis 4a sowie die Merkmale 4c und 4d offenbart.\n\n93 cc) Nicht offenbart ist Merkmal 4b.\n\n94 Dabei kann dahingestellt bleiben, ob den Ausführungen in K8, wonach die\nAktivitätsdatensätze mit geeigneten Attributen befüllt werden (S. 83 unter 4.5),\neindeutig und unmittelbar zu entnehmen ist, dass nur potentiell verdächtigte Operationen aufgezeichnet werden. Wie in K9 wird die Liste der vom Programm ausgeführten Operationen jedenfalls nicht durch Analyse des Programmcodes erstellt, sondern durch Ausführen des Programms in einer geschützten Umgebung.\n\n95 d) Die internationale Anmeldung WO 97/12321 (K7) nimmt den Gegenstand von Patentanspruch 1 ebenfalls nicht vollständig vorweg.\n\n96 aa) Die vor dem Prioritätstag des Streitpatents eingereichte und in dessen Prioritätsintervall veröffentlichte Anmeldung K7 ist gemäß Art. 54 Abs. 3 EPÜ\nnur für die Neuheitsprüfung relevant.\n\n97 Entgegen der Auffassung der Klägerin, der das Patentgericht in seinem\ngemäß § 83 Abs. 1 PatG erteilten Hinweis beigetreten ist, nimmt das Streitpatent\ndie Priorität der US-Anmeldung 60/030.639 (K3b) zu Recht in Anspruch.\n\n98 (1) In K3b sind auch solche Systeme als zur Erfindung gehörend offenbart, bei denen nur ein Test anhand eines Sicherheitsprofils zwingend ist und\nweitere Tests optional sind.\n\n99 Bei dem in K3b geschilderten bevorzugten Ausführungsbeispiel werden\nzwar zwei Komparatoren eingesetzt, von denen der erste überprüft, ob das zu\nuntersuchende Programm bereits bekannt ist, und der zweite ein Sicherheitsprofil\nmit einer Richtlinie abgleicht (S. 9 Z. 20 bis S. 11 Z. 5).\n\n100 Wie auch die Klägerin im Ansatz nicht verkennt, betrifft der in K3b formulierte Anspruch 1 aber ein System, bei dem nur der zweite Test durchgeführt wird,\nwährend Anspruch 2 beide Tests vorsieht. Daraus wird hinreichend deutlich,\ndass die einzelnen Tests grundsätzlich beliebig kombinierbar sind.\n\n101 (2) In K3b ist ferner bereits offenbart, dass das Sicherheitsprofil nur\ndann durch Untersuchung des Programmcodes mittels des Codescanners (325)\nerstellt wird, wenn das Programm noch nicht bekannt ist, während Programme,\ndie als nicht feindlich erkannt worden sind, zusammen mit dem zugehörigen Sicherheitsprofil direkt an den zweiten Komparator (330) weitergereicht werden\n(S. 10 Z. 5-13).\n\n102 Dies entspricht den in der Beschreibung des Streitpatents aufgezeigten\nMöglichkeiten zur Bereitstellung des Sicherheitsprofils.\n\n103 bb) K7 offenbart ein System und ein Verfahren zum Entdecken und Entfernen von Computerviren.\n\n104 Als im Stand der Technik bekannte Methoden zum Entdecken von Viren\nbenennt K7 die Überwachung des Computers auf ungewöhnliche Aktivitäten, das\nScannen anhand von Signaturen und das Vergleichen von Prüfsummen (S. 2\nZ. 10-24). Als ein Nachteil dieser Methoden wird angeführt, diese könnten nicht\nauf Dateien angewendet werden, die über ein Gateway in ein Netzwerk eingebracht würden (S. 2 Z. 29-33).\n\n105 Zur Verbesserung wird ein Gateway vorgeschlagen, der Viren entdeckt,\nbevor sie in das Netzwerk oder aus diesem heraus übermittelt werden (S. 3\nZ. 11-29; S. 5 Z. 6-10). Wenn ein Client eine Datei mittels des Protokolls ftp herunterladen will, wird diese Anfrage an einen auf dem Gateway laufenden ftp-Proxy übermittelt. Wenn die Datei ihrem Typ nach Viren enthalten kann, wird sie\nzunächst zum Proxy übertragen, auf dem Gateway zwischengespeichert und dort\nauf Viren untersucht (S. 9 Z. 15 bis S. 10 Z. 32). Hierzu können ein üblicher Signaturscanner oder beliebige andere Verfahren eingesetzt werden (S. 10 Z. 32 bis\nS. 11 Z. 3). Wenn keine Viren erkannt wurden, wird die Datei an den Client weitergeleitet; anderenfalls kann der Proxy auf verschiedene Arten reagieren, zum\nBeispiel durch Löschen der Datei oder durch Speichern derselben in einem hierfür vorgesehenen Verzeichnis (S. 11 Z. 5-17). Entsprechende Schritte können\n\nauch mit ausgehenden Dateien (S. 12 Z. 1 bis S. 13 Z. 6) und mit E-Mails (S. 13\nZ. 7 bis S. 16 Z. 12) ausgeführt werden.\n\n106 cc) Damit sind, wie auch die Beklagte nicht in Zweifel zieht, die Merkmale 1 bis 4a sowie die Merkmale 4c und 4d offenbart.\n\n107 dd) Hingegen ist Merkmal 4b nicht vorweggenommen.\n\n108 (1) Wie auch die Klägerin im Ansatz nicht verkennt, führt K7 als konkretes Beispiel für die Untersuchung auf Viren lediglich einen Signaturenscan an.\n\n109 Wie bereits oben dargelegt wurde, ist dieses Verfahren zur Verwirklichung\nvon Merkmal 4b nicht ausreichend.\n\n110 (2) Aus den ergänzenden Ausführungen in K7, wonach auch jedes beliebige andere Verfahren zum Einsatz gelangen kann, ergibt sich kein unmittelbarer Hinweis auf den Vergleich mit einer Liste von verdächtigen Computeroperationen.\n\n111 Diesen Ausführungen ist zwar zu entnehmen, dass auch eines der anderen im Stand der Technik bekannten Verfahren in Betracht kommt. Wie bereits\noben dargelegt wurde, führt K7 insoweit aber nur die Überwachung der Computeraktivitäten und den Vergleich von Prüfsummen an. Um stattdessen oder zusätzlich einen Test anhand einer Liste von verdächtigen Operationen in Betracht\nzu ziehen, war ein ergänzender Rückgriff auf konkretes Fachwissen erforderlich.\nDies reicht für eine unmittelbare Offenbarung nicht aus.\n\n112 2. Entgegen der Auffassung des Patentgerichts war der Gegenstand\nvon Patentanspruch 1 durch den Stand der Technik nicht nahegelegt.\n\n113 a) Aus K4 ergab sich keine Anregung, das in K9 offenbarte Verfahren\num die Merkmale 4b und 4c zu ergänzen.\n\n114 aa) Entgegen der Auffassung der Berufung stehen einer diesbezüglichen Anregung allerdings nicht schon die in K4 enthaltenen Erläuterungen zum\nStartparameter \"secure\" entgegen.\n\n115 Wie bereits oben dargelegt wurde, bewirkt dieser Parameter beim Modul\nTbScanX, dass die Entdeckung eines Virus abweichend vom Standardverhalten\ndes Moduls nicht zum Anlass genommen wird, bei Benutzer rückzufragen, ob der\nVorgang fortgesetzt oder abgebrochen wird; stattdessen werden verdächtige\nOperationen unterbunden (S. 89). Eine Übertragung dieses Mechanismus auf\ndas in K9 offenbarte Verfahren führt dazu, dass die untersuchte Datei nicht für\nden Zielcomputer freigegeben wird. Damit wird die Datei im Sinne von Merkmal 4d verworfen.\n\n116 Dass der gleichnamige Parameter beim Modul TbScan lediglich verhindert, dass die Ausführung des Moduls durch die Tastenkombination Strg-Pause\nverhindert werden kann (S. 66), führt entgegen der Auffassung der Berufung\nnicht zu einer abweichenden Beurteilung. Beim Modul TbScan stehen - anders\nals bei TbScanX - ergänzend die Startparameter \"delete\" und \"kill\" zur Verfügung,\ndie zur automatischen Löschung einer als Virus erkannten Datei führen (S. 69).\nAuch damit wird die Datei im Sinne von Merkmal 4d verworfen.\n\n117 bb) An einer Anregung zur Ergänzung um Merkmal 4b fehlt es indes,\nweil K4 dieses Merkmal nur für die Untersuchung von Dateien offenbart, die bereits auf einem Datenträger gespeichert sind, nicht aber für die Untersuchung von\nDateien, die neu in das System eingespielt werden.\n\n118 Die in K4 nur für das Modul TbScan offenbarte Methode mag aus objektiver Sicht zwar auch für das Einsatzszenario des Moduls TbScanX geeignet sein.\nAus K4 ergibt sich aber keine Anregung, von dieser Möglichkeit Gebrauch zu\nmachen. Der Umstand, dass K4 beim Modul TbScanX keine heuristische Suche\n\nerkennen lässt, obwohl dieses Modul als Variante von TbScan bezeichnet wird,\nspricht eher gegen eine solche Übertragung.\n\n119 cc) Unabhängig davon - und damit auch unabhängig von der Frage, ob\nK4 für TbScanX eine heuristische Suche offenbart - bestand auch deshalb keine\nVeranlassung, das in K9 offenbarte Verfahren um eine Prüfung gemäß Merkmal\n4b zu ergänzen, weil dies mit einer Abkehr von zentralen Elementen des in K9\ngewählten Ansatzes verbunden gewesen wäre.\n\n120 Das in K9 offenbarte Verfahren dient einem ähnlichen Zweck wie die vom\nStreitpatent vorgeschlagene Untersuchung des Programmcodes. Beide Verfahren geben Aufschluss darüber, welche Operationen das zu untersuchende Programm nach Aufruf voraussichtlich durchführt. K9 sieht als zentrales Mittel zur\nErreichung dieses Ziels einen Weg vor, der nach den Feststellungen des Patentgerichts ressourcenintensiv und wenig performant ist. Vor diesem Hintergrund\nbestand kein Anlass, diese Vorgehensweise durch weitere, auf dasselbe Ziel gerichtete Verfahren zu ergänzen, die ein weiteres Ansteigen des Ressourcenbedarfs und ein weiteres Absinken der Geschwindigkeit erwarten lassen. Eine Ersetzung der in K9 vorgesehenen Emulation durch die in K4 offenbarte Analyse\ndes Programmcodes hätte der Sache nach eine vollständige Abkehr von K9 bedeutet und war ausgehend von dieser Entgegenhaltung erst recht nicht naheliegend.\n\n121 b) Eine weitergehende Anregung ergab sich auch nicht ausgehend\nvon K4.\n\n122 K4 offenbart ein System, das die Untersuchung von im Dateisystem abgelegten und von heruntergeladenen Programmen auf dem Zielrechner ermöglicht,\nohne eine isolierte Umgebung einzusetzen. Bei dieser Ausgangslage mag eine\nvorgelagerte Prüfung vor der Weiterleitung an den Zielrechner, wie sie K9 offenbart, zwar objektiv gesehen zusätzliche Vorteile bieten. Aus K9 ergaben sich aber\nkeine diesbezüglichen Anregungen. Dort wird das vorgelagerte System nicht zur\n\nAnalyse des Programmcodes eingesetzt, sondern zur Ausführung des zu untersuchenden Programms in einer gesicherten Umgebung. Um zur Erfindung zu gelangen, hätte der Fachmann mithin gezielt einzelne Aspekte aus K9 übernehmen\nund diese in einen anderen Funktionszusammenhang übertragen müssen.\nHierzu ergibt sich weder aus K4 noch aus K9 eine hinreichende Anregung.\n\n123 c) Aus K8 ergaben sich keine weitergehenden Anregungen.\n\n124 Wie K9 sieht auch diese Entgegenhaltung nicht einen Test anhand einer\nvor Ausführung des Programms erzeugten Liste mit verdächtigen Operationen\nvor, sondern eine Ausführung des zu untersuchenden Programms in einer isolierten Umgebung.\n\n125 d) K7 ist aus den bereits oben angeführten Gründen für die Beurteilung der erfinderischen Tätigkeit nicht relevant.\n\n126 IV. Die angefochtene Entscheidung erweist sich nicht aus anderen\nGründen als im Ergebnis zutreffend (§ 119 Abs. 1 PatG).\n\n127 1. Aus den sonstigen Entgegenhaltungen ergeben sich keine weitergehenden Anregungen.\n\n128 2. Entgegen der Auffassung der Klägerin geht der Gegenstand von\nPatentanspruch 1 über den Inhalt der ursprünglich eingereichten Unterlagen, die\nunter WO 98/21683 A2 (K3a) veröffentlicht sind, nicht hinaus.\n\n129 a) Dass die in K3a in Anspruch 1 verwendete Formulierung \"A computer-based method\" ersetzt wurde durch die Merkmale 1 und 2, führt nicht zu\neiner relevanten Abweichung.\n\n130 aa) Schon der ursprünglichen Formulierung ist zu entnehmen, dass es\nsich um ein Verfahren zum Betreiben eines Computersystems handelt, wie dies\nMerkmal 1 vorsieht.\n\n131\n\nbb) Dass das Verfahren ein System umfasst, das einen Client-Computer mit einem externen Netz koppelt, ergibt sich, wie die Beklagte zu Recht geltend macht, aus den auf Figur 1 bezogenen Ausführungen in der Beschreibung\nder Anmeldung (S. 4 Z. 13-20).\n\n132 An dieser Stelle ist zwar nur von einem internen Computer-Netzwerk die\nRede. Dass dieses Clients umfasst und das System deren Schutz dient, ergibt\nsich aber schon aus der Zusammenfassung (S. 2 Z. 12-15). Dass der Client ein\nComputer sein kann, ergibt sich jedenfalls daraus, dass er in der Lage ist, Java\nApplets und ähnliche Programme auszuführen.\n\n133 b) Die gegenüber dem in der Anmeldung formulierten Anspruch 1 vorgenommenen Änderungen bezüglich der Merkmale 3 bis 4d sind, wie die Beklagte zutreffend darlegt, ebenfalls ursprünglich offenbart.\n\n134 V. Der Rechtsstreit ist zur Endentscheidung reif (§ 119 Abs. 5 Satz 2\nPatG).\n\n135 Das Streitpatent erweist sich aus den oben dargelegten Gründen als\nrechtsbeständig.\n\n136 VI. Die Kostenentscheidung beruht auf § 121 Abs. 2 Satz 2 PatG und\n§ 91 Abs. 1 ZPO.\n\nBacher Grabinski Hoffmann\n\nDeichfuß Marx\n\nVorinstanz:\nBundespatentgericht, Entscheidung vom 29.11.2018 - 2 Ni 53/16 (EP) -","source":null,"source_url":null,"url":"https://recht.nulegal.eu/rechtsprechung/bgh/2021-04-13/x-zr-36-19","cited_norms":[{"jurabk":"PatG","ref":"§ 119","ref_norm":"119","n":2},{"jurabk":"PatG","ref":"§ 121","ref_norm":"121","n":1},{"jurabk":"ZPO","ref":"§ 91","ref_norm":"91","n":1},{"jurabk":"PatG","ref":"§ 83","ref_norm":"83","n":1}],"authoritative_source":null,"attribution":null,"source_info":{"name":"nu:legal Deutsches Recht","operator":"Nulegal GmbH","terms":"https://recht.nulegal.eu/nutzungsbedingungen","attribution":"Source: nu:legal – recht.nulegal.eu","license_url":"https://recht.nulegal.eu/license","url":"https://recht.nulegal.eu/rechtsprechung/bgh/2021-04-13/x-zr-36-19","retrieved":"2026-10-24 08:01:39.170732+00:00"},"card":{"id":"bgh/2021-04-13/x-zr-36-19","court":"BGH","court_id":"bgh","court_as_stated":"BGH","panel":"10. Zivilsenat","date":"2021-04-13","dockets":["X ZR 36/19"],"decision_type":"Urteil","ecli":"ECLI:DE:BGH:2021:130421UXZR36.19.0","ids":{"ecli":"ECLI:DE:BGH:2021:130421UXZR36.19.0"},"cite_as":"BGH, Urteil vom 13.04.2021 – X ZR 36/19","url":"https://recht.nulegal.eu/rechtsprechung/bgh/2021-04-13/x-zr-36-19","headnotes":[],"leitsatz_status":"not_captured","tenor":{"text":"Auf die Berufung der Beklagten wird das Urteil des 2. Senats (Nichtigkeitssenats) des Bundespatentgerichts vom 29. November 2018\nabgeändert.\n\nDie Klage wird abgewiesen.\n\nDie Kosten des Rechtsstreits hat die Klägerin zu tragen.","basis":"court_formula","source":null},"tenor_status":"held","cited_norms":[{"id":"PatG/119","law":"PatG","abbreviation":"PatG","ref":"119","label":"§ 119 PatG","mentions":2},{"id":"PatG/121","law":"PatG","abbreviation":"PatG","ref":"121","label":"§ 121 PatG","mentions":1},{"id":"ZPO/91","law":"ZPO","abbreviation":"ZPO","ref":"91","label":"§ 91 ZPO","mentions":1},{"id":"PatG/83","law":"PatG","abbreviation":"PatG","ref":"83","label":"§ 83 PatG","mentions":1}],"cited_norms_basis":"extracted_from_text","normenkette":null,"proceeding":{"entries":[],"has_records":false,"note":"No Verfahrensgang record names this decision. That says nothing about whether earlier or later decisions exist."},"fundstellen":[],"provenance":{"source":null,"source_url":null,"retrieved_at":"2026-10-24T08:01:39.170732+00:00","text_quality":"native","attribution":null},"ai_summary":null,"ai_summary_available":false}}