Gravierende Sicherheitsmängel: Elektronischer Impfausweis untauglich
Bei Corona-Impfungen werden Patientinnen und Patienten gefragt, ob sie die Impfung im elektronischen Impfausweis eintragen lassen möchten. In diesem Impfausweis, der durch die Stiftung meineimpfungen betrieben wird, wurden nun gravierende Sicherheitsmängel gefunden. Der Eidgenössische Datenschutzbeauftragte stoppte vorerst die Weiterbetreibung der Website.
Der Konsumentenschutz hat bereits vor Bekanntwerden der neuen Sicherheitsmängel beim elektronischen Impfausweis zur Zurückhaltung geraten. Diese Empfehlung verschärft der Konsumentenschutz nun und rät aufgrund der neuen Informationen davon ab, das Portal meineimpfungen.ch zu verwenden. Sensible Gesundheitsdaten von Konsumentinnen und Konsumenten sind in Gefahr.
Nach den Enthüllungen des Onlinemagazins “Republik” ist meineimpfungen.ch nicht mehr aufrufbar – eine dringende Wartung sei erforderlich. Die Republik hat in ihrer Recherche vom 23.03.2021 gravierende Sicherheitsmängel aufgedeckt und Anzeige beim Eidgenössischen Datenschutzbeauftragten erstattet. Dieser forderte umgehend, dass die Website offline genommen wird. Aus gutem Grund:
- Sämtliche registrierten Medizinfachpersonen können auf alle Daten von allen Registrierten zugreifen.
- Unbefugte können sich mit einfachen Tricks als Medizinfachperson registrieren.
- Sicherheitslücken ermöglichen Hackern, die abgespeicherten Gesundheitsdaten zu lesen oder abzuändern.
Kurzum: Der elektronische Impfausweis von meineimpfungen ist nicht sicher. Anscheinend fehlen sogar grundlegende Sicherheitsvorkehrungen wie unterschiedliche Zugangsrechte: Medizinfachpersonen konnten die Daten eigenhändig ändern. Aufgrund der mangelhaften Überprüfung durch die Websitebetreiberin wäre es möglich gewesen, sich als Medizinfachperson auszugeben. Auch ein Zugriff durch Hacker (ohne Registrierung) war denkbar, weil die Links nicht zufällig generiert wurden. Ob solche Manipulationen tatsächlich stattgefunden haben, wird sich erst noch zeigen.
Aufgrund dieser Sicherheitsmängel fordert der Konsumentenschutz:
- Die Werbung für den elektronischen Impfausweises ist sofort zu stoppen. Das betrifft sowohl die Online-Plattformen der Kantone als auch die Impfzentren.
- Konsumentinnen und Konsumenten, deren Gesundheitsdaten bereits auf meineimpfungen.ch sind, müssen bei einem Datenmissbrauch sofort informiert werden. Ausserdem müssen sie die Möglichkeit haben, ihre Daten aus dem elektronischen Impfausweis zu löschen.
- Das Bundesamt für Gesundheit (BAG) muss sofort eine taugliche Lösung für einen elektronischen Impfausweis finden. Auf keinen Fall darf das BAG weiter auf intransparente Stiftungen vertrauen. Der elektronische Impfausweis muss sicher und international verwendbar sein. Dafür muss der Gesetzgeber umgehend strenge Voraussetzungen schaffen.
