In Singapur deutet sich ein Wandel in der Datenschutzpolitik beim Contact Tracing an. Im Parlament des Stadtstaates informierte Anfang der Woche Innenminister Desmond Tan, dass Strafverfolgungsbehörden auf Daten aus der staatlichen Anwendung zur Verfolgung von Corona-Kontakten zugreifen dürfen. Darüber berichtete gestern zuerst das Tech-Medium ZDnet (die Parlamentsanhörung lässt sich auf Youtube nachschauen, ab Minute 33:20).
Singapur war eines der ersten Länder, das eine Smartphone-Anwendung zum Nachverfolgen von Risikokontakten von Covid19-Erkrankten an den Start brachte. Die App TraceTogether stand bereits Mitte März 2020 zum Download bereit. Sie setzt, wie auch die deutsche Corona-Warn-App, auf Bluetooth Low Energy zur Ortung anderer Geräte in der näheren Umgebung.
TraceTogether setzt dabei auf einen teilweise dezentralen Ansatz, bei dem die Daten zunächst lokal auf den Geräten der Menschen gespeichert werden. Das Verfahren ist jedoch weniger datenschutzfreundlich als das der deutschen App, bei der die Daten nur unter wechselnden Pseudonymen verarbeitet werden. Die Nutzer:innen von TraceTogether erhalten eine permanente ID. Im Fall einer Infektion oder eines Kontaktes werden die Daten der Betroffenen dann mit dem Gesundheitsministerium geteilt.
Die Regierung von Singapur hatte ZDnet zufolge in der Vergangenheit immer wieder betont, dass „ausschließlich im Falle eines positiven Tests auf die Daten zugegriffen“ wird. Dieses Versprechen ist inzwischen hinfällig. Bei einer Fragerunde im Parlament erklärte Innenminister Desmond Tan, dass die Ermittlungsbehörden laut Strafprozessordnung auf alle benötigten Daten zugreifen dürfen. Dies gelte auch für die Daten von TraceTogether.
Im Anschluss an die Sitzung des Parlaments wurden die Datenschutz-FAQ von TraceTogether mit einem entsprechenden Update versehen. Dort heißt es nun, dass die Daten der App nach gesetzlichen Maßgaben auch der Polizei zugänglich seien:
Also, we want to be transparent with you. TraceTogether data may be used in circumstances where citizen safety and security is or has been affected. Authorised Police officers may invoke Criminal Procedure Code (CPC) powers to request users to upload their TraceTogether data for criminal investigations. The Singapore Police Force is empowered under the CPC to obtain any data, including TraceTogether data, for criminal investigations.
Bluetooth-Sender ohne Internetverbindung stark nachgefragt
Auch wenn die Nutzung der Tracing-App in Singapur in der Vergangenheit freiwillig war, war die Polizei nach Angaben von ZDnet bereits eng in das Aufspüren von Kontaktpersonen involviert. Unter anderem hätten Polizist:innen das Gesundheitsministerium dabei unterstützt, Befragungen durchzuführen und Material aus Überwachungskameras zu sichten, um die Menschen ausfindig zu machen, die mit Covid-19-Infizierten Kontakt hatten.
Die Regierung kündigte außerdem bereits im September an, die Verwendung von TraceTogether künftig verpflichtend zu machen. ZDnet zufolge führte die Ankündigung in den vergangenen Monaten bereits zu einer erheblichen Ausweitung der Nutzung. Inzwischen nutzen mit 4,2 Millionen Menschen knapp 80 Prozent der Bevölkerung die Anwendung zur Kontaktverfolgung. Sie kann sowohl mit dem Smartphone als auch mit einem extra dafür produzierten Bluetooth-Beacon genutzt werden.
Die Wearables wurden von der singapurischen Regierung auch deshalb in Umlauf gebracht, um Privacy-Bedenken zu begegnen. Die Sender haben weder Internetverbindung noch GPS-Funktion. In der Parlamentsanhörung zeigte sich Minister Tan ZDnet zufolge davon überrascht, wie gut die kleinen Geräte angenommen werden. Mehr als die Hälfte der Nutzer:innen verwendet TraceTogether demzufolge nicht mit dem Smartphone.
Naaaaja. Das liegt doch noch im erwarteten Einschlagsradius. Im Zuge eines gewissen, derzeit häufiger zu beobachtenden „Klimawandels“, wäre das hier auch nicht anders zu erwarten gewesen xdxd :).
– Na und, dann fangen die endlich all die Verbrecher!
– Ich habe nichts zu verbergen.
– Mein Lebenspartner hat nichts zu verbergen.
– Unsere Kinder haben nichts zu verbergen.
– Unsere Nachbarn haben nichts zu verbergen.
– Wer sich nichts zu Schulden kommen lässt, hat auch nichts zu befürchten.
Apropos Einschlagsradius: 15 km Bewegungsradius?
– Wie ist das mit der allgemeinen Solidarität mit den Städtern?
– Auf dem Land, in der Kleinstadt mit viel Platz, in der Großstadt?
– Gleichbehandlung?
– Verhältnismäßigkeit?
– Sinn?
Ich meine, in China haben sie auch Markierungen im Ausweis für Städter, oder wie war das?
Das halte ich auch beim dezentralen Ansatz von Anfang an für möglich. Man kann zwar nicht die Daten aus der Ferne „abziehen“; Aber hat man in einem Ermittlungsfall zwei Verdächtige die behaupten sich gegenseitig nciht zu kennen dann kann auch in DE die Polizei schnell auf die Idee kommen die Daten der Corona-Warn-App (sofern installiert und Handy unverschlüsselt) zu benutzen um das Gegenteil zu „beweisen*“.
Und es gibt ja auch noch genug Politiker die weiterhin eine vollständige GPS-Verfolgung fordern, mit zentraler Meldestelle .
*Fehleranfälligkeit und Messfehler werden ignoriert – es wird manchmal(!) auch über 10-20 Meter noch ein „enger Kontakt“ protokolliert
Die CWA löscht die Daten nach 14 Tagen, oder wenn ich auf ‚Reset App‘ klicke.
Zudem wäre es ein großer Unterschied, ob ich aufgrund eines Kontakts oder Aufenthaltsorts zum Verdächtigen gemacht werde, oder ob ich schon verdächtig bin und dann meine CWA Daten ausgelesen werden.
14 Tage sind kein Hindernis.
Hier muß eher gefragt werden, ob auch kurze Kontakte auf Systemebene gespeichert bleiben, oder sofort gelöscht werden, und was die CWA daran überhaupt drehen kann.
Selbst wenn man aktiv löschen könnte, wäre das für die Polizei kein Hinderungsgrund. Trottel vergessen sowas eben, oder Leute, die impulsiv handeln. Profieinbracher haben wohl eher kein Gerät dabei.
Dann kommt noch die Zeugenfrage. Wären also bei anderen Menschen, die in der Nähe unterwegs gewesen waren, irgendwie bestimmbar, dass da noch ein Telefon war… dann wäre das doch interessant. Hier spielt die Verfassung vielleicht mit rein, und auch die Frage, ob z.B. irgendwelche Seeds „gesetzmäßig“ ausgelesen werden können.
Die andere Variante wären weitguckende Antennen, vom umsorgenden Staat ob der CWA Nutzerzahl aufgestellt.
Ein gezinkter Zufallsgenerator wäre noch der letzte fehlende Schrei…