Corona-Schnelltests gelten als wichtiges Werkzeug zur Eindämmung der Pandemie. Mit ihnen soll wieder etwas Normalität in Läden, Gastronomie, Kultur und Sport zurückkehren. "Testen, testen, testen", riefen Stadt und Landkreis Würzburg vor Kurzem in einer Pressemitteilung als gemeinsame Strategie aus. Auch weitere Landkreise und Städte in Unterfranken werben für die Tests. Doch wie sicher ist das System?
Unsere Recherchen zeigen, wie anfällig die Test-Strategie gegen Missbrauch ist: Durch eine Sicherheitslücke war es dieser Redaktion möglich, an einen negativen Nachweis zu gelangen, ohne dass dafür ein Schnelltest stattgefunden hatte. Auch die Kontrolle der Ausweise an Teststationen verschiedener Anbieter in der Region war ungenügend. Einkaufen in Würzburg oder Schweinfurt war mit einem falschen Nachweis möglich.
Nachweis für einen Schnelltest bekommen, der nicht stattgefunden hatte
Die Recherche dieser Redaktion beginnt nach der Beobachtung eines Bürgers, der sich im Raum Würzburg mit einem Schnelltest auf Corona testen ließ. Zu seiner Verwunderung musste er dabei keinen Personalausweis oder Reisepass vorzeigen, mit dem sich seine angegebenen persönlichen Daten bestätigen lassen. Trotzdem bekam er 20 Minuten nach dem Test einen negativen Nachweis per E-Mail, mit dem er in allen Geschäften einkaufen konnte. Ein Test ohne Kontrolle des Ausweises? Kein Einzelfall.
Mehrere ähnliche Schilderungen erreichten die Redaktion. Um zu prüfen, ob die Vorwürfe berechtigt sind, ließen sich auch mehrere Redakteure bei dem Anbieter testen. Das Ergebnis: Nur in der Hälfte der Fälle wurde ein Ausweis verlangt. Die Tests fanden an unterschiedlichen Tagen zu verschiedenen Uhrzeiten statt.
Im Zuge der Recherche fiel eine weitere Ungereimtheit auf. Als Redakteure das System auf die Probe stellten, bekamen sie von einem Testzentrum einen negativen Corona-Nachweis für einen Schnelltest ausgestellt, der gar nicht stattgefunden hatte.
Entrüstung beim Würzburger Leiter des Testmanagements
An der betroffenen Teststation arbeitet das Gesundheitsamt von Stadt und Landkreis Würzburg mit einem Dienstleister zusammen. Paul Justice leitet das Testmanagement vonseiten des Gesundheitsamtes und reagierte entrüstet, als er von den Ergebnissen der Recherche erfuhr: "Das ist ein Systemfehler. Das darf nicht passieren." Er habe umgehend alle Teststationen in seinem Verantwortungsbereich darauf hingewiesen, dass der Ausweis ausnahmslos zu überprüfen sei und bemühe sich um Aufklärung.
Wie es passieren kann, dass jemand, der nicht getestet wurde, einen Befund erhält, konnte der Geschäftsführer des Dienstleisters erklären. Grund dafür sei eine Panne bei der Datenübertragung gewesen. Eine "Kombination von Übermittlungsschwierigkeiten des Servers und noch nicht ausreichender Erfahrungswerte aller eingesetzten Mitarbeiter" habe die Manipulation möglich gemacht. Man bedaure die Vorkommnisse. Inzwischen habe man die Sicherheitslücke geschlossen.
Paul Justice kündigte an, dass das Würzburger Gesundheitsamt die Arbeit aller Dienstleister durch "verstärke Kontrollen überprüfen" werde.
Auch bei einem Testzentrum eines anderen Anbieters im Raum Würzburg nahm man es mit der Ausweis-Kontrolle nicht so genau. Dort wurde ebenfalls nicht abgeglichen, ob die getestete Person und die angegebenen Daten übereinstimmen. "Das darf nicht sein", sagt der Geschäftsführer des Anbieters. Man werde "die internen Prozesse überprüfen" und Mitarbeiter nochmals darauf hinweisen, dass jeder Getestete auch kontrolliert werden muss.
Schweinfurt: Personal wird im Vorfeld geschult
In einem Schnelltest-Zentrum in Schweinfurt hingegen ließ man sich die Ausweise bei der Recherche vorlegen.
Laut Kristina Dietz, Pressesprecherin der Stadt Schweinfurt, würden die Mitarbeiter vor der Einstellung in den Bereichen "Check-In", "Abstrich" und "Auswertung" geschult. Jeder Proband, der zum Schnelltest kommt, werde am Check-In nach einem Lichtbildausweis gefragt und kontrolliert. Kann sich jemand nicht ausweisen, werde er nicht getestet. "Die Laptops vor Ort sind jeweils Passwort gesichert, nach Dienstende werden sie in einer abgeschlossenen Box in einem separatem Raum verschlossen gelagert", erklärt Dietz zusätzliche Sicherheitsvorkehrungen.
Ähnliche Ergebnisse ergab eine Nachfrage im Landkreis Schweinfurt. Die Betreiber der vom Landratsamt Schweinfurt beauftragten Schnelltest-Zentren seien vertraglich verpflichtet, die Personalien "in geeigneter Weise zu überprüfen", was auch bei einer Vor-Ort-Besichtigung überprüft worden sei.
Zutritt in Geschäfte mit manipuliertem Nachweis
Doch was nützt ein erschlichener Test? Abhängig von der Inzidenz von Städten und Landkreisen ist in vielen Läden das Einkaufen ("Click & Meet") nur mit einem negativen Corona-Test und einem vereinbarten Termin möglich. Der Nachweis über einen Schnelltest darf nicht älter als 24 Stunden sein. Auch viele Senioren- und Pflegeheime darf man in Bayern nur mit einem Negativ-Nachweis betreten. Im schlimmsten Fall kann ein Corona-positiver Mensch seine Krankheit durch einen gefälschten Schnelltest verschleiern.
In Kleiderläden, einer Buchhandlung, einem Baumarkt und Geschäften für Dekoration – überall war uns der Zutritt mit dem manipulierten Nachweis möglich. Denn eine Ausweis-Kontrolle fand in keinem der zehn besuchten Läden in Würzburg und Schweinfurt statt. Das Erstaunliche: Die Einzelhändler haben damit alles richtig gemacht.
Die Bayerische Infektionsschutzmaßnahmenverordnung sieht gar nicht vor, dass in Geschäften überprüft wird, wer den negativen Nachweis vorzeigt. "Ein Ausweis-Kontrollrecht oder eine entsprechende Pflicht des Händlers ist nirgendwo festgelegt", teilt ein Sprecher des bayerischen Wirtschaftsministeriums auf Anfrage mit. Wenn der Händler den Eindruck habe, dass ein Kunde falsche Angaben macht oder einen gefälschten Test vorlegt, könne er ihm den Zugang zum Geschäft verweigern. Und weiter: "Die Bürgertests sind ohnehin kostenlos und daher ist es eher unwahrscheinlich, dass Kunden hier sich ernsthaft die Mühe der Fälschung geben."
Digitales Dokument soll vor Fälschungen schützen
Dem bayerischen Gesundheitsministerium sind bisher keine gefälschten Nachweise bekannt. Diese "wären angesichts der sehr kurzen Dauer der Bescheinigung auch sinnlos", teilt ein Sprecher des Ministeriums mit. Die Behörde stellt Teststellen für den Corona-Nachweis eine Vorlage als PDF-Dokument zur Verfügung. Die Daten darin sind mit gängiger Software leicht zu verändern. "Einen komplett fälschungssicheren Nachweis kann es nur mit einer digitalen Lösung gegeben", antwortet der Sprecher. Es gebe auf Bundesebene "insbesondere im Rahmen der Corona-Warnapp" Bestrebungen, ein digitales Dokument einzuführen, das gegen Fälschung besser geschützt sei.
Die Informatik-Professorin Alexandra Dmitrienko von der Universität Würzburg schätzt die Sicherheitsvorkehrungen des bisher verwendeten PDF-Dokuments als "sehr niedrig" ein. Es gebe etablierte technische Vorkehrungen, die die Manipulation erschweren würden. Darauf wurde bei der Vorlage verzichtet. Annähernde Fälschungssicherheit sei hingegen nur mit einem Kryptosystem – also einer Verschlüsselung der Daten – zu erreichen. Das würde jedoch auch den Aufwand beim Erstellen der Dokumente erhöhen und die Handhabung für Bürger erschweren.
Welche rechtlichen Folgen kann der Missbrauch haben?
Bleibt zu klären, welche strafrechtlichen Konsequenzen ein möglicher Betrug, etwa die Fälschung einer PDF-Datei, nach sich ziehen kann. Klar ist: "Wer ein Test-Zertifikat fälscht oder ein gefälschtes Zertifikat benutzt, muss mit einer strafrechtlichen Verfolgung wegen Urkundenfälschung oder dem Gebrauch eines unrichtigen Gesundheitszeugnisses rechnen", sagt der Würzburger Rechtsanwalt Manuel Hemm von der Kanzlei Steinbock & Partner.
Im Sinne der Urkundenfälschung müsse dann mit einer Freiheitsstrafe von bis zu fünf Jahren, in besonders schweren Fällen von bis zu zehn Jahren, gerechnet werden. Wird die Tat als "Gebrauch unrichtiger Gesundheitszeugnisse" gewertet, läge die Strafe bei bis zu einem Jahr.
Was droht jemandem, der das negative Test-Ergebnis eines Freundes benutzt?
Laut Anwalt Hemm ist in der aktuellen bayerischen Verordnung eine Regelung zur Verwendung eines fremden oder gefälschten Tests noch nicht enthalten. "Zumindest die falsche Angabe von Kontaktdaten, zum Beispiel im Einzelhandel, stellt jedoch auch nach der aktuellen bayerischen Corona-Verordnung in jedem Fall eine Ordnungswidrigkeit dar, die mit einem Regelsatz von 250 Euro geahndet wird", sagt Hemm.
Wer sich mit einem echten, aber fremden Ausweis ausweist, "um im Rechtsverkehr zu täuschen", könne zudem den Straftatbestand des Missbrauchs von Ausweis-Papieren erfüllen, was bis zu einem Jahr Freiheitstrafe bedeuten könnte. Ein Corona-Test-Zertifikat stelle zwar keinen Ausweis dar und diene auch nicht im eigentlichen Sinne dem Nachweis der Identität, für Hemm scheint es jedoch nicht ausgeschlossen, dass einem solchen künftig eine "ausweisähnliche Qualität" zugesprochen wird. Etwa wenn dieses als Einlasspapier im Einzelhandel verwendet wird. Eine Rechtsprechung gebe es hierzu aber noch nicht.
Erschleicht jemand unter falschem Namen ein durch medizinisches Personal erstelltes Test-Zertifikat für eine andere Person, "wird im Grunde ein unrichtiges Gesundheitszeugnis erstellt", sagt der Rechtsanwalt. Würde dieses etwa gegenüber Behörden gebraucht, liege ebenfalls eine Straftat durch "Gebrauch unrichtiger Gesundheitszeugnisse" vor.
Deswegen sind die Einzelhändler ja so sauer, kein Mensch geht mehr einkaufen, weil niemand Lust hat, sich vorher testen zu lassen. Aber in Wahrheit bringt das Testen ja doch nichts.....
super kommentiert
Vor allem ihr letzter Satz:
"Aber in Wahrheit bringt das Testen ja doch nichts....." dürfte bereits vielen bekannt sein.
ggf. über Blutbild ....untersuchen.