Einordung zur geplanten „Corona-Kontakt-Tracing-App“ des RKI

Es ist viel Bewegung in den Plänen, eine App zur Kontaktverfolgung in der Corona-Krise bereitzustellen. Nachdem es zunächst so aussah, als würde in Deutschland der zentrale Ansatz von PEPP-PT umgesetzt, ist nun klar: Es soll doch ein dezentraler Ansatz verfolgt werden, wie er vom Projekt DP-3T entwickelt wurde. Diesen Ansatz haben Google und Apple aufgegriffen und arbeiten derzeit daran, in ihre Smartphone-Betriebssysteme Android und iOS eine passende Schnittstelle einzubauen. Inzwischen wurde bekannt, dass T-Systems und SAP die App für Deutschland entwickeln sollen. Eine fertige App gibt es noch nicht. Insofern kann auch unsere Einordnung immer nur vorläufig sein.

Nachfolgend unsere aktualisierte Einschätzung (Stand 4. Mai 2020)

Was wir (immer noch) positiv finden

• Privacy by Design: Es wurde von Anfang an über Datenschutz nachgedacht − weil klar ist, dass die App sonst keine Akzeptanz bekäme. Ob die konkrete App dieses Datenschutz-Versprechen einlösen wird, ist allerdings noch unklar.
• Keine Funkzellenauswertung, kein GPS: Überwachungsmaßnahmen wie die Auswertung von Mobilfunkzellen (unsinnig) oder Bewegungsprofile per GPS (sehr invasiv) sollen zur Zeit nicht verfolgt werden. Es gibt aber keine Garantie dafür, dass das so bleibt, denn Scharfmacher fordern diese Funktionsweisen immer mal wieder.
• Europäisches Projekt: Die Bundesregierung und die beteiligten Firmen erklären immer wieder öffentlich, dass sie bei der Konzeption europäisch denken und keine nationale Insel-Lösung anstreben. Wie das genau ausgestaltet wird, bleibt abzuwarten.

Offene Fragen / Kritische Punkte

• Bluetooth ist eine unsichere Technik: Bluetooth permanent eingeschaltet zu haben, ist ein IT-Sicherheitsrisiko, weil die Smartphones darüber angegriffen werden können. Ob wir dieses technische Risiko eingehen wollen, muss abgewogen werden.
• Alarm-Müdigkeit: Die App könnte eine große Menge an Alarmen auslösen, die dann für alle Kontaktpersonen eine 14-tägige Quarantäne bedeuten. Wenn das mehrmals passiert, stellt sich die Frage, wie viele Menschen dann noch bereit sind, dem nachzukommen.
• Nicht anonym: Anders als vielfach behauptet, sind die Daten der Contact Tracing App nicht anonym, sondern bestenfalls pseudonym. Denn wenn sie anonym wären, wäre ein Benachrichtigung von Kontaktpersonen gar nicht möglich. Eine ausführliche Erklärung finden Sie im Gastbeitrag „Was heißt hier anonym?“ von Karin Schuler.
• Google und Apple können alles wissen: Google (Android) und Apple (iOS) wollen die Schnittstellen zur App in ihre Betriebssysteme einbauen. Es ist noch nicht abzusehen, welche Folgen diese Änderungen für den Datenschutz haben werden. Als Hersteller der beiden wichtigen Smartphone-Betriebssysteme kennen Google und Apple die Telefonnummer, den Namen der Person, die Gerätenummer des Smartphones etc. Beide Konzerne könnten theoretisch diese Informationen mit den Daten der App verknüpfen. Andererseits: Wenn wir ein Smartphone nutzen, ist es auch bisher schon so, dass wir dem Hersteller des jeweiligen Betriebssystems vertrauen müssen. Im Umgang mit sensiblen Gesundheitsdaten sollten wir uns diese Tatsache einmal mehr bewusst machen.
• Freie Betriebssysteme und Menschen ohne Smartphone außen vor? Bisher ist nicht bekannt, wie Menschen, die ein Smartphone mit einem anderen Betriebssystem haben (z.B. LineageOS) oder die gar kein Smartphone besitzen, mitmachen können, wenn sie wollen.

Unsere Forderungen

• Keine Ausweitung der Funktionalität: Die Contact Tracing-App darf nur genau das tun, wofür sie eingeführt wurde, damit eindeutig klar ist, was sie tut. Und damit sie gezielt installiert, konfiguriert und wieder gelöscht werden kann. Sie darf keine weiteren Funktionen erhalten. Wer Erforschung der Pandemie, Auswertung anderer Gesundheitsdaten oder die Meldung von Kontaktpersonen an Gesundheitsämter als Ziel hat, muss dafür eine separate App entwickeln und um Vertrauen werben.
• Einbau in andere Apps verbieten: Die Corona Contact Tracing-Funktionalität darf nicht in andere Apps (z.B. eHealth- oder Social Media-Apps) eingebaut werden.
• Nutzung ohne Google-Play-Dienste: Die App muss ohne Google-Play-Dienste funktionieren. Die sogenannten „Google Play Dienste“ sind verschiedene von Google bereitgestellte Programme, die im Hintergrund von fast jedem Android-Smartphone laufen. Dort sollen sie es anderen Apps ermöglichen, auf bestimmte Funktionen zuzugreifen – beispielsweise auf Google-Maps. Diese Dienste erlauben es Google aber auch, jederzeit Apps zu installieren oder zu entfernen. Viele Chat-Apps nutzen diese Dienste, um herauszufinden, ob neue Nachrichten für ihre User vorliegen. Das Problem an all diesen kleinen Programmen: Sie liefern Google jede Menge sensible Nutzer.innen-Daten frei Haus.
• Quelloffenheit und Reproduzierbarkeit: Die Transparenz und Überprüfbarkeit der App-Funktionen muss durch Quelloffenheit (Open Source) und Reproduzierbarkeit („reproducible builds“) gewährleistet werden.
• Zertifizierung für Datenschutz und IT-Sicherheit: Es muss eine unabhängige Prüfung und Zertifizierung der Apps − sowohl der Technik wie auch des Datenschutzes – geben, bevor sie freigegeben werden. Ebenso müssen die Änderungen in den Betriebssystemen Android und iOS geprüft werden.
• Freiwilligkeit − kein de facto Zwang: Die Nutzung einer solchen App muss freiwillig sein und bleiben. Es darf keinen de facto-Zwang zur Nutzung der App geben wie z.B. in China, wo man Verkehrsmittel, Supermärkte oder den Arbeitsplatz ohne installierte App nicht mehr betreten darf. Es muss gesetzlich verboten werden, dass z. B. Arbeitgeber, Veranstalter, Behörden, Einzelhändler oder Fluggesellschaften die App-Installation zur Bedingung machen. (Zum Hintergrund lesen Sie auch den Gastbeitrag "Was heißt hier freiwillig?" von Karin Schuler.)
• Evaluation: Es muss eine unabhängige Evaluation geben, die den epidemiologischen Nutzen prüft.
• Befristung und Löschung: Die Contact Tracing-App darf nicht zur Gewöhnung an Dauerüberwachung dienen. Ihre Nutzung muss zeitlich begrenzt werden. Nicht nur die Daten, sondern auch die App selbst müssen nach einer zeitlichen Frist rückstandsfrei vom Smartphone entfernt werden (es sei denn, der oder die Nutzer.in bestätigt aktiv, dass die App behalten werden soll). Auch die Änderungen in den Betriebssystemen Android und iOS sollten nach einer klaren Frist rückgängig gemacht werden.

Fazit

• Das kleinere Übel ist nicht gut: Nur weil die Contact Tracing-App nicht so schlimm ist wie anderswo, wo es Funkzellenauswertung, GPS-Bewegungsprofile, Auswertung von Gesundheitsdaten, Auswertung von Kreditkartendaten pipapo gibt, macht sie das noch nicht gut.
• Risiken und Nebenwirkungen: Wenn unsere oben genannten Forderungen nicht erfüllt werden, kann die Corona Contact Tracing-App eine ganze Reihe von Risiken mit sich bringen, von einer Verschlechterung der IT-Sicherheit bis zu möglicher Nebenbei-Überwachung. Und sie kann langfristige Nebenwirkungen haben, von gesellschaftlicher Diskriminierung von Menschen ohne installierte App oder ohne Smartphone bis zur Gewöhnung an Überwachung.
• Technik ist kein Allheilmittel: Bisher gibt es keinen Beweis dafür, dass eine solche App tatsächlich bei der Eindämmung der Pandemie helfen würde. Klar: Wir alle wollen wieder Freundinnen und Freunde treffen, arbeiten, Veranstaltungen besuchen und reisen und wären bereit, einiges dafür zu tun, wenn das alles wieder möglich wäre. Ein Klick, um eine App zu installieren, mag da vielen als verlockend einfache Lösung erscheinen. Aber so wird das nicht funktionieren. Hier werden unrealistische Hoffnungen geweckt.

Hier drunter finden Sie die älteren Versionen dieses Artikels dokumentiert.