Impfzertifikat „Adolf Hitler“: CovPass Check bestätigt Echtheit

Die vom Robert-Koch-Institut ausgegebenen, offizielle CovPass Check-Applikation der Bundesregierung bestätigt, was eigentlich nicht sein kann: Nach dem Einscannen eines auf dem Kurznachrichten-Portal Twitter aufgetauchten QR-Codes, validiert der Download für Gastronomie und Veranstaltungsgewerbe diesen als authentisch.

Wird von CovPass Check abgenickt: Hitlers Impfzertifikat

Der QR-Code würde ein gültiges Genesenen- bzw. Impfzertifikat für die Person „Adolf Hitler“, geboren am 01.01.1900 enthalten. Statt Hitler könnte hier auch Micky Maus oder Pippi Langstrumpf stehen. Nicht der Name, sondern die Tatsache, dass dieser mit einem validen Zertifikat in Verbindung gebracht wird, gibt zu denken.

Private Schlüssel kompromittiert?

Denn dies wäre nur möglich, wenn der private Schlüssel, der zum Signieren der kryptografischen Impfzertifikate genutzt wird, in fremde Hände gelangt ist. Genau dies behauptet das Twitter-Konto @reversebrain, das den fraglichen QR-Code bereits am 26. Oktober veröffentlicht hat. Zwar würde die offizielle italienische Prüf-Applikation „Verifica C19“ den aus Frankreich stammenden QR-Code inzwischen als ungültig kennzeichnen, die CovPass Check-Anwendung der Bundesregierung, bestätigt die Validität zur Stunde allerdings weiterhin.

Sollten die privaten Schlüssel der für die Zertifikate-Vergabe verantwortlichen Stellen wirklich abhanden gekommen sein, könnten Dritte gültige Zertifikate für beliebige Personen ausstellenden. Eben solchen Betrügereien wollte das grüne Impfzertifikat der Europäischen Union eigentlich vorbeugen. Heißt es im Infobereich der CovPass Check-App doch, dass die Zertifikate „mittels einer kryptografischen Signatur gegen Manipulation und Fälschung gesichert“ sind.

Nun muss sich zeigen, ob das kompromittierte Zertifikat zurückgerufen werden kann oder für eine Schwemme an unechten aber „validen“ Impfbestätigungen sorgt. Erste Portale auf denen sich digitale Impfzertifikate im Netz bestellen lassen können, wurden bereits gesichtet.