Die CovPass-App wurde 2021 als offizieller digitaler Impfnachweis der Bundesrepublik Deutschland eingeführt und dient als Wallet für EU-konforme Gesundheitszertifikate. Auch wenn die akute Pandemie-Phase vorüber ist, bleibt die App für Reisen, behördliche Nachweise und als Vorbote der kommenden europäischen digitalen Gesundheitsinfrastruktur relevant. Dieser Artikel erklärt, wie CovPass technisch funktioniert, wie sicher die Daten sind und was die Zukunft digitaler Gesundheitszertifikate bringt.
Was ist das EU Digital COVID Certificate?
Das EU Digital COVID Certificate (EUDCC) ist ein EU-weit standardisiertes digitales Zertifikat, das drei Arten von Gesundheitsnachweisen umfasst:
- Impfzertifikat: Bestätigung einer vollständigen COVID-19-Impfung mit Angabe von Impfstoff, Hersteller, Impfdaten und Chargennummer
- Genesungszertifikat: Nachweis einer überstandenen COVID-19-Infektion basierend auf einem positiven PCR-Test mit Datum
- Testzertifikat: Negativer PCR- oder Antigentest mit Zeitstempel und ausstellender Stelle
Der Standard wurde von der Europäischen Kommission definiert und von allen EU-Mitgliedstaaten sowie zahlreichen Drittländern implementiert. Die technische Grundlage ist ein kryptografisch signierter QR-Code im CBOR-Format.
Zertifikat hinzufügen – So funktioniert es
Aus dem gelben Impfpass über die Apotheke
Wer seinen Impfstatus in die App übertragen möchte, benötigt zunächst einen digitalen QR-Code. Dieser wurde entweder direkt bei der Impfung ausgestellt oder kann nachträglich in jeder deutschen Apotheke kostenlos generiert werden. Dazu einfach den gelben Impfpass und einen Lichtbildausweis mitbringen – der Apotheker stellt den signierten QR-Code aus, der dann in der CovPass-App eingescannt wird.
Über Online-Portale der Bundesländer
Viele Bundesländer und Krankenkassen bieten Online-Portale an, über die Impfnachweise nach digitaler Identitätsverifikation direkt als QR-Code heruntergeladen werden können. In der App auf das „+"-Symbol tippen, Kamera auf den QR-Code richten – das Zertifikat wird sofort importiert und ausschließlich lokal auf dem Gerät gespeichert.
Kryptografische Verifikation erklärt
Das Herzstück der Sicherheit des EUDCC ist ein digitales Signaturverfahren auf Basis von ECDSA (Elliptic Curve Digital Signature Algorithm). Jedes Zertifikat enthält drei Elemente:
- Die Gesundheitsdaten (Impfstoff, Datum, Name, Geburtsdatum) – komprimiert im CBOR-Format (Concise Binary Object Representation)
- Eine digitale Signatur, erstellt mit dem privaten Schlüssel der ausstellenden Behörde (in Deutschland: Robert Koch-Institut)
- Eine Schlüsselkennung (Key Identifier), die auf das passende öffentliche Schlüsselzertifikat verweist
Die CovPass-Check-App für Kontrollierende prüft die Signatur gegen öffentliche Schlüssel, die über ein EU-zentrales Gateway bereitgestellt und lokal in der App gespeichert werden. Ist die Signatur gültig, ist das Zertifikat echt und unverändert. Eine Fälschung ohne Zugang zum privaten Schlüssel der ausstellenden Behörde ist mit heutiger Rechentechnik praktisch unmöglich.
Datenschutz: Alles lokal, keine Server-Übertragung
CovPass ist konsequent als datenschutzfreundliche App konzipiert. Die Zertifikate werden ausschließlich lokal auf dem Gerät gespeichert – es findet keinerlei Übertragung persönlicher Gesundheitsdaten an Server statt. Die App hat keine Benutzerkonten, keine Registrierung und keine Cloud-Synchronisierung.
Das Bundesministerium für Gesundheit hat den vollständigen Quellcode beider Apps (CovPass und CovPass-Check) auf GitHub veröffentlicht, sodass unabhängige Sicherheitsforscher den Code auf Schwachstellen und Hintertüren prüfen können. Mehrere externe Audits haben die Sicherheit und Datensparsamkeit bestätigt.
Bei der Vorzeige eines Zertifikats sieht der Prüfer mit der offiziellen CovPass-Check-App nur drei Informationen: Name, Geburtsdatum und ob das Zertifikat gültig ist – keine Impfstoffdetails, keine medizinische Geschichte, keine sonstigen persönlichen Daten.
CovPass vs. Corona-Warn-App im Vergleich
| Merkmal | CovPass | Corona-Warn-App (CWA) |
|---|---|---|
| Hauptzweck | Zertifikat-Wallet | Kontaktverfolgung + Zertifikate |
| Zertifikate speichern | Ja (Hauptfunktion) | Ja (Zusatzfunktion) |
| Kontaktverfolgung | Nein | Ja (via Bluetooth LE) |
| Datenschutzniveau | Sehr hoch (rein lokal) | Hoch (dezentral, kein Server-ID) |
| Bluetooth benötigt | Nein | Ja (dauerhaft aktiv) |
| Akku-Verbrauch | Minimal (keine Hintergrundaktivität) | Erhöht (BT-Scanning im Hintergrund) |
| Open Source | Ja (GitHub) | Ja (GitHub) |
Zertifikate teilen und für Familienmitglieder verwalten
In der CovPass-App können mehrere Zertifikate verschiedener Personen gespeichert werden. Eltern können so die Zertifikate ihrer Kinder in der eigenen App verwalten und beim Vorzeigen zwischen den gespeicherten Personen wechseln. Jedes Zertifikat kann außerdem als PDF exportiert oder der QR-Code direkt auf dem Bildschirm angezeigt werden. Für Personen ohne Smartphone empfiehlt sich ein ausgedruckter QR-Code als praktisches Backup.
Aktueller Status 2026 und Zukunft: EUDI Wallet
Mit dem offiziellen Ende der EU-weiten COVID-Zertifikatspflicht im Juni 2023 hat CovPass seine akuteste Nutzung verloren. Gespeicherte Zertifikate bleiben jedoch technisch gültig und können für Einreisen in einzelne Länder außerhalb der EU weiterhin relevant sein.
Die größere Bedeutung liegt in der Zukunft: Die EU hat mit der eIDAS-2-Verordnung 2024 die Grundlage für die EU Digital Identity Wallet (EUDI Wallet) geschaffen. Bis 2026 sollen alle Mitgliedstaaten eine nationale EUDI Wallet anbieten, die nicht nur Gesundheitszertifikate, sondern auch digitale Personalausweise, Führerscheine, Bildungsnachweise und Bankkontodaten sicher verwaltet. CovPass ist der technologische Vorläufer dieses Systems – die Konzepte (kryptografische Signierung, lokale Speicherung, EU-weite Interoperabilität) fließen direkt in die EUDI Wallet ein.
FAQ: Häufige Fragen zur CovPass-App
- Was passiert, wenn ich mein Smartphone verliere?
- Die Zertifikate sind ausschließlich lokal gespeichert und nicht in einer Cloud gesichert. Bei Geräteverlust müssen die QR-Codes erneut eingescannt werden. Den originalen QR-Code als PDF oder Ausdruck sicher aufzubewahren ist daher dringend empfehlenswert.
- Sind meine alten COVID-Zertifikate noch gültig?
- Technisch ja – die kryptografischen Signaturen laufen nicht ab. Ob ein Zertifikat für einen bestimmten Zweck (Einreise, Veranstaltung) akzeptiert wird, hängt von den jeweils aktuellen Anforderungen des jeweiligen Landes oder Veranstalters ab.
- Kann ich CovPass auch ohne Smartphone nutzen?
- Ja. Der QR-Code kann ausgedruckt und als Papierdokument mitgeführt werden. Die CovPass-Check-App verifiziert jeden gültigen EUDCC-QR-Code, egal ob auf dem Bildschirm oder auf Papier.
- Funktioniert CovPass auf älteren Android-Versionen?
- CovPass erfordert mindestens Android 6.0 (API-Level 23). Auf Geräten mit Android 5 oder älter ist die App nicht verfügbar. In diesem Fall empfiehlt sich der ausgedruckte QR-Code oder die Nutzung auf einem neueren Leihgerät als Alternative.