„Der Fehler ist uns bekannt“, sagt eine Mitarbeiterin der CovPass-App in der Hotline. „Die Techniker sind dran.“ Das sind sie schon seit Tagen – und nach Einschätzung der beiden Informations-Sicherheitsexperten André Zilch und Martin Tschirsich von der ZFT Company im hessischen Eppstein könnte das auch noch einige Zeit so bleiben. Das ist keine gute Nachricht für die Genesenen und Johnson-Geboosterten, die ihren Status derzeit nicht nachweisen können.
Denn im Gegensatz zu vielen anderen sind sie schon nach zwei Impfungen geboostert – und haben damit in diesen Tagen ein leidiges Nachweisproblem: Obwohl ihre letzte Impfung sofort gültig ist, weist das System die fehlerhafte Meldung aus, sie müssten noch eine 14-tägige Karenzzeit einhalten.
IT-Experten: Problem mit der CovPass-App ist nicht einfach zu lösen
Zilch und Tschirsich haben sich nun auf BNN-Anfrage den Quellcode der CovPass-App und der dazugehörigen Prüf-App angeschaut – das Problem ist anscheinend nicht mit ein paar Clicks zu beheben. Die beiden Experten kennen das System, seit sie im Sommer Sicherheitslücken bei der Zertifikat-Erstellung entdeckt hatten.
Zu Beginn dachte niemand, dass mal geboostert wird.André Zilch, Informations- und Sicherheitsexperte von ZFT.Company
Die falsche Meldung bei den 2/2-Geboosterten aber ist kein Problem der Zertifikate, wie zunächst berichtet, sondern ein Fehler im Regelwerk der CovPass-App. Und zwar ein systematischer: „Zu Beginn dachte noch niemand daran, dass mal geboostert wird“, sagt André Zilch. Am Anfang habe man es sich bei den Regeln der App leicht gemacht und festgelegt, dass immer nur ein Zertifikat zur Prüfung herangezogen wird – keine Serie. „Doch das ist zu einfach in diesen Zeiten“, urteilt Martin Tschirsich.
Denn wenn das letzte Zertifikat eine Biontech- oder Moderna-Impfung ausweist, mit der ein Genesener oder ein Johnson-Geimpfter seine Booster-Impfung erhalten hat, kann das System dies nicht als Booster-Impfung erkennen – zumindest wenn die ausstellende Apotheke oder Arztpraxis es richtig einträgt. Nach Einschätzung von Tschirsich, der auch im Chaos Computer Club aktiv ist, dauert die Fehlerbehebung und vor allem die anschließenden Tests womöglich mehrere Wochen.
2G-plus-Anforderungen zu komplex für Regelwerk der CovPass-App
„Unter 2G-plus-Bedingungen ist die Situation deutlich komplexer geworden“, sagt Tschirsich. Die App müsse zur Überprüfung der Gültigkeit künftig systematisch mehrere Zertifikate heranziehen – so sei sie aber bislang nicht programmiert, begründet der Experte seine zeitlichen Einschätzungen.
Am Donnerstag hatte das Gesundheitsministerium in Baden-Württemberg geraten, in solchen Fällen auf die Prüf-App zu verzichten, und nur jeweils die einzelnen Zertifikate heranzuziehen. Wer einmal mit Johnson geimpft oder genesen ist, gilt ab dem ersten Tag der zweiten Impfung als geboostert.
Vorsicht bei falschen Angaben bei Erstellung von Corona-Impfzertifikaten
Nach Einschätzung von Tschirsich „machen Apotheken auch Fehler“ beim Erstellen der Zertifikate. Aus seiner Sicht ist es auch nicht zulässig, das Problem zu umgehen, indem einfach gleich auf 3/3-Booster geklickt wird.
Diese medizinische Falschinformation ist problematisch.Martin Tschirsich, Informations- und Sicherheitsexperte von ZFT.Company
Diese Kombination der meisten Geimpften versteht das System zwar ohne Fehlermeldung, doch: „Diese medizinische Falschinformation ist problematisch“, betont Tschirsich. Es seien eben nur zwei Impfungen erfolgt und noch keine dritte. Denkbar ist auch, dass ein falscher Eintrag bei der Zahl der Impfungen etwa bei der Einreise in die USA Schwierigkeiten bereiten könnte.
Die BNN haben zu der Thematik, die viele Menschen betrifft und belastet, auch Auskünfte vom zuständigen Bundesgesundheitsministerium in Berlin angefragt. Doch seit drei Tagen erhält die Redaktion weder per Mail noch telefonisch eine Rückmeldung auf die vielen offenen Fragen.
