In einer kurzen Ausschreibungsphase von rund eineinhalb Wochen hat das Bundesgesundheitsministerium (BMG) eine Lösung für einen digitalen Impfpass gesucht und ist bei einer Gemeinschaft von drei Anbietern fündig geworden.

Anbieter / Hersteller des digitalen Impfpasses

Als Lösung ist eine Anwendung des Herstellers Ubirch aus Köln ausgewählt worden, die bereits in zwei deutschen Landkreisen, einmal in Bayern und einmal in Baden-Württemberg als digitaler Impfpass eingesetzt ist.

Zum Umsetzungsteam gehören ferner die Unternehmen IBM und Bechtle, die einerseits die Anbindung an die Praxisverwaltungssysteme bei rund 55.000 Ärzt*innen und 410 Impfzentren und andererseits die Einbindung der Lösung in den Prüf-Apps von Veranstaltern umsetzen. Die Lösung soll nach acht Wochen in die Testphase gehen und in drei Monaten, also Anfang / Mitte Juni, eingeführt werden.

Die Lösung

Nach der Impfung beim Arzt wird für den Patienten zuerst einmal ein QR-Code generiert. Darin sind quasi die Daten der Impfung gespeichert, also Patientenname, Geburtsdatum, Art und Datum der Impfung und möglicherweise weitere Daten. Den generierten QR-Code kann der Patient in einer App oder der digitalen Wallet von Apple oder Google speichern. Patienten, die ihn nicht digital verwenden wollen, können sich auch einen Ausdruck des QR-Codes auf einer Plastikkarte geben lassen.

Andererseits wird aus dem QR-Code in der Arztpraxis mit Hilfe eines Verschlüssungsalgorithmus ein eindeutiger Prüfwert erzeugt, der nur zu diesem einen eindeutigen QR-Code und keinem anderen paßt. Diese Prüfsumme wird dann in einer Blockchain unveränderbar und nicht löschbar gespeichert (mehr Informationen zur Blockchain finden Sie ganz unten am Ende dieses Artikels).

Damit gibt es keine zentrale Speicherung der Daten auf irgendwelchen Servern – nur den QR-Code auf dem Handy des Nutzers und der zum QR-Code passende Prüfwert in der Blockchain.

Wenn später geprüft werden soll, ob bei einer Person wirklich eine Impfung erfolgt ist, so muss der Betroffene / die Betroffene ihren QR-Code der Impfung vorzeigen. In einer Prüf-App oder einem Prüfsystem, zum Beispiel von einem Konzert-Veranstalter, wird aus dem QR-Code mit dem Verschlüsselungsalgorithmus genauso wie bei der Erzeugung in der Arztpraxis eine eindeutige Prüfsumme errechnet. Wenn das System des Veranstalters dann in der Blockchain nach dieser Prüfsumme sucht und sie findet, so ist zweifelsfrei bestätigt, dass eine Impfung beim Benutzer vorgenommen wurde.

Historie

Anfang Januar 2021 wurde die Lösung der Firma Ubirch mit dem digitalen Impfpass bereits im Landkreis Altötting eingeführt. Dort bekommt jeder Geimpfte auf Kosten des Landkreises, wenn er denn möchte, eine Plastikkarte mit dem QR-Code und seinen entsprechenden Identifikations- und Impfdaten. Wird der QR-Code vom Nutzer abgescannt, kann er die Daten auch auf dem Handy speichern. Eine zentrale Speicherung findet auch hier nicht statt.

Der Gedanke des Landrats dahinter? Alle bereits geimpfte Personen müsste man bei einem später eingeführten digitalen Impfpass auf einen Schlag nacherfassen. Eine ganze Menge Personen und Daten kommen so, je später die Einführung erfolgt, zusammen. Mit diesem System liegen die Daten der im Landkreis Altötting Geimpften bereits in digitaler Form vor und können in einem bundesweit genutzten System schnell ergänzt (anstatt mühselig nacherfasst) werden.

Europäische Perspektive für den Urlaub

Die Einführung eines digitalen Impfpasses ist auch ein Projekt der EU, damit Grenzübertritte innerhalb Europa abgesichert sind und auch (Urlaubs-) Reisen wieder möglich werden. Es wird aktuell als „digitales grünes Zertifikat“ bezeichnet.

Dazu soll die App neben einer Impfung auch andere Aspekte wie eine überstandene COVID-Infektion (mit weiteren Daten wie Datum des positiven Tests etc.) oder einen negativen Corona-Test (mit Daten wie Testzentrum, Datum etc.) speichern können. Alles Punkte, mit denen eine Übertragung der Viren durch den Besitzer des Impfpasses ausgeschlossen können werden soll.

Der Impfpass beziehungsweise die entsprechend darin gesicherten Informationen sollen nach dem Willen der EU-Kommission einen Grenzübertritt erleichtern, gleichzeitig aber keine Voraussetzung für ihn sein, damit keine Ungleichbehandlung von zum Beispiel noch auf eine Impfung wartenden Personen entsteht.

Die deutsche Lösung soll zu den entsprechenden Vorgaben kompatibel entwickelt werden.

Mein Fazit

Grundsätzlich kann ich verstehen, dass für gewisse Aktivitäten vereinbart wird, dass Impfungen die Voraussetzung für eine Teilnahme sind. Das will ich hier gar nicht bewerten.

Die Lösung mit einer Blockchain ist fälschungssicher und wird auch fehlerfrei funktionieren, dessen bin ich mir sicher. Dass wir aber dafür eine weitere beziehungsweise neue App verwenden müssen und solche Daten nicht sicher in unserer elektronischen Patientenakte (ePA) gespeichert werden können, empfinde ich persönlich als einen Rückschritt.

So wird unser in der Digitalisierung befindliches Gesundheitswesen wieder einen Schritt komplexer: Ich brauche neben meiner ePA-App zukünftig eine E-Rezept-App und hiermit nun auch eine digitale-Impfpass-App (übrigens in Ergänzung zu den in der ePA gespeicherten Impfungen). Schade, das hätte man nach meiner Meinung „smoother“ lösen können.

Ferner stellt sich mir die Frage, ob und inwieweit der Impfpass auf COVID-19 beschränkt ist oder sich in der Zukunft für andere Krankheiten, Epidemien oder Pandemien erweitern lässt.

Die Sache mit der Blockchain

Anders als bei einem zentralen Server werden Daten, wenn sie in einer Blockchain gespeichert werden, vereinfacht gesagt, auf vielen verschieden Servern gleichzeitig gespeichert. So müsste jemand, der einen solchen Prüfwert eines QR-Codes einer Impfung manipulieren oder löschen möchte, dies quasi gleichzeitig auf vielen verschiedenen Servern durchführen. Ansonsten würde ein inkonsistenter und damit fehlerhafter Zustand entstehen.

Da auch mit jedem neuen in der Blockchain gespeicherten Prüfwert eines QR-Codes eine Prüfsumme aus allen bereits vorherigen gespeicherten Werten mit dem neuen Wert aufaddiert wird, kann man auch keinen vorherigen Wert einfach löschen. Denn diese Prüfsumme aller gespeicherten Werte passt ja nicht mehr, wenn einer der Werte fehlt, also gelöscht wird.

So funktioniert also grob gesagt eine Blockchain und deshalb gilt sie als besonders sicher.

Im fall des digitalen Impfpsses wird die Blockchain auf vielen verschiedenen Servern der Technologiegenossenschaft DevGov gespeichert, in der die 15 IT-Dienstleister der Länder und Kommunen sowie die Bundesdruckereien engagiert sind.