Einführung von SARS-CoV-2 Schnelltest-Pässen als Beitrag zur diskriminierungsfreien und sicheren Öffnung der Deutschen Wirtschaft — Teil 1/2

Was sind Impfnachweis- und Testpass-Credentials? Wie funktionieren Test-Zentren, Test-Kioske und Laien-Selbsttests?

Autoren: Dr. Carsten Stöcker, Dr. Michael Rüther, Dr. Susanne Guth-Orlowski
Version: 0.2, Status: Draft

Verwendete Abkürzungen

Zusammenfassung

Mit der Einführung von elektronischen Impfnachweisen und Testpässen soll ein sicheres Öffnen von gesellschaftlichen und wirtschaftlichen Aktivitäten in Deutschland ermöglicht werden.

Derzeit wird an einer schnell zu implementierenden Lösung für den Impfnachweis gearbeitet. Diese Lösung soll über die Nutzung von Gematik TI und elektronische Heilberufsausweise (eHBA) eine Authentifizierung eines Arztes gegenüber einem Impfregister ermöglichen. In diesem Impfregister trägt der Arzt die Impfdaten zu einer Person ein. Das Impfregister erstellt dann ein Impfzertifikat. Dieses Zertifikat kann die geimpfte Person dann von einem Server abrufen und in einer Smartphone App (z.B. Corona Warn App) speichern. In einer späteren Phase soll diese zentrale Lösung zu einer Lösung mit dezentralen Komponenten (SSI) weiter entwickelt werden (Hybrid-Ansatz).

Aus ethischen, gesellschaftlichen und wirtschaftlichen Gründen sind für nicht geimpften Personen Angebote anzubieten, mit denen Sie nachweisen können, dass sie zu einem gegebenen Zeitpunkt nicht COVID-infektiös sind. Damit soll eine positive Diskriminierung von geimpften Personen vermieden werden. Nicht geimpften Menschen wird mit einem solchen Angebot eine gleichberechtigte Teilnahme am gesellschaftlichen und wirtschaftlichen Leben ermöglicht.

Angebote für nicht geimpfte Personen erfordern die Einführung eines sicheren, verifizierbaren Testpasses, der weitgehend abgesichert ist gegen Fälschung. Bei der Einführung einer solchen Lösung ist ein Ausgleich zwischen den Zielsetzungen von Schnelligkeit, Skalierbarkeit, Sicherheit und Privatsphäre abzuwägen.

Dieser Beitrag beschreibt, wie eine flächendeckende Infrastruktur zur Ausstellung von verifizierbaren Testpässen für einen Tag (z.B. 24 Stunden) aufgebaut werden kann. Analog zum Impfnachweis soll eine Person über einen Testpass nachweisen können, dass sie zum aktuellen Zeitpunkt nicht ansteckend ist. Damit kann dieser Person Zugang zu gesellschaftlichen und wirtschaftlichen Aktivitäten gewährt werden.

Hier geht es übrigens zu einer detaillierten Darstellung unserer COVID-Testpass-Lösung: Spherity ReOpen App

Anwendungsfälle

Die folgende Tabelle gibt einen Überblick über die verschiedenen Anwendungsfälle für Impfnachweise und Testpässe.

Mögliche Anwendungsfälle für Impf- und Testpässe. Quelle: Spherity GmbH

Ein Credential ist ein elektronischer, mit digitaler Signatur versehener Nachweis in Form eines Zertifikates über das Ergebnis eines Corona-Tests. Das Credential kann als QR-Code vorgezeigt werden. Dieser QR-Code kann von jedem beliebigen Akteur eines Ökosystems verifiziert werden, ohne dass dieser Akteur eine Vertrauensbeziehung zum Aussteller — bzw. zu den in der oben dargestellten Tabelle genannten durchführenden Akteuren — des Zertifikates haben muss.

HCP-Schnelltests (3.1) und Schnelltests unter Aufsicht (3.2) werden beide unter Beteiligung von mindestens einer weiteren den Testprozess betreuenden Personen durchgeführt. Die beiden Fälle unterscheiden sich im Wesentlichen darin, dass entweder medizinisches Fachpersonal (3.1) oder angelernte Laien (3.2) den Test unter Aufsicht durchführen.

Beiden gemeinsam ist das Vier-Augenprinzip von Testperson und der aufsehenden Person. Die Umsetzung der Aufsicht kann verschiedene Ausprägungen haben:

1. Person und Testkit sind für die Zeit der Testdauer unter Aufsicht oder zumindest in örtlicher Nähe, bevor der Test ausgewertet und das Testpass-Zertifikat ausgestellt wird.
2. Testperson bekommt einen QR-Code mit einem Testidentifikator und gibt das Testkit ab. Nur das Testkit bleibt unter Aufsicht. Nach Ablauf von Wartezeit für den Test und Erfassung des Testergebnisses kann die Person über das Einscannen des Testidentifikators via QR-Code sich das Testzertifikat von einem Server abholen. Die Person wird nach dem Erhalt des Zertifikates durch eine App, wie die CWA ,über das Testergebnis informiert. Im Falle eines positiven Testergebnisses wird sie aufgefordert einen PCR-Test durchführen zu lassen.
3. Persönliche Daten der Person werden erfasst und verifiziert. Die Erfassung der persönlichen Daten kann vorab über eine Terminvereinbarungssoftware geschehen. Die Verarbeitung der persönlichen Daten ermöglicht eine zielgenauere Fallverfolgung. Sie stellt einen flächendeckenden Roll-out jedoch vor deutlich größere technische Herausforderungen und kann daher nicht einfach und schnell genug flächendeckend umgesetzt werden.

Nach unserer Einschätzung gibt es beim Laien-Selbsttest (3.3) aufgrund fehlender Voraussetzungen zu viele Manipulationsmöglichkeiten, um ein Testzertifikat auszustellen, das für Einlasskontrollen verwendet werden könnte. Auf diese Voraussetzungen wird weiter unten detaillierter eingegangen. Trotzdem sind Laien-Selbsttests sinnvoll und die Nutzer sollten aufgefordert werden, freiwillig das Testergebnis in die CWA einzugeben. Die CWA gibt dann Empfehlungen wie im Falle eines positiven Tests zu verfahren ist, fordert auf einen PCR-Test durchzuführen und informiert über ihr anonymes Kontaktverfolgungsverfahren potenziell gefährdete Nutzer.

In vielerlei Hinsicht sind überprüfbare Testpass-Zertifikate ein exzellenter Weg, um den Datenschutz zu erreichen, da so sich die Kontrolle über sensible medizinische Daten, wie z. B. Impfnachweise und Testpässe, näher an den Eigentümer dieser Informationen verlagern und er diese jedem beliebigen Verifier vorlegen kann ohne Dritte mit einbinden zu müssen. Diese selbstbestimmte Form des Datenaustausches (sovereign data exchange) ist sehr universell und sowohl ein Grundprinzip vom neuen Patientendatenschutzgesetz (PDSG) als auch der europäischen GAIA-X Cloud-Strategie.

Der Clou an den Testpass-Zertifikaten in Form von QR-Codes ist, dass jeder beliebige Ökosystem-Akteur diese mittels kryptographischer Verfahren überprüfen kann. D.h. jeder Event-Veranstalter, Personenbeförderer, Gastronom oder Einzelhändler kann das Testpass-Zertifikat eines Kunden unabhängig überprüfen und im Fall eines negativen Zertifikates Einlass gewähren. Für eine solche dezentrale PKI-Infrastruktur sind Vertrauensketten aufzubauen. Sehr effiziente und sichere Wege diese Aufzubauen beschreiben wir im zweiten Teil dieser Artikelserien.

Impfnachweis- und Testpass-Zertifikate in Form von Verifiable Credentials

Impfnachweise (1) und Labortests (2) werden derzeit von Spherity GmbH in anderen Projekten wie dem IDuninon-Projekt behandelt. Spherity arbeitet in diesen Projekten zusammen mit Gematik, Compugroup Medical und Bundesdruckerei auch an einer dezentralen Hybrid-Lösung für Impfnachweise (SSI-Lösung). Deswegen wird im weiteren Verlauf dieses Artikels nur auf die verschiedenen Formen von Schnelltests eingegangen.

Nutzen für Entscheidungsträger und Designprinzipien

Die in diesem Beitrag empfohlene Credentialing-Infrastruktur orientiert sich an den folgenden Nutzenpotentialen und Designprinzipien:

1. Beitrag zur Diskriminierungsfreiheit
2. 4-Augenprinzip bei der Dokumentation von Schnelltests
3. Effiziente Instrumente für einen flächendeckenden Roll-Out
4. Einfache Integration der Testpasszertifikate in den Alltag, Einfachheit von Ausstellung und Verifikation der Zertifikate
5. Erhöhung der Sicherheit für Bürger und Unternehmen
6. Dezentraler Charakter der vorgeschlagenen Lösung
7. Hohes Maß an Anonymität (anhängig vom Grad der Personalisierung)
8. Automatisierte Compliance Checks für Einzelhändler, Veranstalter, Gastronomen, Arbeitgeber und Verkehrsanbieter bei Einlass oder Beförderung von Personen
9. Infrastruktur für die sektorenübergreifende Verifizierung der Zertifikate
10. Negatives Testergebnis kann nicht doppelt verwendet werden
11. Incentivierung Corona-Warn-App zu nutzen (nur mit CWA kann ich am öffentlichen Leben teilnehmen) und Entlastung der Gesundheitsämter durch bessere Kontaktverfolgung
12. Echtzeit Reporting aller bundesdeutschen Tests über CWA-Spherity Infrastruktur (Coronavirus SARS-CoV-2 — National Response Dashboard)
13. Analyseinstrumente zur Aufklärung der Dunkelziffer bei Corona-Infektionen sowie einer Erweiterung der RKI-Datenbasis zur Ermittlung der erreichten Herdenimmunität nach Landkreisen
14. Aufnahme von GAIA-X Architekturprinzipien (insbesondere das dezentrale Identitäts-Framework)
15. Optionalität der technischen Infrastruktur für die verschiedenen Anwendungsfälle (Impfnachweise, Testpässe, SSI) sowie als Basisinfrastruktur für eine Europa-weite Lösung

Wir gehen davon aus, dass aufgrund der vielen Vorteile der Infrastruktur eine hohe Kampagnenfähigkeit besteht. D.h. das alle von einer sicheren Öffnung profitierenden Unternehmen und Berufsgruppen einschließlich vieler Künstler mit einer hohen Kommunikationsreichweite, für die Nutzung dieser Infrastruktur werben werden. Damit kann bei geeigneter Planung ein sehr positives ich selbst verstärkendes Momentum für die Adoption der hier beschriebenen Lösung entstehen.

Lösungsansätze und Restriktionen für Schnelltests

3.1 HCP-Schnelltests (personalisiert)

Aktuell sind im Landkreis Böblingen fünf Test-Center eingerichtet, bei dem jeder Einwohner zweimal wöchentlich zur Testung erscheinen kann.

Nutzer vereinbaren vorab einen Termin für die Testung. So können durchschnittliche Wartezeiten von vier Minuten realisiert werden. Die Terminvereinbarung hat den Vorteil, dass eine Personalisierung der Test-Zertifikate sehr effizient umgesetzt werden kann, da die personenbezogenen Daten über die Terminanfrage zur Verfügung gestellt werden können.

Jedes Center kann bis zu 100 Test/h vornehmen, die Kosten je Testung liegen in Summe bei 18EUR/Test. Bei einer positiven Testung wird im Anschluss ein PCR-Test vereinbart. Die Test-Center sind an Apotheken angebunden. Höchstsatz pro Abstrichstation pro Stunde war in Böblingen 120 Test/h.

Quelle: Kommunal, Landkreis legt Blaupause vor (Böblinger Modell)

Technisch ist eine Zertifikate-Infrastruktur für Testpässe für den HCP-Schnelltest weitgehend identisch mit einer Infrastruktur für Schnelltests unter Aufsicht. Wichtigste Unterschiede sind, wer den Test durchführt und ob eine Integration mit einer Terminplanungssoftware stattfindet oder nicht. Im Rahmen eines Bundesweiten Roll-Outs ist eine solche Integration mit einem höheren Aufwand versehen, kann aber von Apotheken und Ärzten geleistet werden. Sofern die Integration mit der Terminplanungssoftware beispielsweise eines Marktführers wie Compugroup Medical erfolgt, könnte eine sehr, sehr große Anzahl von Hausärzten in einem Rutsch befähigt werden Impf- oder Testpässe auszustellen. Auch die Integration mit der bestehenden Gematik TI-Infrastruktur wird weiter untersucht.

Die Beschreibung der Zertifikate-Infrastruktur für Testpässe wird in den folgenden Kapiteln vertieft.

3.2 Schnelltests unter Aufsicht (nicht personalisiert)

Im Gegensatz zu dem Böblinger Modell mit medizinischem Fachpersonal und Terminvereinbarungs-Software würden bei “Schnelltest unter Aufsicht” weder Terminvereinbarungen vorgenommen werden noch die Tests von medizinischem Fachpersonal durchgeführt. Damit wäre auch eine Personalisierung der Test-Zertifikate deutlich aufwendiger.

Vier-Augenprinzip und vertrauenswürdige Stellen

Schnelltests unter Aufsicht basieren auf dem Vier-Augenprinzip Beteiligt sind der Nutzer und eine weitere Person einer vertrauenswürdigen Organisation wie z.B. Apotheke, Rotes Kreuz, Einzelhändler oder Arbeitgeber. Sofern es sich nicht um medizinisches Fachpersonal handelt, sollte eine Einweisung des Personals erfolgen und dokumentiert werden. Diese Art der Schnelltests ermöglichen eine flächendeckende, skalierbare Ausgabe von Testpässen. Entitäten, die Schnelltests unter Aufsicht ausstellen, müssen in die Lagen versetzt werden, Testpass-Zertifikate mit einem privaten Schlüssel zu signieren. Dazu wurden bereits Lösungsvorschläge entwickelt.

Im Zielzustand ist angedacht, dass vertrauenswürdige Stellen einen Schnelltest ausgeben und “unter ihrer Aufsicht” das Ergebnis in Form eines digital überprüfbaren Zertifikates dokumentieren können. Dieses Zertifikat kann auf den getesteten Nutzer übertragen werden. Mit diesem Zertifikat kann ein Nutzer für einen Tag nachzuweisen, dass er oder sie nicht infektiös ist.

Eine große Herausforderung ist, dass es in Deutschland keine Digital Identität von Unternehmen gibt. Deswegen muss ein einfacher und skalierbarer Weg gefunden werden, dass eine solche Identität ausgestellt, skaliert und von Akteuren in den unterschiedlichsten Wirtschaftssektoren überprüft werden kann. Daher schlagen wir vor, dass in einer ersten Phase über einen Retrofitting-Ansatz große Unternehmen befähigt werden, Testzertifikate auszustellen. Diese Testzertifikate können unter existierende Trust Domains der Unternehmen gehängt werden. Wie dies genau geht beschreiben wir im zweiten Teil unseres Artikels.

Um keine Flut von Trust-Domains zu erzeugen ist es vorteilhaft mit wenigen Trust Domains anzufangen. Dabei ist ein Vorgehen zu empfehlen, dass mit großen Unternehmen oder allgemeinnützigen Organisationen beginnt, die diese Corona-Tests stationär verkaufen oder abgeben Beispiele sind (ohne Apotheken, da diese unter 3.1 analog behandelt werden).

• Deutsches Rotes Kreuz
• Malteser
• Bundeswehr
• Feuerwehr
• Große Arbeitgeber unter Einbindung der Arbeitsmedizin
• Einzelhändler und Drogerien wie dm, Rossmann, Müller, ALDI, Lidl

Tests unter Aufsicht per Videochat

Es ist vorstellbar, dass “Tests unter Aufsicht” auch digital per Videochat analog zu dem Video-Identverfahren gemacht werden. Der Prozessvorgang einschließlich QR-Codes entspricht dem der physischen Tests unter Aufsicht.

Positiv ist, dass in einem solchen Szenario die Abstandsregeln optimal eingehalten werden.

Allerdings kann nicht ausgeschlossen werden, dass während des Videochats das Testkit vertauscht und durch ein bereits verbrauchtes Testkit ersetzt wird. Erschwerend kommt hinzu, dass die Testkits nicht serialisiert sind (Analyse hierzu siehe unter Laientests).

Deswegen empfehlen wir, mit Vorort-Tests zu arbeiten und parallel das Video-Chat-Szenario im Kontext von Serialisierung und Laientests erst einmal weiter zu untersuchen.

3.3 Laien-Selbsttests

Bei den Schnelltests gehen wir davon aus, dass ein verifizierbarer Laientest aufgrund wesentlicher fehlender Voraussetzungen nicht umgesetzt werden kann.

Sollten Laien-Selbsttests als Nachweis für einen Zugang verwendet werden, müssen sehr grundlegende Missbrauchsmöglichkeiten ausgeschlossen werden:

• Instrumente zur Überprüfung der Authentizität eines Test-Kits
• Wiederholte Nutzung eines Test-Kits an verschiedenen Tagen
• Wiederholte Nutzung eines Test-Kits durch unterschiedliche Personen

Diese Missbrauchsmöglichkeiten können nur ausgeschlossen werden, wenn die einzelnen Testkits serialisiert sind. Serialisierung bedeutet, dass auf jedem einzelnen Testkit ein eindeutiger Identifikator mit beispielsweise den folgenden Informationen in Form eines maschinenlesbaren Codes (GS1 2D Data Matrix) aufgedruckt sind: Hersteller (MAH), Haltbarkeitsdatum, Charge-Nummer, eindeutige Seriennummer.

Unter der Annahme, dass Schnelltests serialisiert sind, können Schnelltestzertifikate nach der folgenden Methode ausgestellt werden:

1. Nutzer scannt die 2D Data Matrix eines einzelnen Testkits
2. Nutzer für Schnelltest erstellt mit der Corona-Warn-App ein Foto des Testergebnisses
3. Optional: Im Fall eines positiven Ergebnisses übernimmt die Corona-Warn-App die Information von betroffenen Kontakten (das geht bereits ohne Serialisierung)
4. Im Fall eines negativen Ergebnisses sendet über die Corna-Warn-App ein Foto des Schnelltestergebnisses zusammen mit den Serialisieriungs Informationen der 2D Data Matrix an einen Schnelltest-Zertifikate-Server
5. Der Schnelltest-Zertifikate-Server überprüft das Ergebnis und registriert, dass für ein individuelles Testkit (sGTINs) ein Schnelltest durchgeführt wurde.
6. Der Schnelltest-Zertifikate-Server stellt dann dem Nutzer ein Schnelltestpass-Zertifikat aus.
7. Pro Test-Kit ist nur eine Anfrage zulässig. Wird eine Anfrage für denselben serialisierten Schnelltest mehrfach angefordert (z.B. an verschiedenen Tagen oder Orten), wird kein erneutes Zertifikat ausgestellt.

Der Prozess kann verfeinert werden, wenn ein Authentizitäts-Check des Testkits eingebaut wird. Dazu gibt es verschiedene technische Umsetzungsvarianten, die für spätere Phasen anzudenken sind.

Allerdings sind die Schnelltests nicht serialisiert, sodass dieses Verfahren aufgrund der oben beschriebenen Manipulationsmöglichkeiten nicht angewendet werden kann. Eine Serialisierung der Schnelltests könnte frühestens in drei bis sechs Monaten zur Verfügung stehen.

Annahmen für flächendeckenden Massen-Roll-Out (1 Mio. Testpässe pro Tag)

Für einen flächendeckende Roll-out legen wir die folgeden Annahmen zu Grunde:

1. Geltungsdauer: Testpass-Credentials gelten für die Dauer von wenigen Stunden (z.B. 24 Sunden). Aufgrund der eingeschränkten Zeitdauer sind auch die Missbrauchsmöglichkeiten eingeschränkt.
2. Authentifizierung der Testperson bei App-Nutzung: Es wird keine Authentifizierung der Nutzer (KYC) durch die App in der die Zertifikate gespeichert werden durchgeführt. Der Verzicht auf KYC hat praktische und datenschutzrechtliche Gründe. Testpassausstellung ist anonym und deutlich schneller, da keine personenbezogenen Daten erfasst und überprüft werden müssen.
3. Personalisierung: Auf eine Personalisierung der Testpass-Credentials wird verzichtet. Für den Alltagsgebrauch müssen Testpass-Credentials schnell und einfach zu verifizieren sein. Daher wird auf eine Kombination der Authentifizierung eines Nutzers über einen Personalausweis bei einer Einlasskontrolle verzichtet. Damit werden die Prozesse bei der Ausstellung des Testpass-Credentials und deren Verifizierung beschleunigt.
4. Anonymität: Anonyme Testpassausstellung. Aufgrund des Verzichts auf Authentifizierung und Personalisierung ist die Anonymität der Nutzer gewährleitet.
5. Optional: Natürlich können Testpass-Credentials personalisiert werden. Dies kann beispielsweise mit der Integration in bestehende SW-Lösungen für Patiententerminplanung erfolgen.

Personalisierung

Technisch stellt die Personalisierung der Testpass-Credentials kein Problem dar. Es ist denkbar verschiedene Optionen der Personalisierung in differenzierten Ansätzen umzusetzen:

1. Schnelltests unter Aufsicht (Testkioske) werden nicht personalisiert. Diese Zertifikate könnten ausreichen, um Zutritt zu diversen Bereichen im gesellschaftlichen Alltag zu ermöglichen (z.B. Zutritt zu Einzelhandel, Restaurants, Kulturveranstaltungen, etc.).
2. HCP-Schnelltests (Testzentren, Ärzte oder Apotheker) werden personalisiert, um bspw. Flugreisen zu ermöglichen. Personalisierte Credentials erfordern dann das Vorzeigen eines Personalausweises als zusätzlichen Faktor zur Überprüfung der Identität einer Person.
3. Weiterentwicklung der Lösung zu einem vollständigen SSI-Wallet mit Identifier und Schlüssel der Bürger (digitalisierter Personalausweis). Ein solches Wallet würde auch sogenannte KYC-Zertifikate enthalten. Diese Möglichkeit wird in dem Projekt IDunion weiter untersucht.

Die Personalisierung der Testpass-Zertifikate kann im Zusammenhang mit einer Terminplanungssoftware zur Vereinbarung der Testtermine deutlich effizienter in den Prozessen der Testcenter umgesetzt werden (siehe Böblinger Modell).

Aufgrund von Datenschutz und dem höheren Aufwand für eine flächendeckenden Roll-Out sowie bei der Verifikation gehen wir davon aus, dass die Testpass-Zertifikate für Tests unter Aufsicht nicht personalisiert werden.

Wir empfehlen zusammen mit dem RKI eine Abwägung durchzuführen, wie hoch der epidemiologische Effekt aus Manipulationsversuchen mit nicht-personalisierten Credentials eingeschätzt wird. In diese Modelle sind auch Auswirkungen der Qualitätsmerkmale der Tests wie die Anzahl von false negative und false positive Ergebnissen mit einzubeziehen. Zudem empfehlen wir, die Corona Task Forces der großen Deutschen Versicherer wie Allianz und MunichRe bei der Entwicklung von Hybrid-Risikomodellen bestehend aus Pandemie-Modellen, gesellschaftlichen wirtschaftlichen Modellen, einzubeziehen.

Mit einem vollständigen SSI-Wallet kann man eine weitgehend digitale Personalisierung erreichen. Es entstehen dann jedoch Herausforderungen bzgl. Praktikabilität, KYC-Prozessen, Datenschutz und Nutzerfreundlichkeit.

SSI-Wallet Protokolle mit Verifiable Credentials und Verifiable Presentations erfordern zudem aufwendigere Protokollprozesse. Vorteile sind eine höhere Sicherheit der Daten und Resilienz gegenüber Manipulationsversuchen. Die Herausforderungen sind grundsätzlich lösbar, erfordern jedoch eine intensivere Vorbereitung und längere Umsetzungsphase.

Unter Beachtung der Tatsache, dass es in Deutschland noch keinen digitalen Personalausweis gibt, wird ein vollständiges SSI Wallet für viele Prozesse vermutlich weiterhin mit einem physischen Personalausweis kombiniert werden müssen. Die Integration der digitalen Ausweis-App der Bundesdruckerei ist denkbar und wird in dem IDunion-Projekt untersucht. Alternativ könnten Identitäts-Authentifizierungsanbieter KYC Credentials ausstellen. Allerdings ist der KYC Markt fragmentiert und die Prozesse nicht standardisiert.

Attribute von Testzertifikaten

Wir schlagen vor, dass ein Schnelltest Verified Credential die folgenden Attribute beinhaltet:

• Unique Identifier des Schnelltest-Zertifikates
• Datum und Uhrzeit der Ausstellung
• Datum und Uhrzeit der Gültigkeit
• Identität in Form eines dezentralen Identifiers (DID) des Test-Centers
• Optional: Name der aufsehenden Person
• Optional: Schnelltestprodukt und sGTIN
• Aussage über negatives oder positives Testergebnis
• Signatur des Zertifikates (ausgestellt mit private key der Test-Center-Identität)

Lösungen, wie diese in elektronisch verifizierbaren Zertifikate in From eines QR-Codes integriert werden können, wurden bereits entwickelt.

Spherity App

Spherity hat gemäß der oben skizzierten Anforderungen eine Infrastruktur und App entwickelt, die sehr schnell und sicher mit bestehenden Infrastrukturen von Testzentren und Verifiern wie zum Beispiel Gastronomen, Einzelhändlern und Eventveranstaltern integriert werden kann.

Je nach Vorgaben des Bundesministeriums für Gesundheit (BMG) können Testpass-Credentials personalisiert oder nicht personalisiert sein. Analog zur Luca App oder der Datenspende der CWA können personenbezogene Daten wahlweise erfasst werden. Deswegen streben wir hier an, Partnerschaften mit anderen App-Entwicklern umzusetzen, um gemeinsam schnell kritische Masse bekommen.

Über unsere APIs ist eine Integration mir SORMAS und den Gesundheitsämter für die Kontaktverfolgung sehr einfach möglich. Auch hierzu streben wir weitere Kooperationen mit anderen Unternehmen an.

Zudem unterstützt unsere Lösung auch die Verifier, einen Audit Trail über Einlasskontrolle voll automatisch zu erstellen. Damit können sie sich gegenüber Haftungsansprüchen bei einem Vorwurf von unsachgemäßen Einlasskontrollen absichern.

Als weiteres Feature werden anonymisierte Test-Ergebnisse nach Regionen erfasst. Damit bekommt das BMG in Echtzeit sehr viele wichtige Informationen über die lokale Entwicklung des Infektionsgeschehens in Deutschland.

Spherity Trust Infrastruktur und “COVID Antigen-Schnelltests Credential App”. Quelle: Spherity GmbH.

Wir erwarten, dass diese Credentials auch grenzübergreifend zum Einsatz kommen. Dafür ist die Anwendung von W3C Standards für verifiable Credentials und eines standardisiertes Vokabulars für die Attribute erforderlich. Diese Standards unterstützt die Spherity Lösung “out-of-the-box”.

Echtzeit Reporting: Coronavirus SARS-CoV-2 — National Response Dashboard

Wir schlagen vor, Test- und Impfzertifikate über eine einheitliche Infrastruktur auszustellen. Mit dieser Infrastruktur können im Einklang mit der CWA für beide Anwendungsfälle sowohl dezentrale Architekturprinzipien umgesetzt als auch eine bundesweite Reporting-Infrastruktur aufgesetzt werden.

Ein Coronavirus SARS-CoV-2 — National Response Dashboard könnte den Fortschritt wie folgt visualisieren und mit Indikatoren über die erreichte Herdenimmunität verknüpfen (Status der Einfärbung der Landkreise ist zufällig gewählt).

Coronavirus SARS-CoV-2 — National Response Dashboard. Quelle: Spherity GmbH

Das Dashboard wird eine zusätzliches Drill-Down-Funktionalität erhalten, mit der weitere Daten auf Landkreisebene bereit gestellt werden können. Mit dieser Transparenz können Entscheidungsträger sehr zielgerichtet auf die jeweilige Situation vor Ort maßgeschneiderte Impf- und Testkampagnen durchführen. Zudem enthält die Datenbasis auch die Anzahl positiver Antigentests. Damit trägt sie zur genaueren Aufklärung der Dunkelziffer von Corona Infektionen bei.

Eine solche Infrastruktur wäre zudem eine hochwertige Erweiterung der RKI-Datenbasis zur Ermittlung der erreichten Herdenimmunität nach Landkreisen.

Daten, die für das Reporting verarbeitet werden, werden völlig anonymisiert sein, sodass hier keine personenbezogenen Daten verarbeitet werden. Aufgrund der Homogenität der Infrastruktur, hätten RKI,, BMG und Bundeskanzleramt mit diesem Instrument auf Knopfdruck sehr gute Transparenz über die Fortschritte der Impfkampagne und Umfang von Antigentest. Dazu sollte auch das Impfmonitoring der Bundesdruckerei in eine gemeinsame Reporting-Infrastruktur integriert werden.

Mit dieser Reporting-Infrastruktur werden politische Entscheidungsträger und Behörden mit einer signifikant besseren Datenbasis für ihre Entscheidungen auf nationaler und lokaler Ebene versorgt.

Haftung und Compliance Monitoring

Es ist davon auszugehen, dass Unternehmen und Veranstalter im Falle eines Super Spreader Events haftbar gemacht werden, wenn sie keine korrekten Einlasskontrollen durchgeführt haben.

Die Spherity Verifier-Lösung wird daher mit einem Audit Log ausgestattet, sodass Unternehmen oder Veranstalter nachweisen können, dass sie regelkonform die Einlasskontrolle durchgeführt haben.

Dieser Audit Log soll so implementiert werden, dass keine personenbezogenen Daten gespeichert werden.

Europäische Perspective

Anforderungen der EU-Kommission

EU-Kommissionspräsidentin Ursula von der Leyen will noch in diesem Monat (März 2021) einen Gesetzentwurf für einen “digitalen grünen Pass” für Corona-Geimpfte vorlegen. “Damit werde klar, wie der europäische Impfnachweis konkret aussehen solle.””, sagte von der Leyen am Montag in einer Rede vor den CDU/CSU-Abgeordneten im Europaparlament.

“Wir wollen in den nächsten Monaten die technischen Voraussetzungen schaffen”, bekräftigte von der Leyen nach entsprechenden Absprachen beim EU-Gipfel vorige Woche. Und sie fügte hinzu: “Damit der digitale grüne Pass aber ein Erfolg wird, brauchen wir die Unterstützung aller Mitgliedsstaaten. Auch wir in Deutschland müssen die Voraussetzungen dafür schaffen.”

Beispiel eines Impfnachweis-Credentials gemäß der vom EU Health Network vorgschlagenen Attribute (Vaccination Proof Credential). Quelle: Spherity GmbH.

Der digitale europäische Impfpass soll nach den Vereinbarungen des EU-Gipfels binnen drei Monaten technisch vorbereitet werden. Ziel ist, dass Corona-Geimpfte fälschungssicher ihre Immunisierung nachweisen können. Das könnte über ein einheitlich lesbares Dokument mit QR-Code geschehen, das man auf Papier oder auf dem Smartphone bei sich tragen könnte, ähnlich wie ein Bahnticket. Dazu müssen die nationalen Systeme der 27 EU-Staaten vergleichbar ausgestaltet beziehungsweise verknüpft werden.

Umsetzung mit COVID Impf- und Testpass-Credentialing

Aus der Anforderung der EU-Kommission resultiert der Bedarf nach einer EU-weiten, Sektoren-übergreifende Impf-/Testpass Lösung. Der hier weiter detaillierte Nutzen des Impf- und Testpass-Credentialings gilt natürlich auch auf nationaler Ebene.

Sollte ein klassischer Ansatz mit zentralen Datenbanken verschiedener Issuer von Impf- und Testpässen gewählt werden, entsteht aufgrund der Kombinatorik eine große Herausforderung für die Sicherheit und Verifizierbarkeit von Daten.

Mit Kombinatorik meinen wir die Vielzahl aller möglichen potentiellen Verbindungsmöglichkeiten (n x m) zwischen Verifiern (n) in den unterschiedlichsten Wirtschaftssektoren (und EU-Ländern) und Datenbanken der Issuer (m) und das daraus resultierende großes Spaghetti- und Look-up-Problem:

• „Wie finde ich die Service-Endpunkte der Datenbanken zum Verifizieren der Zertifikate“ oder
• „Wie konsolidiere ich die verschiedenen Datenbanken in eine Datenbank, ohne dass die Daten auf diesem Weg manipuliert wurden.”
• „Wie stelle ich sicher, dass die Test-Zertifikate von einer vertrauenswürdigen Stelle ausgegeben wurden?”

Das Problem wird auf EU-Ebene nochmal um ein Vielfaches größer.

Abgesehen davon fehlen mit klassischen Technologien portable und interoperable Signaturen. Somit sind GxP, Attributability, Electronic Records/Electronic Signatures (ERES) — Code of Federal Regulations Title 21, E2E Verifiability und Auditability von Ausstellungs- und Verifizierungsevents (z.B. Einlassevents) nicht umsetzbar.

Ohne diese Eigenschaften sind Manipulationsversuche sowie ein bei einem Super Spreader Events entstehendes Haftungsinferno nicht aufklärbar. Solche Vorfälle würden dann Vertrauen in die gesamte Infrastruktur signifikant beschädigen.

Mit dem hier gemeinsam erarbeiteten dezentralen Hybridansatz können sowohl Spaghetti als auch Look-up Problem für Impf- und Testpässe gelöst werden. Zudem werden elektronische Signaturen und W3C Standards genutzt, um Authentizität und Integrität der Zertifikatsdaten zu überprüfen. Mit ERES können die Standards aus regulierten Life Sciences Systemen so auf eine sektorübergreifende Systemlösung inkl. Audit-Trails überführt werden.

Mit dem Linked Data Ansatz, findet sich ein eleganter Weg die Credential-Semantik über alle Issuer und Verifier effizient zu standardisieren. Hier sind von W3C CCG und CCI schon sehr viele Vorarbeiten geleistet worden. Es ist auch bereits untersucht worden, wie Testpass-Credentials in einem verifizierbaren QR Code codiert werden können.

Zudem denken wir, dass es daher sehr vorteilhaft ist, eine sichere und schnelle Integration und Wartung der Issuer-Module und der Verifier-Module mit einfach integrierbaren APIs und ERES, standardisierter Semantik sowie einem leicht zu etablierenden Root-of-Trust umzusetzen ist.

Die aktuelle Deutsche Integration der PCR-Labortestlösung folgt dem klassischen Ansatz. Die PCR-Labortestlösung kann mit dem vorgeschlagenen Ansatz erweitert werden, sodass sie sich nahtlos in eine Ziellösung einfügen lässt.

Aus anderen Ländern lernen

In Israel ist sind Green Pass und Immunisierungspass sind längst Realität. Auch Chine geht mit großen Schritten voran: Für Auslandsreisen sollen Chinesen bald einen digitalen Gesundheitspass dabei haben. Auslandschinesen sollen zudem geimpft werden. In der Corona-Pandemie will China Gesundheitspässe auf dem Smartphone für international reisende Staatsbürger einführen. Darin sollen die Ergebnisse von Covid-19-Tests sowie Impfungen festgehalten werden.

Ausblick

Die Deutsche Corona-Warn-App ist eine sehr gute und solide Lösung. Aktuell wird bei der Corona-Warn-App an der Möglichkeit gearbeitet mit einer Datenspende selber zu einer effizienter Fallverfolgung beitragen zu können. Die zusätzliche Erweiterung der App um Impfnachweis- und Testpasszertifikate in Form von verifiable Credentials wäre eine exzellente Lösung, mit der weitere Lockerungsmaßnahnen flankiert werden können.

Wir gehen davon aus, dass eine solche Infrastruktur innerhalb von drei Monaten zum Einsatz kommen kann.

Im zweiten Teil unserer Serie zu Credentialing werden wir beschreiben, dafür notwendige technische Infrastruktur aufzubauen, Datenstrukturen (Schema) zu designen und dies alles sehr effizient flächendeckend ausgerollt werden kann. In Auszügen werden wir dann auf unsere Arbeiten zum Thread Modelling und zum Functional Risk Assessment eingehen.

Bei Fragen oder Interesse zu der hier beschriebenen Credentialing-Lösung kontaktieren sie bitte info@spherity.com.

Über Spherity GmbH: Spherity ist spezialisiert auf Compliance und Credentialing Lösungen in den Bereichen Health & Life Sciences. Aktuell bringt Spherity ihre Technologie gerade als eine Industrieweite Lösung zur Erfüllung von Anforderungen aus dem US Drug Supply Chain Security Act in Nordamerika in Produktion.