Impfzertifikate: Erste Apotheken sind wieder angebunden

Inhaltsverzeichnis

Am Donnerstagnachmittag konnten die ersten Apotheken wieder digitale Impfzertifikate ausstellen. Bis das neue System rundläuft, wird es aber wohl noch ein Weilchen dauern.

Eine Woche ist es jetzt her, dass der Deutsche Apothekerverband (DAV) in einem Statement gemeinsam mit dem Bundesgesundheitsministerium (BMG) versprach: "Alle Apotheken, die dies wünschen, erhalten in der nächsten Woche schrittweise wieder Zugriff auf das DAV-Portal".

Dann passierte für die Apotheken sichtbar nichts. Am Dienstag vertröstete das Portal auf den Mittwoch, am Mittwoch hieß es "über den Fortgang werden wir Sie morgen [...] wieder informieren. Als Apothekeninhaber/in müssen Sie aktuell nichts weiter tun."

Derweil sahen sich Apotheken in Erklärungsnot und mussten ihre Kunden von einem Tag auf den nächsten vertrösten. Hinter den Kulissen fand derweil eine große Hauruck-Aktion statt.

Neues Portal, neue Probleme

Der Beschluss war gefallen, dass die Zertifizierung nicht über die bisherige Website "Mein Apothekenportal" fortgesetzt wird, sondern über ein neues Portal, "dav.impfnachweis.info". Der große Unterschied: Die neue Website lässt sich nicht über eine reguläre Internet-Verbindung ansprechen, sondern nur noch innerhalb der Telematik-Infrastruktur (TI).

Um dav.impfnachweis.info ansteuern zu können, müssen die Apotheken erst ihr Routing umkonfigurieren. Das können die wenigsten selbstständig erledigen. Im Regelfall übernimmt dies das Unternehmen, das die jeweilige Telematik-Anbindung eingerichtet hat.

Die Anpassung ist grundsätzlich eine Frage von Minuten, doch bei 17.900 Zertifikate ausstellenden Apotheken kommt da schon etwas zusammen. In einigen Fällen kann die Konfiguration per Fernwartung vorgenommen werden, in anderen nur vor Ort.

Tage oder Wochen

Hinzu kommt, dass auch nach Verstreichen der gesetzlichen Deadline vom 1. Juli elf Prozent der deutschen Apotheken immer noch nicht an die TI angeschlossen sind. Diese bleiben nach der Umstellung des Zertifikatsservers folglich außen vor.

So unkte das Fachblatt Apotheke Adhoc am Donnerstag auch: "Bestenfalls dauert" die Wiederanbindung der Apotheken "einige Tage, schlimmstenfalls noch Wochen." Jetzt scheint es aber schneller zu gehen als gedacht: Stichprobenhafte Telefonate von heise online bei Apotheken in der Region führten zu stark unterschiedlichen Ergebnissen.

Eine Apotheke erklärte, die Ausstellung von Zertifikaten habe am Donnerstag gegen 15 Uhr kurz geklappt, dann aber nicht mehr. Eine andere vermeldete, seit dem Donnerstagnachmittag wieder Zertifikate abrufen zu können, die Server seien aktuell aber sehr langsam: Vom Eintrag einer einzigen Impfung bis zum gedruckten Zertifikat sei eine halbe Stunde vergangen. Aus einer dritten Apotheke war zu hören, man solle lieber kommende Woche vorbeikommen – oder viel Geduld mitbringen. Zustände wie Mitte Juni also.

Derzeit geht der Bundesverband Deutscher Apotheken-Softwarehäuser (ADAS) davon aus, dass alle Apotheken bis Mitte kommender Woche auf das neue DAV-Portal zugreifen können werden.

Kanonen und Spatzen

In Anbetracht des Auslösers dieses Tohuwabohus wirkt die aktuelle Umstellung unverhältnismäßig groß angelegt. Die Sicherheitsforscher waren ja nicht aufgrund der fehlenden Telematik-Einbindung an ihre unrechtmäßigen Zertifikate gekommen, sondern aufgrund des kompletten Versagens sämtlicher Überprüfungsmechanismen seitens des DAV.

Zur Erinnerung: Die Sicherheitsforscher hatten sich eine Apotheke mit fiktivem Namen ausgedacht, als Adresse ein Mehrfamilienhaus angegeben, plump gefälschte Betriebsbestätigungen eingereicht und statt einer Telematik-ID eine beliebige 19-stellige Zahl angeben.

Der DAV überprüfte weder die Existenz des Apothekennamens noch die Plausibilität der Adresse noch die Gültigkeit der Bestätigung, bevor er den Sicherheitsforschern eine Zugangskennung zusandte. Dann versagte auch noch die letzte Sicherheitsmaßnahme: Das Formular überprüfte nur, ob die angegebene Telematik-ID die richtige Länge hatte, aber weder deren Gültigkeit noch, ob sie der richtigen Apotheke zugeordnet war.

Nun wird sehr gründlich abgesichert, was vorher offenstand wie ein Scheunentor. Gegenüber Apotheke Adhoc bestätigte das BMG am Mittwoch, dass die Impfzertifikate erst wieder fließen sollen, wenn das Portal zur Zertifikatsanforderung in die Telematik-Infrastruktur eingebunden sei. Auch wenn dies die Ausstellung der digitalen Impfnachweise weiter verzögert – mitten in der Urlaubssaison, wo sie am meisten begehrt sind.

(olb)