Erstmeldung vom 10. Juli 2020: Berlin - Lange hat's gedauert, jetzt ist sie endlich da: die Corona-Warn-App. Sie soll dabei helfen, Infektionsketten in Zuge der Corona-Pandemie* rechtzeitig zu erkennen und zu durchbrechen. Eigentlich hätte die App schon im April auf den Markt kommen sollen. Doch technische Probleme, Kompetenzgerangel und viele Diskussionen zum Thema Datenschutz später ist es nun Juni.
Damit stellt sich die Frage: Warum hat es so lange gedauert?
Ursprünglich hatte sich Bundesgesundheitsminister Jens Spahn (CDU) an Apps orientiert, die mit Hilfe von Geo-Informationen (GPS oder Mobilfunkzelle) tracken, wo sich Corona-Infizierte aufgehalten haben und wen sie dabei getroffen haben. Das Problem: Das Verfahren ist zu ungenau und verletzt Datenschutzprinzipien.
So fiel die Wahl im Anschluss auf die Bluetooth-Technik. Das Präzisionsproblem war gelöst, doch der Streit um die beste Speichermethode begann erst. Sollte die App zentral auf einem Server oder dezentral auf den Smartphones selbst gespeichert werden? Kurioserweise wurde das Problem von Apple und Google entschieden, die für die Nutzung von dringend benötigten Programmschnittstellen nur eine dezentrale Speicherung der Kontaktdaten erlauben.
Zudem veröffentlichte die Bundesregierung den Quellcode der App, um Feedback einzuholen und den Code beständig nachzubessern. Datenschützer und IT-Experten sind sich einig, dass sich der Zeitaufwand gelohnt hat.
Wer sich die App auf sein Smartphone holen möchte, braucht dafür nur einen Blick in die App-Stores von Google und Apple zu werfen. Die Corona-Warn-App steht dort zum Download bereit. Das Herunterladen ist für alle Bürger freiwillig, wird aber von der Regierung empfohlen. Hier können Sie die App herunterladen:
Aber Vorsicht beim Download: Insbesondere Apple-Nutzerinnen und -Nutzer sollten bei der Installation der App aufpassen. Denn wer über die Suchfunktion im App Store nach der Corona-Warn-App sucht, bekommt als automatischen ersten Vorschlag zunächst „Coronavirus App“ vorgeschlagen. Sucht man nach diesem Begriff, kommt man nicht zur neuen Corona-Warn-App des Robert-Koch-Instituts (RKI), sondern nur zu einer App mit dem Namen „COVID-19“.
Daher sollten Nutzer nach „Corona Warn App“ suchen. So kommen Sie direkt zur richtigen App.
Bevor die App heruntergeladen wird, sollte man überprüfen, ob die Systemvoraussetzungen erfüllt sind. So muss beim iPhone etwa das aktuelle Betriebssystem iOS 13.5 installiert sein. Diese Bedingung gilt für die Modelle ab dem iPhone 6s oder dem iPhone SE. Wer noch ein iPhone 5, 5s oder 6 hat, kann die App nicht nutzen. Welche iPhones das Betriebssystem iOS 13.5 installieren können, finden Sie in unserer Übersicht:
Modell | Update auf iOS 13.5 möglich |
---|---|
iPhone SE (2020) | Ja |
iPhone 11 Pro | Ja |
iPhone 11 Pro Max | Ja |
iPhone 11 | Ja |
iPhone XS | Ja |
iPhone XS Max | Ja |
iPhone XR | Ja |
iPhone X | Ja |
iPhone 8 | Ja |
iPhone 8 Plus | Ja |
iPhone 7 | Ja |
iPhone 7 Plus | Ja |
iPhone 6S | Ja |
iPhone 6S Plus | Ja |
iPhone SE | Ja |
iPhone 6 Plus | Nein |
iPhone 6 | Nein |
iPhone 5S | Nein |
iPhone 5C | Nein |
iPhone 5 | Nein |
iPhone 4S | Nein |
iPhone 4 | Nein |
iPhone 3GS | Nein |
iPhone 3G | Nein |
iPhone | Nein |
Bei Android-Smartphones wird die Sache noch komplizierter. Hier ist Android 6 und die Unterstützung von Bluetooth LE Mindestvoraussetzung. Zudem müssen aber auch die Google Play Services laufen, weil der Konzern die Schnittstellen nicht über Android selbst zu Verfügung stellt, sondern über diese Google-Dienste. Das gilt zum Beispiel für die neuen Modelle der Marke Huawei wie das Mate 30 oder das P40 Pro. Allerdings kündigte Huawei Deutschland an, dieses Problem beheben zu wollen.
Die gute Nachricht: Die Corona-Warn-App des RKI ist für Anwender komplett kostenlos. Die Entwicklerfirmen SAP und Deutsche Telekom erhalten 20 Millionen Euro für die Programmierung der App und das Management des Open-Source-Beteiligungsprozesses.
Hinzu kommen 2,5 Millionen bis 3,5 Millionen Euro monatlich für die laufenden Betriebskosten der Server und für zwei Hotlines.
Eines vorweg: Die Corona-Warn-App schützt die Anwender nicht vor einer Infektion mit dem Coronavirus. Sie soll stattdessen Infektionsketten frühzeitig erkennen und so dafür sorgen, dass sie unterbrochen werden können. Schließlich ist das Virus schon ansteckend, bevor überhaupt Symptome des Coronavirus* sichtbar werden.
So soll die App die Menschen per Push-Nachricht rechtzeitig warnen, wenn sie mit Infizierten in Kontakt standen. Wer diese Personen sind, bleibt anonym. Zudem soll sie dabei helfen, dass Betroffene schneller ihr Testergebnis erhalten. Damit übernimmt die App gewissermaßen die Aufgabe der Gesundheitsämter bezüglich der Kontaktverfolgung.
Das System der Corona-Warn-App funktioniert via Bluetooth. Die App zeichnet auf, wenn sich zwei Smartphones mit derselben Funktion länger als 15 Minuten und näher als zwei Meter aufgehalten haben. Dafür wird in kurzen Abständen via Bluetooth eine Identifikationsnummer in die nähere Umgebung gefunkt. Währenddessen nimmt das Smartphone aber auch die Bluetooth-Signale anderer Smartphones auf.
Halten sich Nutzer, die beide die App laufen haben, für eine bestimmte Zeit nebeneinander auf, tauschen die Smartphones ihre IDs aus. Die Kontakte werden nach 14 Tagen gelöscht und der ID-Austausch beginnt von vorne. Ist die Bluetooth-Funktion nicht immer eingeschaltet, kann die App jedoch nicht funktionieren.
Eigentlich wurde der Kurzstreckenfunk Bluetooth für Zwecke wie das Anschließen einer drahtlosen Tastatur und Computermaus an einen PC oder das Streamen von Musik vom Smartphone auf einen Lautsprecher erfunden.
Eine Aufgabe wie die Corona-Warn-App war - logischerweise - nicht angedacht. Allerdings eignet sich Bluetooth tatsächlich besser als alle anderen Techniken dazu, Entfernungen zwischen zwei Geräten zu schätzen.
Vor Veröffentlichung der App wurden bei einem technischen Audit durch TÜV-IT sämtliche Lücken geschlossen. Allerdings ist auch klar: Schwachstellen und Fehler können nie komplett ausgeschlossen werden. So betont etwa Linus Neumann, Club-Sprecher des Chaos Computer Clubs: „Entscheidend ist, wie gut sie skalieren und wie groß das Schadenpotenzial für die Nutzerinnen ist.“
Immerhin sei dank Dezentralität und Datensparsamkeit das Risiko für die Daten der Nutzer minimiert. „Im zentralisierten Ansatz würde jede potenzielle Schwachstelle schwerer wiegen.“
Dass Fehler bei der Messung via Bluetooth auftreten können, möchte aber auch Marcel Salathé, Professor für digitale Epidemiologie an der ETH Lausanne nicht gänzlich ausschließen: „Es wird mit Sicherheit auch Fehler geben, sogenannte ,false positives‘, wo die App sagt, zwei Personen sind sich nahegekommen, obwohl diese eigentlich recht weit voneinander entfernt waren, und vice versa. Man muss sich also im Klaren sein, dass auch hier eine Unschärfe bestehen wird.“
Wer positiv auf das Coronavirus getestet wurde, trägt diesen Status selbst in die App ein. Um versehentliche oder absichtliche Falschmeldungen zu verhindern, ist dies nur mit der Verifikation durch einen Code möglich. Das geschieht zum einen über einen QR-Code, den man vom Testlabor erhält. Alternativ kann man auch eine TAN eingeben, die man von einer Telefon-Hotline bekommt, da nicht alle Labore in der Lage sind, QR-Codes zu generieren.
Im weiteren Vorgehen erhalten alle betroffenen Kontakte des Infizierten einen Hinweis, dass sie sich auf das Coronavirus testen lassen sollten*.
Fehlalarme können nicht ausgeschlossen werden. Schließlich wurde die Bluetooth-Technik nicht für das Messen von Abständen entwickelt. Befindet sich zum Beispiel ein mit dem Coronavirus Infizierter hinter einer Glaswand, kann der Alarm bei entsprechenden Kontaktpersonen trotzdem ausgelöst werden, obwohl durch den „Kontakt“ keine Gefahr ausging.
Aus diesem Grund verweisen auch die Entwickler darauf, dass die App nur bis zu einem gewissen Grad helfen kann. Zum Schutz vor einer Infektion sollte man auch mit App Abstand wahren und eine Schutzmaske* tragen.
Beim Datenaustausch werden niemals die Klarinformationen der Anwender verwendet. Stattdessen generiert die App zunächst einen anonymisierten Tagesschlüssel. Aus diesem werden dann alle 15 Minuten neu temporäre IDs erzeugt. Damit ist ein direkter Rückschluss auf den Nutzer nicht möglich.
Zudem werden die IDs der Kontaktpersonen dezentral und nicht zentral gespeichert. Lediglich die Liste der anonymisierten IDs der Infizierten wird auf einem zentralen Server vorgehalten.
Auch hier gibt es natürlich keine absolute Garantie. Logisch, die Entwickler und das Bundesgesundheitsministerium sagen, dass die App sicher ist. Daten vom Smartphone sollen nicht abgegriffen werden können. Allerdings haben Experimente unter Realbedingungen durch ein Forschungsteam von drei deutschen Universitäten ergeben, dass ein externer Angreifer detaillierte Bewegungsprofile von Covid-19-Infizierten erstellen und unter Umständen die betroffenen Personen identifizieren kann.
Und als wäre das nicht schon beunruhigend genug, ist es durch sogenannte Relay-Angriffe möglich, die Kontaktverfolgung zu manipulieren und die Zuverlässigkeit des Kontaktnachverfolgungssystems zu beeinträchtigen. Andererseits: Wer in Zeiten von Instagram, Facebook und Snapchat jede Mahlzeit ins Netz stellt, braucht sich über seine Daten schon lange keine Gedanken mehr zu machen.
Auch wenn das Abgreifen von Daten durch Google oder Apple in der Theorie möglich ist, sollte man nicht davon ausgehen. Es gibt keinerlei Hinweise in diese Richtung. Weil die beiden Konzerne die Programmschnittstellen (APIs) im Gegensatz zur App selbst nicht quelloffen gemacht haben, hagelte es Kritik in diese Richtung. Der Chaos Computer Club bewertet dies als einen „Schönheitsfehler für Transparenz und Überprüfbarkeit“.
Hinzu kommt, dass Apple und Google die Mobiltelefone ohnehin vollständig kontrollieren. Daher „könnten sie sich ohnehin immer Zugriff auf alle Daten verschaffen. Als Käuferinnen sind wir daher immer davon abhängig, den Herstellern unserer Systeme vertrauen zu müssen - das ist nicht schön, aber leider bittere Realität des Duopols.“
Die Nutzung der Corona-Warn-App ist absolut freiwillig. Die Bundesregierung hat mehrfach betont, dass die Installation und Verwendung der App nicht aufgezwängt wird. Auch positive Anreize wie Steuererleichterungen oder andere Vergünstigungen hat die Koalition ausgeschlossen.
Leumann weiß auch, warum: „Ein Zwang zur Nutzung der App würde dem Vertrauen maximal schaden.“ Und: „Nach unserer Kenntnis plant das zurzeit auch niemand.“ Stattdessen fordern die Grünen und Linken, Verbraucherschützer und Organisationen wie Amnesty International, dass der Einsatz der App durch ein Gesetz geregelt wird.
Es reiche nicht aus, dass die Verwendung der App auf freiwilliger Basis fungiert. Vielmehr dürfe es auch keine Verpflichtung geben, ein Smartphone mit laufender App mit sich zu führen und bei Restaurantbesuchen, beim Einkaufen oder Veranstaltungen vorzuzeigen, so die Forderungen. Datenschützer hatten bereits darauf hingewiesen, dass niemandem der Zugang zu öffentlichen Räumen ohne App verwehrt werden darf.
Die Frage nach dem „wann erfüllt die App ihren Zweck“ steht natürlich im Raum. Laut einer Studie aus Oxford müssen sich mindestens 60 Prozent der Bevölkerung beteiligen. Dass diese Zahl wohl kaum realisierbar ist, wissen jedoch auch die Experten. So betonen die Forscher aus Oxford, dass selbst bei einer geringeren Beteiligung von einer sinkenden Zahl der Infektionen und Corona-Todesfälle auszugehen ist.
Hinzu kommt, dass sich die Rahmenbedingungen seit der Studie verändert haben, wie Regierungssprecher Steffen Seibert erklärt: „Das war eine vollkommen andere Zeit mit einem viel, viel höheren Reproduktionsfaktor.“ Klar ist aber auch: Der Nutzen der Corona-Warn-App erhöht sich mit jedem weiteren Verwender. „Deswegen hoffen wir, dass viele Menschen sich überzeugen lassen. Aber sie hat ihren Nutzen bereits weit unterhalb dieser Marke von 60 Prozent.“
Von Nico Scheck
*fr.de ist Teil des bundesweiten Ippen-Redaktionsnetzwerks