Skip to main content

Fehler bei Johnson-Geboosterten und Genesenen

Geboostert ohne Nachweis: Experten vermuten Fehler bei CovPass-App – und der ist nicht rasch zu beheben

Ein leidiges Problem für Geboosterte mit nur zwei Impfungen, wie es bei Johnson-Impfstoffen oder Genesenen der Fall ist: Die CovPass-App weist sie irrtümlich als nicht geboostert aus. Offenbar ist der Fehler aber nicht so leicht zu beheben.

Das Logo der CovPass-App ist neben einem Impfbuch auf einem Smartphone zu sehen.
Eine Booster-Impfung mit der CovPass-App nachweisen? Für Genesene und Johnson-Geimpfte, die den Booster bekommen haben, nicht ganz einfach. Aufgrund eines Fehlers im System bekommen sie eine Fehlermeldung. Foto: Oliver Berg/dpa

„Der Fehler ist uns bekannt“, sagt eine Mitarbeiterin der CovPass-App in der Hotline. „Die Techniker sind dran.“ Das sind sie schon seit Tagen – und nach Einschätzung der beiden Informations-Sicherheitsexperten André Zilch und Martin Tschirsich von der ZFT Company im hessischen Eppstein könnte das auch noch einige Zeit so bleiben. Das ist keine gute Nachricht für die Genesenen und Johnson-Geboosterten, die ihren Status derzeit nicht nachweisen können.

Denn im Gegensatz zu vielen anderen sind sie schon nach zwei Impfungen geboostert – und haben damit in diesen Tagen ein leidiges Nachweisproblem: Obwohl ihre letzte Impfung sofort gültig ist, weist das System die fehlerhafte Meldung aus, sie müssten noch eine 14-tägige Karenzzeit einhalten.

Die BNN berichteten darüber, nachdem der Karlsruher Apotheker Felix Maertin das Problem erkannt und sich am Mittwoch an die Redaktion gewandt hatte.

IT-Experten: Problem mit der CovPass-App ist nicht einfach zu lösen

Zilch und Tschirsich haben sich nun auf BNN-Anfrage den Quellcode der CovPass-App und der dazugehörigen Prüf-App angeschaut – das Problem ist anscheinend nicht mit ein paar Clicks zu beheben. Die beiden Experten kennen das System, seit sie im Sommer Sicherheitslücken bei der Zertifikat-Erstellung entdeckt hatten.

Zu Beginn dachte niemand, dass mal geboostert wird.
André Zilch, Informations- und Sicherheitsexperte von ZFT.Company

Hat gemeinsam mit Martin Tschirsich Sicherheitslücken bei der Zertifikaterstellung aufgedeckt: IT-Sicherheitsexperte Andre Zilch von der zft.company
IT-Sicherheitsexperte André Zilch von der ZFT Company Foto: zft/PR

Die falsche Meldung bei den 2/2-Geboosterten aber ist kein Problem der Zertifikate, wie zunächst berichtet, sondern ein Fehler im Regelwerk der CovPass-App. Und zwar ein systematischer: „Zu Beginn dachte noch niemand daran, dass mal geboostert wird“, sagt André Zilch. Am Anfang habe man es sich bei den Regeln der App leicht gemacht und festgelegt, dass immer nur ein Zertifikat zur Prüfung herangezogen wird – keine Serie. „Doch das ist zu einfach in diesen Zeiten“, urteilt Martin Tschirsich.

Hat den Quellcode der CovPass-App unter die Lupe genommen: Informationssicherheits-Experte Martin Tschirsich von der zft.company.
Informations- und Sicherheitsexperte Martin Tschirsich von der ZFT Company Foto: zft/PR

Denn wenn das letzte Zertifikat eine Biontech- oder Moderna-Impfung ausweist, mit der ein Genesener oder ein Johnson-Geimpfter seine Booster-Impfung erhalten hat, kann das System dies nicht als Booster-Impfung erkennen – zumindest wenn die ausstellende Apotheke oder Arztpraxis es richtig einträgt. Nach Einschätzung von Tschirsich, der auch im Chaos Computer Club aktiv ist, dauert die Fehlerbehebung und vor allem die anschließenden Tests womöglich mehrere Wochen.

2G-plus-Anforderungen zu komplex für Regelwerk der CovPass-App

„Unter 2G-plus-Bedingungen ist die Situation deutlich komplexer geworden“, sagt Tschirsich. Die App müsse zur Überprüfung der Gültigkeit künftig systematisch mehrere Zertifikate heranziehen – so sei sie aber bislang nicht programmiert, begründet der Experte seine zeitlichen Einschätzungen.

Am Donnerstag hatte das Gesundheitsministerium in Baden-Württemberg geraten, in solchen Fällen auf die Prüf-App zu verzichten, und nur jeweils die einzelnen Zertifikate heranzuziehen. Wer einmal mit Johnson geimpft oder genesen ist, gilt ab dem ersten Tag der zweiten Impfung als geboostert.

Vorsicht bei falschen Angaben bei Erstellung von Corona-Impfzertifikaten

Nach Einschätzung von Tschirsich „machen Apotheken auch Fehler“ beim Erstellen der Zertifikate. Aus seiner Sicht ist es auch nicht zulässig, das Problem zu umgehen, indem einfach gleich auf 3/3-Booster geklickt wird.

Diese medizinische Falschinformation ist problematisch.
Martin Tschirsich, Informations- und Sicherheitsexperte von ZFT.Company

Diese Kombination der meisten Geimpften versteht das System zwar ohne Fehlermeldung, doch: „Diese medizinische Falschinformation ist problematisch“, betont Tschirsich. Es seien eben nur zwei Impfungen erfolgt und noch keine dritte. Denkbar ist auch, dass ein falscher Eintrag bei der Zahl der Impfungen etwa bei der Einreise in die USA Schwierigkeiten bereiten könnte.

Die BNN haben zu der Thematik, die viele Menschen betrifft und belastet, auch Auskünfte vom zuständigen Bundesgesundheitsministerium in Berlin angefragt. Doch seit drei Tagen erhält die Redaktion weder per Mail noch telefonisch eine Rückmeldung auf die vielen offenen Fragen.

nach oben Zurück zum Seitenanfang