Impfzertifikat: Unbefugte können offizielle digitale Impfnachweise für Nicht-Geimpfte ausstellen

Düsseldorf. Internationale Reisen, Restaurant-Besuche und Großveranstaltungen: Mit dem offiziellen deutschen Impfnachweis ist das trotz Pandemie wieder möglich. Doch Recherchen des Handelsblatts zeigen, dass dieses digitale Dokument eine Sicherheitslücke hat. Den IT-Sicherheitsexperten André Zilch und Martin Tschirsich ist es gelungen, innerhalb von nur 48 Stunden unbemerkt auf das Impfnachweis-Portal der Apotheken zuzugreifen und gültige Zertifikate zu erstellen – ohne Prüfung, ob die betreffende Person geimpft ist oder nicht.

Das wirft Fragen auf, auch weil Kriminelle im Darknet bereits Zertifikate aus Deutschland anbieten, die möglicherweise durch die aufgedeckte Sicherheitslücke erschlichen wurden. Konfrontiert mit den Erkenntnissen, hat der zuständige Deutsche Apothekerverband (DAV) die Ausstellung der Zertifikate für alle Apotheken gestoppt. Die Zugänge würden mehrfach pro Woche überprüft, so der Verband. Nun sei eine weitere Kontrolle angesetzt worden: „Diese hat bis zum heutigen Donnerstagmittag keine Hinweise auf andere unberechtigte Zugänge ergeben“, hieß es.

Schon diverse Male war es den IT-Sicherheitsspezialisten gelungen, Schwachstellen in öffentlichen Digitalprojekten zu finden. So auch diesmal. Wie sie dem Handelsblatt demonstrierten, mussten sie sich lediglich eine Apotheke ausdenken und mit einfachen Mitteln deren Existenz glaubhaft machen. So schufen sie die „Sonnen-Apotheke“ – auf dem Papier.