Sicherheitsmängel: QR-Code bei Grüner-Pass-App leicht fälschbar

Die Sicherheitsmängel bei der App des Bundesrechenzentrums (BRZ) zur Speicherung des Grünen Passes haben Studierende der FH Hagenberg aufgezeigt. Wie "futurezone.at" berichtet hatte, haben die Studenten herausgefunden, dass sich der QR-Code relativ leicht fälschen lasse. Das Gesundheitsministerium kündigt eine Behebung mit dem nächsten Update an.

Auf der App können Getestete, Geimpfte und Genesene ihre Zertifikate speichern. Dafür muss man den QR-Code einscannen, der auf dem offiziellen Dokument über die Webseite gesundheit.gv.at heruntergeladen wird. Die App zeigt dann entweder den QR-Code an, damit er bei Kontrollen gescannt werden kann. Alternativ listet sie die enthaltenen Informationen auf, etwa wann man mit welchem Vakzin geimpft wurde.

Echtheit wird nicht überprüft

Die Studenten haben nun festgestellt, dass zu keinem Zeitpunkt geprüft werde, ob der QR-Code tatsächlich gültig ist. Auch ein Sprecher des BRZ habe gegenüber futurezone bestätigt, dass die Richtigkeit des Zertifikats nicht überprüft werde.

Die Überprüfung des Codes erfolge erst durch den Scan mit der zweiten App, Green Check, vor Ort durch das Personal in Restaurants, beim Friseur oder auf Reisen. Allerdings finde diese Überprüfung im Alltag nicht immer statt und es werden lediglich die angezeigten Informationen durchgelesen. Damit werde nicht überprüft, ob jemand tatsächlich auch sein eigenes Impfzertifikat verwendet, theoretisch wäre es damit auch möglich, dass Ungeimpfte eine Impfung vortäuschen.

In Deutschland wird diese Überprüfung schon vorgenommen. Falls nicht, kann der QR-Code gar nicht in der App gespeichert werden. Auch die Schweizer App prüft die Gültigkeit unmittelbar.

Fälschung leicht möglich

Die österreichische App basiert auf dieser Open Source Anwendung, die in der Schweiz entwickelt wurde. Daher ist die Prüf-Funktion im verwendeten Quellcode zumindest vorgesehen. Nach den Recherchen der Studierenden der FH Hagenberg ist an dieser Stelle bei der österreichischen App aber nur eine To-Do-Liste hinterlegt. So lasse sich relativ leicht ein QR-Code fälschen, der zwar von der App als EU-konform gelesen wird, aber beliebige Informationen enthält.

Das BRZ verwies gegen futurezone darauf, dass es strafbar sei, das Dokument zu fälschen. Außerdem liege es nicht in der Verantwortung des BZR, ob der Grüne Pass auch kontrolliert werde. Das Gesundheitsministerium kündigte gegenüber dem Ö1-"Morgenjournal" an, dass der Mangel in einigen Tagen mit dem nächsten Update behoben werden soll.