Im Kampf gegen gefälschte Impfzertifikate führt die Polizei nun Blutproben durch. IT-Experten fordern neue Sicherheiten nach Vorbild der Kreditkartenindustrie.
Die Zahl der gefälschten Impfzertifikate geht laut Experten in die Hunderttausende. Das sagte Martin Braun, der Präsident der Landesapothekerkammer Baden-Württemberg. Die derzeit deutschlandweit rund 4000 laufenden Ermittlungsverfahren seien „nur die absolute Spitze des Eisberges“, so Braun in einer Onlineveranstaltung des Behördenspiegels zum Thema Impfpassfälschungen. Nach Brauns Schätzungen sind bis zu 15 Prozent aller Impfpässe und Corona-Impfzertifikate gefälscht. Das größte Problem sei weiterhin die Überprüfung, ob ein in einer Apotheke vorgelegter gelber Impfpass echt ist oder nicht. Zunächst berichtete heise.de.
Die Prüfung erfordere „detektivische Kenntnisse“. Zwar gebe es mittlerweile seitenweise Anweisungen und Hinweise auf potenzielle Fälschungsmerkmale. Zudem sei inzwischen auch eine Abfrage der im Impfpass eingeklebten Chargennummer möglich. Ob der Impfstoff aber auch tatsächlich verabreicht wurde, ist für die Apotheker nicht nachweisbar, wenn sie ein digitales Impfzertifikat ausstellen. Dieser Nachweis war bislang auch für Polizei und Staatsanwaltschaften schwer zu erbringen. Das ist nun anders: In Zusammenhang mit einer großangelegten Razzia in mehreren Bundesländern wegen Ausstellung von Corona-Impfnachweisen ohne tatsächlich erfolgte Impfung hat das Amtsgericht Augsburg für rund hundert Verdächtige einen Beschluss zur Blutentnahme angeordnet.
Ein Arzt aus Wemding soll Menschen, die einen Impfnachweis ohne Impfung wollten, diesen ausgestellt haben. Gegen diese Patienten richtete sich die Razzia. Bei dem Einsatz durchsuchten Polizisten die Wohnungen von etwa hundert Patienten in Bayern, Baden-Württemberg, Nordrhein-Westfalen und Hessen. Etwa 50 der Verdächtigen sei bei der Razzia Blut abgenommen worden, es seien außerdem 70 Handys beschlagnahmt worden, teilte die Polizei mit. Es sei davon auszugehen, dass sich „auf mehreren Mobiltelefonen widerrechtlich erlangte digitale Impfzertifikate befinden“. Außerdem seien etwa 80 Impfausweise beschlagnahmt worden. Weiter seien fünf Stempel von Arztpraxen und Impfzentren, mehrere Blankoimpfausweise und Blankogenesenenzertifikate entdeckt worden. Gegen die Beschuldigten werde wegen Beihilfe oder Anstiftung zum Ausstellen unrichtiger Gesundheitszeugnisse und deren Verwendung ermittelt. Außerdem stehen der Polizei zufolge Verstöße gegen das Infektionsschutzgesetz im Raum.
Blutentnahme durch Polizei auch unter Zwang möglich
Zum „größten Teil“ zeigten sich die Verdächtigen kooperativ, teilte die Polizei weiter mit. Auch die Blutentnahmen seien ohne Widerstände abgelaufen. Dass Tatverdächtigen Blut abgenommen wird, ist bei anderen Delikten gängige Praxis, etwa im Bereich der Gewaltkriminalität oder bei Verdacht auf Trunkenheit im Verkehr. Eine Zustimmung der Tatverdächtigen ist hierbei keine zwingende Voraussetzung. So heißt es in einem Urteil des Oberlandesgerichts Köln, die Entnahme einer Blutprobe sei ein „ungefährlicher, vergleichsweise unbedeutender Eingriff in die körperliche Unversehrtheit“, der „auch unter Zwang erduldet“ werden muss. Auch im Hinblick auf die durch das Grundgesetz geschützte Menschenwürde unterliege eine Blutentnahme keinen grundlegenden verfassungsrechtlichen Bedenken.
Eine zwangsweise durchgeführte Blutentnahme steht nach einem Beschluss des Landgerichts Berlin aber unter Richtervorbehalt. Demnach müssen Strafverfolgungsbehörden regelmäßig versuchen, vor der Durchführung der Blutentnahme zumindest telefonisch eine Anordnung des zuständigen Richters zu erlangen. Sie dürfen hiervon nur dann absehen, wenn „ausnahmsweise Gefahr im Verzug“ vorliegt. In diesem Fall müssen Staatsanwaltschaft oder Polizei die „die Gefahr im Verzug begründenden Tatsachen in der Ermittlungsakte dokumentieren“. Eine bewusste Missachtung des Richtervorbehalts führt laut Gericht „zur Unverwertbarkeit der zu Beweiszwecken entnommenen Blutprobe“.
IT-Experten fordern „Live-Prüfung“ von Impfzertifikaten
Unabhängig von den steigenden Bemühungen der Ermittlungsbehörden, Impfpassfälschern das Handwerk zu legen, sieht die Landesapothekerkammer einen „Geburtsfehler im System“, weil die wirkliche Echtheit der analogen Impfpässe „praktisch nicht prüfbar ist“. IT-Sicherheitsforscher haben in diesem Zusammenhang erneut auf ein großes Angebot an gefälschten Impfzertifikaten etwa im Darknet oder auch in Telegram-Gruppen verwiesen. Wolfgang Hermanns, Leiter der Abteilung Strategische Verbrechensbekämpfung beim Landeskriminalamt Nordrhein-Westfalen, sagt laut dem Bericht auf heise.de, der Nachweis eines gefälschten Impfpasses sei indes „auch für uns schwierig“. Er unterstütze daher einen „sicheren digitalen IT-Prozess“ zur Ausgabe der erforderlichen QR-Codes, die für ein digitales Impfzertifikat notwendig sind.
Thorsten Urbanski, Leiter der TeleTrusT-Initiative IT Security made in EU, sagte dazu, das europäische Covid-Zertifikat baue auf einer Infrastruktur auf, die nicht digital sei. Das räche sich nun. Man müsse mit Aufklebern aufhören. Wer impfe, müsse auch den QR-Code erstellen können. Eine Orientierungshilfe könne hierbei die Kreditkartenindustrie sein. So sei es etwa sinnvoll, das Zertifikat auf einer speziellen Chipkarte zu speichern und eine „Live-Prüfung“ von Einsätzen durchzuführen. Ein solcher Check könne im Hintergrund „voll anonymisiert“ und „ohne großes Tracking“ ablaufen. Zudem müssten die IT-Infrastrukturen in Deutschlands Arztpraxen modernisiert werden. Hier seien oftmals noch Geräte mit Windows NT und Windows 7 in Gebrauch. Für diese veralteten Betriebssysteme gibt es von den Herstellern keinen regulären Support mehr. Zugleich müsse die Politik „Versäumnisse wie ein fehlendes Impfregister und mangelnde Sicherheitsstandards“ angehen.
