Studierende der FH Hagenberg haben Sicherheitsmängel bei der App des Bundesrechenzentrums (BRZ) zur Speicherung des grünen Passes festgestellt. Wie unter anderem das "Kurier"-Onlinemedium futurezone.at berichtet hatte, haben die Studenten herausgefunden, dass sich der QR-Code relativ leicht fälschen lasse. Das Gesundheitsministerium kündigt eine Behebung mit dem nächsten Update an.

Keine Prüfung

Auf der App können Getestete, Geimpfte und Genesene ihre Zertifikate speichern. Dafür muss man den QR-Code einscannen, der auf dem offiziellen Dokument über die Webseite gesundheit.gv.at heruntergeladen wird. Die App zeigt dann entweder den QR-Code an, damit er bei Kontrollen gescannt werden kann. Alternativ listet sie die enthaltenen Informationen auf, etwa wann man mit welchem Vakzin geimpft wurde.

Die Studenten haben nun festgestellt, dass zu keinem Zeitpunkt geprüft werde, ob der QR-Code tatsächlich gültig ist. Auch ein Sprecher des BRZ habe gegenüber Futurezone bestätigt, dass die Richtigkeit des Zertifikats nicht überprüft werde. Die Überprüfung des Codes erfolge erst durch den Scan mit der zweiten App, Green Check, vor Ort durch das Personal in Restaurants, beim Friseur oder auf Reisen. Allerdings finde diese Überprüfung im Alltag nicht immer statt und es werden lediglich die angezeigten Informationen durchgelesen. Damit werde nicht überprüft, ob jemand tatsächlich auch sein eigenes Impfzertifikat verwendet, theoretisch wäre es damit auch möglich, dass Ungeimpfte eine Impfung vortäuschen.

Beliebige Informationen

In Deutschland validiert etwa die App des RKI direkt beim Hinzufügen des Zertifikats, ob der QR-Code überhaupt gültig ist. Falls nicht, kann es gar nicht in der App gespeichert werden. Auch die Schweizer App prüft die Gültigkeit unmittelbar. Die österreichische App basiert auf dieser Open Source Anwendung, die das Schweizer Bundesamt für Informatik und Telekommunikation (BIT) entwickelt hat. Daher ist die Prüffunktion im verwendeten Quellcode zumindest vorgesehen. Nach den Recherchen der Studierenden der FH Hagenberg ist an dieser Stelle bei der österreichischen App aber nur eine To-do-Liste hinterlegt. So lasse sich relativ leicht ein QR-Code fälschen, der zwar von der App als EU-konform gelesen wird, aber beliebige Informationen enthält.

Das BRZ verwies gegen futurezone darauf, dass es strafbar sei, das Dokument zu fälschen. Außerdem liege es nicht in der Verantwortung des BRZ, ob der grüne Pass auch kontrolliert werde. Das Gesundheitsministerium kündigte gegenüber dem Ö1-"Morgenjournal" an, dass der Mangel in einigen Tagen mit dem nächsten Update behoben werden soll.

App der FH Hagenberg wurde gesperrt

Studierende der FH Hagenberg hatten selbst eine App zur Darstellung des grünen Passes entwickelt, die aber wieder aus dem Google Play Store gelöscht worden war. Der Grund dafür sind strikte Regeln, die das Unternehmen vor einiger Zeit rund um Apps zum Thema Covid-19 eingeführt hat, hieß es Anfang Juli seitens der FH gegenüber dem STANDARD: Derzeit versuche man mit Google eine Klärung herbeizuführen und hoffe entsprechend, dass die "Green Pass EU"-App bald wieder verfügbar sei. (APA, red, 19.7.2021)