Gefälschte Impf-Zertifikate:
So einfach wird man selbst zur Apotheke

Die Ausstellung digitaler Impf-Zertifikate durch Apotheken wurde erst einmal wieder gestoppt. Zuvor war es Sicherheitsforschern gelungen, sich Zugang zu dem zentralen Portal zu verschaffen und auch ohne Nachweise Zertifikate auszustellen. Zumindest dürfte jetzt klar sein, wie es Kriminelle schaffen, auf Darknet-Plattformen gefälschte digitale Impf-Zertifikate zum Kauf anzubieten. Wahrscheinlich nutzen sie seit einiger Zeit die gleiche Schwachstelle, die André Zilch und Martin Tschirsich laut einem Bericht des Handelsblatts aufdeckten. Als man den Deutschen Apothekerverband (DAV) über die Erkenntnisse informierte, stoppte dieser das Ausstellen von Zertifikaten erst einmal komplett.

Um erfolgreich in das System zu kommen, bedurfte es keines technisch ausgefeilten Hacks. Die Sicherheitsforscher erfanden einfach eine eigene Apotheke und meldeten diese mit einer normalen Wohnungsanschrift beim zentralen Portal an. Eine mit Photoshop entsprechend angepasste Betriebserlaubnis, die relativ einfach zu finden ist, und einige weitere leicht zu bekommende Angaben genügten, um sich als echte Apotheke ausgeben und registrieren zu können.

Apotheken sind erst mal raus

Binnen zwei Tagen trudelte der abschließend benötigte Code per Brief an der angegebenen Adresse ein. Fortan war es den beiden Experten möglich, Impfzertifikate nach Wahl mit passenden Terminen auszustellen. Diese wurden von der offiziellen Prüf-App des Robert-Koch-Instituts auch anstandslos akzeptiert.

Aufgrund dessen wird es vorerst nicht möglich sein, in Apotheken digitale Zertifikate zu bekommen. Wann sich dies ändern wird, ist derzeit noch nicht zu sagen. Die Ausstellung direkt in Impfzentren funktioniert aber weiterhin. Der DAV erklärte zwar, dass es keine Hinweise auf einen realen Missbrauch gab, allerdings scheint es doch recht wahrscheinlich, dass die gefälschten Zertifikate über die beschriebene Schwachstelle erlangt worden sind.

Siehe auch: