Ein unscheinbarer QR-Code für neue Freiheiten

25.06.2021 06:00

Das Covid-19-Zertifikat soll die Zukunft des Reisens regeln ? und die Einschränkungen der Pandemie hinfällig machen. In der Schweiz sollen Bürgerinnen und Bürger damit digital und fälschungssicher ihren Impf-, Test- oder Genesenenstatus belegen können. Das Zertifikat in Form eines QR-Codes soll Ende Juni fertig sein. Noch gibt es allerdings allerlei ungeklärte Fragen und auch Kritik.

So funktioniert das Schweizer Zertifikat

Das vom Bundesamt für Informatik und Telekommunikation entwickelte Zertifikat basiert auf einer elektronischen Signatur. Dabei stellt beispielsweise der Arzt oder ein Zertifikatsservice in dessen Auftrag einen Nachweis über eine Impfung aus. Dafür hat dieser ein elektronisches Schlüsselpaar, das aus einem privaten und einem öffentlichen Schlüssel besteht. Er signiert die Daten mit seinem privaten Schlüssel. Dieser Prozess hat die Funktion einer nicht fälschbaren Unterschrift: der öffentliche Schlüssel «passt» nur, wenn das Zertifikat mit dem privaten Schlüssel des Ausstellers signiert ist. Damit kann der Nachweis nicht nachträglich verändert oder gar gefälscht werden ? das Zertifikat wäre dann ungültig.

Es gibt aber Stellen im Prozess, in denen ein solches Zertifikat trotzdem gefälscht werden kann ? nämlich bevor die Signatur ins Spiel kommt. So kann ein unseriöser Arzt Impfungen bestätigen, die nicht stattgefunden haben. Eine weitere Schwachstelle ist die Übertragung bereits stattgefundener Impfungen aus den bisherigen nicht fälschungssicheren Dokumenten. Wie diese Übertragung in der Praxis aussehen wird, ist noch unklar.

Braucht es das Zertifikat überhaupt?

Dass das Zertifikat fälschungssicher ist, ist gleichzeitig seine Existenzberechtigung. Carmela Troncoso, Privacy-Forscherin an der EPFL, überzeugt das nicht: «Uns wird immer wieder gesagt, es gebe viele Fälschungen bei Impfausweisen», sagt Troncoso, «mit diesem Argument brauchen wir angeblich das Zertifikat.» Dass dieses Argument mit den gefälschten Impfpässen aber weder überprüft noch diskutiert wird, kritisiert Troncoso. Zudem lade die neu aufgebaute Infrastruktur dazu ein, sie zu umgehen, weil die Covid-Zertifikate mit der persönlichen Freiheit verknüpft und damit wertvoll sind. «Wenn ein Arzt mir ein Zertifikat ausstellen kann, das mir Reisefreiheit gewährt, dann entsteht hier ein Markt», sagt sie. Dass es in der Schweiz zudem Zutritt zu grossen Events und Discotheken regulieren soll, verschärfe das Thema noch. Schliesslich können die Zertifikate in der ganzen EU, der Schweiz und Grossbritannien ausgestellt werden. «Für einen Schweizer ist es nicht teuer, sich ein entsprechendes Dokument in Osteuropa zu kaufen.»

Wie steht es um den Datenschutz?

Es gab und gibt Diskussionen darüber, inwiefern sich dank der Daten, die zwischen der Kontroll-App und den Servern ausgetauscht werden, Bewegungen von Menschen verfolgen lassen. Dann würde sich die Technologie in eine potenzielle Überwachungstechnologie verwandeln, die missbraucht werden könnte, warnen Kritikerinnen wie Carmela Troncoso. «Deshalb muss das Zertifikat offline verifiziert werden», fordert Troncoso. Im Falle der EU sowie der Schweizer Lösung ist dies in der Tat vorgesehen.

Carmela Troncoso findet es dennoch bedenklich, dass die persönlichen Daten auf dem Zertifikat unverschlüsselt vorliegen. Insbesondere, da in der Schweiz auch eine Nutzung für Clubs und Events geplant ist, wo die. Gefahr grösser sein könnte, dass Unbefugte persönliche Daten von Besuchern speichern. Darum ist hier nach Auskunft des Bundesamtes für Informatik und Telekommunikation ein Art Zertifikat «light» geplant. Sichtbar ist dann vermutlich lediglich der Name und die Information, dass ein Zertifikat vorliegt, das zum Zugang berechtigt. Wie das im Detail aussehen soll, ist derzeit aber noch offen.

Grundsätzliche Bedenken

Carmela Troncoso hat weitere, grundsätzliche Bedenken, wenn es darum geht, neue digitale Infrastrukturen zur Pandemiebekämpfung im Schnelldurchlauf umzusetzen. «Es heisst zwar heute, solche Infrastrukturen dienen nur einem bestimmten Zweck», sagt sie, «aber das wird sich ändern: Wenn diese Infrastrukturen da sind, werden wir sie auch anderweitig nutzen.» Sie sagt: «Mit dem Covid-Zertifikat wird ein Werkzeug entwickelt, mit dem meine Regierung Informationen über mich mit einer anderen Regierung teilen kann». Das könne in Zukunft für andere Zwecke missbraucht werden. Für sie zählt es wenig, wenn Dinge in Gesetzen verankert werden, beispielsweise das Verbot der Datenspeicherung oder das Ende des Covid-Zertifikats, das zumindest laut EU-Gesetzgebung in einem Jahr ausser Betrieb genommen werden muss. «Was heute verboten ist, kann morgen erlaubt sein.»

Produced by: higgs.ch ? Das Magazin für alle, die es wissen wollen

Eva Wolfangel