Handy - Navigation FAQ zu 2G- und 3G-Coronaregeln: So werden Zertifikate richtig geprüft

Beim derzeitigen stark exponentiellen Wachstum der Corona-Infektionen gewinnt die Zugangskontrolle zu Gaststätte, Hotel, Event und anderem an Bedeutung. Die einfachste und sicherste Möglichkeit dafür ist die Prüfung von digitalen Zertifikaten zu Impfungen und Tests, die unter anderem in der Corona-Warn-App gespeichert werden können.

Check in 20 Sekunden​

Der vollständige und dauert keine 20 Sekunden – aber nur, wenn Gäste und Gastgeber ihn auch kennen und genau befolgen.

Für Gastgeber, die bereits so verfahren, hier vorab der Hinweis: Es hat sich nichts geändert. Zertifikat mit CovPassCheck scannen, Daten mit Ausweis vergleichen – fertig. Nach unseren stichprobenartigen Erfahrungen in Bayern, Rheinland-Pfalz, Niedersachsen und Österreich wird das Verfahren aber nur selten vollständig angewandt. An vielen Türen reicht das Vorzeigen irgendeines QR-Codes, manchmal wird noch auf dem fremden Smartphone herumgetippt, um den Anschein einer Prüfung auf das Vorhandensein einer App und nicht etwa eines Screenshots zu erwecken. Das ist völlig nutzlos, denn ein Abgleich der Daten mit der Identität der Person findet so nicht statt. Dabei entsteht auch kein Problem des Datenschutzes.

Denn die Apps sind anders konzipiert: CovPass, Corona-Warn-App und andere internationale Varianten speichern die Zertifikate, CovPassCheck liest sie offline aus. Es ist in der Verantwortung des Gastgebers, diese ausgelesenen Informationen dann mit einem amtlichen Ausweis zu vergleichen, denn nur der ist ein Identitätsnachweis. Diese Verwirrung ist recht verständlich: In München beispielsweise erreichte die Verordnung zu einer 3G-Regel für Clubs die Veranstalter erst einen Tag vor Öffnung ihrer Lokale Mitte Oktober. Und zwar ohne jede konkrete Anweisung, wie digitale Zertifikate zu prüfen sind. Zudem war noch von "stichprobenartigen" Kontrollen die Rede. Das reicht aber inzwischen nicht mehr aus, vor allem, weil in Bayern für Clubs nun 2G gilt. Die jeweiligen Regeln legen Bundesländer und Kommunen fest, bundeseinheitliche Vorschriften gibt es derzeit nicht.
Wir empfehlen Gästen, , und Gastgeber die CovPassCheck-App. Beide Apps sind für iOS im App Store und für Android in Google Play zu finden und kostenlos. Die CWA hat gegenüber anderen Tools wie CovPass (ohne Check) den Vorteil, dass es auch noch eine Abstandsmessung gibt, sie bietet also Zusatznutzen, wenn Infizierte ihre anonym gespeicherten Kontakte später warnen. Zusätzlich sollten alle Besucher ein Ausweisdokument bereithalten. Gute Veranstalter informieren ihre Gäste vorab über ihre Webseiten und Social-Media-Kanäle. Gastgeber bzw. Einlasskontrolle benötigen CovPassCheck auf einem gut aufgeladenen Smartphone.

Der Ablauf des Checks ist dann sehr einfach:

1. Gast zeigt den QR-Code seines Zertifikats in der Corona-Warn-App.

2. Gastgeber scannt mit CovPassCheck diesen QR-Code. Er sieht nun Name und Geburtsdatum des Inhabers des Zertifikats auf seinem Smartphone. Und vor allem: Er sieht, ob es sich um ein gültiges Zertifikat handelt.

3. Gastgeber lässt sich den Ausweis des Gastes zeigen und vergleicht die Daten mit denen, die CovPassCheck auf dem eigenen Smartphone anzeigt.

4. Optional kann der Gastgeber auch einen sogenannten Sanity-Check durchführen, etwa wie: "In welchem Jahr sind Sie denn noch mal geboren?" Erfolgt nicht eine spontane Antwort, kann das zum Beispiel von Familienangehörigen geborgte Smartphones und Ausweise aufdecken.
Wir haben das mehrfach auch mit Personen ausprobiert, die CovPassCheck bisher nicht kannten. Wenn man das Verfahren auch nur einmal in der Praxis durchgespielt hat, wird es sofort verstanden. Als wichtig hat sich dabei die praktische Vorführung erwiesen – das Vormachen baut Berührungsängste mit dem Prozess ab. Aus diesen Erfahrungen haben wir die folgende Liste mit häufigen Fragen (FAQ) erstellt:

Was ist mit dem Datenschutz?

Es gibt kein Problem mit dem Datenschutz. CovPassCheck speichert die gelesenen Zertifikate nicht, es werden nur die Daten des Zertifikats angezeigt. Wird die App geschlossen, sind sie auch aus dem Arbeitsspeicher gelöscht. Für die Informationen in der CWA oder anderen Tools ist der Gast verantwortlich. Ebenso können auch mehrere Prüfer mit verschiedenen Smartphones die QR-Codes scannen, falls die Personallage das erlaubt.

Was ist, wenn ein Smartphone offline ist?

Für den Scan muss keines der beiden Smartphones mit dem Internet verbunden sein. Eine Online-Überprüfung des Zertifikats findet nicht statt. Daher klappt das Verfahren auch im Flugmodus, der ist aber bei der CWA nicht zu empfehlen: Wenn WLAN, Bluetooth und Standorterkennung nicht eingeschaltet sind, funktioniert die Abstandsmessung zu anderen Nutzerinnen und Nutzer der App nicht mehr. Gastgeber sollten ihre Gäste ermuntern, diese Funktionen eingeschaltet zu lassen. Auf vielen Geräten geht das auch, wenn zuerst der Flugmodus – und damit Trennung vom Mobilfunknetz – eingeschaltet, und die drei Funktionen danach wieder eingeschaltet werden.

Was ist mit dem gelben Impfpass oder einem QR-Code auf Papier?

Diese stellen nach bisherigem Stand auch ein Zertifikat dar. Beispielsweise können auch die von Apotheken nach einer Corona-Impfung ausgestellten Zertifikate auf Papier von CovPassCheck gelesen werden.

Muss ich Stammgäste auch jedes Mal scannen?

Das sollte stattfinden, weil die Zertifikate ablaufen oder widerrufen werden können.

Wie läuft dabei die Kontaktnachverfolgung?

Gar nicht. Das Verfahren dient nur zur Überprüfung von Zertifikat und Identität. Wenn örtlich eine Kontaktnachverfolgung vorgeschrieben ist, sind dafür andere Mittel wie Online-Registrierungen, die Luca-App oder Papier und Stift nötig. Wir empfehlen letzteres, auch als Service für Gäste ohne Smartphones immer anzubieten – allerdings nur, wenn die Kontaktzettel unmittelbar sicher verwahrt werden und nicht offen herumliegen.

Wie sicher ist die Gültigkeit der Zertifikate, wenn kein Online-Abgleich stattfindet?

Wir würden sagen: Immer noch sicherer als ein Blick auf einen möglicherweise mit allen Einträgen gekaufter und vollständig gefälschter Impfpass. Zwar gibt es auch gefälschte digitale Zertifikate, aber keine Methode zur Erzeugung von Sicherheit ist perfekt.

Was mache ich, wenn ein Zertifikat ungültig ist oder nicht zum Ausweis passt?

Bei strikten 3G- oder 2G-Regeln gilt es dann entsprechend örtlicher Verordnungen, den Gast nicht einzulassen. Dabei ist etwas soziales Geschick nötig. Erfahrene Gastgeber, die ihre Gäste und deren Reaktionen kennen, sollten ihr Personal entsprechend schulen.

Wie kann man das noch sicherer gestalten?

Wenn das Verfahren wie beschrieben berührungslos sein soll, kann man Gäste bitten, sichtbar die CWA selbst zu öffnen, und dann das Zertifikat aufzurufen. Das schützt immer noch nicht vor Fake-Apps, ist aber ein weiterer Schritt. Wir empfehlen, Gäste vorab darüber zu informieren, dass sie CWA und Ausweis bereithalten.

Ist das nicht viel zu umständlich?

Probieren Sie es aus – 20 Sekunden sollte eine gemeinsame Pandemiebekämpfung schon wert sein. Zumal sie gegebenenfalls örtlich vorgeschrieben ist. Zudem ist es bei vielen Lokalen ohnehin Gesetz, sich Ausweise zeigen zu lassen – aus Gründen des Jugendschutzes.
Quelle: heise