Bund annulliert ge­fälschte Covid-Zertifikate

29. Oktober 2021, 13:48
  • coronavirus
  • verwaltung
  • schweiz
  • e-government
image

Die Fake-Zertifikate werden nun von der Check-App nicht mehr akzeptiert. Laut Untersuchungen der EU wurde der Key nicht geleakt.

Betrügern ist es gelungen, in der EU und der Schweiz gültige Covid-Zertifikate zu fälschen. Für beispielsweise Spongebob, Micky Maus oder Adolf Hitler kursierten Fake-Zertifikate im Internet. Diese wurden bislang von der Schweizer Überprüfungs-App als gültig angezeigt.
Nun habe der Bund eine Lösung gefunden. "Das BIT hat einzelne, im Ausland falsch erstellte Zertifikate gesperrt", teilt das Bundesamt via Twitter mit. Sofern eine Internetverbindung bestehe, würden die Zertifikate als ungültig ausgewiesen. "Ohne Internetverbindung werden sie weiterhin für maximal 48 Stunden als gültig angezeigt."
Man habe das Vorhaben in der Nacht getestet und ab dem Nachmittag würden alle im Internet kursierenden, falschen Zertifikate in der "Covid Certificate Check"-App als ungültig ausgewiesen, so das BIT. Um systematisch gegen Fake-Zertifikate vorzugehen, sei es aber wichtig, dass die ausländischen Staaten die entsprechenden Signaturschlüssel von der EU-Trust-Liste entfernen würden, wenn Grund zur Annahme bestehe, dass sie missbräuchlich erstellt worden seien.

Kein Leak, glaubt EU

Nachdem die gefälschten Zertifikate aufgetaucht waren, stand die Vermutung im Raum, dass es Kriminellen gelungen ist, den Private Key zur Erzeugung von QR-Codes in den EU-Covid-Zertifikaten zu entwenden. Ein Leak könne nicht ausgeschlossen werden, sei aber eher unwahrscheinlich, schrieb Denys Vitali, der bei Swisscom als Data, Analytics & AI Engineer arbeitet. Wahrscheinlicher sei, dass die Kriminellen mit Stellen zusammenspannen würden, die legitime Zertifikate ausgeben, oder deren Systeme gehackt hätten.
Nach aktuellen Erkenntnissen scheint er Recht zu behalten. Die Zertifikate stammen offenbar "von Personen mit gültigen Zugangsdaten zu den nationalen IT-Systemen", so die EU-Kommission gegenüber 'Threat Post'.
"Nach den vorliegenden Informationen wurden die kryptografischen Schlüssel, die zum Signieren von Zertifikaten verwendet werden, nicht kompromittiert", heisst es weiter. Der Vorfall sei auf illegale Aktivitäten und nicht auf ein technisches Versagen zurückzuführen. 

Loading

Mehr zum Thema

image

Ressourcenmangel: Armee sucht ICT-Leihpersonal für bis zu 55 Millionen Franken

Der IT-Dienstleister der Armee will viel Unterstützung anheuern, nachdem er letztes Jahr wegen schleppenden Projekten in die Kritik geraten war. Auch weitere Massnahmen laufen.

publiziert am 5.8.2022
image

Insurtech-Startup Grape sichert sich 1,7 Millionen Franken

Der Schweizer SaaS-Anbieter will mit dem Geld aus einer Pre-Seed sein Produkt weiterentwickeln und das Team ausbauen.

publiziert am 5.8.2022
image

Kanton Schwyz sucht neue IT-Leitung

Im Zentralschweizer Kanton wird eine Nachfolge für den IT-Amtschef Stefan Heinzer gesucht, der nach über 30 Jahren die Verwaltung verlässt.

publiziert am 4.8.2022
image

EFK will eine Meldepflicht für Uber, Airbnb und Co., das Seco widerspricht

Die Finanzkontrolle moniert Wettbewerbsverzerrung und fehlende Steuereinnahmen in der Plattformökonomie. Kritisierte Behörden werfen der EFK eine ungenaue Definition der Gig Economy vor.

publiziert am 4.8.2022