Die Grüne-Pass-App prüft nicht, ob ein Zertifikat gültig ist

Seit einigen Wochen ist die Grüner-Pass-App des Bundesrechenzentrums (BRZ) nun im Einsatz. Dort können Getestete, Geimpfte und Genesene ihre Zertifikate speichern. Dafür muss man den QR-Code einscannen, der auf dem offiziellen Dokument über die Webseite gesundheit.gv.at heruntergeladen wird. Die App zeigt dann entweder den QR-Code an, damit er bei Kontrollen gescannt werden kann. Alternativ listet sie die enthaltenen Informationen auf, etwa wann man mit welchem Vakzin geimpft wurde.

Nun haben Studierende der FH Hagenberg sich die Grüner-Pass-App genauer angesehen und festgestellt, dass zu keinem Zeitpunkt geprüft wird, ob der QR-Code tatsächlich gültig ist. Das bestätigte auch ein Sprecher des BRZ gegenüber der futurezone. Die Überprüfung des Codes erfolgt erst durch den Scan mit der zweiten App, Green Check, vor Ort durch das Personal in Restaurants, beim Friseur oder auf Reisen. Allerdings findet diese Überprüfung im Alltag nicht immer statt und es werden lediglich die angezeigten Informationen durchgelesen. 

Prüfung im Quellcode vorgesehen

In Deutschland validiert etwa die App des RKI direkt beim Hinzufügen des Zertifikats, ob der QR-Code überhaupt gültig ist. Falls nicht, kann es gar nicht in der App gespeichert werden. Auch die Schweizer App prüft die Gültigkeit unmittelbar. Die österreichische App basiert auf dieser Open Source Anwendung, die das Schweizer Bundesamt für Informatik und Telekommunikation (BIT) entwickelt hat.

Daher ist die Prüf-Funktion im verwendeten Quellcode zumindest vorgesehen. Wie Studierende der FH Hagenberg der futurezone mitteilten, ist an dieser Stelle bei der österreichischen App aber nur eine To-Do-Liste hinterlegt. So lässt sich relativ leicht ein QR-Code fälschen, der zwar von der App als EU-konform gelesen wird, aber beliebige Informationen enthält. 

"Ob der Grüne Pass auch kontrolliert wird, liegt nicht in der Verantwortung des BRZ", heißt es auf Anfrage der futurezone. Zudem sei es strafbar, das Dokument zu fälschen, so der BRZ-Sprecher. Die App werde aber laufend weiterentwickelt. 

GreenPass-App der FH Hagenberg 

Die FH Hagenberg hat mit der App "GreenPass" selbst eine Alternative entwickelt, in der diese Prüf-Funktion vorhanden ist. Statt mit einer zweiten Anwendung die Gültigkeit zu prüfen, passiert das bereits in der App selbst. Allerdings ist sie derzeit nicht im Google Play Store verfügbar, da Google für Apps in Verbindung mit dem Coronavirus strenge Richtlinien hat.

Allerdings erfuhr die futurezone von den Entwickler*innen, dass die App in Kürze in den Store zurückkehren wird. Für iOS ist eine Beta-Version verfügbar (so erhält man die Beta-Version). Wer die App unter Android trotzdem ausprobieren möchte, kann die apk-Datei herunterladen und installieren (hier geht's zum Download).