Stand digitaler Impfausweis?

Nach dem Versagen beim Datenschutz von meineimpfungen.ch ging viel Vertrauen in die Betreiber des digitalen Impfausweises verloren. Die Stiftung für Konsumentenschutz empfiehlt deshalb, die von den Betreibern auf der Plattform hinterlegten Daten den Nutzerinnen und Nutzern herausgeben und löschen zu lassen. 

meineimpfungen.ch besteht bereits seit neun Jahren. Erst mit dem Auftrag des Bundes, den offiziellen elektronischen Nachweis für die Covid-19-Impfung anzubieten, wurde sie auch einer grösseren Personenzahl bekannt, rund 300 000 Geimpfte besitzen inzwischen ein persönliches Dossier bei der Plattform, thebroker hat berichtet.

Das Angebot funktionierte in der Tat ebenso einfach wie schnell. Nach erfolgter Corona-Impfung konnten die Daten in den elektronischen Impfausweis übertragen werden und waren rasch zur Hand, wenn Zeitpunkt, Produkt und Ort der Immunisierung kontrolliert oder vorgezeigt werden sollten. Mitte Januar wurden Recherchen des Newsportals Republik veröffentlicht, wonach der digitale Impfausweis die zeitgemässen Standards an Sicherheit und Daten­schutz nicht erfülle. Das digitale Magazin erstattete beim Eidgenössischen Datenschutzbeauftragten Anzeige, da sämtliche registrierten Medizinfachpersonen auf die Daten aller Registrierten zugreifen konnten. Unbefugte liessen sich mit einfachen Tricks als Medizinfachperson registrieren und Sicherheitslücken ermöglichten es, diesen Hackern so abgespeicherte Gesundheitsdaten zu lesen oder gar abzuändern.

Klare Forderungen der Stiftung für Konsumentenschutz

Nachdem bekannt wurde, dass der digitale Impfausweis erhebliche Sicherheits- und Datenschutzmängel beinhaltet, forderte die Stiftung für Konsumentenschutz jede Werbung für den elektronischen Impfausweis sofort zu stoppen. Konsument*innen sollten bei einem Missbrauch sofort informiert werden und die Möglichkeit haben, ihre Daten aus dem elektronischen Impfausweis zu löschen. Zudem müsse das Bundesamt für Gesundheit BAG sofort eine taugliche Alternative zum elektronischen Impfausweis finden und nicht weiter auf intransparente Stiftungen vertrauen. Ein neuer Ausweis müsse sicher sowie international akzeptierbar sein. Dafür habe der Gesetzgeber umgehend strenge Voraussetzungen zu schaffen.

Plattform meineimpfungen.ch stillgelegt

Seit dem 21. März 2001 zeigten App und Website von meineimpfungen.ch nur noch eine Erklärung, worin erläutert wurde, dass sie von Spezialisten auf Schwachstellen der Online-Plattform aufmerksam gemacht wurden. Auf der technischen Seite seien die gemeldeten Schwachstellen sofort behoben worden. Im Moment würden die Auswirkungen dieser Probleme analysiert, um festzustellen, ob tatsächlich gefälschte Impfausweise oder Nutzerkonten erstellt wurden. Während dieser Zeit stehe die Plattform ihren Nutzer*innen nicht zur Verfügung. In der Zwischenzeit ist diese Meldung nicht mehr zu finden, einloggen kann man sich trotzdem nicht, sondern erhält die Meldung «Authentifizierungsfehler».

Was dies für die wirtschaftliche Zukunft der Trägerschaft bedeutet ist noch nicht abzusehen. Das BAG unterstützt die Stiftung hinter der Plattform zumindest bisher massiv finanziell. Sie erhält seit 2020 jährlich 250 000 Franken. Zusätzlich fliessen zu Gunsten der Stiftung 450 000 Franken für die Erweiterung des bestehenden Impfdossiers rund um Covid-19-Funktionalitäten. Weitere Mittel für Aufbau und Betrieb der Plattform stammen aus verschiedenen öffentlichen und privaten Quellen: beispielsweise den Kantonen, der Universität Genf sowie zum Teil sehr prominenten Stiftungsratsmitgliedern.

Wer über den Support von meineimpfungen.ch erfahren will, wann die Daten allenfalls wieder abgerufen werden können, erfährt, dass die Plattform aktuell gewartet werde und für niemanden verfügbar sei. Es wird versichert, die Daten und E-Impfausweise seien nach wie vor vorhanden und abgesichert. Man gehe zum heutigen Zeitpunkt davon aus, dass die identifizierten Schwachstellen nicht missbraucht wurden und somit kein tatsächliches Risiko für den Schutz der Daten ihrer Nutzer*innen bestand. meineimpfungen.ch arbeite daran, den Zugriff auf Ausweise in Kürze erneut zu ermöglichen und die Sicherheit der Plattform wieder herzustellen. Sobald dies der Fall sei, würden die Nutzer*innen informiert.

Wie weit ist Europa?

Das Vorbild für einen EU-Impfpass kommt aus Israel, wo der sogenannte grüne Impfpass bereits stark genutzte Realität ist. Die 27 EU-Staaten nähern sich gegenseitig in ihren Vorstellungen immer weiter an. Welche Rechte an das gemeinsame Dokument geknüpft sein werden, würde jedes Land für sich entscheiden, sagte EU-Ratschef Charles Michel. Länder wie Österreich, Bulgarien oder Griechenland hatten zuvor Druck gemacht, indem sie Geimpften, Getesteten und Genesenen wieder mehr Freiheiten einräumen wollen. Die deutsche Bundeskanzlerin sagte Ende Februar nach einer der zahlreichen Videoschalten der Staats- und Regierungschefs allerdings, dass eine Bereitstellung des EU-Impfpasses bis in den Sommer dauern werde. Die EU-Kommission benötige «etwa drei Monate», um die technischen Voraussetzungen für das digitale Dokument zu schaffen. 

Die Schweiz verspricht ein international gültiges Covid-Zertifikat bis im Juni

Anne Lévy, Direktorin des Bundesamtes für Gesundheit BAG, betonte Ende März in der wöchentlichen Medienkonferenz der zuständigen Staatsbehörden, dass der geplante Impfpass unabhängig von der Plattform meineimpfungen.ch entstehe. Derweil arbeite der Bund an einem einheitlichen und fälschungssicheren Impfzertifikat, womit Schweizer*innen auch wieder einfach ins Ausland reisen könnten. Das Dokument soll international anerkannt werden und bis im Juni einsatzbereit sein. Mittlerweile werden zwei Versionen vertieft geprüft. Eine des Bundesamtes für Informatik BIT und eine der beiden Lausanner Unternehmen Sicpa und Elsa. Letztere bietet auch das elektronische Patientendossier an.

Den freiwilligen Impfpasse soll es digital, beispielsweise in Form eines QR-Codes, aber ausdrücklich auch auf Papier, geben. In einem ersten Schritt würden zunächst nur Impfungen erfasst. Später könnten auch Erkrankungen und negative Tests hinterlegt werden. Das BAG möchte die Covid-19-Daten auf meineimpfungen.ch als Informationsquelle für das Zertifikat verwenden. Falls deren Plattform jedoch definitiv abgeschaltet werden muss – und so sieht es im Moment aus – würde dies deutlich schwieriger.

Binci Heeb