EU-Impfnachweis: Falsche Impfzertifikate zirkulieren im Internet

Im Internet ist ein gefälschtes Impfzertifikat aufgetaucht, ausgestellt auf den Namen „Adolf Hitler“. Ein italienischer Twitter-Nutzer postete am Dienstag ein Bild des Zertifikats mit der Aufforderung, den QR-Code zu scannen. Der Impfpass wird als gültig erkannt und ist damit in der gesamten EU und allen Staaten, die EU-Ausweise akzeptieren, valide. Laut einem Update des Nutzers am Mittwoch soll das Zertifikat inzwischen nicht mehr gültig sein. Eine Überprüfung mit der deutschen App CovPassCheck zeigt das Zertifikat jedoch nach wie als grün und damit gültig an.

Unklar war zunächst, wie das gefälschte Zertifikat erstellt werden konnte. Denkbar wäre, dass dazu ein geheimer Schlüssel entwendet wurde, mit dem berechtigte Stellen wie etwa ärztliche Praxen oder Impfzentren die Echtheit der Impfung bescheinigen. Ebenso könnte eine Person, die in einer solchen Stelle arbeitet, die Dokumente erstellt haben.

Laut einem Post des italienischen Blogs Zerozone.it, der zuerst über den Fall berichtete, bescheinigt der gepostet Impfausweis für Adolf Hitler, dass dieser am 1. Oktober 2021 von einer französischen Stelle mit dem Impfstoff von Biontech geimpft wurde.

Ausweise sollen nun annulliert sein

In Italien macht das Thema gerade Schlagzeilen. Dort ist der so genannte „Grüne Pass“, also der Nachweis über eine Impfung, seit Mitte Oktober nach einem Beschluss der Regierung notwendig, um zur Arbeit gehen zu dürfen.

Die italienische Nachrichtenagentur ANSA berichtet, dass die geheimen Schlüssel, mit denen das gefälschte Zertifikat erstellt wurde, inzwischen annulliert wurden. Damit würden allerdings alle Impfausweise, die von diesen Stellen bescheinigt wurden, ungültig. Unklar ist, wie die Behörden mit diesem Problem umgehen und was mit Betroffenen geschieht, die tatsächlich dort eine Impfung erhalten haben. In der deutschen CovPassCheck-App ist das Zertifikat zudem weiterhin gültig.

In dem System, das die Unternehmen SAP und Telekom im Auftrag der EU-Kommission entwickelt haben, ist vorgesehen, dass die Echtheit der die Impfung bescheinigenden QR-Codes mithilfe von zwei Schlüsseln überprüft wird (eine genaue technische Beschreibung des Systems findet sich hier). Der öffentliche Schlüssel kann von allen abgerufen werden, die digitale Impfausweise prüfen. Den privaten Schlüssel kennt dagegen nur die Stelle, die einen digitalen Impfnachweis ausstellt – er bleibt geheim. Nur wenn beide Schlüssel in dem Signatursystem zueinander passen, leuchtet der Impfausweis bei einer Überprüfung grün auf und ist damit gültig.

Stellen in Polen und Frankreich sollen Fakes signiert haben

Für die Sicherheit des gesamten Systems ist es also essentiell, dass diese privaten Schlüssel geheim bleiben. Ausgestellt werden sie von den jeweiligen Mitgliedstaaten für alle Einrichtungen, die in ihrem Land Impfungen digital bescheinigen dürfen. Laut den Vorgaben der EU-Kommission können die Mitgliedsstaaten ihre dafür vorgesehen Schlüssel selbst verwalten. In so einem Fall, darauf weisen die Spezifikationen hin, muss aber höchster Wert auf die Geheimhaltung gelegt werden. So sollten die Schlüssel auf einem Server aufbewahrt werden, der nicht mit dem Internet verbunden ist und zu dem keine Person einzeln Zugang hat.

Von der Fälschung betroffen sind nun alle Staaten, die ihre Impfausweise im Rahmen der EU über ein gemeinsames System verwalten. Die undichten Stellen scheinen jedoch in Frankreich und Polen zu liegen. Der Autor des Beitrags auf zerozone.it hat das gefälschte Impfzertifikat mit Hilfe der rumänischen App gescannt. Diese zeigt nicht nur den Namen und die Gültigkeit des Impfstatus an, sondern alle im QR-Code enthaltenen Informationen, etwa auch den Impfstoff und die ausstellende Stelle. Laut dieser Auswertung soll das Zertifikat am 25. Oktober von einer französischen Krankenversicherung ausgestellt worden sein: der Caisse Nationale d’Assurance Maladie (CNAM). Ein weiterer Impfausweis, der noch im Umlauf sein soll, wurde laut dem Beitrag von einer polnischen Stelle signiert.

Impfnachweis für Mickey Mouse und Spongebob

Im Laufe des vergangenen Tages sind in Darkweb-Foren wie 4Chan weitere gefälschte Impfausweise aufgetaucht, ausgestellt auf die Namen „Mickey Mouse“ und „Spongebob Squarepants“. In diesen Foren wird bereits seit längerer Zeit das Rezept diskutiert, nach denen die Impfausweise erstellt werden. Das Interesse an gefälschten Ausweisen ist groß.

In einem anderen Forum bietet ein Anbieter seit heute gefälschte EU-Impfausweise zum Kauf, Kostenpunkt 290 Dollar aufwärts. Auch auf anderen Seiten im Darkweb werden solche Ausweise angeboten.

In der EU-Kommission soll heute Vormittag bereits ein Krisentreffen zum Thema stattgefunden haben. Auf Anfrage sagt ein Sprecher der Kommission, man habe von den „mutmaßlich betrügerischen Manipulationen“ Kenntnis und verfolge die Berichterstattung. „Wir verfolgen die Entwicklungen dieses Vorfalls aufmerksam und stehen in Kontakt mit den zuständigen Behörden der Mitgliedsstaaten, die den Vorfall untersuchen und Abhilfemaßnahmen einleiten.“ Der Vorfall habe „keine Auswirkungen auf die Sicherheit und Integrität des EU-Gateway, das von der Kommission verwaltet wird.“