Digital Vaccination Record: Significant weaknesses in security

One must therefore rely on the issuing medical practices and pharmacies to carry out a plausibility check. However, according to the information available to us, this is not the case in practice.

A forged vaccination certificate almost certainly also leads to a properly signed digital vaccination certificate. Forging a vaccination record is trivial.

Blank vaccination passports are legally available for purchase on the Internet. Stamps as well. A signature of a doctor from another city, or even another country, can of course hardly be verified. So you can just make it up as you go along.

You can easily create a authentic-looking batch sticker yourself. A template from Biontech can be found openly on the Internet. A manufacturer of general-purpose labels for self-printing advertises appropriately: "The label in 25x10 mm format can be used as a vaccination certificate label for the COMIRNATY® vaccine from Biontech." However, counterfeiters can actually also save this effort: Frequently, no batch labels are applied to genuine Corona vaccines either, but the batch is entered by hand (https://www.apotheke-adhoc.de/nachrichten/detail/pta-live/comirnaty-wer-druckt-die-etiketten-vereinfachte-doku-fuer-aerzte/). According to information available to us, this is even the case for the vast majority of vaccination cards.

Auch wenn seit einigen Wochen (mehr oder weniger) fälschungssichere Etiketten angekündigt sind (https://www.pharmazeutische-zeitung.de/neue-etiketten-fuer-impfnachweis-mit-comirnatyr-126004/), wird sich das Problem nicht lösen. Einerseits sind die bestehenden Impfungen mit älteren Etiketten deshalb nicht ungültig. Außerdem wird das Verfahren konterkariert, solange die Nutzung nicht vorgeschrieben ist und Ärzte die Chargennummer weiterhin häufig händisch eintragen. 

Wie kommt man nun als Fälscher an eine passende Chargennummer? Theoretisch kann man sich an den immer noch vorhandenen Social-Media-Posts mit echten Chargennummern bedienen. Praktisch kann sich ein Fälscher den Aufwand aber auch sparen. Nach uns vorliegenden Informationen aus Apothekenkreisen gibt es keine Vorschrift oder auch nur denkbare Möglichkeit einer Plausibilitätsprüfung der Chargennummer. Da diese nicht im digitalen Impfnachweis vermerkt sind, muss auch keine Sorge vor einer künftigen Prüfung bestehen. 

Es ist aber auch ein ganz anderes Szenario möglich, nämlich dass in Apotheken und Arztpraxen bewusst falsche Impfnachweise ausgestellt werden, etwa aus finanziellen Motiven, aus ideologischer Nähe zu Impfgegnern oder aus persönlicher Gefälligkeit.  

Eine nachträgliche Aufdeckung anhand einer späteren Prüfung eines digitalen Impfnachweises ist im Gegensatz zum traditionellen gelben Impfpass nicht zu erwarten. Wie beschrieben sind die Merkmale, die eine Aufdeckung einer Fälschung bei genauerer Prüfung möglich machen, im digitalen Impfnachweis nicht mehr enthalten. Inklusive der Angabe der ausgebenden Arztpraxis oder Apotheke, da ja als offizieller Aussteller immer das Robert-Koch-Institut agiert. Weil nach unseren Informationen außerdem keinerlei Dokumentationspflicht besteht, könnte die ausgebende Arztpraxis oder Apotheke ein schuldhaftes Verhalten auch immer abstreiten. Es hätten ja gefälschte gelbe Impfpässe vorliegen können, so dass der ungerechtfertigte Impfpass nicht bewusst ausgestellt wurde. Da übrigens zumindest im Fall von Apotheken nicht einzelne Zugänge für jeden Mitarbeiter, sondern ein Sammelzugang für die ganze Apotheke ausgestellt wird, ist die Verantwortung eines einzelnen Mitarbeiters nahezu unmöglich nachzuweisen. 

Weil die Apotheken und Arztpraxen für die Erstellung jedes einzelnen – auch zu Unrecht ausgestellten – Impfnachweises vergütet werden ist außerdem fraglich, inwieweit hier ein unbedingter Wille zur Aufklärung solcher Vorfälle bestehen würde. 

An dieser Stelle sei klar gesagt: Niemand sollte die Apotheken und Arztpraxen unter Generalverdacht stellen. Das Problem liegt in den Verfahren. Auf die Apotheken und Arztpraxen wird bei der Impfpassprüfung eine nicht erfüllbare Verantwortung übertragen. Außerdem ist zu befürchten, dass wegen der schwachen Authentifikation Zugangsdaten abfließen, was hinterher zu falschen Verdächtigungen führen kann. 

Doch damit nicht genug: auch die Absicherung des Web-Portals, welches Apotheken zur Erstellung der Impfnachweise nutzen, ist verbesserungsfähig. Hier genügt eine einfache Kombination aus Benutzernamen und Passwort. Eigentlich sollte in diesem Bereich eine Mehrfaktor-Authentifizierung jedes einzelnen Vorgangs der Standard sein, so wie es etwa selbst beim Online-Banking für Privatpersonen seit Jahren mit Transaktionsnummern (TAN) praktiziert wird. Ist es aber nicht. Wer es also schafft, das Passwort einer Apotheke abzugreifen, kann nach Belieben Impfnachweise ausstellen. Und Schadsoftware, die Benutzerdaten jeglicher Art ausspioniert (z.B. Keylogger oder Formgrabber), gehört seit Jahren zum Standard-Repertoire von Kriminellen. 

Zusammen mit den oben beschriebenen Problemen ist es fraglich, ob die unberechtigte Ausstellung von Impfnachweisen in diesem Szenario jemals auffallen würde. 

Gleichzeitig könnte sich bei dieser schwachen Authentifizierung jede verdächtige Apotheke oder Arztpraxis, bzw. ein Mitarbeiter in dieser, als Schutzbehauptung darauf berufen, dass wohl ein Malware-Angriff stattgefunden hat oder die Zugangsdaten anderweitig verloren gegangen seien. 

Nach den gerade beschriebenen Szenarien ist augenfällig, dass zumindest eine Reaktionsmöglichkeit existieren sollte, um illegitim erstellte digitale Impfnachweise zurückrufen zu können. 

Die letzte Fassung der EU-Richtlinien über Impfnachweise bezeichnet den Rückruf von Nachweisen allerdings als „Zusatzfeature“, an dem noch gearbeitet werden müsse. 

Technisch liegt bei der hier verwendeten sogenannten „Public-Key-Infrastructure“ nahe, illegal verwendete bzw. kompromittierte Schlüssel zur Unterzeichnung digitaler Impfnachweise zurückzurufen. Zumindest im Fall von Apotheken kommt das allerdings kaum infrage, da nach den uns bekannten Zertifikaten alle Apotheken einen einzigen zentralen Schlüssel verwenden (Schlüssel-ID 5e455666a51e7857). Die Signatur wird letztlich über das Portal des Deutschen Apothekerverbands mit dessen Schlüssel ausgestellt, nicht durch die ausgebende Apotheke (oder gar den einzelnen Mitarbeiter). 

Ein weiterer Weg wäre die Sperrung anhand des Zertifikatsidentifikators („Unique Vaccination Certificate/Assertion Identifier“, UVCI). Dieser hat in den uns vorliegenden Zertifikaten folgende Form: 

01DE/ISSUER/CERTIFICATEID#CHECKSUM 

Der Issuer, also die ausgebende Stelle, der uns bekannten Zertifikate beginnt dabei mit der Art der ausgebenden Entität (IZ für Impfzentrum, A für Apotheken), gefolgt von einer Identifikationsnummer, mit der sich die konkrete Apotheke oder das konkrete Impfzentrum identifizieren lässt. Allerdings wird dieses Format zumindest für Apotheken erst seit wenigen Tagen verwendet. Zuvor wurde für sämtliche Zertifikate als Issuer „DAVPU“ angegeben, also der Deutsche Apothekerverband. Sollte sich herausstellen, dass in einer Apotheke zuvor flächendeckend falsche Impfzertifikate ausgestellt wurden, könnten diese Zertifikate nicht zurückgerufen werden. Es könnten höchstens alle Zertifikate aller Apotheken bis zu diesem Zeitpunkt zurückgerufen werden – mit entsprechenden Kosten. 
Ein weiterer Fallstrick dieser Methode: Der Zertifikatsidentifikator wird nicht europaweit, sondern von jedem Land einzeln spezifiziert. Eine Sperrung anhand des Zertifikatsidentifikators würde dementsprechend eine eigene Implementierung für jedes Land benötigen. Wenn ein anderes EU-Land die deutschen Sperrmethoden nicht in seiner jeweiligen App implementiert, würde ein in Deutschland gesperrtes Zertifikat in anderen Ländern dementsprechend ggf. als gültig erkannt werden. 

Bisher sind das aber rein theoretische Überlegungen. Die Portale für Apotheker enthalten nach aktuellem Stand keinerlei Funktionalität, um einmal ausgestellte Impfnachweise zurückzurufen. Im Quellcode der CovPass-App (https://github.com/Digitaler-Impfnachweis/) haben wir ebenfalls keinen Hinweis darauf gefunden, dass es entsprechende Sperrmöglichkeiten gibt. Und die Corona-Warn-App des RKI nimmt ja wie oben beschrieben ohnehin selbst ungültig signierte Impfnachweise an, womit sämtliche Gedanken zu einer möglichen Sperrung bedeutungslos sind. 

Das bedeutet in der Praxis: Selbst, wenn bekannt würde, dass illegitime Impfnachweise ausgestellt wurden – durch Vorlage gefälschter gelber Impfpässe, durch böswillig agierende Apotheken und Arztpraxen, oder durch deren Verlust ihrer Zugangsdaten, etwa durch Malware: Die digitalen Impfnachweise könnten momentan nicht zurückgerufen werden. 

Bei der Entwicklung des digitalen Impfnachweises gab es zahlreiche gravierende Versäumnisse. Diese sind nicht dazu angetan, das Vertrauen der Bürger in die von staatlicher Stelle zur Verfügung gestellten Technologien zu stärken. 

Grundsätzlich entsteht der Eindruck, dass die Einführung des digitalen Impfnachweises vor allem ein Schnellschuss war. Es scheint eine größere Rolle gespielt zu haben, die Lösung vor Beginn der Ferienzeit präsentieren zu können, als eine nachhaltig sichere Lösung zu liefern. 

In der Corona-Warn-App werden die digitalen Signaturen der Zertifikate nicht geprüft. Die Authentifizierung für Apotheken zur Erstellung der Impfnachweise erfüllt keine modernen Sicherheitsstandards. Die Echtheit der gelben Impfpässe wird praktisch von niemandem geprüft. Eine nachträgliche Prüfung ist auch kaum noch möglich, weil die dafür relevanten Daten gar nicht Teil des digitalen Impfnachweises sind. Dass das zu gravierenden Folgen führen kann, dürfte angesichts der Berichte über massenhaft ausgestellte falsche Atteste zur Befreiung der Maskenpflicht klar sein. Eine Möglichkeit zum Zurückziehen illegitimer Impfnachweise besteht praktisch nicht. 

Eigentlich wäre es vor diesem Hintergrund geboten, die genannten Probleme zu beheben und sämtliche bestehenden Impfnachweise zurückzuziehen und neu auszustellen. Wegen der Kosten für den Steuerzahler und aufgrund des politischen Gesichtsverlustes ist aber fraglich, ob das auch passiert. 
Die Frage würde sicherlich neu bewertet werden, wenn großflächige Betrugsfälle bekannt werden, bei denen fälschlich Impfzertifikate ausgestellt wurden – und nicht mehr zurückgezogen werden können. Die aktuelle Umsetzung des Verfahrens wird es aber schwer machen, solche Fälle überhaupt zu erfassen. 

In Summe lässt sich aktuell konstatieren: Die digitalen Impfnachweise haben die Welt nicht sicherer gemacht, sondern unsicherer.