Digitaler Impfnachweis: Corona-Warn-App ermöglicht Vorab-3G-Nachweis bei Buchungen
Über die Corona-Warn-App kann ein 3G-Nachweis ab sofort auch im Vorfeld einer Veranstaltung erbracht werden, nämlich schon bei deren Buchung. Dazu muss der jeweilige Veranstalter die neue Funktion "Zertifikatsprüfung bei Ticketbuchungen" unterstützen. Nutzerinnen und Nutzer benötigen lediglich die aktuelle Version 2.15 der App(öffnet im neuen Fenster) auf ihrem Smartphone. Bis die App-Version 2.15 für alle Geräte in den App-Stores auftaucht beziehungsweise die Installation angestoßen werden kann, können einige Tage vergehen.
Praktisch läuft es so ab: Bei der Buchung erscheint auf der Seite des Veranstalters das Angebot, den Genesenen-, Impf- und/oder Testnachweis vorab zu erbringen. Wählt man diese Option aus, wird ein QR-Code angezeigt, den man mit der Corona-Warn-App scannen muss. Dazu wählt man einfach in der Mitte der Registerkarte unten den universellen QR-Code-Scanner aus.
QR-Code als Screenshot hochladen
Und was ist, wenn man mit dem Smartphone selbst bucht? Dann gibt es die Möglichkeit, einfach einen Screenshot mit dem QR-Code des Veranstalters zu machen. Der Screenshot kann dann in der Corona-Warn-App hochgeladen werden – und zwar auch über den universellen QR-Code-Scanner, indem man dort auf Datei öffnen geht.
Egal, welchen Weg man wählt: Es gilt dann nur noch, das Zertifikat auszuwählen, das als Nachweis dienen soll. Die App überprüft die Anforderungen des Anbieters und zeigt nur Zertifikate zur Auswahl an, die den Anforderungen entsprechen. Nach Bestätigung erfolgt die Übertragung verschlüsselt. Am Ende sieht man, ob das Zertifikat erfolgreich überprüft oder nicht anerkannt wurde.
Prüfung über externen Validierungsserver
Die Entwickler der App weisen ausdrücklich darauf hin, dass die Zertifikate weder an das Buchungssystem übertragen noch im neuen Dienst für die Zertifikatsprüfung gespeichert werden. An dem Vorgehen und der Funktion selbst gibt es dennoch einige Kritik. Immerhin werden die Daten ja trotzdem an Dritte weitergegeben.
Markus Drenger vom Chaos Computer Club weist darauf hin(öffnet im neuen Fenster), dass diese Weitergabe an einen Validierungsserver zumindest nach der Verordnung von Baden-Württemberg sogar verboten ist. Dort ist nur eine Sichtkontrolle der Zertifikate über eine Prüf-App erlaubt.
Auch die Entwicklerin Lilith Wittmann, die durch das Auffinden diverser Sicherheitslücken Bekanntheit erlangte, kritisiert die Funktion(öffnet im neuen Fenster). Sie geht davon aus, dass die Validierungsserver möglicherweise auch selbst von Ticketanbietern erstellt werden. Zusammen mit möglichen Sicherheitslücken könnte dies zu einem Abfluss der Daten führen, fürchtet Wittmann.