Digitales Deutschland_ Impf-Zertifikate wurden ohne Impfung ausgestellt

Langsam wird Deutschland zur digitalen Lachnummer. Keine Sirenen, Sirenen, die nicht funktionieren, Sirenen, die funktionieren, aber nicht heulen dürfen – es ist zum heulen. Und nun das:

Zwei IT-Spezialisten haben herausgefunden, dass es »mithilfe von professionell gefälschten Dokumenten« möglich ist, auf dem Server des Deutschen Apothekerverbands, DAV, einen Gastzugang einzurichten, der eine Apotheke repräsentierte. Über diese Fake-Apotheke wurden anschließend zwei Impfzertifikate ausgestellt.

Die ganze Sache ist also schlimmer, als es zunächst scheint. Es wurden keine falschen Impfzertifikate erstellt, sondern zuerst einmal falsche Apotheken. Über diese konnten dann wohl beliebig viele Zertifikate ausgestellt werden – ganz ohne weitere Dokumente.

Der Deutsche Apothekerverband hat das Erstellen digitaler Impfzertifikate über das Apothekenportal vorerst gestoppt. Alle angemeldeten Apotheken werden nun zunächst einer Überprüfung unterzogen. Weitere unberechtigte Zugänge habe man bisher nicht gefunden, berichtet das Handelsblatt, das den Fall öffentlich gemacht hat. Die beiden Spezialisten »haben die Schwachstelle offengelegt«, schreibt das Blatt, »und damit demonstriert, dass es bei dem Portal deutliche Mängel gibt«. Bisher wurden 25 Millionen Impfzertifikate ausgestellt.

Die Probleme sind womöglich überhaupt erst entstanden, nachdem die Software ergänzt werden musste. Zunächst konnten sich auf dem Portal, das vom DAV betreut wird, nur Apotheken anmelden, die dem Landesapothekerverband oder Landesapothekerverein angehören, schreibt die Deutsche Apothekerzeitung, DAZ. »Da deren aktuelle Daten im Mitgliederverzeichnis gelistet sind«, erklärte ein Verbandssprecher, »war und ist eine zweifelsfreie und sichere Authentifizierung dieser Apotheken auf dem Portal jederzeit gewährleistet.« Anschließend wurde für 470 Apotheken, die nicht in Verbänden organisiert sind, ein Gastzugangssystem eingerichtet, das ihnen die Möglichkeit gibt, sich ebenfalls anzumelden und Zertifikate auszustellen. Über diese Ergänzung wurden die Fake-Apotheken auf dem System angemeldet.

Wie die Deutsche Apotheker Zeitung schreibt, werden die Software nun überprüft. »Wann die Ausstellung von Zertifikaten wieder aufgenommen wird«, heißt es weiter, »steht noch nicht fest, der DAV befindet sich im engen Austausch mit dem Bundesgesundheitsministerium.«