Digitaler Impfpass: Schlagen wir einen gefährlichen Weg ein?

News

Hat das gelbe Impfheftchen bald ausgedient? Seit heute können sich Geimpfte bei Apotheken ein Zertifikat ausstellen lassen. Zusammen mit der dazugehörigen CovPass-App oder der Corona-Warn-App entsteht der digitale Impfpass. Hurra!? Im Gegenteil: Das ist kein Grund zum Feiern. Ein Kommentar.

Ist der Impfpass nur noch Altpapier?

Politiker können einem schon ein bisschen leidtun. Da wird man ins Parlament gewählt, man kann endlich mal den ganzen Tag lang quatschen – und dann kommt da so ein Virus und verlangt doch ausgerechnet nach einem Plan. Schade, denn mit Ausnahme von Blamagen und einer Aneinanderreihung von Lockdowns hat die Politik hierzulande nicht viel vorzuweisen. Wir sind noch immer mittendrin im Impfchaos, das Termin-Geschacher erinnert an den Ablasshandel. Während Millionen auf ihre Impfung warten, dürfen sich bereits Geimpfte auf ein weiteres Durcheinander freuen: Der digitale Impfpass macht ab heute die Runde.

Wer den klassischen Impfausweis in einer ausgewählten Apotheke (Suche unter mein-apothekenmanager.de) vorzeigt, erhält ein Zertifikat in Papierform mit QR-Code. Dieses kann er unabhängig nutzen, in Verbindung mit der vom Robert-Koch-Institut und IBM entwickelten CovPass-App oder der um eine neue Funktion erweiterten Corona-Warn-App ergibt sich jedoch die moderne Version eines Impfpasses. Der jahrzehntealte gelbe Papierfetzen bleibt weiterhin gültig und kann ebenso benutzt werden. Der digitale Impfausweis zeigt auch negative Tests und die Eigenschaft als Genesener an. Krank, gesund, infiziert? Die Antwort ist nur einen Klick entfernt.

Jetzt will ich es aber allgemein wissen

Noch bis zum 30. Juni 2021 haben die EU-Mitgliedsstaaten Zeit, um eigene nationale Apps zu entwickeln, die in der Lage sind, die Zertifikate zu prüfen und sicher abzulegen. Ab dem 01. Juli geht dann die elektronische Plattform für die europaweite Überprüfung von Impfzertifikaten an den Start. Diese hat die Europäische Kommission per Verordnung vom 20. Mai 2021 geregelt.

Nur noch wenige Tage, dann können mithilfe des digitalen Impfpasses Einreiseverbote und Quarantänepflichten bei Reisen innerhalb des Schengenraums umgangen werden. Der Grenzbeamte scannt den QR-Code einfach mit seiner Validier-App und schon kann es losgehen. Der Kontrolleur erfasst folgende personenbezogenen Daten:

  • Name
  • Geburtsdatum
  • Datum der Impfungen
  • Welcher Impfstoff (inkl. Chargennummer) bzw. Datum und Art des Tests bzw. Genesenenstatus
  • Der Aussteller des Zertifikats

Für Datenschutz sorgt die Public-Key-Infrastruktur, einem auf den ersten Blick wilden, aber doch durchdachten Zusammenspiel von öffentlichen und privaten Schlüsseln.

Es ist nicht alles Gold, was digital glänzt

Also ich persönlich bin ja eher der skeptische Typ. Egal, was kommt – ich glaube erst mal nichts, mache mir lieber selbst ein Bild davon.

Wenn ich sehe und höre, wie sich Nachrichten und Politik gegenseitig für den neuesten Einfall lobend auf die Schulter klopfen, klingeln bei mir die Alarmglocken. Ich hänge keine Verschwörungstheorien nach. Ich spreche aus Erfahrung. Wenn digitale Lösungen in aller Eile aus dem Boden gestampft werden, ist irgendwo irgendwas nicht ganz koscher. Klar, denn wo gehobelt wird, fallen Späne. Nein danke, ein Spahn reicht mir.

Den Datenschatz schützen

Ob jemand gegen Corona geimpft ist, ist ein besonders sensibles Gesundheitsdatum gemäß Art. 9 Abs. 1 DSGVO. Nicht jeder darf Impfdaten anderer einsehen, erst recht nicht ohne Rechtsgrundlage. Würde irgendwo zentral erfasst, wer geimpft ist und wer nicht, wäre dieser Datensatz heiß begehrt: Versicherungen könnten ihre Beiträge erhöhen, Arbeitgeber von einer Beschäftigung absehen, Kritiker könnten angegriffen, gar mundtot gemacht werden.

Gute Gründe, um den Datenschutz miteinzubinden, oder? Zumindest der Europäische Datenschutzausschuss hat sich bereits im Frühjahr zum Vorhaben geäußert. Für die nationale App (CovPass, Einbindung in Corona-Warn-App) hätte man den Bundesdatenschutzbeauftragten, Herrn Ulrich Kelber, auch konsultieren müssen – das hat man sich allerdings bis zum Schluss aufgehoben. Klar, denn so kann man etwaige Verzögerungen auf den Datenschutz schieben.

Aus datenschutzrechtlicher Sicht positiv ist, dass die Gesundheitsdaten nicht in einer zentralen Datenbank, sondern ausschließlich lokal gespeichert sein sollen. Dank der individuellen Kennung im Zertifikat (Unique Identifier) sei aber letztlich jeder identifizierbar. Da die Verifikation zwischen Kontroll-App und Server mit den hinterlegten öffentlichen Schlüsseln offline stattfinde, könnten keine Bewegungsprofile erstellt werden. Zudem erfolge der Abgleich regelmäßig über das EU-Gateway, das die Europäische Kommission betreibe (und nicht die Entwickler SAP und Telekom). So weit, so gut? Herr Kelber ist optimistisch:

„Ein gut gemachter digitaler Impfnachweis ist auch aus Datenschutzsicht besser als jeder analoge Nachweis.“

Da in einen Papier-Impfausweis noch sämtliche anderen Impfungen erfasst werden, ist die digitale auf Corona beschränkte Version durchaus datensparsamer. Trotzdem: Herrn Kelbers Optimismus teile ich nicht. Das hat weniger mit meinem üblichen Dauer-Pessimismus zu tun, als mit vernünftigen (nicht-datenschutzrechtlichen) Sorgen.

Digitale Infrastruktur fußt auf Apple und Google

Krank oder nicht krank? Sagt dir vielleicht bald eine App. Sehr schön, denn dann kann man sich den Schritt, seine Symptome zu Googlen, gleich sparen und muss keine Angst vor dem unweigerlichen Tod/Krebs haben, den die gefundenen Suchergebnisse prophezeien. Spaß beiseite: Wollen wir unser Gesundheitssystem tatsächlich langsam auf Apps umstellen, bis es kein Zurück mehr gibt und Google (Android) und Apple (iOS) bestimmen, wo es langgeht?

Die elektronische Patientenakte ist ja schon länger ein Thema. Der digitale Impfpass könnte nur der Anfang sein, (private) Gesundheits-Apps erobern mittlerweile App und Play Store. Was hat es für Folgen, wenn klassische Strukturen künftig ggf. komplett auf Apps umgelegt werden? Meine Bedenken teilt auch Dr. Seda Gürses, die Mitentwicklerin des Protokolls DP3T, das auch hinter der Corona-Warn-App steckt:

„Sollten wir unsere öffentlichen Gesundheitseinrichtungen von unseren Mobiltelefonen abhängig machen, einer Infrastruktur, die von Google und Apple dominiert wird?“

Für Ralf Bendrath (Fraktionsreferent der Grünen/EFA im Europäischen Parlament für den Ausschuss „Bürgerliche Freiheiten, Justiz und Inneres“) besteht dagegen kein Grund zur Sorge. Eine neue dauerhafte digitale Infrastruktur drohe nicht, da die EU-Verordnung nach einem Jahr automatisch ende. Wer sagt Herrn Bendrath nun, dass in einem Jahr neue Verordnungen mit ähnlichem Inhalt geschlossen werden könnten? Staatliche digitale Infrastrukturen sind hierzulande nicht unbekannt: Microsoft Windows findet sich in jeder Behörde. Würde dieses nun abgeschaltet oder verboten, ist das Chaos vorprogrammiert. Bhutans staatliche Infrastruktur basiert heute schon auf Google Workplace. Microsoft, Google, Apple – die neuen Götter auf dem Digital-Olymp.

Unnötiges Chaos

In der Corona- und Impfpolitik geht es drunter und drüber. Kein Wunder: Mit Ausnahme von Steuerregelungen scheint unsere Regierung vieles nicht so wirklich hinzubekommen. Der digitale Impfpass wird sich daher früher oder später in das peinliche Krisenmanagement einreihen.

So steht der Vorwurf im Raum, der digitale Impfausweis komme viel zu spät, mittlerweile gebe es einen Flickenteppich anderer Lösungen (z.B. seit Mitte Mai durch die Kassenärztliche Vereinigung Thüringen oder auch bereits seit Januar in der bayerischen Gemeinde Altötting). Zudem erreiche das Zertifikat vermutlich erst dann eine große Verbreitung, wenn ein Großteil bereits geimpft sei – wenn dann keine Ansteckungsgefahr mehr besteht, wieso muss man sich dann ausweisen? Wie lange ist so ein Zertifikat überhaupt gültig? Nach den Empfehlungen des RKI wohl nur sechs Monate.

Es kommt noch dicker: All die schon und bald Geimpften müssen erst noch an ihr Zertifikat kommen. Wer sich in einem Impfzentrum impfen hat lassen, bekommt wohl demnächst Post. Vorausgesetzt natürlich, das Impfzentrum hat die Geimpften korrekt erfasst (was nicht immer der Fall war) und ist noch nicht aufgelöst worden (ab Ende Juni ist das bei einigen der Fall). Nun werden Apotheken und Hausärzte eingespannt. Der Bundesvorsitzende des Deutschen Hausärzteverbandes, Ulrich Weigeldt, ist davon wenig begeistert:

„Jeglicher zusätzliche Aufwand ist definitiv zu viel. Daher kann man unseren Praxen auch nicht zumuten, dass wir zusätzlich noch die nachträgliche Erfassung der Impfungen übernehmen. Wir sind Hausärzte und nicht das Passamt.“

Im Übrigen lässt sich das Zertifikat nicht einfach so herzaubern. Vielmehr bräuchten die Ärzte und Impfzentren Zugang zu einer Software, in der ein kryptografischer Schlüssel hinterlegt ist. Mithilfe dieses Schlüssels ist dann das Zertifikat zu signieren. Kein Unbefugter darf Zugriff auf den privaten Schlüssel haben – diesen müssen die ausstellenden Institutionen sicher aufbewahren. Angesichts der Skandale um öffentlich gewordene Schnelltestdaten dürften die Daten nicht überall sicher sein.

Gar nicht mal so fälschungssicher

Ein Hauptargument für die Dringlichkeit des digitalen Impfpasses ist die Fälschungssicherheit. Ganz ehrlich, hat auch nur irgendeiner der Verantwortlichen jemals was von Screenshots gehört? Mag sein, dass beim Grenzübertritt genauer drauf geguckt wird. Sollte das System aber beim Restaurant nebenan oder dem Kleinstadt-Kino eingesetzt werden, dürfte es häufig nur beim kurzen Blick auf den QR-Code bleiben. Und von diesem kann man sich irgendwo einen Screenshot ziehen.

Außerdem ist der normale Impfausweis weiterhin gültig – wer betrügen möchte, verwendet dann halt einfach den. Auch wenn ich Apothekerinnen und Apotheker für geschult im Umgang mit der Rezeptprüfung halte, dürfte dem ein oder anderen bei der Zertifikatsausstellung eine gut gemachte Fälschung des gelben Impfheftchens durch die Lappen gehen.

Wenn Grundrechte keine GRUNDrechte mehr sind

Wer darf den QR-Code denn überhaupt prüfen? Darüber scheint man sich noch nicht so recht im Klaren zu sein. Polizei, Grenzschutz, bei Reisen, okay. Aber was ist mit Gastronomie, Theater, bei Demos oder dem Arbeitgeber? Muss man sich als Ungeimpfter Sorgen machen, seine Grundrechte gar nicht mehr wahrnehmen zu dürfen?

Laut Herrn Bendrath müsse man sich davor nicht fürchten:

„Es gibt dafür keine Rechtsgrundlage, und nach Art. 9 der Datenschutz-Grundverordnung dürfen sensible Daten wie diese nicht einfach so verarbeitet werden.“

Ach ja, wer kennt das nicht. Alles was in der DSGVO steht, wird immer und von jedem hundertprozentig eingehalten. Aktuell ist es wohl so, dass aus technischer Sicht nur Transportunternehmen auf die Daten zugreifen können. Doch das lässt sich bestimmt schnell ändern, wenn man möchte (spätestens dann, wenn die nächste Welle kommt und Panik verbreitet). Die Schweiz plant bereits, das Zertifikat auch in Clubs, Diskotheken und bei großen Events zur Einlasskontrolle einzusetzen. Die Schweiz ist sicher kein Datenschutz-Grundrechts-Unrechtsstaat. Wenn das dort möglich ist, dann irgendwann auch mal bei uns.

Apropos Einlasskontrolle bei Events: Der Ticketdienstleister CTS-Eventim forderte im Februar, dass es möglich sein solle, die Buchung von Konzert- und Veranstaltungstickets nur noch Geimpften zu erlauben. Und jetzt raten Sie mal, wer für die Impf-Terminvergabe in Schleswig-Holstein zuständig ist. Solange manche Unternehmen von der Corona-Angst profitieren, wird es welche geben, die in Sachen Corona-/Impf-Überwachung voranschreiten.

Schöne neue Welt

All die seit Jahrhunderten betriebene Aufklärung und Bildung haben nichts geändert: Wir Menschen funktionieren nach denselben steinzeitlichen Mustern, wir sind Marionetten. Macht man uns Angst, reagieren wir vorhersehbar. Wir ordnen uns dem Leviathan unter, der uns vor Krankheit, vor Leid und Tod beschützen soll. Und wenn dieser Leviathan im Gegenzug für Impfung und Schutz die Etablierung von Überwachungsstrukturen verlangt, dann nehmen wir das Angebot panisch an.

Schon jetzt gewöhnen wir uns an die Einschränkungen: Während zu Beginn der Pandemie noch über Kontaktlisten diskutiert wurde, kräht da heute kein Hahn mehr danach. Stück für Stück wird Überwachung zur Normalität. Lauterbauch, Drosten, Wieler und Merkel: Sprecht – wir folgen.

Laut Marcel Salathé, Professor für Epidemiologie an der EPFL Lausanne und Leiter des dortigen Digital Epidemiology Lab, sei darauf zu achten, wo eine Tür für potenziell dystopische Systeme geöffnet werde. Einmal eingeführt, entwickeln viele Strukturen ein Eigenleben. Vieles wird gar nicht zurückgenommen, manches nur zum Teil. Dass die befristete EU-Verordnung nur vorübergehend für Überwachung sorgt, ist in etwa so glaubhaft, wie der zweiwöchige Wellenbrecher-Lockdown.

intersoft consulting services AG

Als Experten für Datenschutz, IT-Sicherheit und IT-Forensik beraten wir deutschlandweit Unternehmen. Informieren Sie sich hier über unser Leistungsspektrum:

Datenschutz im Gesundheitswesen

3 Kommentare zu diesem Beitrag

  1. Liebe Frau Pettinger,
    wieder einmal den Finger genau darauf gelegt, wo’s weh tut. Dieser schleichende Prozess wird von vielen gar nicht mehr wahrgenommen….danke!

  2. vieles von dem was Anfang 2020 noch als Verschwörungstheorie abgetan wurde ist inzwischen Realität. Da kann einem manchmal Angst und Bange werden, was wohl noch alles auf uns zukommt.
    Btw. der QR Code aus der Apotheke soll wohl 18€ kosten!! – Apothekenpreis halt :-)

  3. Polemik statt Sachkunde. Nur so kann man diesen grotesken Kommentar zusammenfassen. Schade für diesen sonst sachorientierten Blog. Ich bin schwer enttäuscht!

    Denn das eigentliche Risiko des digitalen Zertifikates wird gar nicht beleuchtet: das massenhafte elektronische Verarbeiten von Gesundheitsdaten. Das Datenschutz-Argument, dass weniger Daten im digitalen Zertifikat stehen als im WHO Impfausweis ist nur scheinbar richtig. Denn der Vergleich hinkt gewaltig. Der WHO Ausweis hat keine massenhafte Datenverarbeitung zur Folge, weil er nicht digital verarbeitet werden kann. Er ist damit dem Zertifikat datenschutztechnisch überlegen.
    Und die vermeintliche Fälschungssicherheit bietet keinen Vorteil, wenn gefälschte WHO Pässe und Signaturschlüssel bei Hinz und Kunz (Apotheker, Ärtzte, Impfzentren, …) im Umlauf sind.

    Ich bleibe da lieber analog und lasse mich auch nicht von grotesker Polemik leiten, sondern von Fakten!

Hinterlassen Sie einen Kommentar

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.