Betrugsfälle – Kantone warnten Bund seit Monaten vor Sicherheitslücken beim Covid-Zertifikat

Immer wieder werden Betrugsfälle im Zusammenhang mit der Ausstellung von Covid-Zertifikaten bekannt. Allein im Kanton St. Gallen führten Ermittlungen zu einer Täterschaft, die rund 6000 Covid-Zertifikate gefälscht hatte. Dabei handelt es sich um den bisher grössten bekannten Betrugsfall. Recherchen von 20 Minuten haben gezeigt, dass in der Ostschweiz Personen mit echten Anmeldedaten Zertifikate generierten und für mehrere Hundert Franken pro Stück verkauften.

Wie die SRF-«Rundschau» berichtet, verlangen sechs angefragte Kantone seit Monaten vom Bund Sicherheitsmassnahmen. Der Präsident der Vereinigung der Kantonsärztinnen und Kantonärzte VKS bestätigt dies: «Kurz nach Einführung des Zertifikats Anfang Juni sind wir an den Bund gelangt», so Rudolf Hauri. Dass Mitarbeitende in Impfzentren, Apotheker und Apothekerinnen, Labor-Angestellte, Hausärztinnen und Hausärzte Zertifikate ausstellen können, bezeichnet der oberste Schweizer Kantonsarzt als «Sicherheitsrisiko». Insgesamt könnten so mehrere Tausend Menschen auf die Software zugreifen und Covid-Zertifikate ausstellen. Der Bund solle deren Berechtigungen ihrer Aufgabe entsprechend einschränken, so die Forderung der Kantone.

In der Zeit von Ende September bis Mitte Oktober 2021 erhielt die Schaffhauser Polizei vom Bundesamt für Polizei (Fedpol) und dem Kantonalen Impfzentrum (KIZ) Hinweise, wonach ein Mitarbeiter des Kantonalen Impfzentrums womöglich mehrere Hundert gefälschte, respektive inhaltlich unwahre Covid-Impfzertifikate generiert und an Personen verkauft habe, die nie die dafür notwendigen Impfungen erhalten hätten. Der 20-Jährige arbeitete im Büro und hatte von dort Zugriff auf die Zertifikats-Software.

Laut der Staatsanwaltschaft habe der Beschuldigte die Daten von einer geimpften Person geändert und daraus ein inhaltlich unwahres Zertifikat erstellt. Die «Rundschau» traf einen jungen Mann, der im Besitz eines gefälschten Zertifikats ist, das im kantonalen Impfzentrum in Schaffhausen ausgestellt worden ist. «Es hat bis jetzt überall funktioniert», sagt der Mann im Bericht.

Die Verantwortung für die Software liegt bei den Bundesämtern für Informatik BIT und Gesundheit BAG. Im Interview mit der «Rundschau» räumt Patrick Mathys, Leiter der Sektion Krisenbewältigung beim BAG, ein: «Die Frage ist bei uns vielleicht zu kurz gekommen.» Er verweist auf die starke Auslastung der Zuständigen mit laufenden Änderungen am Covid-Zertifikat. Man wolle sich die Sache aber nun «ganz intensiv anschauen», so Mathys. Personen mit gefälschten Zertifikaten würden andere Menschen und allenfalls auch sich selber gefährden. «Auf die epidemiologische Lage und die Entwicklung der Pandemie haben sie aber fast keinerlei Einfluss», so Mathys.

Die Kantone weisen auf eine weitere, für sie gravierende Sicherheitslücken hin: Sie haben kaum Möglichkeiten, selber zu überprüfen, zu welcher Zeit und wie oft eine Mitarbeiterin oder ein Mitarbeiter eines Testzentrums Impfzertifikate ausstellt. Rudolf Hauri kritisiert das: «So ist Betrügen nicht sehr schwierig. Das Problem ist technisch lösbar», so der oberste Schweizer Kantonsarzt. Seit einem halben Jahr rede man darüber mit den Bundesbehörden. Geändert habe sich bis jetzt aber noch nichts.

In der «Rundschau» verspricht Mathys Anpassungen. Die Kantone sollen nun einfacher und umfassender Einblick in die Aktivitäten der Zertifikatsausstellerinnen und -aussteller erhalten. Dass dies möglicherweise nicht in dem Umfang möglich sein könnte, wie es sich das die Kantone wünschten, hänge mit dem Datenschutz zusammen. Wann die Anpassungen kommen, liess Mathys offen. Er verweist darauf, dass die Änderungen Zeit benötigten. Der Bund sei aber sehr wohl aktiv und habe laufend andere Sicherheitsvorkehrungen getroffen.