Google und Apple arbeiten gemeinsam an Contact-Tracing-Software. Die Kooperation könnte bald auf den meisten Smartphones auf der Welt Apps verfügbar machen, die ihre Nutzer informieren, ob sie sich in der Nähe von möglichen Corona-Infizierten aufgehalten haben. Die außergewöhnliche Zusammenarbeit der zwei Technologiekonzerne schafft einen globalen Standard für sogenanntes Contact Tracing, der Schritt weckt jedoch Sorgen vor dem möglichen Missbrauch der Technologie.
In der Corona-Pandemie wird seit Wochen intensiv an Contact-Tracing-Apps gearbeitet. In Deutschland tüfteln etwa Wissenschaftler:innen im Umfeld des Heinrich-Hertz-Instituts seit Wochen an solcher Technologie. Das System namens Pepp-PT beruht darauf, dass das eigene Smartphone ständig über Bluetooth ausliest, welche anderen Geräte sich gerade in der Nähe aufhalten.
Startzeit ist Mitte Mai
Google und Apple kündigen eine technische Lösung für Contact Tracing über Geräte- und Betriebssystemgrenzen hinaus bis Mitte Mai an. Die Konzerne wollen bis dahin knifflige Fragen rund um Bluetooth-Ortung und Privatsphäreschutz lösen.
Zunächst soll diese Lösung für Entwickler:innen, die derzeit an offiziellen Tracing-Apps arbeiten, in Form einer Programmierschnittstelle zur Verfügung stehen. In der Ankündigung von Google und Apple heißt es, die Firmen würden solche Schnittstellen ausrollen, die „die Interoperabilität zwischen Android und iOS-Geräten für Apps von Gesundheitsbehörden ermöglichen.“ Die offiziellen Apps wären dann in den jeweiligen App-Stores verfügbar.
In den folgenden Monaten wollen die Konzerne dann Bluetooth-Tracing direkt in ihre Betriebssysteme Android und iOS integrieren. „Dies ist eine robustere Lösung als eine API und ermöglicht es mehr Menschen teilzunehmen, falls sie sich dafür entscheiden, und erlaubt Interaktion mit einem breiteren Ökosystem von Anwendungen und staatlichen Gesundheitsbehörden“, heißt es in der Mitteilung von Google.
Nicht funktionieren soll das allerdings dort, wo wie in China die Dienste und Updates von Google geblockt sind. Unklar ist auch, ob die Funktionalität auf googlefreien Android-Versionen wie LineageOS verfügbar sein wird.
Zentral oder dezentral
Zuletzt wurde heiß diskutiert, ob die Kontaktverfolgung zentralisiert oder dezentral passieren soll. Eine Gruppe von Wissenschaftler:innen um den Juristen Michael Veale und die IT-Expertin Carmela Troncoso setzt sich für die dezentrale Variante ein, die sie Decentralized Privacy-Preserving Proximity Tracing (DP-3T) nennen. Sie befürchten, dass eine zentralisierte Variante, bei der alle Informationen über Kontakte zwischen Nutzer:innen an einem Punkt zusammenlaufen, zum Missbrauch einlädt.
Sorgen vor einer zentralen Durchleuchtung aller Kontakte weckt etwa Singapur. Die dort von der Regierung verbreitete App TraceTogether soll nach offiziellen Angaben eigentlich keine Standortdaten sammeln. Doch genau das tut die App nach Maßgabe von französischen Sicherheitsforschern. Der Chaos Computer Club (CCC) und Reporter ohne Grenzen haben darum Mindestanforderungen für die Transparenz von Kontaktverfolgungsapps vorgelegt.
Der Schritt von Apple und Google bedeute eine klare Entscheidung für einen dezentralisierten Standard, sagte der Jurist Veale aus der Gruppe von Befürwortern des dezentralen Systems. Zentralisierte Lösungen würden nun nicht mehr funktionieren, argumentiert er. Die Schnittstelle von Google und Apple erlaube es nicht, die Liste der Kontakte in der App zu speichern. Folglich könnten sie auch nicht auf einen zentralen Server hochgeladen werden, um auf diesem Weg Kontaktpersonen zu benachrichtigen.
Andere Stimmen bemängeln wiederum, dass die dezentrale Variante Informationen über Infizierte in alle Richtungen schicken lasse, statt sie an einer – hoffentlich vertrauenswürdigen Stelle – zu bündeln. Diese wären zwar verschlüsselt, lassen sich aber mit einigem Aufwand wieder einer Person zuordnen. Der IT-Unternehmer Chris Boos argumentierte deshalb, dass es in der Deutschland rechtlich gar nicht möglich sei, solche sensiblen Gesundheitsdaten öffentlich zu teilen. Laut Datenschutzgrundverordnung bräuchte man dafür die Zustimmung der Nutzer:innen – das gilt für die gesamte EU. Die Frage ist allerdings, ob solche Daten überhaupt als persönliche Daten betrachtet werden sollen, argumentiert Veale.
Tracing ersetzt kein Testing
Die Ankündigung von Google und Apple sorgt an einigen Stellen für Skepsis und Kritik. Selbst US-Präsident Donald Trump äußerte Bedenken. „Es ist sehr interessant, aber eine Menge Leute haben Sorgen wegen der persönlichen Freiheit. Wir werden uns das sehr genau ansehen“, sagte Trump vor Journalist:innen.
Noch ist unklar, wie europäische Staaten die Ankündigung sehen. Die EU-Kommission reagierte zunächst nicht auf eine Anfrage von netzpolitik.org.
Der Cybersicherheitsforscher Ashkan Soltani warnt davor, dass zunächst freiwilliges Tracing über Apps bald verpflichtend werden könnte. Der Einsatz von Bluetooth könne zudem allzu oft falsche Ergebnisse produzieren, etwa wenn Geräte von Nachbar:innen durch Wände hinweg Kontakt anzeigten, wo es keine physische Begegnung gab. Das berge die Gefahr, dass die scheinbare Sicherheit der App echte Tests auf Corona ersetze.