Corona-Warn-App: Bisher nur eine Apotheke gesperrt

Berlin -

Die Corona-Warn-App hat bisher nur in einem einzigen Fall Zertifikate einer Apotheke als ungültig gekennzeichnet. Das hat der Deutsche Apothekerverband (DAV) am Mittwoch erklärt. Demnach ist nur jene Münchner Apotheke betroffen, in der eine PTA hunderte unechte Impfzertifikate ausgestellt und im Internet verkauft haben soll.

Apotheken müssten sich keine Sorgen machen, dass bald massenhaft Betriebe gesperrt werden, weil einzelne gefälschte Impfzertifikate auftauchen, beruhigt der DAV. „Derzeit sind keine Maßnahmen geplant, die bei einzelnen Fehlausstellungen von Covid-19-Zertifikaten sowie Genesenenzertifikaten eine Sperrung aller von der Betriebsstätte ausgestellten Zertifikate nach sich ziehen“, so der DAV. Technisch ist es zwar tatsächlich der Fall, dass die App aufgrund des grundlegenden Aufbaus der Impfzertifikate-Infrastruktur keine individuellen Zertifikate als ungültig anzeigen kann, sondern nur alle Zertifikate aus einer gesperrten Apotheke. Allerdings sei das bisher nur einmal geschehen.

„Beim aktuellen Fall handelt es sich um die ausgestellten Zertifikate einer einzelnen Apothekenbetriebsstätte, gegen die im Zusammenhang mit der illegalen Ausstellung digitaler Impfzertifikate ermittelt wurde“, so der DAV. Auf Grund des Verdachtsfalls und nach Abstimmung zwischen Bundesgesundheitsministerium, Robert Koch-Institut und Abda seien für diesen konkreten Einzelfall alle ausgestellten Zertifikate gesperrt worden. Der Apothekeninhaber sei in den Prozess eingebunden gewesen. „Bitte gehen Sie davon aus, dass wir umgehend über Ihren Landesapothekerverband und weitere Blog-Einträge im Portal informieren werden, wenn sich Änderungen an diesem Status Quo ergeben“, so der DAV in einem Beitrag im Verbändeportal.

Bei der betroffenen Apotheke handelt es sich demnach um jenen Betrieb in München, in dem die Polizei Ende Oktober eine Razzia durchführte, nachdem bekannt wurde, dass eine dort beschäftigte PTA zusammen mit Komplizen hunderte Impfzertifikate ausgestellt und zum Preis von 350 Euro pro Stück verkauft haben soll. Auf Anfrage bestätigte die Abda damals jenen Schritt bezüglich der Sperrung der Impfzertifikate: „Abschließend wurde – in Abstimmung mit dem DAV und auf Grund der technischen Rahmenbedingungen – eine Deaktivierung aller Zertifikate abgestimmt.“ Grundsätzlich oblägen die Entscheidung und die Umsetzung des Deaktivierens von QR-Codes dem Betreiber des Backends, der sowohl die QR-Codes erstellt als auch die Corona-Warn-App bereitstellt.

Den betroffenen Inhaber – gegen den in dem Zusammenhang keine Vorwürfe erhoben werden – stellt die Situation nun vor ein organisatorisches Problem: Monatlich seien über die Apotheke zwischen 500 und 700 digitale Nachweise erstellt worden – alle sind nun ungültig. Er wisse gar nicht, wie er seine Kunden informieren soll, sagt er.

Das Projektteam der Corona-Warn-App aus Robert Koch-Institut, Deutscher Telekom und SAP hatte am Montag einen sogenannten Hotfix veröffentlicht, die Erweiterung der App auf Version 2.13 (2.13.3 bei Android beziehungsweise 2.13.2 bei iOS). Damit kann die App nun die Kennung aller Zertifikate kontrollieren und prüfen, ob sie von einer gesperrten Apotheke ausgestellt wurden. Ist das der Fall, werden sie als ungültig dargestellt. Allerdings erfolge die Überprüfung der Zertifikate nur auf den jeweils eigenen Smartphones der Nutzer:innen, versichern die Entwickler. Bei der Kontrolle mit der CovPassCheck-App werde ein zurückgerufenes Zertifikat dann dementsprechend als ungültig angezeigt.

Datenschützern hatten bereits im Sommer kritisiert, dass falsche oder gefälschte Impfzertifikate nicht zurückgerufen werden können. Das haben die CWA-Entwickler nun ausgebessert, allerdings weiter mit der Einschränkung, Zertifikate nur nach Herkunft filtern zu können, nicht als individuelle Fälschung. Das Softwaresicherheitsunternehmen G Data war in einer Analyse zu dem Ergebnis gekommen, dass die Apotheken eine Schwachstelle im System der digitalen Impfzertifikate seien.