Digitaler Impfpass: Unklare Interoperabilität zwischen deutschem und EU-Pass

Am kommenden Montag will das Bundesgesundheitsministerium offiziell mitteilen, wer den Zuschlag für die Entwicklung und Speicherung des deutschen digitalen Impfpasses erhält. Zwei Tage später will die Europäische Union ihr gesamteuropäisches Konzept vorstellen.

Laut den Ausschreibungsunterlagen, die im Heise Tippgeber gelandet sind, steckt eine der wichtigsten Anforderungen in diesem kurzen holperigen Satz: "Die Lösung muss interoperabel mit einer Lösung auf EU-Ebene zu sein." Weil allerdings auf europäischer Ebene ein digitaler Impfpass noch auf sich warten lässt, ergänzte das Ministerium die Ausschreibung um die Anmerkung: "Zukünftige europäische Vorgaben sind Gegenstand des Change-Verfahrens." Die geforderte Interoperabilität könnte also praktisch später nachgeliefert werden.

IBM und Ubirch könnten drankommen

Im europäischen Ausschreibungsblatt TED war der Hinweis aufgetaucht, dass IBM Deutschland und UBirch den Zuschlag für die Programmierung des Systems bekommen haben. Ob deren Angebot diesen Anforderungen entsprechen kann und ob es das tatsächlich ausgewählte Zertifikatsvergabe- und Prüfsystem darstellt, ist eine offene Frage. Zumindest Ubirch arbeitet mit der Blockchain-Technik, obwohl dies nach Ansicht von Experten gar nicht notwendig ist und datenschutzrechtliche Fragen aufwirft.

Zumindest mit dem hiesigen Ansatz ist ein lukratives Geschäft verbunden: Wer immer die in der Ausschreibung geforderte qualifizierte elektronische Signatur (QES) oder das digitale Impfsiegel im deutschen Backend speichert, darf dafür bis zu 50 Cent pro Impfzertifikat verlangen. Auch wenn sich nicht alle in Deutschland lebenden Menschen impfen lassen werden, dürfte das Backend über 50 Millionen Zertifikate verwalten.

Offene Schnittstellen

In jedem Fall muss der digitale Impfpass in den 410 Impfzentren und den Arztpraxen als Frontend integriert werden, während das Backend für die Prüfung der Impfzertifikate zuständig ist. Für die Arztpraxen gelten zusätzliche Vorgaben: "Zur Authentifizierung müssen vorhandene Mittel der Telematikinfrastruktur (TI), wie bspw. die SMC-B, eHealth-Kartenterminal und Konnektor, eingesetzt werden." Schließlich müssen alle Schnittstellen offengelegt werden, damit Dritte eigene Lösungen zur Prüfung des Impfnachweises in ihre Systeme einbauen können.

Explizit werden in der Ausschreibung Lesegeräte am Flughafen genannt. Wesentlich niedriger sind die Anforderungen an den Feldtest des Systems. Es gib keinen abgestuften Zeitplan für den Rollout und den Feldtest des digitalen Impfnachweises. Für den Nachweis der Funktionsfähigkeit des Systems in den Impfzentren reicht es aus, wenn die Impfnachweise von 16 Bürgern erfolgreich überprüft werden. Stellvertretend für rund 50.000 Arztpraxen soll es ausreichen, wenn eine Praxis in einer Woche sechs Bürger mit einem digitalen Impfnachweis ausstatten konnte, sei es als ausgedruckten QR-Code, sei es als Bildschirmgrafik, die mit dem Smartphone abfotografiert wird.

(axk)