Worum geht es?

Viele Länder haben ein Covid-19-Zertifikatssystem eingeführt, das Reisen und in vielen Fällen die Teilnahme am gesellschaftlichen Leben bis hin zum Zugang zur Arbeit ermöglicht. Diese dreiteilige Serie von Re-Check in Zusammenarbeit mit dem niederländischen investigativen Journalisten Jannes van Roermund durchleuchtet ein noch nie dagewesenes Instrument, das medizinische Daten mit Bewegungsfreiheit verknüpft. In dieser ersten Folge erfahren Sie, was „function creep“ bedeutet. Außerdem enthält sie eine Exklusivität über die Schweiz. Re-Check wurde ein Leak zugespielt, die Aufzeichnung eines Zoom-Meetings zwischen Regierungsvertretern und Akteuren, die an der Einführung des Schweizer COVID-Zertifikats beteiligt sind. Unsere Recherchen und der Austausch, den wir mit dem Schweizer Bundesamt für Gesundheit hatten und hiermit veröffentlichen, zeigen, dass sensible Daten gespeichert werden, was der Öffentlichkeit nicht transparent mitgeteilt wurde.

Im Sommer 2021 haben viele Industrie- und Schwellenländer ein Covid-19-Zertifikatssystem eingeführt. Je nach Land wird dieses System auch Gesundheitspass, Green Pass, Health Pass oder Vaccine Passport genannt. Es ist mit einem QR-Code versehen und ist Personen vorbehalten, die entweder einen Covid-19-Impfstoff erhalten haben oder nach einer SARS-Cov-2-Infektion genesen sind, oder negativ auf SARS-CoV-2 getestet wurden. Re-Check veröffentlichte daraufhin den Artikel „Demokratie im Pandemie-Modus: Der seltsame Fall des COVID-Zertifikats“ [1]. Fast ein halbes Jahr später greifen wir das Thema mit einer dreiteiligen Serie wieder auf. Ziel ist es, die mit diesen Zertifikaten verbundenen Herausforderungen mit Forschern der kritischen Analyse im Bereich Überwachung und Technologie im Detail zu untersuchen und des Ghost-Management-Systems aufzuzeigen [2], die von bestimmten Interessengruppen entwickelt wurden, um eine Agenda voranzutreiben, bei der das Covid-19-Zertifikat eine Schlüsselrolle spielt.

Erste Folge: „Function creep“ und Transparenz „à la carte“

Ab September 2021 wurde der Gültigkeitsbereich des Covid-Zertifikats in den meisten Ländern sukzessive ausgeweitet. In der Schweiz beispielsweise haben seit dem 20. September 2021 nur noch Inhaber dieses QR-Codes Zugang zu Kultur-, Sport-, Gastronomie- und Indoor-Freizeitangeboten [3]. Aber auch an Hochschulen und in Krankenhäusern, sei es für besuchende oder einfach nur zur Arbeit gehende Personen, wie im Fall des Pflegepersonals bestimmter Einrichtungen oder bei Hochschuldozenten, findet er mittlerweile Verwendung. Die Tage des Antigentests als Möglichkeit, ein Covid-19-Zertifikat zu erhalten, scheinen zudem gezählt: Seit Oktober 2021 berichten die Medien regelmäßig über „Stimmen, die fordern“, dass nur geimpfte oder geheilte Personen Anspruch auf ein Covid-19-Zertifikat haben sollen (2G-Regelung) [4, 5, 6], wie es in Österreich und einigen deutschen Bundesländern bereits der Fall ist.

Heute ist der Covid-19 QR-Code also nicht mehr nur die «moderne, einfache und sichere» Lösung, die, wie uns vor einigen Monaten gesagt wurde, „die Welt wieder öffnen und den Menschen die Möglichkeit geben sollte, wieder zu reisen“: Er ist zu einer unverzichtbaren Voraussetzung geworden, um am gesellschaftlichen Leben teilzunehmen.

Es fehlt Transparenz zur Datensicherheit des Zertifikats und der Gesundheitsdaten (Foto: FLY:D, Unsplash.com, Unsplash License)

Aber was genau ist seine Funktion?

Die Regierungen, die solche Systeme eingeführt haben, sind der Meinung, dass sie eine Schlüsselrolle bei der Kontrolle der Epidemie spielen. Es ist jedoch fraglich, wie sie diese Behauptung aufstellen können, denn die breite Einführung der Covid-19-Zertifikate erfolgte, ohne dass zuvor eine Studie zur Bewertung des Nutzen-Risiko-Verhältnisses durchgeführt wurde. Mit anderen Worten:

Es gibt keinen Beweis für die Wirksamkeit dieses Systems im Hinblick auf die öffentliche Gesundheit [7].

Diese grundlegende Information bleibt weitgehend unbeachtet und überlässt das Feld einem Journalismus im Pandemie-Modus [8] und einer außer Kontrolle geratenen Covid-19-„Wissenschaft“ [9], die ein toxisches Klima aufrechterhalten, in welchem sich die Debatte zunehmend verhärtet.

Andererseits sorgt das Zertifikat überall dort, wo es eingeführt wurde, für Kontroversen und spaltet die Gesellschaft. Seit Beginn des Herbstes 2021 vergeht keine Woche ohne Demonstrationen in den Ländern, die seinem Regime unterworfen sind. Es ist daher legitim, sich zu fragen: Warum wird dieses System trotz der damit verbundenen Spannungen beibehalten [10, 11] und warum wird sein Anwendungsbereich immer weiter ausgedehnt, obwohl es keine wissenschaftlichen Beweise dafür gibt, dass es irgendeinen Nutzen bringt?

Ein wichtiger Aspekt der Covid-19-Zertifikate wird von Regierungen und Mainstream-Medien immer offener hervorgehoben: die Akzeptanz der Impfung durch die Bevölkerung. Nachdem man versucht hat, die Menschen mit „positiven Anreizen“ zu überzeugen, sei es mit Kuchen, Geld, Alkohol oder sogar Schusswaffen [12], setzen die Regierenden weltweit nun auf die Philosophie der „negativen Anreize“.

Die Behörden rechtfertigen sich damit, dass die zunehmenden Einschränkungen der Bewegungsfreiheit und der Teilnahme am gesellschaftlichen Leben, die das Covid-19-Zertifikat mit sich bringt, ein wirksames Mittel ist, um mehr Menschen zur Impfung zu bewegen oder gar zu zwingen. Dieser Modus Operandi wird von vielen Experten des öffentlichen Gesundheitswesens scharf kritisiert [13].

Allyson Pollock, Professorin an der Universität von Newscastle, hält die Covid-19-Zertifikate für eine „lächerliche, diskriminierende und unverhältnismässige“ Massnahme [14].

Gleichzeitig ist klar, dass eine obligatorische Covid-19-Impfung für Pharmaunternehmen aufgrund des außerordentlichen Profits, den sie garantieren würde, einen einmaligen Glücksfall darstellen würde. In Verbindung mit einem Booster, der alle sechs Monate nötig ist, um die Gültigkeit der Zauberformel für ein relativ normales Leben zu verlängern, sind Covid-19-Zertifikate das Rezept schlechthin für Produkte, die ständig Gewinn abwerfen – ein Ziel, das alle Unternehmen anstreben.

Insofern ist die Coronavirus-Krise für die Hersteller von Covid-19-Impfstoffen – allen voran Pfizer/BioNTech und Moderna – eine eierlegende Wollmilchsau. Im Jahr 2019 konnte die Pharmaindustrie bereits auf eine historische Premiere zurückblicken: Sie hatte es innerhalb weniger Jahre geschafft, Impfstoffe zu Blockbustern zu machen, d. h. zu Produkten, die mindestens 1 Milliarde US-Dollar pro Jahr umsetzen. Die Verkäufe der HPV-Impfstoffe Gardasil und Gardasil9 (Merck) beliefen sich auf über 3 Milliarden US-Dollar [15] und die des Pneumokokken-Impfstoffs Prevenar13 (Pfizer) auf fast 6 Milliarden US-Dollar [16]. Re-Check untersucht seit über zehn Jahren, wie das Aufkommen der HPV-Impfstoffe die Metamorphose dieser Klasse biologischer Produkte eingeleitet und die Behauptung, dass Impfstoffe „der Pharmaindustrie nichts einbringen“, endgültig in den Bereich der abgedroschenen Mythen verwiesen hat [17]. Doch heute würden Gardasil, Gardasil9 und Prevenar13 im Vergleich zu den schwindelerregenden Summen, die bis Ende 2021 mit dem Verkauf von Covid-19-Impfstoffen erzielt werden sollen, fast wie kleine Spieler wirken: 19 Milliarden US-Dollar für Spikevax von Moderna [18] und 33 Milliarden US-Dollar für Comirnaty (Pfizer/BioNtech) [19].

Abschrift der Aufnahme, die Re-Check zugespielt wurde. Alle Teilnehmer wurden anonymisiert. (Foto: Re-Check)

„Wir speichern Ihre Daten nicht.“ Außer wir tun es doch

Die Beibehaltung der Covid-19 QR-Codes geht noch mit einem weiteren Problem einher. Die Behörden sind leider nicht transparent, wenn sie den Bürgern die Funktionsweise dieses Systems darlegen.

So versichert das Bundesamt für Gesundheit (BAG) in der Schweiz auf seiner Website: „Das Covid-Zertifikat wird ausschließlich lokal in der ‚COVID Certificate’-App auf dem Smartphone gespeichert. Weder Personendaten noch die Zertifikate werden in einem zentralen System gespeichert.“ [20]

Unsere Recherchen zeigen, dass die Realität etwas anders aussieht.

Re-Check wurde die Aufzeichnung eines Zoom-Meetings zugespielt. Dieser Treff fand am 10. Juni 2021 statt. Zwischen 90 und 120 Personen nahmen daran teil, darunter unter anderem Vertreter des Bundesamts für Informatik und Telekommunikation (BIT) und des Bundesamts für Gesundheit (BAG). Die Aufzeichnung wurde von einer Person gemacht, die an dieser Sitzung teilnahm. In der Frage-und-Antwort-Runde erklärten Vertreter des BAG und des BIT, dass in der Tat gewisse Daten der COVID-Zertifikate gespeichert würden. Bei diesen Daten handelt es sich um die eindeutigen Identifikatoren der Zertifikate, die als UVCI für Unique Vaccination Certificate/Assertion Identifier bezeichnet werden. Die Vertreter des BIT erklärten, dass diese Speicherung bei den Zertifikatsausstellern erfolgen musste. „Wir speichern diese Information nicht“, erklärte ein Vertreter des BIT. Ein Vertreter des BAG stellte bei dieser Gelegenheit noch klar, dass die obligatorische Speicherung der UVCI „auch schon die EU-Vorgabe war, damit eine Nachvollziehbarkeit zu den medizinischen Daten gewährleistet ist“.

Wir haben uns an die Pressestelle des BAG gewandt, die die Information, dass die Speicherung der UVCI tatsächlich stattfindet, bestätigt hat: „Ja, das ist richtig“, antwortete BAG-Pressesprecherin Nani Moras. „Die UVCI ist die einzige Angabe, die zentral gespeichert bleibt, aber sie ermöglicht keine Re-Identifizierung der Person, für die das Zertifikat ausgestellt wurde. Die UVCI wird benötigt, um einzelne Zertifikate nach einer missbräuchlichen oder fehlerhaften Ausstellung (z. B. ein falsch geschriebener Name) zu widerrufen.“

Wir wollten wissen, wo genau diese UVCIs gespeichert werden und wie lange: „Die UVCIs werden an drei Orten gespeichert: auf dem BIT-Server, auf dem BIT-Primärsystem sowie auf der App des Inhabers als dezentrale Datenspeicherung“, antwortete uns Grégoire Gogniat, Sprecher des BAG, „Die UVCIs werden auf dem BIT-Server gespeichert. Die Server des BIT, einschließlich der Primärsysteme des BIT, sind für den Widerruf von Zertifikaten erforderlich“. Bevor er darauf hinwies, dass die UVCI zwei Jahre lang „auf den Servern des BIT“ gespeichert würden.

Wir haben dann das BAG mit dem uns vorliegenden Transkript der Aufzeichnung des Zoom-Treffens konfrontiert und wollten verstehen, wovon der Vertreter des BAG während des Zoom-Treffens sprach, als er die «Nachvollziehbarkeit zu den medizinischen Daten» erwähnte.

Das BAG gab daraufhin zu, dass die Zertifikatsdaten noch an einem anderen Ort gespeichert werden, diesmal mit UVCI gekoppelt: bei den Zertifikatsausstellern, d. h. den Ärzten, Apotheken oder Testcentern, die die Zertifikate ausstellen.

„Die Zertifikatsaussteller (z. B. Arzt, Apotheke) haben die medizinischen Informationen in ihrem eigenen System (medizinische Daten = Gesamtheit der Informationen über die Gesundheit eines Patienten)“, erklärte Grégoire Gogniat. „Von dort kommt der Antrag auf ein Zertifikat. Die Aussteller erhalten dann die UVCI vom BIT zurück und speichern sie zusammen mit den medizinischen Informationen in ihrem eigenen System. Die Nachvollziehbarkeit zu den medizinischen Daten befindet sich nur im Primärsystem des Gesundheitsdienstleisters (Ärzte oder Apotheker).“ Dennoch kam er zu dem Schluss, dass „mit dem UVCI keine Verbindung zu medizinischen Daten und damit keine Nachvollziehbarkeit möglich ist“.

Außer in den Primärsystemen der Leistungserbringer.

Auf die Frage, wie lange die UVCI bei den Zertifikatsausstellern gespeichert werden, erhielten wir folgende Antwort: „Das ist nach den kantonalen Gesetzen geregelt“, erklärte Grégoire Gogniat. „Es gibt keine schweizerische oder europäische Regelung zu diesem Thema“. Er betonte:

„Außerdem ist es wichtig zu wissen, dass es nie darum ging, das Zertifikat langfristig zu behalten. Das Ziel war immer, das Zertifikat nur während der Pandemie zu verwenden.“

Schließlich bestätigte das BAG, dass die Speicherung der UVCI einer Vorgabe der Europäischen Union entspreche: „Ja“, schrieb Grégoire Gogniat, „es ist sogar die Grundlage, auf die sich der Bund bei der Ausarbeitung des Zertifikats gestützt hat“. Außerdem bestätigte er, dass diese Vorgabe umgesetzt worden sei, „aber von den Gesundheitsdienstleistern“. Mit anderen Worten: von den Zertifikatsausstellern der Zertifikate.

Grégoire Gogniat versicherte uns: „Der Eidgenössische Datenschutzbeauftragte war in die Entwicklung des Zertifikatsystems involviert. Der oberste Datenschützer war Mitglied des Lenkungsausschusses. Es gab drei Stellungnahmen zu diesem Thema. Die Speicherung der UVCI ist in der Zertifikatsverordnung, Art. 27, geregelt und war somit auch Teil der Prüfung durch den Eidgenössischen Datenschutzbeauftragten. (…) Die Kantone und die anderen Akteure wurden ausführlich über das geplante System informiert.“

Trotz der vom BAG vorgetragenen Versicherungen erscheint diese Konstellation der Datenspeicherung problematisch. Zum einen, weil sie wahrscheinlich nicht dem entspricht, was die Zertifikatsinhaber verstehen, wenn man ihnen erklärt, dass ihre Daten „nicht zentral gespeichert werden”. Sie wurden nicht proaktiv darauf hingewiesen, dass ihre medizinischen Daten im Zusammenhang mit einer Impfung oder einem Covid-19-Test zusammen mit der Kennung ihres Zertifikats am selben Ort gespeichert werden, nämlich beim Leistungserbringer (Arzt, Apotheker, Testzentrum), der ihnen ihr Zertifikat ausgestellt hatte. Vor allem aber liegt mit diesem System die Sicherheit dieser sensiblen Daten ganz auf den Schultern der Zertifikatsaussteller, während die Bundesorgane sagen können: „Wir speichern Ihre Daten nicht.“

„Function creep“

Angesichts der Geschwindigkeit, mit der sich Covid-19-Zertifikate verbreitet haben, des Problems, das sie für den Datenschutz darstellen, und des Stellenwerts, den sie in unserer Gesellschaft mittlerweile eingenommen haben, ist die Frage berechtigt: Wann werden die Behörden aufhören, uns dieses System aufzuzwingen? Die Geschichte der Technologie lehrt uns, dass die Antwort darauf lauten könnte: vielleicht nie. Denn wenn eine solche „vorübergehende“ Lösung eingeführt wird, besteht die Gefahr, dass sie dauerhaft wird und schließlich für einen anderen Zweck als den ursprünglich geplanten verwendet wird. Man spricht dann von einem „function creep“ (Zweckentfremdung oder Funktionsentfremdung) [21]. Bert-Jaap Koops von der Universität Tilburg in den Niederlanden erklärt: „Was den ‚function creep’ von einer Innovation unterscheidet, ist, dass er eine qualitative Veränderung der Funktionalität beinhaltet, die Bedenken hervorruft. Nicht nur wegen der Veränderung selbst, sondern auch, weil diese Veränderung nicht ausreichend als transformativ anerkannt wird und daher einer Diskussion bedürfen würde.“ [22]

Die Massenüberwachung, die durch den Patriot Act ermöglicht wurde, der in den USA nach den Anschlägen vom 11. September 2001 eingeführt wurde, ist ein gutes Beispiel dafür [23]. Tommy Cooke vom Surveillance Studies Centre der Queen’s University in Kanada und Benjamin Muller, außerordentlicher Professor am Institut für Politikwissenschaft vom King’s University College der University of Western Ontario, sind im Übrigen der Ansicht, dass das Aufkommen der Covid-19-Zertifikate und die Einschränkungen, die sie für bestimmte Bevölkerungsgruppen einführen, indem sie „die Bewegung einiger erleichtern und die Mobilität anderer hemmen“, genau in dieser Kontinuität stehen [24]: „Seit den Ereignissen des 11. September 2001 haben wir eine Verstärkung der Grenzen und Praktiken erlebt, die Einschränkungen einführen, oft weit entfernt von den nationalen Grenzen“, betonen sie.

Im Fall des Covid-19-Zertifikats deutet alles darauf hin, dass die Gefahr eines „function creep“ besonders groß ist. Denn eine der denkbaren Zweckentfremdungen des Zertifikats deckt sich genau mit der Agenda mächtiger Interessengruppen. Bereits seit 2020 versuchen private und staatliche Akteure, die Implementierung des Covid-19-Zertifikats als Wegbereiter für ein umfassenderes und universelleres System zu präsentieren: eine „Brieftasche“ (Wallet) für digitale Identitäten [25] (e-ID, auch elektronische Identität genannt).

Die e-ID-Lobby am Werk

Schon früh haben diese Lobbys argumentiert, dass künftige Covid-19-Zertifikate und andere Impfpässe davon profitieren würden, wenn sie die technologischen Lösungen nutzen würden, die in den letzten zehn Jahren für e-ID entwickelt wurden. So wie Dakota Gruener, Direktorin der ID2020 Allianz [26] (die 2016 von accenture, Microsoft, der Gavi Alliance, der Rockefeller Foundation und IDEO gegründet wurde) in ihrem im April 2020 veröffentlichten Arbeitspapier „Immunity Certificates: If We Must Have Them, We Must Do It Right“ [27] [Immunitätszertifikate: Wenn wir sie haben müssen, müssen wir es richtig machen].

Gleichzeitig wurden Meinungsbildner und Regierungen dazu ermutigt, das Zertifikat als „Vorläufer“ der e-ID zu betrachten und seine Einführung als guten Grund für die Beschleunigung des Aufbaus einer Infrastruktur für digitale Identitäten zu sehen [28]. Die Umwandlung des Covid-19 QR-Codes wurde auf einer Vielzahl von Kanälen als logischer, pragmatischer und wünschenswerter Weg dargestellt: auf speziellen Plattformen [29], an Konferenzen [30] und Veranstaltungen [31], in Berichten von Beratungsunternehmen [32], Fachpublikationen [33], Arbeitspapieren [34], Initiativen [35], Kolumnen [36, 37] und Interviews [38].

Offensichtlich hat diese Rundum-Kommunikation Früchte getragen, denn trotz zahlreicher Warnungen [39], eines sehr kritischen Berichts von Privacy International [40] und Recherchen [41, 42], die das Risiko einer automatisierten Massenüberwachung hervorhoben, das dem von diesen Lobbyisten getragenen Projekt innewohnt, hat sich die Zustimmung zu dieser Vision der Covid-19-Zertifikate als „Katalysatoren für den Fortschritt der digitalen Identität“ im Jahr 2021 verfestigt [43].

In der nächsten Folge werden wir uns mit diesen mächtigen Akteuren beschäftigen, die versuchen, die Covid-19-Zertifikate für die Einführung der e-ID zu nutzen, sowie mit dem Lobbyingapparat, den sie eingesetzt haben um ihre Agenda voranzutreiben. [44]