Digital
Apps

Covid-Zertifikats-App: Bund schliesst von watson gemeldete Schwachstelle

Die vom Bundesamt für Gesundheit (BAG) herausgegebene Schweizer Zertifikate-App erhält eine Aktualisierung.
Die vom Bundesamt für Gesundheit (BAG) herausgegebene Schweizer Zertifikate-App erhält eine Aktualisierung.bild: watson/KEystone

Covid-Zertifikats-App: Bund schliesst von watson publik gemachte Sicherheitslücke

Wer ein iPhone oder Android-Smartphone nutzt, sollte die offiziellen Zertifikate-Apps des Bundes aktualisieren. Das Bundesamt für Gesundheit (BAG) erklärt, was es mit den Updates auf sich hat.
16.11.2021, 12:0617.11.2021, 08:27
Mehr «Digital»

Abgelaufene Covid-Zertifikate können bei unsachgemässer Überprüfung auch über das Gültigkeitsdatum hinaus genutzt werden: Dieses Problem hat watson im vergangenen Monat publik gemacht und selbstverständlich im Vorfeld die Verantwortlichen beim Bund darauf hingewiesen.

Mit der neusten App-Version (2.8.0) soll die Schwachstelle behoben sein. «Falsch angezeigte Gültigkeiten bei Abweichungen der Systemzeit von der lokalen Zeit korrigiert», schreibt das Bundesamt für Gesundheit (BAG) als Herausgeberin.

Für wen gibt's das Update?

Seit gestern Abend (Montag, 15. November) ist das entsprechende App-Update in Apples App Store (iOS/iPhone) verfügbar. Und auch für Huawei-Smartphones gibt's eine Aktualisierung. Hingegen ist für Android-User im Google Play Store bis dato nur die ältere Version (2.7.0) zu finden, hier scheint das Problem also noch nicht behoben worden zu sein.

Warum dauerte das so lang?

Der watson-Bericht zur App-Schwachstelle, die gemäss Recherche von Impfverweigerern ausgenutzt wurde, datiert vom 20. Oktober. Es hat also fast einen Monat gedauert, bis das Problem per Update angegangen wurde.

Auf Anfrage schreib BAG-Sprecher Grégoire Gogniat:

«Solche Anpassungen brauchen Zeit, zumal es sich nicht um die einzige Weiterentwicklung handelt. Neu können zum Beispiel Zertifikate nach einem Antikörpertest ausgestellt werden – auch das musste in den Release eingebaut werden.»

Was ist sonst noch neu bei der Zertifikate-App?

In der Beschreibung zum App-Update (der Version 2.8.0) schreibt das Bundesamt für Gesundheit, es gebe nun einen «Warnhinweis, falls Covid-Cert-App fälschlich zur Massenprüfung von Covid Zertifikaten verwendet wird.»

Dazu erklärt BAG-Sprecher Grégoire Gogniat:

  • «Verwendet ein Prüfer versehentlich die eigene Halter-App für die Prüfung anderer Zertifikate, wird er durch diesen Hinweis darauf aufmerksam gemacht, dass er die Check-App verwenden muss.» Hintergrund: «Es wurde teilweise die Halter-App zur Prüfung verwendet, was dazu führt, dass man fremde Zertifikate in die eigene App importiert. Wenn man mehr als 10 Zertifikate scannt, kommt ein Hinweis, dass man die Prüfer App verwenden soll.»
  • Auch nicht statthaft sei, dass das eigene Handy der zu prüfenden Person verwendet werde (anstatt das Handy des Prüfers). Dies könne technisch ebenfalls nicht verhindert werden – der Geprüfte könne sich aber wehren und verlangen, dass der Prüfer seine Check-App verwende (und nicht das Handy des Geprüften).
  • Technisch nicht mehr möglich sei neu, die Gültigkeit des Zertifikats (z.B. bei einem Test-Zertifikat) zu manipulieren, in dem man die Systemzeit des eigenen Handys verstelle. «Dies wurde mit dem genannten Release korrigiert. (Falsch angezeigte Gültigkeiten bei Abweichungen der Systemzeit von der lokalen Zeit sind korrigiert.)»

Abgesehen davon werden mit dem App-Update (2.8.0) die geänderten «Prüfregeln» in Zusammenhang mit Zertifikaten für Genesene in der Schweiz berücksichtigt: Zertifikate, die auf einem PCR-Test basieren, sind 365 Tage gültig. Zertifikate, die auf einem Antikörper-Test basieren, neu 90 Tage.

Was ist mit der Prüf-App für Schweizer Zertifikate?

Für die offizielle Zertifikate-Überprüfungs-App «COVID Certificate Check» ist ebenfalls ein Update verfügbar, vorerst nur für die iPhone-App und für Huawei-Smartphones.

Hier beschränken sich die Neuerungen gemäss Beschreibung in Apples App-Store auf die geänderten «Prüfregeln» in Zusammenhang mit Zertifikaten für Genesene: Zertifikate, die auf einem PCR-Test basieren, sind 365 Tage gültig. Zertifikate, die auf einem Antikörper-Test basieren, neu 90 Tage.

DANKE FÜR DIE ♥
Würdest du gerne watson und unseren Journalismus unterstützen? Mehr erfahren
(Du wirst umgeleitet, um die Zahlung abzuschliessen.)
5 CHF
15 CHF
25 CHF
Anderer
twint icon
Oder unterstütze uns per Banküberweisung.
22 Schweizer Prominente, die gegen Covid-19 geimpft sind
1 / 17
22 Schweizer Prominente, die gegen Covid-19 geimpft sind
Sportler, Musiker, Politiker und Moderatoren – diese Schweizer Promis haben sich piksen lassen:
Nicht nur Frauen-Nati-Spielerin Alisha Lehmann ist gegen Corona geimpft, ...
quelle: keystone / ennio leanza
Auf Facebook teilenAuf X teilen
Warum die Covid-19 Impfung nicht unfruchtbar macht – in 2 Punkten
Video: watson
Das könnte dich auch noch interessieren:
33 Kommentare
Weil wir die Kommentar-Debatten weiterhin persönlich moderieren möchten, sehen wir uns gezwungen, die Kommentarfunktion 24 Stunden nach Publikation einer Story zu schliessen. Vielen Dank für dein Verständnis!
Die beliebtesten Kommentare
avatar
NotWhatYouExpect
16.11.2021 12:16registriert April 2017
"Warum dauert das so lang?"

Warum sollten Sie stressen? Ist ja kein kritischer Bug, denn wenn man das Zertifikat wie vorgesehen und Vorgeschrieben mit der Covid Cert Check App überprüft bringt das verstellen des Datums nichts.
844
Melden
Zum Kommentar
avatar
skater83
16.11.2021 13:18registriert November 2018
Chchchc, manuell updaten? Wenn jemand mit dieser "Sicherheitslücke" sein Zertifikat als false positiv verwenden wollte, wird er jetzt garantiert mittels Update diese "Sicherheitslücke" schliessen wollen...
546
Melden
Zum Kommentar
avatar
Bringyourlight
16.11.2021 15:20registriert März 2021
Danke für die Recherche :)
Bild
286
Melden
Zum Kommentar
33
Smartphone-Bank Neon betreut mittlerweile 200'000 Kundinnen und Kunden

Die Schweizer Smartphone-Bank Neon ist im Geschäftsjahr 2023 erneut gewachsen. Dank der Neueröffnung von 50'000 Konten ist die Zahl der betreuten Konten auf mittlerweile 200'000 angewachsen, wie das Unternehmen am Dienstag mitteilte.

Zur Story