Datenschutzkonferenz: Länder sollen Check-in mit Corona-Warn-App erlauben

Was die Luca-App verspricht, kann die Corona-Warn-App (CWA) halten – effektiver und mit mehr Datenschutz. Zu diesem Ergebnis kommt die Konferenz der Datenschutzbehörden von Bund und Ländern. In einer heute veröffentlichten Entschließung empfiehlt die Datenschutzkonferenz den Bundesländern, „die Nutzung der CWA jedenfalls als ergänzende Möglichkeit zur Benachrichtigung potentiell infizierter Personen und zur Clustererkennung in ihren Konzepten zur Pandemiebekämpfung zu berücksichtigen“.

Auch der Bundesdatenschutzbeauftragte Ulrich Kelber fordert in einer Pressemitteilung, „dass auch die Corona-Warn-App zur Registrierung bei Geschäften und in der Gastronomie genutzt werden kann“. Hierfür müssten die Bundesländer ihre Verordnungen anpassen, so Kelber im Interview mit Zeit Online. Die Nutzung einer digitalen Lösung zur Kontaktnachverfolgung soll nach dem Willen der Datenschutzbehörden aber freiwillig bleiben, um zu verhindern, dass diejenigen vom öffentlichen Leben ausgeschlossen werden, die keine App nutzen wollen.

Seit Mitte April können sich Menschen mit der Corona-Warn-App auf Veranstaltungen oder in Orte wie zum Beispiel Geschäfte einchecken. Nutzer:innen scannen dafür innerhalb der App den QR-Code des Ortes, an dem sie sich befinden. So speichern sie auf ihren Smartphones die Information, dass sie zu einer bestimmten Uhrzeit eine bestimmte Veranstaltung besucht haben oder in einem bestimmten Café saßen. Meldet später eine andere Person, die diese Veranstaltung oder dieses Café zur selben Zeit oder kurz vorher besucht hat, ihr positives Ergebnis in der Corona-Warn-App, warnt diese alle anderen Besucher:innen, dass sie sich angesteckt haben könnten.

Parallel dazu behält die CWA ihre Funktion, die Kontakte über Bluetooth nachzuverfolgen. Eine Warnung können Nutzer:innen also auch ohne Check-in an einem Veranstaltungsort erhalten, wenn sie sich in unmittelbarer Nähe zu jemandem aufhalten, der seiner Corona-Warn-App später ein positives Testergebnis meldet.

Viele Bundesländer setzen trotz Kritik auf Luca-App

Die CWA gilt als besonders datenschutzfreundlich, da sich die Nutzer:innen hier nicht mit Namen, Handynummer und Adresse registrieren müssen, und die App alle Daten nur dezentral, das heißt auf den Geräten der Nutzer:innen, speichert. Es gibt also keinen zentralen Server, auf dem Daten gesammelt werden. Die Warnungen über die CWA können außerdem zeitnaher erfolgen als bei anderen Lösungen, da man sein positives Testergebnis direkt der App meldet und diese dann mögliche Kontaktpersonen informiert, ohne dass das Gesundheitsamt dazwischen geschaltet ist.

13 Bundesländer setzen für die Kontaktverfolgung aber stattdessen auf die Luca-App. Bei dieser Lösung müssen sich die Menschen mit Daten wie Name, Handynummer und Adresse registrieren. Sie erhalten ihre Warnungen dann über das Gesundheitsamt. Die Nutzer:innen checken ebenfalls über einen QR-Code in Örtlichkeiten wie zum Beispiel Geschäfte oder Restaurants ein. Gibt es an diesem Ort dann einen Corona-Fall, geben die Gastgeber:innen die Gästelisten für den betreffenden Zeitraum für das Gesundheitsamt frei. Das Amt kann dann gefährdete Personen über das Risiko einer Infektion informieren. Die App sollte die Papierformulare ersetzen, die seit vergangenem Sommer vielerorts zur Kontaktverfolgung zum Einsatz kommen.

Expert:innen haben das technische Konzept von Luca wiederholt kritisiert. Sicherheitsforscher:innen warnen, dass Luca als zentrales System mit großer Wahrscheinlichkeit rekonstruieren kann, welches Gerät und damit welche Person sich hinter Check-ins verbirgt. Bei den Schlüsselanhängern, die Menschen ohne Smartphone das Einchecken ermöglichen sollen, fanden Forscher:innen Mitte April eine gravierende Sicherheitslücke. Zuletzt meldeten über siebzig führende IT-Sicherheitsforscher:innen Zweifel an der Sicherheit und am Nutzen der Luca-App an und forderten, stattdessen die Corona-Warn-App für die Kontaktverfolgung zu nutzen.

QR-Codes von Luca und CWA doch nicht kompatibel

Dieser Forderung schließen sich nun die Datenschutzbehörden von Bund und Ländern an. Sie erhoffen sich außerdem, dass ein flächendeckender Einsatz der CWA beim Einchecken dazu führen würde, dass mehr Menschen sie nutzen. Das könnte sich positiv auf die ursprünglichen Funktionen der App, der Erkennung von Risikokontakten per Bluetooth, auswirken.

Zusätzliche Brisanz bekommt die Konkurrenzsituation zwischen der Luca-App und der Corona-Warn-App durch einen Bericht der Tagesschau, demzufolge die QR-Codes, die Luca für Geschäfte und Gastronomie erstellt hat, nicht für die Corona-Warn-App funktionieren. Das hatte die Bundesregierung ursprünglich versprochen.

Wer für den Fehler verantwortlich ist, beantwortete das Bundesgesundheitsministerium auf Anfrage der Tagesschau nicht. Laut Patrick Henning, dem Geschäftsführer des Unternehmens hinter der Luca-App, könne die Fehlerbehebung zwei bis drei Wochen dauern. Dann müssten noch alle QR-Codes ausgetauscht werden, damit sie für beide Apps funktionieren. In den nächsten Wochen könnte die Nutzer:innen beider Apps also Chaos bei digitalen Check-ins erwarten.