Digitaler Impfpass: Irgendwo zwischen Freude der Kunden und Sorge der IT-Experten

„Wir benötigen noch einen Impfnachweis“, überlegte ein Bekannter kurz vor seinem Urlaub. „Kein Problem, das funktioniert jetzt schon digital“, antwortete seine Frau. Der Bruder schrieb einige Tage später über seine eigenen Reisevorbereitungen: „Ich habe heute in der Apotheke den digitalen Impfpass ausgestellt bekommen.“ Das war am 22. Juli und bereits seit dem 14. Juni stellen immer mehr Apotheken in Deutschland den digitalen Impfpass aus. Aktuell dürfte es kaum noch eine Region in der Bundesrepublik geben, in der keine Apotheke das digitale EU-Impfzertifikat aushändigt.

Warum wurde der digitale Impfpass ins Leben gerufen?

Anfang des Jahres beschloss der Europäische Rat einen „interoperablen und standardisierten“ Impfnachweis.^1.1

Das Bundesgesundheitsministerium (BMG) erklärt zum „Warum“ des digitalen Impfnachweises: „Das COVID-Zertifikat der EU soll den freien Personenverkehr innerhalb der EU erleichtern.“ Er gilt als europaweit anerkannter, standardisierter Nachweis, dass der Träger des Impfnachweises vollständig geimpft wurde.^1.2

Der gesundheitspolitische Hintergrund des digitalen Dokuments: Bereits genesene und komplett geimpfte Menschen sollen weniger häufig einen ernsthaften COVID-19-Verlauf zeigen und seltener andere Personen mit SARS-Cov2 infizieren. Das belegen Studien, die dafür sprechen, dass vollständige Impfungen nicht nur das Risiko senken selbst an Corona zu erkranken, sondern auch das Risiko mit den Viren andere anzustecken.^2.1

Freilich sei es dennoch möglich trotz vollständiger Impfung zu erkranken oder den Erreger weiterzugeben. Jedoch senke diese deutlich die Risiken.^2.2 Deswegen sollen die Geimpften dem BMG zufolge mithilfe des standardisierten Impfpasses reisen und sich vergleichsweise frei bewegen können.³

So funktioniert der digitale Impfpass aus der Apotheke

Der Kunde oder die Kundin müssen zunächst glaubhaft nachweisen, dass sie vollständig geimpft wurde. Beim Vakzin Johnson&Johnson gilt dem Robert Koch-Institut zufolge bereits eine Erstimpfung als vollständiger Impfschutz.^4.1  Gültig wird das Zertifikat jedoch erst zwei Wochen nach der Zweitimpfung beziehungsweise bei Johnson&Johnson nach der Erstimpfung.^4.2

In Apotheken, Arztpraxen oder im Impfzentrum wird nach Eingabe der Personendaten des Patienten ein QR-Code erstellt.^4.3 QR-Codes gehören zur Klasse der 2D-Barcodes und zeichnen sich durch ihre sehr geringe Fehlerquote nach Scannen des Codes aus. Die Patienten erhalten ein Papier mit dem abgedruckten Code mit auf den Weg. Nun können sie den Code bei Ämtern, Behörden, Einrichtungen oder beispielsweise Zugkontrolleuren vorzeigen. Entweder in Papierform oder die Nutzer laden sich die kostenfreie „CovPass-App“ oder die „Corona-Warn-App“ herunter. Nach dem Abscannen des Codes in der App kann der Impfnachweis bei Bedarf immer digital angezeigt werden. Nun kann das Impfzertifikat immer praktisch unterwegs über das Smartphone genutzt werden.⁵

Wie nehmen deutschlandweit ansässige Apotheken teil?

Auf dem Portal der Bundesvereinigung Deutscher Apothekerverbände (ABDA) erhalten VerbraucherInnen Informationen über Apotheken, die bereits den digitalen Impfpass kostenlos ausstellen.⁶ Das Tool bietet die Seite www.meine-apothekenmanager.de: Dort lässt sich in eine Suchmaske, die Postleitzahl oder der Straßenname des eigenen Wohnorts eingeben.⁷ Zunächst wählen VerbraucherInnen unter den 4 möglichen Serviceleistungen Schnelltest, Digitales Impfzertifikat, Botendienst und Parkplatz den Button „Digitale Impfzertifikat“ aus. Anschließend erhalten interessierte Kunden all jene standortnahen Apotheken aufgelistet, die diese Dienstleistung bereits anbieten.

Interessierte Apotheken können sich auf dem Verbandportal des Deutschen Apothekeverbandes (DAV) anmelden und registrieren, um als Apotheke mit dem neuen Digitalen Impfzertifikat auf dem Portal „Mein-apothekenmanager.de“ gelistet zu werden.⁸ Thomas Dittrich, Vorsitzender des Deutschen Apothekerverbandes (DAV), ging Anfang Juni davon aus, dass Apotheken mit diesem Angebot in Deutschland schnell im vierstelligen Bereich liegen dürften.⁹ Die Schätzung dürfte heute bereits im fünfstelligen Bereich liegen.

Die Vorteile des digitalen Impfpasses

Für die bislang knapp 15 Millionen vollständig geimpften VerbraucherInnen liegen die Vorzüge des digitalen Impfpassen in der leichten Handhabung.¹⁰ Im Gegensatz zum gelben Impfpass kann der Kunde oder die Kundin das Dokument mit seinem Smartphone vorzeigen. Es ist im Alltag ein zusätzlicher Stressfaktor, stets den gelben Impfnachweis der Weltgesundheitsorganisation (WHO) in der Tasche zu tragen. Ein digitaler Pass ermöglicht mehr Freiheit unterwegs, auf Reisen, im Restaurant, beim Sport oder im kulturellen Bereich.¹¹

Die jeweiligen Kontrolleure können mit ihrem Lesegerät den QR-Code abscannen und den Impfstatus des Menschen überprüfen. Ein großer Vorteil davon ist die Schnelligkeit und geringe Fehleranfälligkeit der Prüfung. Irren ist menschlich und so ist es stets möglich, dass eine Überprüfung des gelben Impfpasses falsch positiv erfolgt. Daher wurde über eine Alternative zur fehleranfälligen und fälschungsanfälligen Papierform nachgedacht. Der QR-Code selbst lässt sich im Prinzip kaum fälschen. Es stellte sich jedoch heraus, dass das Ausstellen eines digitalen Impfpasses von Cyberkriminellen durch Tricks nachgeahmt wurde.

Wie sicher ist der digitale Impfpass?

Aufgrund des Datenschutzes sehen die Überprüfer nur den Vor- und Nachnamen, das Geburtsdatum und den Impfstatus des Zertifikats (vollständig geimpft – unvollständig geimpft).¹² Angezeigt wurde bis vor kurzem auch lediglich, ob eine Apotheke, ein Arzt oder ein Impfzentrum das Zertifikat ausgestellt hat – es fehlte einige Wochen lang die Angabe des Namens der ausstellenden Apotheke oder des ausstellenden Impfzentrums.

In Punkto Sicherheit verlassen sich die Deutschen Apotheken auf das Bundesgesundheitsministerium: „Das Verbändeportal ist für den Service der Digitalisierung der Impfnachweise an den zentralen Server des vom Bundesministerium für Gesundheit (BMG) beauftragten Dienstleisters IBM angebunden“¹³, so eine Pressemitteilung der Bundesvereinigung. Der Dienstleister IBM stellt letztlich die digitalen Impfzertifikate aus, die sich schließlich vom Verbändeportal anzeigen und ausdrucken lassen.

Allerdings deckten die IT-Experten Martin Tschirsich und André Zilch Mitte Juli eine gravierende Sicherheitslücke des Digitalen Impfnachweises auf. Der Bayerische Rundfunk berichtete darüber.¹⁴ Um sich für das Ausstellen eines solchen Passes registrieren zu lassen, gaben die beiden Sicherheitsforscher frei erfundene Daten einer Fantasieapotheke an. Auf diesem Wege gelang es ihnen, sich beim DAV als teilnehmende Apotheke registrieren zu lassen. Bei der Anfrage veränderten die zwei Profis dem BR zufolge mittels Bildbearbeitungsprogramm zwei Apothekenurkunden, die unkompliziert als echte anerkannt wurden. Bei der Angabe der Telematik-ID versuchten die IT-Spezialisten probeweise verschiedene 19-stellige Nummern einzutippen, von denen recht zügig eine verifiziert wurde.

Im Kern sei dieses Problem hausgemacht, äußerten sich Experten.¹⁵ Hätte sich das Bundesministerium für das geschützte Internetnetzwerk von Krankenkassen und Ärzten entschieden und nicht für das „normale Netz“ des Apothekenportals, wäre die Sicherheitslücke wohl kleiner ausgefallen. Auch eine TAN-Abfrage oder SMS-Codes hätten das Zertifikat besser geschützt. Inzwischen prüft auch die Berliner Landesdatenschutzbeauftragte Smoltczyk die Sicherheitsfrage.¹⁶  Möglicherweise eruiert sie, dass das Digitale Zertifikat innerhalb der Telematik-Infrastruktur vergeben werden sollte – wie ursprünglich geplant.¹⁷