Der Chaos Computer Club (CCC) und weitere Organisationen haben in einem offenen Brief an das Kanzleramt [PDF] vor der geplanten Corona-Tracing-App gewarnt. Sie reagieren auf Berichte, nach denen das Bundesgesundheitsministerium über die App gesammelte Daten über Kontakte von möglicherweise infizierten Personen zentralisiert speichern möchte.
Contact-Tracing-Apps gelten als mögliche Schlüsseltechnologie zur Bekämpfung der Corona-Pandemie. Die Apps sollen über Bluetooth Low Energy (BLE) aufzeichnen, wer sich in der Nähe ihrer Nutzer*innen aufhält. Wenn jemand sich als infiziert meldet, sollen alle Kontaktpersonen eine Benachrichtigung erhalten.
Die Technologie soll eine gezielte Testung und Quarantäne von möglichen Infizierten ermöglichen und somit helfen, die derzeitigen Kontaktbeschränkungen zurückzufahren. Allerdings streiten Politik und Expert*innen darüber, wie die Apps zur Kontaktverfolgung sicher gestaltet werden können. Vereinfacht gesagt geht es dabei um die Frage, wieviele der sensiblen Daten an zentraler Stelle gespeichert und von der Regierung genutzt werden können. Diese Woche warnten Forscher*innen aus der ganzen Welt, die zentrale Variante könne zur Überwachung missbraucht werden.
In dem offenen Brief äußern der CCC und seine Mitunterzeichnerinnen „großes Unverständnis“ darüber, dass sich das Gesundheitsministerium von Jens Spahn (CDU) für eine App auf Basis des Softwaregerüsts der Initiative PEPP-PT entschieden habe. Die Initiative hatte ursprünglich einen datenschutzfreundlicheren Kurs verfolgt, dieser fiel allerdings einem Richtungsstreit der Entwickler:innen zum Opfer. Mehrere Medien berichteten diese Woche, dass Spahn sich für den zentralen Ansatz entschieden habe.
„Missbrauch von Gesundheitsdaten entgegentreten“
„Diese Entscheidung stößt bei uns zwischenzeitlich auf großes Unverständnis, da gerade dies der problematischste unter den vorliegenden Entwürfen ist“, heißt es in dem Brief. Denn die zentral gespeicherten Daten könnten, auch wenn sie pseudonymisiert gespeichert werden, leicht de-anonymisiert und zurückverfolgt werden. „Jedem Ansatz eines möglichen Missbrauchs von Gesundheitsdaten muss entschieden entgegengetreten werden.“
Unterzeichner des offenen Briefs sind der CCC, der SPD-nahe netzpolitische Verein D64 und der FDP-nahe Verein LOAD, das Forum InformatikerInnen für Frieden und gesellschaftliche Verantwortung (FIfF), die Gesellschaft für Informatik und die Stiftung Datenschutz.
„Eine Corona-Tracing-App sollte, wenn überhaupt, nur auf Basis eines dezentralen Ansatzes – wie beispielsweise das Konzept DP-3T (Decentralized Privacy Preserving Proximity Tracing) – aufgebaut und programmiert werden. Andernfalls steht zu befürchten, dass der geringe Datenschutz eines zentralen Ansatzes und das Fehlen technischer Beschränkungen gegen Zweckentfremdung dazu führen wird, das Vertrauen in die Verwendung einer solchen App auszuhöhlen und damit die Akzeptanz für spätere digitale Lösungen leichtfertig zu unterminieren.“
Die Aktivist:innen und Expert:innen stellen sich auch entschieden gegen eine verpflichtende Nutzung der App. „Die gemeinsame Bekämpfung der Pandemie benötigt Vertrauen und die Kooperation aller. Die Bereitschaft dazu wird mit einer Pflicht ohne Not verspielt“, heißt es in dem Brief.
Spahn reagiert mit Nebelgranate
Der CCC und die netzpolitischen Vereine setzen sich entschieden für einen dezentralen Ansatz ein, bei der die Kontakte ausschließlich lokal auf dem Gerät des App-Nutzenden gespeichert und abgeglichen werden. Dieser Ansatz wird auch von Google und Apple verfolgt, die dafür in ihren Betriebssystemen Android und iOS die technologische Grundlage bieten wollen. „Dies ist eine Bedingung, die für den Erfolg einer App immanent ist, denn ohne die Zusammenarbeit mit den beiden Unternehmen, die fast 100 Prozent des Smartphone-Marktes abdecken, ist ein Scheitern der Tracing-App vorhersehbar“, heißt es in dem offenen Brief.
In einem Interview mit dem ZDF-Morgenmagazin reagierte Bundesgesundheitsminister Jens Spahn (CDU) auf die Kritik mit einer Nebelgranate. „Dieser Grundglaube daran, dass Daten bei Apple und Google besser aufgehoben sind, bei amerikanischen Großkonzernen besser geschützt sind, als Daten, die auf staatlichen Servern in Deutschland besser geschützt sind, diesen Glauben verstehe ich manchmal nicht“, sagte Spahn.
Die Äußerungen Spahns ignorieren, dass die Daten im dezentralen Modell nicht bei den Konzernen laden, sondern ausschließlich auf den Geräten der Nutzenden bleiben. Die Bundesregierung vermeidet damit, scheint es, eine Debatte auf faktenbasierter Ebene.