Der DAV informiert die Apotheken nur scheibchenweise: Am Dienstag erschien im Portalbereich für die digitalen Impfzertifikate eine neue Meldung, wonach an diesem Tag keine Ausstellung möglich sein werde. Weitere Informationen würden am Mittwoch folgen. Mittwoch folgte: Auch heute keine Zertifikate möglich, weitere Informationen folgen am Donnerstag. „Derzeit wird intensiv an Lösungen zur Schließung der erkannten Sicherheitslücke gearbeitet. Dazu sind bereits erste Tests in Vorbereitung“, so der DAV. „Als Apothekeninhaber/in müssen Sie aktuell nichts weiter tun.“ Alle weiteren notwendigen Informationen würden die Apotheker:innen zu „gegebener Zeit“ erhalten.

Die meisten Fragen bleiben damit weiter offen: Was geschieht gerade im Hintergrund? Was wird sich beim Relaunch für die Apotheken ändern? Während in tausenden Apotheken Menschen fragen, ob und wann sie Impfzertifikate erhalten können, mauert der DAV weiter. Auf Fragen dazu antwortet er nicht, verweist auf jene Mitteilungen im Dashboard des Portals und betont lediglich, dass die Abrechnung von der Sperrung nicht betroffen sei.

Doch warum wurden beispielsweise alle Zugänge gesperrt, wenn doch laut DAV von der Schwachstelle beim Zugang zum Webportal „nur die wenigen hundert Apotheken“ betroffen sind, „die nicht Mitglied des DAV sind“? Auch das BMG gibt sich äußerst schmallippig, lässt mit seinen kargen Antworten aber wenigstens Rückschlüsse zu: Denn das BMG hat offensichtlich entschieden, dass Impfzertifikate künftig nur noch über die Telematikinfrastruktur (TI) ausgestellt werden dürfen. Vergangenen Freitag hatten BMG und DAV in einer gemeinsamen Mitteilung noch davon gesprochen, „alle Apotheken, die dies wünschen“, würden in dieser Woche „schrittweise wieder Zugriff auf das DAV-Portal“ erhalten. Erst im letzten Satz hieß es: „DAV, IBM, Gematik und BMG arbeiten zudem gemeinsam daran, die Sicherheit bei der Ausstellung von Impfzertifikaten durch eine Einbindung dieses Prozesses in die sichere Telematikinfrastruktur insgesamt noch weiter zu erhöhen.“ Das Wörtchen „zudem“ hat dabei aber einen falschen Eindruck erweckt: Denn die TI-Migration ist die Krux an der Sache.

Denn die Impfzertifikatefunktion des DAV-Portals soll erst wieder online gehen, wenn sie komplett in die TI eingebunden ist. „Eine Ausstellung von Zertifikaten soll erst wieder nach der Umstellung auf die neue Ausstellungsweise erfolgen“, bestätigt das BMG auf Anfrage. Eine Übergangsphase, in der beispielsweise über die laut DAV nicht kompromittierten Zugänge von Mitgliedsapotheken weiterhin Zertifikate ausgestellt werden könne, ist demnach nicht vorgesehen. Durch die TI-Einbindung werde die Sicherheit bei der Authentifizierung der Apotheken „weiter erhöht“, so das BMG.

Allerdings: Laut den beiden IT-Experten Dr. André Zilch und Martin Tschirsich, die die eklatanten Sicherheitslücken bei der Vergabe der Zugänge aufdeckten, war die Ausstellung über die TI ohnehin eine Anforderung des BMG für den Zertifikateservice, Ärzte und Impfzentren verfahren auch so. Offensichtlich wurde aber aus politischen Gründen – es sollte so schnell wie möglich gehen – im Falle des DAV ein Auge zugedrückt. Das hat sich gerächt.

Wann die Migration des Portals in die TI abgeschlossen sein wird und die Apotheken wieder Zertifikate ausstellen können, kann auch das BMG nicht genau sagen, wird aber zumindest etwas genauer als der DAV: „voraussichtlich noch in dieser Woche“. Immerhin: Ändern werde sich aus Apothekensicht nichts, verspricht das Ministerium. „Die Ausstellung wird nach wie vor auf dem DAV-Portal aufbauen. Der grundlegende Prozess der Ausstellung bleibt gleich“, so eine Sprecherin. Auch bei der Abrechnung dürfte wohl alles wie geplant laufen: „Es sollte keine Auswirkungen auf die Abrechnung geben, da nur der Zugang für die Ausstellung der Impfzertifikate abgestellt wurde.“