Wollen Sie wissen, womit Viola Amherd geimpft ist?

Wer gegen Covid-19 geimpft ist, soll in Europa frei reisen können. Diese Idee wird derzeit in der EU diskutiert. Nach dem Vorbild von Israel möchte die Europäische Union einen «digitalen grünen Impf­ausweis» einrichten.

Auch die Schweiz arbeitet an einem digitalen Impf­ausweis. Das Parlament hat dafür vergangene Woche das Covid-19-Gesetz angepasst.

Dabei sind alle Augen auf die Plattform Meineimpfungen.ch und die dazugehörige Impf-App MyViavac gerichtet. Nutzerinnen können dort eintragen, welche Impfungen sie wann erhalten haben, und überprüfen, ob ihnen gewisse Impfungen fehlen.

Die Plattform wird von einer Stiftung betrieben und vom Bundesamt für Gesundheit (BAG) für den elektronischen Impf­ausweis favorisiert. Neun Kantone haben einen Vertrag mit der Stiftung. Der Zweck: die Zusammen­führung der Daten der Impfanmeldungs­software der Kantone und des gesamt­schweizerischen elektronischen Impfbüchleins.

Doch Meineimpfungen.ch und das zugehörige MyCovidVac-Modul weisen gravierende Sicherheits­mängel auf und erfüllen die Anforderungen an den Daten­schutz nicht. Ein technischer Bericht der Informations­sicherheits­experten Sven Fassbender, Martin Tschirsich und André Zilch sowie Recherchen der Republik bringen drei gravierende Probleme zum Vorschein:

1. Umfassende Zugriffsrechte: Jede Medizin­fachperson, die auf der Plattform registriert ist, hat umfassenden Zugriff auf die Impf- und Gesundheits­daten sämtlicher erfasster Privat­personen. Sie könnte zum Beispiel deren covid­relevante Impfdaten einfach manipulieren.

2. Mangelhafte Überprüfung: Bei der erstmaligen Anmeldung als Medizin­fachperson findet keine eigentliche Identitäts­prüfung statt. Die Verifikation basiert allein auf den Informationen des Antrag­stellers. Das bedeutet: Es ist einfach, sich als «Arzt» auszugeben.

3. Sicherheitslücken: Hackerinnen können relativ leicht die Covid-19-Impfausweise sämtlicher bisher geimpfter Personen auf der Plattform erbeuten. Mit etwas technischem Wissen können sie ausserdem die Impf­daten und weitere Gesundheits­daten manipulieren.

Das Tor für Missbrauch und Kompromittierung der Daten von rund 450’000 eingetragenen geimpften Personen, darunter von 240’000 Covid-Geimpften, ist mit den festgestellten Sicherheits­lücken sperrangel­weit offen.

Bereits im Januar 2021 berichtete die Republik über Sicherheitsmängel bei Meineimpfungen.ch. Damals ging es um technische Fragen, die teilweise behoben wurden. Eine vertiefte Überprüfung der Plattform zeigte nun aber, dass die Probleme viel gravierender sind als angenommen. Und sie stellt die Tauglichkeit der Plattform als solche infrage.

«Wir stufen das Risiko eines Missbrauchs als kritisch ein», sagt Sicherheits­experte Sven Fassbender. Mit «kritisch» ist in der Fachwelt das höchste Sicherheits­risiko gemeint. Und das bedeutet: Die Schwach­stellen sind auch von Laien ausnutzbar. Das Expertenteam schreibt in seinem Bericht dazu: «Die Dienste müssen unverzüglich ausser Betrieb genommen werden.»

Ob die Sicherheitslücken tatsächlich von Kriminellen ausgenutzt worden sind, ist unklar. Doch das Risiko ist real: Die Bundesräte Ignazio Cassis und Viola Amherd haben auf Meineimpfungen.ch einen Account, wie die Republik herausgefunden hat. Und die Republik hätte ohne weiteres den Impfstatus der Bundesräte sowie Angaben über chronische Krankheiten einsehen können, ohne dass Aussenminister Cassis und Verteidigungs­ministerin Amherd etwas davon mitbekommen hätten.

Der eidgenössische Datenschutz­beauftragte (Edöb) Adrian Lobsiger hat aufgrund des Sicherheitsberichts und der Republik-Recherchen umgehend ein Aufsichts­verfahren gegen die Stiftung Meineimpfungen.ch eingeleitet.

Die Plattform wurde gestern Montag vom Netz genommen.

1. Die Impfdaten sind offen wie ein Telefonbuch

Von aussen betrachtet wirkt bei Meineimpfungen.ch alles normal. Die Daten des elektronischen Impfpasses scheinen nur für Nutzer selbst zugänglich zu sein. Damit eine medizinische Fach­person diese Daten einsehen kann, muss sie dieser explizit den Zugriff freischalten oder einen Code übermitteln.

Anders präsentiert sich das aus Sicht der registrierten Fachperson: Sie hat ohne weitere Hürden Zugriff auf die persönlichen Daten sämtlicher auf der Plattform registrierter Privat­personen. Dies hat die Republik bei den Covid-19-Impfungen heraus­gefunden. Andere Impfdaten – wie die gegen Wind­pocken oder Masern – wurden aus rechtlichen Gründen nicht angeschaut.

Das bedeutet also:

• Persönliche Informationen wie Adresse, Telefon­nummer, Geburts­datum, Impf­status, Kranken­kassen­details sowie besonders schützens­werte Personen­daten wie Impfstatus oder Risiko­faktoren von registrierten Bürgerinnen können von allen medizinischen Fach­personen eingesehen und geändert werden. Für sie ist die Plattform ein offenes Telefon­buch, das sie erst noch umschreiben können.

• Auch die sogenannten Indikatoren für eine Covid-19-Impfung sind für die Mediziner sichtbar und auch veränderbar: Damit ist es etwa ohne Wissen der Betroffenen möglich, eine kerngesunde 25-Jährige in die Risiko­gruppe zu verschieben (und ihr so eine frühe Impfung zu sichern) oder im umgekehrten Fall bei einem 72-Jährigen die Vorerkrankungen zu streichen, um den Impf­termin hinauszuzögern.

Das ist ein gravierender konzeptioneller Sicherheits­mangel. Ob es auch möglich wäre, eine Covid-19-Impfung einzutragen, die es nie gab, hat die Republik aus rechtlichen Gründen nicht ausprobiert. Doch nur schon die Tatsache, dass jede als Fachperson registrierte Benutzerin besonders schützens­werte Gesundheits­daten aller erfassten Nutzer schweizweit einsehen und abändern kann, ist kritisch genug. «Das verstösst auf krasse Weise auch gegen die Nutzungs­bedingungen von Meineimpfungen.ch», sagt der eidgenössische Datenschutz­beauftragte Adrian Lobsiger zur Republik.

Schlimmer noch: Covid-19-kritische Ärzte könnten sich an den Informationen zu schaffen machen und die Impf­datensätze von Patientinnen manipulieren.

2. Jeder kann sich als Fach­person registrieren lassen

Noch gravierender als die Lese- und Modifikations­rechte für Ärztinnen ist, dass die Registrierung als medizinische Fachperson anfällig für Betrug ist. Hackerinnen können sich mit wenigen Kniffen auf Meineimpfungen.ch als Fachperson registrieren und dieselben Zugriffs­rechte wie Ärzte erhalten.

Auch hier sieht der Registrierungs­prozess zunächst sicher aus:

• Als medizinische Fachperson meldet man sich mit seiner EAN/GLN-Identifikation (eine eindeutige Identifikations­nummer von Ärztinnen) und persönlichen Daten und Telefon­nummer/E-Mail für einen Account an.

• Anschliessend erhält man von der Plattform eine E-Mail mit der Bitte, sich als medizinische Fach­person auszuweisen, sei das mithilfe eines Fotos des – vom Ärzteverband FMH vergebenen – HPC-Ausweises oder der Urkunde oder des Diploms. Erst dann wird das Benutzer­konto freigeschaltet.

Das klingt nach einer seriösen, sicheren Prüfung.

Doch das schweizerische EAN/GLN-Verzeichnis ist öffentlich verfügbar, man kann sich also problemlos den Namen einer Fachperson heraus­suchen, von der man annehmen kann, dass sie bisher noch keinen Zugang zur Impf­plattform beantragt hat, und sich als diese Person anmelden.

Die Republik hätte also ohne grossen Aufwand einen fingierten Zugang zu Meineimpfungen.ch erstellen können: anhand eines Ärzte­namens und der passenden EAN/GLN-Nummer und einer eigens zu diesem Zweck kreierten E-Mail-Adresse. Der erforderliche Nachweis der medizinischen Ausbildung hätte relativ leicht mit einem gefälschten Dokument beziehungs­weise Fotos erbracht werden können. Beispiele für Health-Professional-Card-Ausweise wie auch für medizinische Berufsdiplome finden sich leicht im Internet.

Die Zugangsprüfung für medizinische Fach­personen basiert also auf reinem Vertrauen – darauf, dass der sich anmeldende Arzt tatsächlich die Person ist, als die er sich ausgibt. Bessere Verfahren zur Über­prüfung sind nicht vorgesehen. Es ist daher nicht auszuschliessen, dass sich bereits eine Reihe von «Fake-Ärztinnen» auf Meineimpfungen.ch angemeldet hat.

Darüber hinaus hat die Republik beim Registrierungs­prozess eine weitere, beinahe schon peinliche Sicherheits­lücke entdeckt. Will eine Hackerin keine Covid-Impfdaten verändern, sondern sie «nur» einsehen, kann sie sich das gefälschte Medizin­diplom sparen und stattdessen die Passwort-Reset-Funktion nutzen. Damit erhält sie einen Zugang auf die Plattform, der zunächst stark eingeschränkt aussieht. Mit ein paar technischen Kniffen gelingt es aber, die Einschränkungen zu umgehen und Zugriff auf Impf­ausweise zu erhalten.

3. Hacker können Impf­ausweise einsehen

Schleust sich eine Angreiferin auf die beschriebene Weise in die Plattform ein, hat sie Zugriff auf eine grosse Menge an sensiblen Daten. Mittels des «übernommenen» Accounts kann sie sich mit der Such­funktion einfach bedienen und auf sämtliche erfassten Impfdaten zugreifen.

Wenn die Hackerin «nur» den Covid-19-Impfstatus einer Privat­person wissen möchte, geht es sogar noch einfacher, indem sie sich den Impf­ausweis bestimmter Personen als PDF beschafft. Dazu braucht sie neben dem Access-Token (siehe Box «Wie funktioniert der Zugriff ohne validierten Account?») lediglich die numerische Identifikations­nummer (ID) des jeweiligen Patienten und muss diese an die URL (also die Internet-Adresszeile) anhängen.

Die ID eines Patienten herauszufinden, klingt nach einer schwer zu überwindenden Hürde. Doch bei Meineimpfungen.ch sind die Zahlen weder besonders komplex noch zufallsgeneriert. Die ID-Nummer ist bloss ein Zeitstempel – sie gibt den Zeitpunkt an, wann der Patienten­account angelegt wurde.

Ausgehend davon, dass die meisten Schweizer Einwohnerinnen sich erst mit dem Start der Covid-Impfkampagne Anfang Jahr angemeldet haben, kann die Hackerin mittels eines kleinen Programms sämtliche seit 1. Januar 2021 möglichen IDs für Abfragen nach Impfausweisen verwenden. Viele davon werden nicht existieren und zu einem Fehler führen. Doch gemäss dem technischen Report des IT-Security-Teams wäre theoretisch alle 15 Minuten ein gültiger Impf­ausweis aufrufbar. Wenn die Abfragen portionen­weise verteilt über Tage oder nur nachts erfolgen, dürfte dies den System­betreibern von Meineimpfungen.ch – der IT-Firma Arpage – kaum auffallen.

Die Problematik einer öffentlich in der URL einsehbaren und einfach erratbaren ID hat die Republik, ebenfalls unter Beteiligung des IT-Security-Experten Sven Fassbender, bereits am Beispiel des Reservationsportals Lunchgate beschrieben. Doch Impfdaten sind weitaus sensibler als Restaurant­besuche, weil es sich um Gesundheits­informationen handelt.

Bekannt ist, dass sich alle Bundes­rätinnen impfen liessen. Wie erwähnt gelang es der Republik, die Konten der beiden Bundes­rätinnen Viola Amherd und Ignazio Cassis zu eruieren. Sie hätte auch problemlos ihren Impf­ausweis öffnen sowie auf den verabreichten Impfstoff und weitere persönliche Gesundheits­daten zugreifen können.

Die Plattform wurde abgeschaltet

Der elektronische Impfausweis verstösst mehrfach gegen das (noch veraltete) Datenschutz­gesetz (das revidierte ist erst ab 2022 in Kraft). Die Stiftung setzt zudem auf Infra­struktur von amerikanischen Big-Tech-Unternehmen. So werden für die Nutzung des MyCovidVac-Moduls Google-Dienste wie etwa die Google-Cloud verwendet.

Die Stiftung hat auf die gemeldeten Mängel reagiert. Die Plattform wurde gestern Montag vorüber­gehend deaktiviert. Sprecherin Nicole Bürki sagt zur Republik: «Die beschriebenen Sicherheits­mängel waren uns bis gestern Sonntag nicht bekannt.» Man werde alle Befunde prüfen und eine spezialisierte Drittfirma mit weitergehenden Checks beauftragen.

Die Republik hat die gefundenen Miss­stände ausserdem dem eidgenössischen Daten­schutz­beauftragten gemeldet. Das Informatik-Team des Edöb hat die Schwach­stellen daraufhin verifiziert und bestätigt. Der Datenschutz­beauftragte Adrian Lobsiger hat am Montag ein Aufsichts­verfahren gegen die Stiftung Meineimpfungen.ch eingeleitet. Die Stiftung wird damit nun aufgefordert, sich detailliert zu den Sach­verhalten zu äussern und auch darzulegen, wie die Betroffenen im Fall von Daten­diebstahl informiert werden.

Grégoire Gogniat, der Sprecher des Bundesamts für Gesundheit, sagt auf Anfrage der Republik: «Das BAG hat die Stiftung sofort beauftragt, den Hinweisen nachzugehen und die Mängel zu beheben.» Das BAG scheint sich aufgrund der wachsenden Kritik zunehmend von der Stiftung zu distanzieren. So betonte Sprecher Gogniat, dass Meineimpfungen.ch kein nationales Impfregister sei und die Eintragung freiwillig. Es sei zudem offen, mit welcher Plattform man für den staatlichen Impfausweis zusammen­arbeiten werde, so das BAG letzte Woche im «Tages-Anzeiger».

Dabei waren die Absichten bis vor kurzem ganz andere: In Antworten auf parlamentarische Vorstösse nennt der Bundesrat die bestehende Plattform Meineimpfungen.ch als valable Kandidatin für einen staatlichen Impfausweis. Laut einem vertraulichen Dokument von Dezember 2020 – das allerdings im Netz verfügbar ist – scheint die Zusammenarbeit zwischen dem BAG und Meineimpfungen.ch bereits besiegelt zu sein: «(…) Dokumentation des Impfaktes für das Impfmonitoring, sowie für das Erstellen eines Impfausweises zuhanden der geimpften Personen, hat sich das BAG entschieden, mit myCovidVac zusammen zu arbeiten.» Der Bund hat gemäss Recherchen der «SonntagsZeitung» bereits 2,15 Millionen Franken investiert und weitere 250’000 Franken in Aussicht gestellt.

Ganz andere Vorstellungen hat da jedoch das Parlament. Dieses möchte gemäss Artikel 6a des soeben angepassten Covid-19-Gesetz eine digitale Impfpass­lösung, die fälschungs­sicher, international anerkannt, datenschutz­konform ist und lokale Überprüfungen ermöglicht.

Meineimpfungen.ch erfüllt diese Standards in keiner Weise.