In Teufels Küche

Alex Bauer hat wohl niemals existiert. Jedenfalls ist er kein Facharzt für Allgemeine Medizin und im 5. Wiener Gemeindebezirk liegt seine Praxis ebenso wenig. Hier in der Schönbrunnerstraße 108 residiert ein Urologe, geimpft hat er noch niemanden. Es wäre ohnehin die falsche Türnummer. Dr. med. Alex Bauer sollte eigentlich im Top 3 praktizieren. Hier wohnt aber niemand, das Gebäude ist überwiegend ein Bürokomplex. Dr. Bauer ist die Erfindung eines Impfpass-Fälschers.

Mit einmal googeln und anschließendem Lokalaugenschein lässt sich das recherchieren. Bei Impfpasskontrollen durch Polizeibeamte hingegen würde der Nachweis, ausgestellt vom vermeintlichen Dr. Bauer, wohl durchgehen. Schwarze Stempel auf gelbem Papier bestätigen hier einen doppelten Impfschutz. Die beiden Aufkleber von Biontech Pfizer sehen nicht anders aus als die auf echten Impfpässen. Trotzdem sind Stempel und Aufkleber Imitate.

Gelbe Impfpässe wie dieser sind so einfach und billig zu imitieren, dass sie Verkäufer auf Telegram auch als Preis bei Gewinnspielen anbieten. Immer mehr Menschen suchen auf der Chat-Plattform nach gefälschten Nachweisen und umgehen so die Schutzmaßnahmen gegen Covid-19 – meist problemlos. Ein durchschnittlich gut gefälschter Nachweis fällt kaum auf. 1.100 falsche Covid-Dokumente wurden bisher beschlagnahmt, die Dunkelziffer ist deutlich höher. Große Erfolge gegen Fälscher kann die Polizei noch nicht vorweisen, denn für das Bundeskriminalamt sei das Phänomen neu, sagt Markus Angerer, Leiter der dort gegründeten Ermittlergruppe Argus, namentlich angelehnt an das Urkundeninformationssystem des Innenministeriums.

›Der gelbe Pass ist nicht fälschungssicher‹, sagt Angerer, ›als man ihn erstmals ausgegeben hat, konnte wohl niemand ahnen, dass Kontrollen notwendig sein werden.‹ Die Rechnung für die fehlende Voraussicht zahlen nun Angerer und sein Team. Mit ihm koordinieren sechs Beamte die bundesweiten Bemühungen gegen Impfpassfälscher und -Käufer. Ab Februar könnte eine siebente Person Argus unterstützen. Zusätzlich arbeitet die Gruppe mit Handelsplattformen für Krypto-Währungen zusammen, um auffällige Konten zu melden. Für Ermittlungen können sie auf die Landeskriminalämter und alle polizeilichen Instanzen abwärts zurückgreifen. Diese Unterstützung ist nötig, denn die Verkäufer agieren in einem Kosmos, der stellenweise absurd anmutet und nur Schritt für Schritt überschaubar wird.

Obwohl sie vorhaben, eine Straftat zu begehen, schreiben viele Käufer mit Vollnamen und Profilbild in den Bestell-Foren. Von vielen sind persönliche Informationen oder Kontaktdaten nur ein paar Klicks entfernt. Sie leiten Friseursalons, arbeiten als CEOs, sind Bodybuilder oder Pilot. Interview-Anfragen ignorieren die meisten. Ein paar tun so, als ob sie von nichts wüssten. ›Von dieser Gruppe höre ich das erste Mal. Um was geht es da? Ich schaue gleich, wer mich da hinzugefügt hat‹, schreibt ein Tischler per Telegram.

Der Impfpass, den der vermeintliche Dr. Bauer ausgestellt haben soll, gehört dem Tiroler Emil Hofer, der in Wirklichkeit nicht so heißt. Er ist Mitte Dreißig, geht fünfmal die Woche ins Fitnessstudio und arbeitet in einem technischen Beruf – selbst beschreibt er sich als ›sportlich und gesund‹. Hofer hat die Fälschung im Oktober letzten Jahres online bestellt und redet überraschend offen darüber. ›Ich fühle mich meiner Freiheit und Grundrechte beraubt‹, erklärt er, ›deswegen halten sich meine Skrupel sehr in Grenzen.‹ 3G hätte er akzeptiert, zur Impfung wollte er sich aber nicht nötigen lassen. Als Corona-Leugner will er nicht bezeichnet werden.

Dass er einen gefälschten Impfpass kaufen kann, erfährt Hofer über die Push-Meldungen seines Smartphones. Der Handel auf Telegram würde florieren, stand in einem dort verlinkten Artikel eines Online-Mediums geschrieben. ›Dort Anbieter zu finden, war nicht allzu schwierig‹, sagt er. Crypto Voucher, also ein Gutschein für zum Beispiel Bitcoin, im Wert von 150 Euro solle er im Gegenzug für einen Papierpass senden. Hofer überweist, der Pass ist bis heute nicht angekommen. Er ist bei seinem ersten Kauf auf einen Schwindler hereingefallen. Etwa drei Viertel der Anbieter auf Telegram betrügen ihre Käufer, schätzt das Bundeskriminalamt. Wirklich gefährlich seien die Betrüger wohl nicht.

Outet man sich als Journalist, drohen sie aber schnell einmal mit Gewalt und versuchen, Geld zu erpressen.Als Hofer nach anderen Anbietern sucht, stößt er auf die Gruppe ›Impfpässe kaufen Österreich‹. Ein gelber Impfpass kostet hier 200 Euro – zu bezahlen in Form von Crypto Voucher oder als Gutscheinkarte für den Onlinehandel. Auch ein QR-Code für 800 Euro obendrauf wird angeboten. Hofer möchte aber nur einen gelben Pass. Der reicht für den Eintritt in die Skigebiete oder auf Eislaufplätze, und darum geht es ihm.

Bei ›Impfpässe kaufen Österreich‹ können Käufer den Händler bewerten und selbst Nachrichten schreiben. Sie schicken Fotos aus dem Fitnessstudio mit den Worten ›LG ausm Fitte! Klappt super. Nur nicht unterkriegen lassen!!!!‹ oder ›Danke, hatte heute einen tollen Brief im Postkasten‹ und werben für Demos – unter anderem für eine vor dem Klinikum in Wels, bei dem Demonstranten eine der Ausfahrten für Rettungsfahrzeuge blockierten. Auch Emil Hofer wird später schreiben, dass er diese Seite nur empfehlen könne. Drei Tage nach der Bestellung trudelt der gelbe Pass ein.

Um solche Fälle zu ermitteln, gehen Angerer und seine Beamten auf digitale Streife. In Telegram-Gruppen suchen sie nach Suchbegriffen wie ›Impfen‹ oder ›Freiheit‹ und scrollen sich durch die Seiten. Sie lesen mit, recherchieren Bezüge nach Österreich. Die meisten Pässe kommen aus dem deutschsprachigen Raum, woher genau, lässt sich aber oft schwer sagen. ›Stand jetzt haben wir noch keinen großen Händler festgenommen, auch eine konkrete Gewinnspanne können wir nicht abschätzen‹, sagt Angerer. Ermittlungen würden noch laufen, die ersten Urteile gegen Verkäufer erwartet Angerer noch im ersten Halbjahr. ›Neben den Verkäufern kümmern wir uns aktuell vorwiegend um die Abnehmer.‹

Angerer sucht nach Menschen wie Emil Hofer. Anfang Jänner haben Beamte bei 24 Hausdurchsuchungen gegen 22 Beschuldigte in sieben Bundesländern gefälschte Impfpässe gefunden und beschlagnahmt. Im Bundeskriminalamt hofft man auf die abschreckende Wirkung solcher Razzien. Der Impfpasskäufer Hofer war nicht unter den Durchsuchten. Von den Razzien wusste er nichts. ›Da fürchte ich mich auch nicht‹, sagt er. Bis zu ein Jahr in Haft wegen Urkundenfälschung würden ihm für den gelben Pass drohen. Hätte er einen gefälschten QR-Code, sogar bis zu zwei.
Gültige QR-Codes kamen bis jetzt vor allem aus deutschen Apotheken nach Österreich, da dort ein gelber Papierpass zu einem QR-Code digitalisiert und in den Grünen Pass hochgeladen werden kann – außer Apotheker entdecken die Fälschung. Auch im Internet finden sich gültige QR-Codes aus Deutschland. Ein Ausweis mit dem Namen der Person, auf die der QR-Code ausgestellt wurde, reicht, um so zu einer schwer erkennbaren Impfpassfälschung zu kommen.

Ein weiterer Weg, um an gültige QR-Codes zu kommen: Jemand könnte sie widerrechtlich abfotografiert und hochgeladen oder ›durch ein menschliches oder technisches Versagen im Ausstellungssystem kreiert haben‹, sagt Otmar Lendl von der österreichischen IT-Sicherheitsstelle cert.at. Solche Leaks gab es in Polen oder Italien. Von dort stammen QR-Codes mit den Namen Micky Mouse, Sponge Bob und Adolf Hitler – alle sind mittlerweile ­ungültig.

Die Königsklasse der Impfpass-Fälschung ist eine Eintragung ins E-Impfregister, denn nur sie wird Bestand haben, wenn die Impfpflicht in Phase 3, den automatisierten Abgleich, geht. Auch hier können Eintragungen durch Leaks im System entstehen, Österreich sei davor aber sicher, erklären die ELGA GmbH und das Bundesrechenzentrum. Zwei weitere Wege gibt es: Österreicher können nach Deutschland fahren und dort einen gefälschten Impfpass mit Stichen von deutschen Ärzten erwerben. In Österreich kann sich der Käufer dann ins E-Impfregister aufnehmen lassen. Zur Kontrolle der vorgelegten Pässe und einer etwaigen Nachtragung sind Ärzte verpflichtet – einheitliche Richtlinien oder Qualitätskriterien gibt es jedoch nicht.

Und: Impfende können bestochen werden oder aus Überzeugung Impfungen eintragen, ohne die Dosis tatsächlich zu verabreichen. Das ist nachweislich in einer St. Pöltner Impfstraße und im Austria Center Vienna (ACV) geschehen. Mittlerweile wird dort häufiger kontrolliert, womit auch immer mehr versuchte Betrugsversuche auffallen. Ein bis zwei Personen pro Tag würden im ACV einen Impfpass ohne Impfung wollen, so die Sprecherin des Samariterbundes. Solche Fälle meldet der Samariterbund der Polizei. Auch in einer Tiroler Apotheke sollen eine Ärztin und ein Apotheker gefälschte Impfzertifikate ausgestellt haben. Die Beschuldigten weisen das zurück. Darüber hinaus habe das Bundeskriminalamt nur vage Hinweise auf Mediziner, die Impfungen fälschen könnten, erklärt die Behörde auf Nachfrage.

Der Autor dieses Texts täuschte in einem Telefongespräch mit einem niedergelassenen Ärzte-Ehepaar eine andere Identität vor, für die ihm die beiden Mediziner eine gefälschte Eintragung ins E-Impfregister anboten. ›Sie können vielleicht schon am Wochenende zu uns fahren und die Karte stecken, wobei sich jemand wundern könnte, warum sie dafür in dieses Bundesland kommen‹, sagte eine der beiden auf die Frage, ob ein Zertifikat ohne Impfung ausgestellt werden kann. Ihr Ehemann war zurückhaltender und wies darauf hin, dass damit alle Beteiligten ›in Teufels Küche kommen könnten‹.

DATUM hat auch ein paar Dutzend andere als Impfkritiker bekannte Ärzte telefonisch erreicht und sie um eine gefälschte Eintragung gebeten. Nur wenige Male wurde darauf hingewiesen, dass die Anfrage illegal sei. ›Sollte ich etwas wissen, gebe ich Ihnen Bescheid!‹, versicherte eine Ärztin aus Oberösterreich. Eine andere erklärte, sie höre von Patienten, dass es dieses Angebot gibt und auch in Anspruch genommen wird, wisse aber leider nicht wo. Eine Ärztin in Kärnten verneinte die Bitte um eine fälschliche Eintragung, bot jedoch an, die Impfung homöopathisch mit Globuli zu begleiten, und ein Arzt erwiderte wortwörtlich: ›Ich würde Ihnen raten, krank zu werden!‹

Ärzte, die bereit sind, Eintragungen ins E-Impfregister zu fälschen, sind allerdings nur die Spitze des Eisbergs. Ein gefälschter gelber Pass reicht in den meisten Fällen, um bei Kontrollen als geimpft zu gelten. Spricht man mit Polizisten, hört man, dass ein Leitfaden entwickelt und an die Beamten versandt wurde. Bei Kontrollen der Papierpässe würde der nur kaum nutzen. ›Wenn jemand einen gelben Impfpass vorlegt, steht in dem internen Schreiben sinngemäß drinnen, dass es fast unmöglich ist, eine Fälschung zu erkennen, und so ist es auch‹, sagt ein Beamter, der anonym bleiben möchte.
Eine Lösung wären Änderungen im Nachweissystem.

Alexander Pfeiffer forscht an der Donau-Universität Krems zu Zukunftstechnologie und hat einen simplen, aber womöglich sinnvollen Vorschlag auf den Tisch gelegt. Anstatt gelbe Impfpässe zu verwenden, schlägt er vor, die Menschen nach einer Impfung zu einer Apotheke oder zum Hausarzt zu schicken, um sich dort ein ausgedrucktes Dokument mit QR-Code zu holen. Name, Geburtsdatum und der Aufdruck ›Bitte zusätzlich Ausweis kontrollieren‹, mehr müsse nicht darauf geschrieben stehen. ›Somit würden nur Personen, welche im digitalen Impfregister eingetragen wurden, offline einen Ausweis bekommen. Man benötigt kein Smartphone, die Meta-Daten, welcher Impfstoff wann geimpft wurde, wären nicht menschenlesbar.‹

Um den Diebstahl oder Missbrauch von QR-Codes einzudämmen, schlägt Pfeiffer vor, in der Sektion von ELGA für den Grünen Pass zwei QR-Codes zu zeigen. Einer zum ›Installieren‹ des Grünen Passes auf dem Endgerät, der andere für die Kontrollen. Am Endgerät selbst wird nur noch Letzterer angezeigt und sagt aus, ob ein gültiges Zertifikat vorliegt. ›Implementiert man diese Änderungen jetzt, hat sich ein Großteil des Handels mit Impfpässen nach spätestens sechs Monaten, wenn alle neu geimpft sind, erledigt‹, sagt Pfeiffer. Es wären Maßnahmen, die Markus Angerer von der Ermittlergruppe Argus die Arbeit erleichtern würden. Denn, Impfpflicht hin oder her, sagt Angerer: ›Erst das Ende der Pandemie bedeutet das Ende der Impfpass-Fälscher.‹

Emil Hofer meint, sein gelber Pass habe einwandfrei funktioniert, seit er im Oktober in seinem Briefkasten gelandet sei. Drei Bekannte in seinem Umfeld würden ebenfalls einen gefälschten Pass verwenden. Auch sie hätten keine Probleme. Lange nutzen musste Hofer seinen Nachweis allerdings nicht. Anfang Dezember erkrankte er leicht an Corona. Mittlerweile ist er wieder auf den Beinen und kann sich mit seinem Genesenen-Bescheid frei bewegen. Für ein paar Monate muss Hofer nicht mehr an die ausstehende Impfung denken. Früher oder später wird er sich aber entscheiden müssen, ob er sich beim nächsten Mal den echten Stich holt oder doch wieder auf die Hilfe eines fiktiven Dr. Bauer zurückgreift.

Bei seinem alten Händler wird er den Booster vermutlich nicht mehr kaufen können. Am Tag nach der Razzia im Jänner ging ›Impfpässe kaufen Österreich‹ plötzlich offline. •