Lieber IBM statt deutscher Mittelstand: Kritik am Digitalen Impfpass

Wer eine Schutzimpfung gegen COVID 19 erhalten hat, für den wird es zunehmend wichtiger, diesen Impfstatus nachzuweisen. Künftig soll dies per App möglich sein. Dazu ist geplant, den Impfnachweis als QR-Code (also codiertes Pixelmuster) unter anderem in die bestehende Corona-Warn-App einzubauen.

Für die Umsetzung dieses IT-Projekts hat das Bundesministerium für Gesundheit eine sogenannte Dringlichkeitsvergabe vorgenommen. Dieses verkürzte Ausschreibungsverfahren führte dazu, dass das Ministerium ein Konsortium aus IBM, dem Kölner Start-up Ubirch, dem Systemhaus Bechtle und der „IT-Genossenschaft“ Govdigital beauftragte.

Die ersten Eckpunkte, die diese Gruppe zu ihrer Lösung veröffentlichte, stießen auf viel Kritik von Sicherheitsexperten. Im Zentrum stand dabei der geplante Einsatz der sogenannten Blockchain-Technologie. Dieses Verfahren ist schon seit längerem ein Hype-Thema in der IT-Welt, weil es Transaktionen fälschungssicher und lokal verteilt im Internet abspeichert. Das Konzept sah zunächst vor, die zum Nachweis einer Impfung generierten QR-Codes auf insgesamt fünf miteinander verkettete Blockchains zu verteilen.

Kritik vom Chaos Computer Club am Digitalen Impfpass

Zu den Kritikern zählte etwa der Sicherheitsexperte Andreas Bogk vom Chaos Computer Club. Er vermutete, dass das Konsortium um IBM und Ubirch mit dieser Technologie-Wahl besonders modern wirken wollte. Dabei sei der Einsatz des Verfahrens gerade für Informationen über sensible Patientendaten fragwürdig – auch wenn in der Blockchain nicht die Impfdaten selbst, sondern nur Prüfinformationen gespeichert werden sollten. Doch das Funktionsprinzip der Blockchain basiere gerade darauf, dass die Informationen öffentlich für jeden Interessierten einsehbar seien.

Angesichts der zunehmenden Kritik an diesem Baustein ihres Konzepts teilte Projektpartner Ubirch via Twitter mit, dass man bis auf Weiteres Abstand vom Einsatz der Blockchain-Technologie nehmen werde. Außerdem plant das Konsortium nach Fertigstellung seiner Lösung, den sogenannten Quellcode als „Open Source“ zu veröffentlichen. Dies soll eine Überprüfung der Software durch unabhängige Experten ermöglichen.

Doch auch mit diesen Reaktionen und Veränderungen sind längt nicht alle Kritikpunkte an der vom Gesundheitsministerium beauftragten Lösung entkräftet. So sieht Experte Bogk immer noch das Risiko, dass sich Bewegungsprofile der überprüften Impflinge erstellen ließen: Da für jede Prüfung ein Zugriff auf die zentral gespeicherten Prüfzertifikate erfolgen müsse, ließen sich diese protokollieren und auswerten. Einen solchen Missbrauch wolle niemand IBM und Co oder der Bundesregierung unterstellen. Doch ein überzeugendes Sicherheitskonzept müsse solche Möglichkeiten bereits durch seine Architektur unterbinden.

ImpfPassDE als Alternative zum Digitalen Impfpass von IBM

Alternativen hätte es durchaus gegeben, wie Dr. Hans-Jürgen Schrörs betont. Der Allgemeinmediziner ist Geschäftsführer der Gesellschaft zur Förderung der Impfmedizin, GZIM. „Wir glauben, dass für den sensiblen digitalen Impfnachweis eine konsequent dezentrale Lösung besser geeignet ist. Genau diesen Ansatz nutzt die von uns bereits fertig entwickelte und seit 2016 in deutschen Arztpraxen eingesetzte Lösung ImpfPassDE.“ Diese Lösung werde von nahezu jeder Praxissoftware unterstützt, die niedergelassene Ärzte in Deutschland nutzen. Ärzte und Praxishelfer können dabei die Impfdaten per Mausklick übertragen, was bei manuellen Einträgen oder „Copy und Paste“ vorkommende Flüchtigkeitsfehler verhindert – gerade wenn hunderte Impfungen am Tag verwaltet werden sollen.

Zudem berücksichtigt das Sicherheitskonzept von ImpfPassDE genau die Kritikpunkte an zentralistischen Lösungen. Denn zur Zertifizierung der ausgestellten Impfnachweise setzt sie auf die Konnektoren der in den Praxen vorhandenen Telematik-Infrastruktur. Digitale Zertifikate erlauben allen dafür berechtigten Stellen – vom Friseurbetrieb bis zur Fluggesellschaft –, die Echtheit und Unverfälschtheit der im QR-Code gespeicherten Angaben zu überprüfen. Und nur im Pixelcode sind die sensiblen Informationen gespeichert – Name, Geburtsdatum, Geschlecht, Datum der Impfung und verabreichter Impfstoff.

Mit einfachen Maßnahmen die Sicherheit erhöhen

„Die Sicherheit ließe sich mit einfachen Maßnahmen weiter steigern, die in unserem Konzept schon mit eingeplant sind“, erklärt Dr. Hans-Jürgen Schrörs. So könne der Impfling über die App die Berechtigung zur Kontrolle selbst steuern und dabei zeitlich begrenzen. Die Prüfung wäre dann zum Beispiel für 10 Minuten ab Betreten eines Ladens möglich und würde danach wieder gesperrt. Dies verhindere missbräuchliche Zugriffe.

Da die GZIM somit eine bereits einsatzfähige Lösung längst vorliegen hatte, stellte sie diese nach Bekanntwerden der Ausschreibung dem Gesundheitsministerium vor. Doch zum Zug kam das Unternehmen nicht. GZIM-Geschäftsführer Dr. Schrörs: „Das vom Bundesgesundheitsministerium gewählte Ausschreibungs- und Vergabeverfahren war an Mindestanforderungen gebunden, die kleine und mittlere Unternehmen praktisch nicht erfüllen können.“ Die Konsequenz: Statt auf Innovation aus dem deutschen Mittelstand zu setzen, entschied sich das Ministerium für eine vermeintlich sichere Lösung rund um den internationalen IT-Giganten IBM.

BGM begründet seinen Entschluss mit dem Zeitdruck

Das BGM verteidigt seine Entscheidung: Das gewählte Ausschreibungsverfahren seit „vor dem Hintergrund der außerordentlichen Dringlichkeit der Beschaffung“ gewählt worden. Dabei hätte eine Berücksichtigung von mehr Unternehmen zu „einer nicht hinnehmbaren Verzögerung“ geführt. Zu den Sicherheitsbedenken verweist das Spahn-Ministerium darauf, dass auch das BSI (Bundesamt für Sicherheit in der Informationstechnik) mit eingebunden wurde.

Das Konzept der GZIM setze auf Standards, die ab 2022 ohnehin in die elektronische Patientenakte einfließen sollen, entgegnet der GZIM-Geschäftsführer Dr. Schrörs. „Wir hätten uns gefreut, wenn sich das Ministerium unsere einsatzfähige Lösung genauer angeschaut hätte.“ Schließlich wolle man über 20 Jahre Erfahrung mit elektronischem Impfmanagement in der aktuellen Situation gerne einbringen. „Aber wir haben die Hoffnung noch nicht aufgegeben.“ Deshalb informiere sein Unternehmen das Ministerium auch weiterhin fortlaufend über den Entwicklungs- und Pilotierungsstand.

Autor: Wolfgang Dumke