Portal gesperrt: Apotheken können keine Impfzertifikate mehr ausstellen
Das Handelsblatt hatte unabhängige IT-Experten auf das Thema "Sicherheitslücke bei digitalen Covid-Impfnachweisen" angesetzt. Im Zuge der Recherche dachten sich die Reporter eine "Sonnen-Apotheke" mit Adresse in Darmstadt aus. Für die Betriebserlaubnis fälschten sie ein echtes Dokument, das sie im Internet fanden, den Bescheid des Nacht- und Notdienstfonds erstellten sie auf Basis von Webinformationen und Nachfragen bei einem Apotheker.
Einfallstor war der Gastzugang
Nach zwei Tagen lag der Registrierungscode für den Gastzugang im Briefkasten. Bei der für die Anmeldung im Portal www.mein-apothekenportal.de erforderlichen Telematik-ID gaben die IT-Profis die 19 (!) Ziffern einfach nach dem Zufallsprinzip ein. Fertig, damit waren sie in der Lage, eigene Zertifikate mit beliebigen Namen und Impfterminen auszugeben. Als Beweis stellten sie ein Zertifikatspaar aus, das von der offiziellen Überprüfungs-App "CovPass Check" des Robert Koch-Instituts anstandslos akzeptiert wurde.
Der Server wurde abgeschaltet
Das Handelsblatt hatte anschließend den DAV über die Ergebnisse informiert, der daraufhin nach Rücksprache mit dem Bundesgesundheitsministerium den Zertifikatsserver am Mittwoch vom Netz nahm.
Zusätzlich zu "der ohnehin mehrfach pro Woche laufenden Überprüfung der über Gastzugänge angemeldeten Betriebsstätten" wollte der DAV jetzt eine weitere Prüfung vornehmen. Bis Donnerstagmittag fand er allerdings keine Hinweise auf andere unberechtigte Zugänge. Deren Erstellung sei nur in "betrügerischer Absicht" und "mit erheblichem Aufwand und krimineller Energie denkbar".
Bisher 25 Millionen Impfzertifikate von Apotheken ausgestellt
Der DAV geht daher davon aus, dass die über 25 Millionen Impfzertifikate, die bisher über Apotheken ausgestellt worden sind, alle von rechtmäßig registrierten Apotheken ausgestellt wurden. "Wann die Ausstellung von Zertifikaten wieder aufgenommen wird, steht noch nicht fest, der DAV befindet sich im engen Austausch mit dem Bundesgesundheitsministerium."
Deutsche Apotheken können daher aktuell bundesweit keine digitalen Impf- oder Genesenenzertifikate mehr ausstellen.
Zum Gastzugang
DAV, 22. Juli 2021
