Experten warnen vor Sicherheitsrisiken bei digitalem Impfnachweis
23. März 2021, 06:46 Uhr · Quelle: dts Nachrichtenagentur
Berlin (dts) - Nachdem ein Team aus Informationssicherheitsspezialisten gravierende Mängel beim digitalen Impfnachweis in der Schweiz festgestellt hat, warnen sie und weitere Experten vor ähnlichen Risiken in Deutschland. Das berichtet das "Handelsblatt". Laut Sven Fassbender, Martin Tschirsich und André Zilch liegt das Problem beim schweizerischen Impfnachweis grundlegend in der zentralen Architektur des Systems.
Offenbar will die Bundesregierung auf einen ähnliche Architektur setzen. Das geht aus den Ausschreibungsunterlagen des Gesundheitsministeriums hervor, über welche die Zeitung berichtet. Darin ist die Rede von der Entwicklung eines "Backends, welches das kryptographisch abgesicherte Impfzertifikat erstellt". Thorsten Holz, der den Lehrstuhl Systemsicherheit an der Universität Bochum leitet, sagte: "In der Ausschreibung wird der nötige Ansatz generisch beschrieben, das Design ist aber schon als zentrales System ausgelegt." Dabei sei es "auf jeden Fall sinnvoller", auf ein vollumfänglich dezentrales System zu setzen. "Im Falle eines Missbrauchs durch eine Fachperson braucht dann lediglich das Schlüsselmaterial dieser Person für ungültig erklärt werden", ergänzte Fassbender. Das Bundesgesundheitsministerium hatte kürzlich der Deutschlandtochter von IBM und dem Kölner Unternehmen Ubirch den Auftrag zur Entwicklung des digitalen Impfnachweises zugesprochen. IBM und Ubirch verwiesen auf Anfrage an das Gesundheitsministerium. Dieses ließ Fragen des "Handelsblatts" zu dem Thema zunächst unbeantwortet. Die Gesellschaft zur Förderung der Impfmedizin hat ein dezentrales Impfzertifikat bereits entwickelt. Zwar sei man im Rahmen der Vergabe auch angeschrieben worden, doch Gesellschaftsgründer Hans-Jürgen Schrörs kritisierte: "Mit unserem dezentralen und bereits in Arztpraxen integrierten Ansatz konnten wir uns gar nicht an der Ausschreibung beteiligen. Bevor die Lösungen da abgewogen worden waren, stand der zentrale Ansatz schon fest." Beim Schweizer System war es Fassbender, Tschirsich und Zilch gelungen, auf jegliche jemals ausgestellten Covid-19-Impfnachweise zuzugreifen und diese offensichtlich auch selbst ausstellen zu können. Der Impfnachweis in der Schweiz wird von einer Stiftung betrieben und vom Bundesamt für Gesundheit (BAG) unterstützt und mitfinanziert. Welche Rolle er beim in der Entwicklung befindlichen, offiziellen Impfnachweis der Schweizer Regierung spielen wird, steht noch nicht fest.
Offenbar will die Bundesregierung auf einen ähnliche Architektur setzen. Das geht aus den Ausschreibungsunterlagen des Gesundheitsministeriums hervor, über welche die Zeitung berichtet. Darin ist die Rede von der Entwicklung eines "Backends, welches das kryptographisch abgesicherte Impfzertifikat erstellt". Thorsten Holz, der den Lehrstuhl Systemsicherheit an der Universität Bochum leitet, sagte: "In der Ausschreibung wird der nötige Ansatz generisch beschrieben, das Design ist aber schon als zentrales System ausgelegt." Dabei sei es "auf jeden Fall sinnvoller", auf ein vollumfänglich dezentrales System zu setzen. "Im Falle eines Missbrauchs durch eine Fachperson braucht dann lediglich das Schlüsselmaterial dieser Person für ungültig erklärt werden", ergänzte Fassbender. Das Bundesgesundheitsministerium hatte kürzlich der Deutschlandtochter von IBM und dem Kölner Unternehmen Ubirch den Auftrag zur Entwicklung des digitalen Impfnachweises zugesprochen. IBM und Ubirch verwiesen auf Anfrage an das Gesundheitsministerium. Dieses ließ Fragen des "Handelsblatts" zu dem Thema zunächst unbeantwortet. Die Gesellschaft zur Förderung der Impfmedizin hat ein dezentrales Impfzertifikat bereits entwickelt. Zwar sei man im Rahmen der Vergabe auch angeschrieben worden, doch Gesellschaftsgründer Hans-Jürgen Schrörs kritisierte: "Mit unserem dezentralen und bereits in Arztpraxen integrierten Ansatz konnten wir uns gar nicht an der Ausschreibung beteiligen. Bevor die Lösungen da abgewogen worden waren, stand der zentrale Ansatz schon fest." Beim Schweizer System war es Fassbender, Tschirsich und Zilch gelungen, auf jegliche jemals ausgestellten Covid-19-Impfnachweise zuzugreifen und diese offensichtlich auch selbst ausstellen zu können. Der Impfnachweis in der Schweiz wird von einer Stiftung betrieben und vom Bundesamt für Gesundheit (BAG) unterstützt und mitfinanziert. Welche Rolle er beim in der Entwicklung befindlichen, offiziellen Impfnachweis der Schweizer Regierung spielen wird, steht noch nicht fest.
