Covid-Zertifikat: Bund schlug missbrauchssichere Software aus

Für 600 Franken aufwärts könne man auf dem Schwarzmarkt bei einigen Ärzten und Ärztinnen in der Schweiz Covid-19-Zertifikate kaufen, so lautet das Gerücht. Und zwar ohne Impfung. «Da wird viel Missbrauch betrieben», sagt der Mitarbeiter einer kantonalen Gesundheitsdirektion, der anonym bleiben möchte. Impfzertifikate seien vergeben worden, obwohl es dafür keine Registrierung und keine Anmeldung im System gegeben habe. Das Bundesamt für Informatik und Telekommunikation (BIT) spricht von kriminellen Einzelhandlungen und sieht die Kantone in der Verantwortung. Will aber auch noch einmal über die Bücher gehen beim eigenen System. «Superuser» nennt das BIT jene, die Zertifikate ausstellen können. «Davon gibt es aber zu viele. Zu viel Personal, zu viele Ärzte haben Zugriff auf das System. Es ist fast unmöglich, nachzuvollziehen, wer in den Impf- und Testzentren welche Änderungen im System vorgenommen hat», erzählt der Informant der kantonalen Gesundheitsdirektion. Auf den letzten Drücker«Mit unserer Zertifikatslösung wäre das praktisch ausgeschlossen gewesen», sagt Christophe Gerber. Er ist der Leiter Security von Elca, der grössten privaten Schweizer IT-Gruppe, die ihren Sitz in Lausanne hat. Die IT-Firma war zusammen mit dem Unternehmen Sicpa im Rennen für eine Lösung des Covid-19-Zertifikats, missbrauchs- und fälschungssicher. Das Konsortium bekam auf den letzten Drücker aber nicht den Zuschlag. Sondern das BIT.IT-Unternehmen Elca Electro Calcul Die Firma Elca wurde 1968 von einem Ingenieurteam der ETH Lausanne unter dem Namen Electro Calcul gegründet. Damals ging es um die Steuerung von Staudammanlagen. 22 Jahre später wurde das Unternehmen in das Akronym Elca umbenannt und baut heute Server- und Sicherheitslösungen für Staaten und Firmen. Offshoring Elca war die erste Schweizer Firma mit aktiver Offshoring-Strategie und entwickelt Software in Vietnam, Mauritius und Granada. Der Grund: Gute Hochschulen, gute Ingenieure und tiefe Löhne im Vergleich zur Schweiz. «Wenn man gegenüber europäischen Unternehmen konkurrenzfähig bleiben will, muss man auch in der Lage sein, Angebote zu machen, die preislich konkurrenzfähig sind», so Elca-Chef Cédric Moret. Das gilt auch für Aufträge aus der Schweiz. Das Powerhouse für Zertifikatslösungen in der Elca-Gruppe ist die Firma Secutix. Secutix hat lückenlos zuordenbare Tickets entwickelt, vom Ticketkauf im Online-Shop bis zum Code-Check beim Eingang, basierend auf der Blockchain-Technologie. Ursprünglich wurde das Konzept einmal zur Terrorbekämpfung entwickelt, weil man ganz genau wissen wollte, wer im Stadion ist. Heutzutage wird die Weiterentwicklung von Secutix nicht nur bei Fussballweltmeisterschaften eingesetzt, sondern auch bei internationalen Tennisturnieren und Konzertveranstaltungen. Diese (Blockchain-) Technologie der Elca-Gruppe ist es auch, welche verhindert hätte, was die Kantone und den Bund jetzt plagt. Die Ticketing-Lösung wäre für das Covid-19-Zertifikat herangezogen worden. «Dort setzen wir digitale Ticketplattformen ein, die mit einem gesicherten Zugang zum System verbunden sind, ähnlich wie es für einen Covid-19-Pass erforderlich ist», sagt Moret. Angebotspartner Sicpa verfügte über ergänzende Technologien. «Also haben wir mit ihnen gesprochen und einige unserer besten Blockchain- und Sicherheitstechnologien in einem Angebot für den Staat gebündelt.» Blockchain- und ID-Technologie, welche Elca für den Bund bereits im Einsatz hat, würden die zwingende Zuordnung Aussteller/Empfänger auf kurzem Weg möglich machen. Willkürliche Eingaben mehrerer Personen würden so rasch aufgespürt und verhindert werden können, heisst es von Elca. Interne Lösung bevorzugtDas BIT hatte darauf verzichtet – jetzt holt die Kantone und Bundesämter die Vergangenheit ein. Vor einem Jahr war der öffentliche Druck so gross, dass im Eiltempo ein Zertifikat für die Bevölkerung hermusste. Elca-Chef Cédric Moret erinnert sich: «Innerhalb von zehn Tagen mussten wir eine Lösung vorlegen.» 52 Unternehmen hatten sich beworben. Die Auswahl fand schliesslich zwischen dem Angebot von Elca im Konsortium mit Sicpa und einer Lösung des BIT statt. Man entschied sich kurzerhand gegen Elca/Sicpa und für eine interne BIT-Lösung. Moret kann sich bis heute nicht erklären, warum. Denn wie sich herausstellte, benötigte das BIT für den Auftrag zusätzlich externe Unterstützung. Die Zürcher Tech-Firmen TI&M, Ubique Innovation und Creative Intelligence Society wurden mit der Entwicklung und Promotion einer Zertifikate-App beauftragt. Knapp 3,5 Millionen Franken war der Bund laut den Ausschreibungsunterlagen bereit, dafür auszugeben. Elca habe indes alle Voraussetzungen erfüllt, um eine Lösung im Nu parat zu haben. Das BIT hingegen hatte mehrere Wochen gebraucht, ein Covid-19-Zertifikat zu entwickeln. «Unsere Technologie im Bereich der Sicherheit und des Ticketing war prädestiniert, dies rasch zu ermöglichen», sagt Moret. Viel Vorarbeit geleistetImmerhin hatte Elca viel Vorarbeit in das Zertifikatsangebot gesteckt. «Eine gut funktionierende Lösung hatten wir bereits und mussten sie nicht von Grund auf neu entwickeln.» Der Bund hatte Elca und Sicpa zusammen sogar noch als das leistungsfähigste Angebot unter den externen Anbietern bezeichnet. «Normalerweise hängt es von den Umständen ab, ob wir Ansprüche erheben oder nicht.» In der Tat gebe es Fälle, in denen eine Entschädigung gefordert wird, so Moret. Allerdings: Elca ist in vielen anderen Bereichen mit dem Bund im Geschäft. Das Unternehmen arbeitet schon seit über fünfzig Jahren mit der Schweizer Regierung zusammen. «Das Zertifikat wäre nur ein kleiner zusätzlicher Teil unserer Zusammenarbeit gewesen», sagt Moret. Man habe schliesslich die Absage genommen.