Du scannst den QR Code um zu verifizieren, dass es sich dabei überhaupt um ein gültiges Zertifikat handelt.
Nicht jeder QR Code ist ein Impfzertifikat (siehe Beispiel).
Nicht jedes Zertifikat muss echt sein (wobei ich derzeit nicht damit rechne, dass jemand sowas fälscht: Lohnt nicht).
Wenn derjenige ein gültiges Zertifikat vorzeigen kann, dann ist das ein Nachweis, dass demjenigen zertiziert wurde, dass er geimpft ist. Nun weißt du aber noch nicht, dass derjenige der vor dir steht, auch derjenige ist, dem dies zertifiziert wurde und nicht eine fremde Person.
Deswegen (oder du kennst denjenigen) musst du dann auch noch bspw. den Personalausweis prüfen.
Vergleiche bspw. die Mitteilung des CCC:
Auch einfache Täuschungsszenarien wie die Verwendung des Impfausweises einer anderen Person werden unter Realbedingungen eine hohe Erfolgsaussicht haben