Das Problem mit den Codes ist, dass die sich ziemlich einfach kopieren lassen, und deshalb ohne Ausweis nix taugen. Den Ausweis kontrolliert aber keiner mit.
[...] aber wie soll man das anders machen?
Man könnte die Codes beispielsweise zeitabhängig generieren, und mit public/private-Keys versehen. Das RKI signiert einen public Key, der zugehörige private Key signiert QR-Codes mit Zeitstempel. Dann wären die von der App generierten QR-Codes nicht mehr kopierbar, beziehungsweise die Kopie wäre nur wenige Minuten gültig. Nachteil wäre, dass man die QR-Codes nicht mehr ausdrucken und mitnehmen kann.
Vorteil einer solchen Konstruktion wäre, dass dein Code nicht mehr unbemerkt kopieren kann, was wohl aktuell sehr einfach ist (Kontrolle vortäuschen, statt Kontroll-App Foto machen, fertig). Was immer noch funktioniert: Leute könnten den Code, den sie von der Apotheke erhalten, mit Anderen teilen, also in mehrere Handys importieren. Aber dann muss das zumindest absichtlich passieren und geht nicht mehr beiläufig. Macht das Problem geringfügig besser.
Wenn man das noch sicherer haben will, muss man eine komplette Zertifikats-Infrastruktur aufziehen (inkl. regelmäßiger Erneuerung und Widerruf). Ist möglich, damit handelt man sich aber viele andere Probleme ein: Komplexität, Support-Aufwand und alle Geräte müssen regelmäßig ins Internet. Und selbst dann lassen sich Zertifikate kopieren, wenn auch nicht mehr von Laien - dafür muss dann schon extra Software her.
Wirklich fälschungssicher werden die Impf-Codes dann erst, wenn eine Trusted Execution Environment genutzt wird - sowas wie Intel SGX oder Arm TrustZone. Damit könnte man Smartphone-Codes bauen, die sich nicht kopieren lassen, weil die Hardware den Key nicht mehr rausrückt. Vorausgesetzt das Smartphone hat überhaupt die nötigen Hardware-Module und das Betriebssystem gibt dir genug Zugriff darauf. Dürften also die wenigsten Handys dann unterstützen. Damit würde das Projekt dann nicht an kopierten Codes, sondern an mangelnder Verbreitung scheitern.
Die technische Umsetzung der QR-Codes wäre also schon ein wenig besser gegangen, aber perfekt lässt sich das Problem nicht lösen. Das aktuelle Sicherheitsniveau ist ungefähr vergleichbar mit dem eines gelben Impfausweises, mit dem Unterschied dass Photoshop nicht funktioniert, Farbkopierer dafür umso besser. Mit Ausweiskontrolle eine gute Sache, ohne leider für die Tonne.