Apotheken können derzeit keine Impfnachweise ausstellen

Seit Mitte Juni stellen Apotheken digitale Nachweise über Covid-19-Impfungen aus. Der Andrang ist deutschlandweit groß. Die Offizinen greifen dabei auf das Verbändeportal des Deutschen Apothekerverbands (DAV) zurück, das die Ausstellung der Zertifikate über ein spezielles Modul erlaubt. Seit Kurzem können auch Genesene mit einer Impfung einen solchen Nachweis bekommen. Eigentlich hat sich alles gut eingespielt, doch jetzt geht plötzlich gar nichts mehr. Denn: Das Modul wurde am gestrigen Mittwoch kurzerhand abgeschaltet.

Hintergrund ist eine mögliche Sicherheitslücke, die das »Handelsblatt« aufgedeckt hat. Das geht aus einer Stellungnahm des DAV hervor. Demnach konnten sich offenbar zwei IT-Sicherheitsspezialisten mithilfe einer gefälschten Betriebserlaubnis für eine fiktive Apotheke und einem ebenfalls gefälschten Bescheid des Notdienstfonds offenbar einen Gastzugang zum DAV-Portal erstellen. Auf diese Weise konnten sie ohne eine Apotheke Impfzertifikate ausstellen und die Sicherheitsvorgaben umgehen.

Nach einer entsprechenden Information der Zeitung habe der DAV unter Rücksprache mit dem Bundesministerium für Gesundheit (BMG) die Ausstellung der Nachweise über das Portal komplett gestoppt, »um zusätzlich zu der ohnehin mehrfach pro Woche laufenden Überprüfung der über Gastzugänge angemeldete Betriebsstätten eine weitere Prüfung vorzunehmen«, heißt es beim DAV. Bis jetzt gibt es demnach keinen Hinweis auf weitere unberechtigte Zugriffe. Ohnehin sei ein gefälschter Zugang nur mit erheblichem Aufwand und krimineller Energie möglich. »Daher ist davon auszugehen, dass die über 25 Millionen Impfzertifikate, die bisher über Apotheken ausgestellt worden sind, alle von rechtmäßig registrierten Apotheken ausgestellt wurden.« Unter der gefälschten Identität wurden nach DAV-Angaben lediglich zwei Nachweise erstellt.

Ursprünglich konnten nur Mitgliedsapotheken des DAV auf das Portal zugreifen und Impfzertifikate erstellen. Sie lassen sich über das entsprechende Mitgliedsverzeichnis relativ simpel identifizieren. Schließlich öffnete der Apothekerverband sein Modul aus Wettbewerbsgründen auch für Nicht-Mitglieder. Diese erhalten einen Gastzugang und müssen für die Registrierung eine amtliche Betriebserlaubnis und einen Bescheid des Notdienstfonds vorlegen. Von den derzeit etwa 17.900 auf dem Portal registrierten Apotheken sind nach DAV-Angaben etwa 470 Offizinen und damit knapp 3 Prozent über einen Gastzugang angeschlossen. Alle diese Betriebe seien nun noch einmal überprüft und authentifiziert worden, sagte ein DAV-Sprecher gegenüber der PZ. 

Wie es nun weitergeht, ist unklar. Derzeit würden mögliche zusätzliche Sicherheitsmechanismen geprüft, heißt es. »Wann die Ausstellung von Zertifikaten wieder aufgenommen wird, steht noch nicht fest.« DAV und BMG stünden dazu in engem Austausch.

Bei der Ausstellung der Impfzertifikate muss der Kunde Impfbuch und Personalausweis in der Apotheke vorlegen. Die Apotheke überprüft die Daten und gibt sie anschließend in die entsprechende Maske des DAV-Portals ein. Von dort werden die Daten an das Robert-Koch-Institut geschickt, das die Nachweise formal herausgibt. Anschließend wird der Nachweis als QR-Code zurück an die Apotheke gespielt, die das Zertifikat dem Impfling aushändigt.

---------------

Hinweis der Redaktion: In einer früheren Version des Artikels war davon die Rede, dass Journalisten die gefälschten Impfnachweise erzeugt hatten. Allerdings handelte es sich hierbei um zwei IT-Sicherheitsexperten. Diese Information wurde am 23.07.2021 berichtigt.