Faktencheck Lässt sich der digitale Impfnachweis beliebig oft kopieren?

Es soll vor allem das Reisen wieder möglich machen – das EU-weite Covid-Zertifikat. Mit dem digitalen Ersatz für den gelben Impfausweis sollte man wegen der sensiblen Gesundheitsdaten aber vorsichtig umgehen. Manche befürchten, der erstellte QR-Code lässt sich beliebig oft vervielfältigen. Das hätte Vorteile, könnte aber auch Probleme mit sich bringen. Was ist da dran?

Digitaler Impfpass
Der QR-Code lässt sich ohne großen Aufwand in die Corona-Warn-App oder CovPass-App anderer Telefone importieren. Bildrechte: MITTELDEUTSCHER RUNDFUNK

Kann der QR-Code des digitalen Impfpassen beliebig oft kopiert werden?

Warteschlangen gehören seit Ausbruch der Corona-Pandemie zum Bild in der Öffentlichkeit dazu: Standen die Menschen anfangs für Klopapier und Desinfektionsmittel vor den Drogerien, warten sie nun an Eingängen zu Freizeiteinrichtungen – bis bewiesen ist, dass sie getestet, geimpft oder genesen sind. Doch die Chancen stehen gut, dass die Schlangen bald wieder kürzer werden, je mehr Geimpfte sich den digitalen Impfnachweis besorgt haben. Das ist ein QR-Code, den sich Geimpfte auf Papier oder in einer App (der neuen CovPass-App, der Corona-Warn-App oder der Luca-App) mit sich führen können. Per Scan des Codes wird innerhalb von Sekunden klar, ob die Person geimpft ist – deutlich schneller, als das aufwändige Blättern im Impfpass.

Doch es gibt Zweifel an der Fälschungssicherheit des digitalen Impfnachweisen. Kann dieser QR-Code beliebig oft kopiert werden? Das wäre einerseits praktisch, zum Beispiel, wenn Smartphones verloren gehen, gestohlen werden oder einfach kaputt sind. Aber was wäre, wenn der QR-Code Datendieben oder Ungeimpften in die Hände fällt?

Analyse: Bei Fälschung bis zu einem Jahr Freiheitsstrafe

Grundsätzlich kann sich der Nutzer den Nachweis jederzeit erneut auf das Smartphone übertragen, sollte zum Beispiel das alte abhandengekommen sein. Andererseits können sich den Code auch nicht-geimpfte Menschen in ihre App laden und vorzeigen. Allerdings gilt der digitale Impfnachweis, in dem Angaben wie Name, Geburtsdatum und das Impfdatum gespeichert sind, nur für die Person, für den er ausgestellt wurde. Vom Bundesgesundheitsministerium heißt es dazu:

Bei der Überprüfung von digitalen Impfnachweisen ist – wie in der analogen Welt auch –gegebenenfalls ergänzend ein Lichtbildausweis vorzulegen.

Bundesgesundheitsministerium

Wer den digitalen Impfnachweis einer anderen Person nutzt, betrügt also. Laut Bundesjustizministerium greift in diesem Fall das Strafgesetzbuch – Missbrauch von Ausweispapieren: "Zwar handelt es sich bei einem Impfpass nicht um ein amtliches Ausweispapier, es kann sich hierbei aber um ein Zeugnis oder eine andere Urkunde handeln, die im Verkehr als Ausweis verwendet wird und daher den amtlichen Ausweisen gleichgestellt ist." Das Strafmaß ist eine Freiheitsstrafe von bis zu einem Jahr oder eine Geldstrafe. Mit der gleichen Strafe müssen laut Infektionsschutz Menschen rechnen, die einen Impfnachweis fälschen oder sich den Impfstatus erschleichen.

Chaos Computer Club: Tricksereien sehr wahrscheinlich

Linus Neumann vom Chaos Computer Club rechnet damit, dass immer wieder getrickst werden wird, solange nicht jeder ein Impfangebot bekommen hat. Dem ZDF sagte Neumann: "Wenn der Ausweis entscheidend ist, um Zugang zum öffentlichen Leben zu erhalten, dann ist der Druck, das zu tun, hoch."

Er glaubt nicht, dass die, die den QR-Code kontrollieren, zum Abgleich zusätzlich den Ausweis verlangen. "Wer für 8,50 Euro die Stunde am Einlass steht, wird sich da keinen Stress machen." Außerdem liege es auch nicht im Interesse einer Wirtin, Kundinnen und Kunden wegzuscheuchen. "Von daher wird das nicht so funktionieren, wie man sich das vorstellt."

Laut Axel Klein, Chef des Hotel- und Gaststättenverbandes Sachsen, hat ein Gastwirt in Sachsen ab einer Inzidenz von 35 und höher die Verantwortung, zu überprüfen, ob ein Gast geimpft, getestet oder genesen ist. "Die Angaben müssen für ihn nur plausibel sein. Der Gastwirt ist keine Ordnungsbehörde. Diese trägt hier die Verantwortung." Klein geht davon aus, dass eine Kontrolle erstmal vorbeugende Wirkung hat und die Regeln damit eher eingehalten werden. "Klar ist aber auch, dass es hin und wieder Menschen geben wird, die sich nicht daranhalten. Wir haben die Kontrollfunktion übernommen, um öffnen zu können – besser als weiter geschlossen zu bleiben."

Zutritt nur mit QR-Code auf dem Smartphone: In Frankreich wird das bei den aktuellen Ausgangsbeschränkungen wegen Corona genutzt.
Zutritt nur mit QR-Code auf dem Smartphone. Bildrechte: imago images / Hans Lucas

Allgegenwertige Kontrollen?

Linus Neumann vom Chaos Computer Club möchte in diesem Zusammenhang noch auf ein anderes Problem aufmerksam machen. Menschen werden sich seiner Meinung nach künftig kaum noch unkontrolliert durch die Öffentlichkeit bewegen können. "Wir gewöhnen uns gerade daran, dass wir uns überall ausweisen müssen, unsere Daten bei Schnelltest hinterlassen, unseren Impfstatus zeigen. Personalisiertes Ticketing wird auf Großveranstaltungen wie Konzerte oder Sportveranstaltungen ausgeweitet." Neumann hält das für eine "durchaus nennenswerte gesellschaftliche Einschränkung".

Fazit: Ja, der QR-Code kann beliebig oft kopiert werden

Fakt ist, dass der digitale Covid-Impfnachweis beliebig oft heruntergeladen und auf ein Smartphone übertragen werden kann. Das ist einerseits sehr praktisch, sollte es technische Probleme mit einem Gerät geben. Durch diese mögliche Sicherheitslücke könnten andererseits auch Dritte in den Besitz von Impfzertifikaten kommen. Zwar gilt der digitale Impfnachweis nur für die Person, für die er ausgestellt wurde. Alles andere wäre eine Fälschung des Impfpasses und beim Coronavirus laut Infektionsschutzgesetz eine Straftat – doch die Versuchung, einen fremden QR-Code zu verwenden, ist groß.

Das Bundesgesundheitsministerium weist in diesem Zusammenhang darauf hin, dass der Geimpfte seine Angaben aus dem digitalen Impfpass "gegebenenfalls" mit einem Reisepass oder Personalausweis belegen muss. Die Aussage setzt aber voraus, dass der Impfstatus auch sorgfältig und gewissenhaft überprüft wird.

Ob das praktisch umgesetzt wird, ist umstritten. Der Chaos Computer Club erwartet nicht, dass die, die die QR-Codes kontrollieren, zum Abgleich zusätzlich den Ausweis verlangen. Die DEHOGA Sachsen prognostiziert dagegen, dass die Kontrollen eine vorbeugende Wirkung haben und deswegen sich die meisten an die Regeln halten werden. Klar sei aber auch, dass es hin und wieder schwarze Schafe geben werde, die mit einem kopierten Impfausweis eingelassen werden wollen - und das auch geschieht.

Dieses Thema im Programm: MDR AKTUELL FERNSEHEN | 19. Juni 2021 | 19:30 Uhr

Mehr aus Deutschland