Digitale Impfzertifikate können gesperrt werden

Die Diskussion über gefälschte Impfausweise und digitale Covid-19-Impfnachweise hat nach einem Urteil des Landgerichts Osnabrück nochmal an Fahrt aufgenommen. Das Gericht hatte kürzlich festgehalten, dass das Vorzeigen eines gefälschten Impfpasses in einer Apotheke zur Erlangung eines digitalen Impfzertifikats derzeit kein strafbares Handeln sei. Das hat insbesondere damit zu tun, dass die Apotheke keine staatliche Behörde ist. Der Ruf nach der Beseitigung dieser Strafbarkeitslücke wird damit laut.

Klar ist: Die Apotheken und/oder der Deutsche Apothekerverband (DAV) als Betreiber des Apothekenportals, über das ein Großteil der Zertifikate erzeugt worden sind, haben nicht die Möglichkeit einzelne digitale Zertifikate zu löschen. Denn: Der DAV bietet zwar über sein Verbändeportal die Erstellungsmöglichkeit der elektronischen Impfnachweise an, hat allerdings als Auftragsverarbeiter keine Handlungsmöglichkeit einzelne Zertifikate zu sperren oder zu löschen.

Auf Nachfrage der PZ erklärte das Bundesministerium für Gesundheit (BMG) jedoch am Montag, dass es in der Tat möglich sei, gefälschte Zertifikate zu sperren. Konkret könnten einzelne Zertifikate gesperrt, beziehungsweise gelöscht werden. Wer die Sperrung veranlassen kann und wie genau die technische Umsetzung funktioniert, möchte das BMG allerdings nicht verraten. »Ich bitte aber um Verständnis, dass wir die Details des Sperrverfahrens nicht öffentlich kommunizieren können, um eventuellen Nachahmern keine Möglichkeit zu geben, unsere Sicherheitsmechanismen auszunutzen«, erklärte dazu ein Ministeriumssprecher der PZ. Damit ist klar: Es gibt bereits eine technische Möglichkeit, gefälschte Zertifikate zu sperren. Verantwortlich für die digitalen Impfnachweise ist das Robert-Koch-Institut (RKI). IBM Deutschland, Ubirch, Govdigital und Bechtle haben das Zertifikat mitentwickelt, die Nachweise sollen dem Vernehmen nach auf IBM-Servern oder unterbeauftragten Unternehmen gespeichert sein. Damit könnte vermutlich das RKI in Zusammenarbeit mit IBM die Sperrungen veranlassen. Eine Bestätigung dieser These gab es seitens des BMG allerdings nicht.

Sollten Apotheken mutmaßlich gefälschte Impfbescheinigungen vorliegen haben, können sie sich an die örtlich zuständigen Polizeibehörden oder die Staatsanwaltschaft wenden, erklärte der BMG-Sprecher weiter. Die Prüfung strafrechtlicher Konsequenzen obliege den Strafverfolgungsbehörden.

Das Problem der gefälschten, digitalen Zertifikate ist mittlerweile auch im Ausland angekommen. Das Schweizer Bundesamt für Informatik und Telekommunikation (BIT) hat am Freitag angekündigt, nun auch einzelne im Ausland und damit auch in Deutschland erstellte Impfzertifikate zu sperren. Die EU-weit gültigen Nachweise können dabei auch in der Schweizer »Covid Certificate«-App angezeigt werden, erklärte ein BIT-Sprecher auf Nachfrage der PZ. Konkret können die Nachweise in der Schweiz gesperrt werden, indem sie in eine Liste der widerrufenen Schweizer Zertifikate (zum Beispiel wegen einer nachträglichen Anpassung der Namen) aufgenommen werden. Bei den bislang gesperrten Covid-Zertifikaten handelt es sich dabei um einzelne, offensichtlich falsch erstellte Zertifikate, so das BIT. Darunter waren Fantasie-Namen wie »Spongebob Squarepants« oder »Joe Mama«  sowie die Eintragung des Namens »Adolf Hitler«, wie ein Beitrag der Webseite »Github« zeigt.