Das musst du wissen
- Ein Bericht des Datenschutzbeauftragten des Bundes EDÖB bestätigt gravierende Sicherheitslücken bei Meineimpfungen.ch.
- Bezüglich der Datenintegrität bestehen Vorbehalte. Diese sei laut EDÖB gefährdet und möglicherweise nicht mehr gegeben.
- Claire-Anne Siegrist will sich vorerst nicht äussern. Sie ist aber zuversichtlich, die Daten bald zurückgeben zu können.
«Sie werden nie wieder Ihren Impfpass verlieren», sagte Professorin Claire-Anne Siegrist bei der Einführung der myViavac-App im Jahr 2011. Zehn Jahre später ist es ein Fiasko. Die Stiftung Meineimpfungen hat im August letzten Jahres ihre Liquidation bekannt gegeben. Die Personen, die ihr ihre Impfdaten anvertraut haben, wissen immer noch nicht, ob sie diese jemals zurückbekommen werden, und niemand, der mit der Angelegenheit zu tun hat, äussert sich dazu. Heidi.news hat mehrere Versuche unternommen, eine Stellungnahme zu erhalten. Ohne Erfolg.
Das Ping-Pong-Spiel der Verantwortung. Die verschiedenen Akteure von Meineimpfungen.ch sind in dieser Angelegenheit nicht sehr auskunftsfreudig.
- Die Stiftungsaufsichtsbehörde äussert sich nicht zu Einzelfällen;
- Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) sagt, er arbeite mit der Stiftung und dem Bundesamt für Gesundheit (BAG) zusammen, um eine Lösung zu finden;
- Das BAG verweist seinerseits auf die Stiftung, die nicht mehr operativ tätig ist;
- Mehr als einen Monat nach Bekanntgabe der Liquidation ist die Identität der Liquidatoren im Handelsregister immer noch nicht bekannt.
Claire-Anne Siegrist verweigert die Antwort. Die Entwicklerin der Plattform und Stiftungspräsidentin wäre geeignet, die Fragen zur Stiftung zu beantworten. Doch die Professorin am Genfer Universitätsspital weigert sich, auf den Inhalt des Falles einzugehen, und äusserte sich folgendermassen:
«Selbst wenn ich Ihre Fragen beantworten würde, selbst wenn Sie Stapel von Dokumenten durchforsten würden, wären Sie noch weit davon entfernt zu verstehen, was wirklich passiert ist – wie viele Journalisten vor Ihnen. Vielleicht erzähle ich eines Tages die ganze Geschichte, aber ich werde den Zeitpunkt und die Art und Weise wählen. Auch das ist freie Meinungsäusserung. Ich habe mich vorerst für Zurückhaltung entschlossen. Daher beantworte ich keine weiteren Fragen und gebe keine Kommentare zur Stiftung Meineimpfungen ab. Ich danke Ihnen für Ihr Verständnis.»
Die Antwort der Präsidentin der Stiftung überrascht und lässt vermuten, dass die Angelegenheit ernster ist, als sie scheint.
Einige Wochen später, nach ihrem Auftritt zur Covid-19-Impfung in der Tagesschau des welschen Fernsehens RTS, kontaktierte Heidi.news Claire-Anne Siegrist erneut. Sie weigerte sich wieder, sich zu äussern, aber ihr Ton hat sich geändert:
«Ich verstehe, dass die Nutzer sich geschädigt fühlen, auch wenn wir nie gesagt haben, dass sie keine Spuren ihrer alten Impfbücher oder ihres von Meineimpfungen ausgedruckten elektronischen Impfpasses aufbewahren sollen!!!
Ich erzähle Ihnen nicht, wie betroffen ich selbst bin – denn ich habe Ihnen bereits gesagt, dass ich den Zeitpunkt für eine Kommunikation wählen werde, und zwar mit einer Person meines Vertrauens. Dieser Zeitpunkt ist noch nicht gekommen: Die Geschichte ist noch nicht zu Ende und wir sind zuversichtlich, dass wir den Nutzern sehr bald alle Daten zurückgeben können. Ich hoffe, dass Sie, wie ich, noch etwas Geduld aufbringen können.»
Das Fehlen einer klaren Antwort lässt diejenigen, die ihre Daten Meineimpfungen.ch anvertraut haben, im Ungewissen. Menschen, die zudem nicht wissen, ob ihre gespeicherten Daten kompromittiert wurden oder nicht.
Warum dies problematisch ist. Einige Personen haben ihre Impfunterlagen verlegt und zählten auf die zentrale Datenbank des Portals, um Zugang zu ihren Impfdaten zu haben. Dies war auch das Ziel der ganzen Sache. La Tribune de Genève schrieb am 16. April 2013: «Die im Frühjahr 2011 lancierte Website, mit der Sie Ihr Impfbüchlein online erstellen können, macht Sie nicht mehr von einem physischen Dokument abhängig, das verloren gehen kann.»
In der Kommunikation über Meineimpfungen.ch und myViavac wurde in den letzten Jahren immer wieder der Komfort betont, den die Digitalisierung dieser Daten bietet. In einem Artikel vom April 2019 in der Freiburger Zeitung La Liberté erklärte der kantonale ärztliche Dienst:
«Die Daten sind geschützt und es besteht kein Risiko, diese zu verlieren.»
Auf ihrer Website veröffentlichte die Stiftung am 13. September eine Nachricht, in der sie die Nutzerinnen und Nutzer aufforderte, nicht mehr an sie zu schreiben. Für François Charlet, Spezialist für Technologie, Kriminalität und Sicherheitsrecht, ist das Vorgehen der Stiftung «skandalös».
Nach Ansicht dieses Juristen ist die Stiftung, solange sie nicht aus dem Register gestrichen wurde, gemäss Artikel 8 des Bundesgesetzes über den Datenschutz logischerweise verpflichtet, auf Anträge auf Zugang zu Daten zu antworten. Und wenn die Stiftung dies nicht tut, ist es im Prinzip Sache der Konkursverwaltungsbehörden, diesen Anträgen zu entsprechen.
Der Datenschutzbeauftragte des Bundes (EDÖB) hat in seinem im September 2021 veröffentlichten Bericht auf gravierende Sicherheitslücken der Plattform hingewiesen:
«Vorliegend bestehen bezüglich der Datenintegrität Vorbehalte. Die Stiftung kann nicht belegen, inwieweit sie in der Lage war zu beurteilen, ob die Daten nicht von Unbefugten manipuliert worden sind.
Mit anderen Worten: Der EDÖB kann nicht überprüfen, ob die Datenintegrität Risiken ausgesetzt war. Folglich geht der EDÖB davon aus, dass die Integrität der Daten gefährdet ist und möglicherweise nicht mehr gegeben ist.»
Zur Erinnerung: Claire-Anne Siegrist erklärte im März 2021 in der RTS-Radiosendung «On en Parle», die wenige Tage nach den Enthüllungen des Online-Magazins Republik über die Existenz von Sicherheitslücken ausgestrahlt wurde:
«Nach vier Tagen intensiver Ermittlungen haben wir keinen illegalen Durchbruch, keinen Verlust oder Diebstahl von Daten und keine Manipulation festgestellt.»
Die Rolle der Eidgenossenschaft und des BAG. Der Bund hat sich entschieden, ein spezifisches Modul für die Covid-19-Impfung innerhalb der Plattform Meineimpfungen.ch zu entwickeln. Bis zur Deaktivierung der Plattform am 23. März 2021 wurden die geimpften Personen gebeten, sich bereit zu erklären, Informationen über ihre Impfung an die Plattform zu übermitteln.
Darüber hinaus waren die Behörden von der Notwendigkeit eines elektronischen Impfpasses überzeugt. Die breite Anwendung in der Schweizer Bevölkerung «stellt einen Mehrwert für die öffentliche Gesundheit sowie für die Ärzteschaft dar», hielt der Bundesrat im November 2019 in einer Antwort auf eine Anfrage von Nationalrätin Bea Heim fest.
Das BAG beruft sich auf den privaten Charakter der Stiftung, um auf bestimmte Fragen nicht zu antworten. Auch wenn es sich zweifelsohne für die Entwicklung des elektronischen Impfpasses engagiert hat.
Auf Anfrage teilte das Amt die verschiedenen Beträge mit, mit denen die Stiftung in den letzten fünf Jahren subventioniert wurde: total 1,5 Millionen Franken. Das entspricht 45 Prozent der Gesamteinnahmen der Einrichtung, wie aus der Antwort des Bundesrates auf eine Anfrage von Nationalrätin Prisca Birrer-Heimo hervorgeht:
- 2016: 200 565 Franken für die Kampagne zur Förderung der Nutzung des elektronischen Impfpasses;
- 2017: 150 000 Franken für die Promotion des elektronischen Impfpasses;
- 2019: 200 000 Franken für die Fortsetzung der Kampagne zur Förderung der Nutzung des elektronischen Impfpasses durch das Gesundheitspersonal;
- 2019: 254 500 Franken für die Weiterentwicklung der Website Meineimpfungen.ch im Hinblick auf eine breitere Nutzung des elektronischen Impfpasses;
- Im Jahr 2020: 450 000 Franken für die Entwicklung der Plattform myCovidvac;
- Und schliesslich, noch im Jahr 2020, 250 000 Franken als Subvention für den elektronischen Impfpass.
Vor 2016 ausbezahlte Beträge wurden nicht mitgeteilt. Bereits 2013 wurde in Presseartikeln über die finanzielle Beteiligung des BAG an der Förderung des elektronischen Impfpasses berichtet. Die Subvention war für die Registrierung und Validierung von Impfungen für alle zwischen dem 20. und 27. April 2013 erstellten Impfpässe bestimmt. Der Betrag pro Impfpass betrug zehn Schweizer Franken.
Diente die finanzielle Unterstützung des BAG dazu, ein elektronisches Impfbüchlein zu entwickeln, ohne die üblichen Verfahren zu durchlaufen? Projekte dieser Art brauchen Jahre, bis sie das Licht der Welt erblicken, wenn sie den Bundesrat und die Bundesversammlung passieren. Der BAG-Sprecher weicht aus:
«Für Fragen zur Governance bitte ich Sie, sich direkt an die Stiftung zu wenden.»
Virginie Masserey, Leiterin der Sektion Infektionskontrolle und Impfprogramme des BAG, war von Januar bis März 2021 Mitglied des Stiftungsrates von Meineimpfungen. Sie hat dies an einer Pressekonferenz eingeräumt. Es war ein privates Engagement und sie zog sich zurück, als die Datenschutzprobleme bekannt wurden, damit die Unterscheidung zwischen den Rollen «klar ist» und um «jedes Missverständnis in dieser Hinsicht zu vermeiden». Sie nahm an keinem der Treffen teil. Das BAG erklärt daher, dass es keine Informationen zu den Sitzungen des Stiftungsrates geben kann, da es nicht vertreten war.
Das Öffentlichkeitsprizip. Unterliegt die Stiftung dem Bundesgesetz über das Öffentlichkeitsprizip der Verwaltung (BGÖ)? Ein Bürger stützte eine Reihe von Fragen auf das BGÖ. Die Antwort der Stiftung, die wir einsehen konnten, lautete: «Wir gehen davon aus, dass die Stiftung Meineimpfungen nicht unter das Öffentlichkeitsgesetz fällt. Wir sind daher nicht in der Lage, Ihre Anfrage im Sinne des BGÖ zu beantworten. Der Jurist François Charlet ist der Ansicht, dass die Position der Stiftung mit dem Artikel des BGÖ über dessen Anwendungsbereich übereinstimmt.
Offene Fragen. Neben dem Zugang zu den Daten für die Nutzerinnen und Nutzer der Dienste der Plattform stellen sich weitere Fragen zum Zweck der Stiftung:
- Hat sie Daten im Rahmen von Partnerschaften mit Pharmaunternehmen, Krankenhäusern, Forschungslabors oder sogar Apotheken bereitgestellt? Wenn ja, in welcher Form?
Viele Akteure könnten daran interessiert sein, Informationen zu diesem Thema zu sammeln, auch in anonymisierter Form. So erfahren wir vom Bundesrat, dass die Pharmaindustrie die Stiftung von 2017 bis 2020 mit 650 000 Franken finanziell unterstützt hat. In ihrer Antwort auf die Anfrage von Nationalrätin Prisca Birrer-Heimo stellt die Exekutive weiter klar:
«Die Stiftung gewährleistet, dass die Finanzierung durch Pharmaunternehmen an Bedingungen geknüpft ist, die sicherstellen, dass diese keinen Einfluss auf die Analyse der fehlenden Impfungen, kein direktes finanzielles Interesse und keinen direkten Zugang zu den Impfdaten haben.»
Aber könnten die Pharmaunternehmen – oder andere Akteure – indirekten Zugang zu diesen Informationen gehabt haben? Der EDÖB antwortete auf eine entsprechende Frage, dass sich seine Untersuchung nicht auf diesen Aspekt erstrecke.
- Welcher Art war die tatsächliche Beteiligung des BAG an diesem Projekt?
Das ist nicht bekannt. Die Antwort ist kurz und bündig:
«Das BAG unterstützt die Stiftung seit mehreren Jahren, sei es durch die Einbringung von Ideen oder durch die Gewährung von Subventionen.»
Es ist schwierig, in diesem Fiasko den Durchblick zu behalten, denn die Hauptakteure der Stiftung Meineimpfungen.ch wollen sich nicht äussern. Wie ist es zu erklären, dass es nicht möglich ist, Antworten zu erhalten, wenn die Aktivitäten der Stiftung weitgehend von den Behörden finanziert und unterstützt wurden?
Heidi.news
