Die EU plant einen europäischen Impf-Ausweis, der auch Tests und überstandene Erkrankungen belegen soll. Der Entwurf einer Verordnung stützt sich auf das Recht der EU, die Freizügigkeit der Bewohner:innen zu fördern. Die Freizügigkeit werde behindert
- durch national unterschiedliche Anforderungen an den Nachweis der Immunisierung,
- durch Fälschungsmöglichkeiten und national unterschiedliche Anforderungen an Fälschungssicherheit.
Die EU regelt ausdrücklich nicht, welche Rechte und Möglichkeiten von diesem Zertifikat abhängen sollen. Das bleibt den Mitgliedsstaaten überlassen. Ob und wann man überhaupt verlangen darf, dass jemand seinen COVID-19 Status offenbart, darüber müsste man einen Extra-Artikel schreiben. Fakt ist, Informationen zum COVID Status werden bei Grenzübertritten manchmal verlangt. Die EU ist nicht berechtigt, das anzuordnen oder zu verbieten. Das Zertifikat soll den Nachweis erleichtern, falls er verlangt wird. Die EU rechnet damit, dass ihr Ausweis nicht nur an den Grenzen, sondern auch innerhalb der Mitgliedsländer genutzt wird, doch dafür fehlen Regelungen. Die EU kann sie nicht erlassen. Eine deutsche Regelung dafür ist dringend erforderlich.
Veranstaltung zum Thema
Am 20.5.2021 fand ein Webinar zu diesem Europäischen Impfzertifikat statt, organisiert von der Europäischen Akademie für Informationsfreiheit und Datenschutz (EAID). Man kann die Aufzeichnung downloaden. Zu den Referenten gehörten u.a. Stephan Noller, der Chef der Entwicklungsfirma Ubirch, die die Umsetzung in Deutschland durchführt, und die Datenschutzbeauftragten Prof. Kelber (Bund) und Dr. Brink (BaWü). Brink warnte davor, dass im Inland z.B. auch Unternehmen die Vorlage dieses Impfzertifikats verlangen könnten, um z.B. nur geimpfte, oder nur ungeimpfte Kunden oder Mitarbeiter einzulassen. Sie können sich dabei auf ihr Hausrecht berufen. Er forderte daher eine nationale Regelung für solche Kontrollen ein.
Kelber wies darauf hin, dass niemand genötigt werden darf, sich impfen zu lassen, zumal einige aus gesundheitlichen Gründen nicht geimpft werden können. Einige wollen nicht geimpft werden, und nicht jedem wird ein Angebot gemacht, ehe das Zertifikat benutzbar ist. Deshalb ist wichtig, dass auch Tests im Zertifikat gespeichert werden können. Man muss darauf drängen, dass ausreichend kostenlose Test-Möglichkeiten zur Verfügung stehen, damit es keine sozialen Benachteiligungen gibt.
Wie soll das Zertifikat funktionieren
Das Zertifikat soll in Gestalt eines QR Codes daherkommen, in dem gespeichert sind:
- Name, Vorname und Geburtsdatum der Person, für die das Zertifikat ausgestellt ist,
- Datum und Art der Impfung, bzw. Datum und Art des Corona-Tests oder der Feststellung von Antikörpern,
- eine digitale Signatur, die die Echtheit dieser Daten bestätigt.
Der QR Code kann entweder auf Papier ausgedruckt und vorgelegt werden, oder in einer App oder Datei gespeichert werden. Bei der praktischen Anwendung soll die Person zusätzlich zum QR-Code ein Ausweisdokument vorlegen, um zu beweisen, dass sie tatsächlich die Person ist, für die der QR Code ausgestellt ist.
Die Signatur muss man sich wie eine Quersumme über die anderen Daten im QR Code vorstellen. Diese wird mit Hilfe eines kryptografischen Schlüssels erstellt. Die dazu gehörigen öffentlichen Schlüssel werden in einer Public Key Infrastruktur gespeichert. Durch Zugriff auf diese Infrastruktur kann man die Echtheit des Zertifikats bestätigen.
Eine (zentrale oder dezentrale) Speicherung der Daten aus dem Zertifikaten ist nicht vorgesehen, zentral gespeichert werden lediglich die öffentlichen Schlüssel. Die privaten Schlüssel befinden sich nur im Besitz der Berechtigten, z.B. der Ärzte, die die QR-Codes erstellen. Fragwürdig ist, dass – zumindest laut einem PDF von Ubirch, das hier abrufbar ist – die öffentlichen Schlüssel in einer Blockchain gespeichert werden. Das würde die Abfrage unnötig komplex machen. In seinem Vortrag hat Stephan Noller (CEO, Ubirch GmbH) eine Blockchain nicht erwähnt. Nach der Aussage von Anke Domscheit-Berg auf Twitter sei diese Absicht mittlerweile “begraben worden”.
Zeitplanung
Die Nutzung des Impfzertifikats soll bereits im Sommer 2021 starten. Daher muss ein Gesetz über dessen Nutzung umgehend verabschiedet werden. Ansonsten droht ein Mißbrauchs-Chaos. Es ist vorauszusehen, dass das Zertifikat, wenn es funktioniert, auch im Inland massiv genutzt wird, zum Beispiel um den Zugang zu Zügen, Flügen oder Veranstaltungen zu kontrollieren. Dass auch bei Unternehmen erhebliche Begehrlichkeiten bestehen, wissen wir bereits.