Betrüger wittern lukratives Geschäft: Immer mehr gefälschte Impfausweise auf dem Schwarzmarkt – auch in Berlin

Ein kleines gelbes Heft wird dieser Tage zu einem der wichtigsten Dokumente überhaupt: der Impfpass. Meist in einer sicheren Schublade zu Hause verwahrt, könnte er schon bald als Eintrittskarte für Kinos oder Restaurants dienen. Wer eine Corona-Impfung vorweisen kann, dem könnten sich bald (wieder) Türen öffnen.

[Wenn Sie alle aktuellen Entwicklungen zur Coronavirus-Pandemie live auf Ihr Handy haben wollen, empfehlen wir Ihnen unsere App, die Sie hier für Apple- und Android-Geräte herunterladen können.]

Die ersten Fälscher wittern da ein lukratives Geschäft: Erst vergangene Woche entdeckten Polizisten Dutzende dieser kleinen gelben Hefte in der Wohnung eines 27-jährigen Berliners. Sie alle erwiesen sich als gefälscht.

Nachdem der Mann den Beamten in zivil die Impfpässe zum Kauf angeboten hatte, wurde er in Lichterfelde festgenommen. Laut Polizei soll er über einen Messengerdienst internationale Impfbescheinigungen und auch Impfstoffe zum Kauf angeboten haben. Doch das ist lange kein Einzelfall mehr.

Gefälschte Impfpässe samt Arztstempel, Unterschrift und Impfaufklebern werden in Berlin immer wieder verkauft. Zuletzt waren auch in anderen Bundesländern Blanko-Impfbücher mit solchen Einträgen aufgetaucht. Auch der geplante europäische Corona-Impfnachweis lässt sich Medienberichten zufolge leicht fälschen.

Der digitale Impfpass, der in Deutschland eingeführt wird, soll hingegen laut Bundesgesundheitsministerium vor Veränderungen geschützt und gleichzeitig an ein Smartphone gebunden sein. Das soll einen möglichst umfassenden Schutz vor Fälschung bieten.

Wie unterschieden sich die verschiedenen Impfpässe?

Der „gelbe“ Impfpass im Überblick:

• Der Impfpass ist beim Hausarzt, beim Gesundheitsministerium oder online erhältlich.
• Er dient zur Dokumentation aller Impfungen im Verlauf eines Lebens.
• Er enthält Daten über den Zeitpunkt der Impfung und wann welche Auffrischung ansteht.
• Der Impfpass ist international anerkannt und wurde nach den Richtlinien der Weltgesundheitsorganisation (WHO) erstellt.

Ab 2022 sei für Deutschland vorgesehen, den WHO-Impfausweis in digitaler Form zu etablieren: „Auch vor dem Hintergrund einer deutlich erhöhten Fälschungssicherheit“, teil das Gesundheitsministerium mit. Eine digitale Form des Impfpasses soll zwischen Mitte Mai und Ende Juni kommen, teile Gesundheitsminister Jens Spahn (CDU) am Montag mit.

Der digitale Impfausweis im Überblick:

• Der digitale Impfausweis dient als zusätzliche Möglichkeit, erhaltene Impfungen und dazugehörige Daten zu sammeln. Jedes Land entwickelt ihn selbst. In Deutschland ist damit ein Unternehmenskonsortium von IBM, Ubirch, govdigital und Bechtle im Auftrag der Bundesregierung beauftragt worden.
• Geimpfte können den Zeitpunkt der Impfung und den erhaltenen Impfstoff personalisiert auf dem Smartphone abrufen und bei Bedarf vorzeigen können.
• Die Nutzung des digitalen Impfausweises ist ein freiwilliges und ergänzendes Angebot. Weiterhin wird das „gelbe Heft“ als Impfnachweis möglich sein.
• Generiert wird der Impfausweis in Arztpraxen oder Impfzentren. Sobald Daten eingegangen sind, wird ein QR-Code erstellt. Eine kostenfreie App soll zur Steuerung des digitalen Impfnachweises dienen. Danach ist die Impfbescheinigung an das jeweilige Handy gebunden.

Die Europäische Kommission hat bereits einen Entwurf zur Regelung eines EU-weiten Anerkennungsrahmens für (digitale) Zertifikate für Impfungen, Tests und für Personen mit einem Corona-Heilstatus vorgelegt, um die Reisefreizügigkeit zu erleichtern. Und hier kommt das Grüne Zertifikat der EU ins Spiel.

In Deutschland und 19 weiteren EU-Staaten sollen ab Mai Pilotphasen zur Erprobung des EU-weiten Systems beginnen, spätestens Ende Juni soll die Technik für alle EU-Bürgerinnen und -Bürger verfügbar sein. Zuvor müssen sich die Mitgliedsstaaten aber noch mit dem EU-Parlament und der Kommission über die Umsetzung einigen.

Das Grüne Zertifikat der EU im Überblick:

• Das Grüne Zertifikat der EU ist nicht gleichzusetzen mit einem digitalen Corona-Impfausweis.
• Mit dem Zertifikat will die EU geimpfte, genesene und getestete Bürger wieder freizügig reisen lassen.
• Das Dokument soll bis Ende Juni auch in einer App verfügbar sein.
• Damit sollen die technischen Voraussetzungen geschaffen werden, dass die nationalen Bescheinigungen an jeder Grenze und an jedem Flughafen in der Europäischen Union ausgelesen werden können.

Europäischer Corona-Impfnachweis lässt sich problemlos fälschen

Experten bemängeln derzeit die Schwächen des geplante europäische Corona-Impfnachweises. Nach Planungen des Gesundheitsministeriums sollen die im gelben Impfpass eingetragenen Impfnachweise umstandslos in Arztpraxen, Impfzentren oder in Apotheken auf den neuen EU-Impfausweis übertragen werden können, wie die „Welt am Sonntag“ berichtet. Da dieser Nachweis im gelben Impfpass jedoch leicht zu fälschen sei, sei auch das darauf aufbauende neue EU-Zertifikat entsprechend anfällig für Betrug.

Das Bundesgesundheitsministerium räumte gegenüber der Zeitung die Sicherheitslücke ein. Bei der Prüfung der analogen Impfpässe sei „besondere Vorsicht geboten“. Das gelte auch, wenn „die Informationen in einen digitalen Impfpass übertragen werden“, erklärte das Ministerium.

[Mehr zum Thema: Das bringen die Regierungspläne für Geimpfte und Genesene]

Die Hackervereinigung Chaos Computer Club (CCC) sieht die Verantwortung für die offene Sicherheitslücke beim Gesundheitsministerium. Beim Eintrag in den gelben Ausweis fehle die Absicherung gegen Fälscher komplett, sagte Sprecher Matthias Marx. „Das hätte man auch besser lösen können – mit Hologrammaufklebern etwa, mit geprägtem Papier, mit Materialien, die sich nicht jeder auf Amazon zusammenklicken kann.

EU-Kommissionssprecher erklärt EU-Impfnachweis als sicher

Ein EU-Kommissionssprecher erklärte dagegen, der EU-Impfnachweis sei sicher. Entscheidend sei, dass der Eingabeprozess im jeweiligen Land sicher sei. Dabei hätten es diejenigen Länder leichter, in denen das nationale Gesundheitssystem bereits vollständig digitalisiert sei. „Die Umschreibung von Papiernachweisen auf digitale grüne Zertifikate über Apotheken wäre eine rein deutsche Lösung, kein Vorschlag der Europäischen Kommission“, betonte der Sprecher.

Es sei hier besonders wichtig, dass die vorgelegten Papierdokumente sorgfältig geprüft und abgeglichen würden, bevor ein EU-weit gültiges Zertifikat generiert werde.

Gesundheitsminister Spahn hatte vergangene Woche angekündigt, den digitalen Impfpass möglichst schnell zugänglich zu machen. Dafür solle das Infektionsschutzgesetz entsprechend geändert werden.

Missbrauch des Impfnachweises kann unterbunden werden

Bei der Einführung des digitalen Impfnachweises in Deutschland sollten Manipulationen unter anderem mit den Methoden verhindert werden, mit denen auch Banken den betrügerischen Einsatz von Kreditkarten bekämpfen. Darauf hat der Analyst Thorsten Urbanski von der Sicherheitsfirma Eset hingewiesen.

So könnten IT-Systeme im Hintergrund verhindern, dass eine Kreditkarte zeitgleich in unterschiedlichen Ländern oder Städten verwendet wird. „Ein ähnliches System wäre für den digitalen Impfausweis beziehungsweise die Nutzung des QR-Codes unter Berücksichtigung der Datenschutzkonformität zwingend erforderlich“, sagte Urbanski der Deutschen Presse-Agentur.

Er forderte die Verantwortlichen für die Entwicklung des digitalen Impfnachweises auf, innerhalb der App mehrstufige Hürden zu integrieren, um den Identitätsmissbrauch generell zu erschweren oder unmöglich zu machen. So solle es verhindert werden, einen Screenshot innerhalb der App zu machen, was bisher in der Corona-Warn-App noch möglich sei. Urbanski räumte gleichzeitig aber ein, dass die Erstellung von Screenshots bei Smartphones technologisch nicht komplett unterbunden werden könne.

Noch problematischer sei es, wenn das Impfdokument ohne Sicherheitsmerkmale einfach ausgedruckt werden könne. „Das scheint aktuell noch geplant zu sein. Es ist utopisch zu glauben, dass jedes Restaurant oder Geschäft sich zur Verifizierung des Impfstatus immer auch einen Personalausweis zeigen lässt.“

© imago images/MiS

Auf Website des Bundesgesundheitsministerium ist nachzulesen, wie der Missbrauch des digitalen Impfausweises verhindert werden soll. Demnach darf dieser nur von autorisierten Personen ausgestellt werden: Mitarbeitern in Impfzentren oder Arztpraxen. Bei der Überprüfung des Impfnachweisen ist der ein Personalausweis vorzulegen. Zudem sei der Nachweis verschlüsselt vor Veränderungen geschützt und ist gleichzeitig an ein Smartphone gebunden. So soll ein möglichst umfassender Schutz vor Vervielfältigung vorliegen.

Keine Fotos von Impfpässen im Internet posten

Fotos von Impfpässen sind in den vergangenen Wochen immer häufigen im Internet zu sehen. Das Glück, eine Impfdosis erhalten zu haben, wollen viele mit ihrem Freundes- oder Familienkreis teilen.

Kriminelle könnten jedoch aus der Chargennummer oder dem Stempel gefälschte Impfpässe herstellen oder die Infos auf andere Art und Weise missbrauchen. Außerdem handelt es sich um persönliche Gesundheitsdaten, die sensibel behandelt und geschützt werden sollten, erklärt das Bundesgesundheitsministerium.

[Mehr zum Thema: Berliner Arzt über Corona-Impfung für Kinder – „Natürlich gibt es Eltern, die skeptisch sind“ (T+)]. 

„Niemand ist davor geschützt, dass persönliche Gesundheitsdaten missbräuchlich verwendet werden. Deshalb ist bei hochsensiblen Daten im Netz auf Sparsamkeit und Vorsicht zu achten“, sagt Eugen Brysch von der Stiftung Patientenschutz. Schließlich gehe es bei Krankenversicherungskarten, ärztlichen Befunden und Impfpässen um vertraulichste Informationen. „Diese haben nichts in sozialen Medien zu suchen. Datendiebe haben sonst leichtes Spiel.“

Recherchen des ARD-Magazins „Report Mainz“ hatten unlängst ein Schlaglicht auf den illegalen Handel mit gefälschten Impfpässen geworfen. Die Fälschungen, die es zu teils horrenden Preisen im Internet zu kaufen gibt, enthalten dem Bericht zufolge Einträge über Covid-19-Impfungen inklusive vermeintlich echter Aufkleber mit Chargennummer, Stempel und Unterschriften. (mit Agenturen)