The initial situation: Special situations require pragmatic solutions

The Corona pandemic is a challenge. The government's goal is to contain the incidence of infection and a return to normal coexistence. One component of pandemic management is 3G evidence. (From the German “genesen, getestet oder geimpft” which means “recovered, tested or vaccinated”). While vaccination and test certificates had already been digitized, recovered persons had to get a certificate from their doctor or pharmacy. The City of Cologne took the pioneering role here and chose a fast and pragmatic way to close this gap. The mission was to develop the first digital recovery certificate in Germany.

Due to the initial situation, the authority has decided to work with start-ups. Increased digitization enables faster and more efficient work in pandemic management. Nevertheless, the focus must always meet the highest standards for official applications. The City of Cologne commissioned SIDESTREAM to develop the application. Because on the one hand we are an agile start-up, and on the other hand we stand for high quality. Especially when it comes to health data, quality is even more important than speed.

The requirements: Data security is the priority

Denn trotz der akuten Situation und der Suche nach einer schnellen und pragmatischen Lösung durften keine Abstriche in puncto Sicherheit gemacht werden. Sensible Gesundheitsdaten müssen in digitalen Umgebungen geschützt sein. Datensicherheit ist ein zentraler Aspekt hinsichtlich OZG-Umsetzungen. Gleichzeitig ist es der Stadt Köln wichtig, die Anwendung nutzerfreundlich und unbürokratisch zu gestalten.
‍
Neben diesen Aspekten gab es folgende Anforderungen an die Anwendung:

• Für weniger digital-affine Kölner:innen sollte es die Möglichkeit zum Ausdrucken des Nachweises geben.
• Die Anwendung musste aus Nutzerperspektive kompatibel mit bestehenden digitalen Maßnahmen der Pandemiebekämpfung wie der Corona-Warn-App und der CovPass App sein.
• Auch im Backend sollte die Anwendung mit bestehenden Strukturen wie der digitalen Kontaktverfolgung (DiKoMa) kompatibel sein.
• Die Beweiskraft und Fälschungssicherheit sollte den Standards des digitalen Impfnachweises entsprechen und soll mit der sog. DCC-Konformität auch europaweit Gültigkeit haben.

Auch technisch gibt es einige Anforderungen an ein digitales Genesenen-Zertifikat. Die Anwendung muss gleichermaßen datensparsam und sicher sein. Außerdem soll diese auf der lokalen Infrastruktur der Stadt Köln laufen. Bei der Entwicklung ist es wichtig, viele Stakeholder (Projektmanagement Stadt Köln, Gesundheitsamt, Presseamt, IT-Administratoren, BMG und deren Berater, Ubirch und Railslove) zu berücksichtigen und gleichzeitig agil zu bleiben. SIDESTREAM wurde als geeigneter Partner ausgewählt, um diese hohen Anforderungen auf einem qualitativ hohen Niveau umzusetzen.

The solution: Close collaboration and pragmatic implementation

The development of the GovTech application was therefore done in close coordination with the City of Cologne. Thus, we developed an innovative and qualitative application for the digitization of recovery certificates with the highest data security standards.

‍

Technology Deep Dive: The recovered certificate combines data economy and security

Wie der Ansatz der Stadt Köln ist auch die Anwendung pragmatisch konzipiert. Der Kern des Zertifikats ist durch verschiedene Komponenten umgesetzt:

• Frontend: führt den End-Nutzer durch die Genesenen-Zertifikatserstellung
• Backend: verarbeitet eingegebene Benutzerdaten und generiert darauf basierend Genesenen-Zertifikate
• Reverse Proxy: Verteilung von Anfragen auf das Backend und Frontend
• Datenbank: Verhindern von Mehrfachgenerierungen in der offiziellen digitalen Zertifikats-Schnittstelle

Die Anwendung wurde dabei vollständig auf der Infrastruktur der Stadt Köln aufgebaut. Sie wurde so strukturiert, dass möglichst wenig nutzerbezogene Daten gespeichert werden müssen. Das Genesenen-Zertifikat selbst speichert weder Nachnamen noch Geburtsdatum. Stattdessen fragt sie bei jeder Anfrage die DiKoMa-API der Stadt Köln an, um die eingegebene Datenkombination zu verifizieren. Bei erfolgreicher Zertifikatserstellung wird sichergestellt, dass es nicht zu Mehrfachausgaben des Zertifikates kommt.

Conclusion

The “OZG” (Online Access Act) aims to make processes more efficient and accessible. For start-ups, it is also a driving force to introduce innovative ideas into administrative processes. The recovery certificate shows that new applications can be implemented at a high level in cooperation with public authorities in an agile and secure manner. The certificate meets the security standards for government software implementations while having an intuitive user experience. At the same time, it is data-saving and runs stably on the local infrastructure of the City of Cologne. Especially in crisis situations, stable applications are crucial.