© Sarawuth Pamoon, 123RF

Gegen den zentralen Ansatz einer Corona-App zum Nachverfolgen von Infektionsketten laufen Wissenschaftler und Verbände Sturm. Beim dezentralen Ansatz sollen Nutzer auch ihr Testergebnis erfahren können. Zudem gibt es Forderungen nach Gesetzen zum Datenschutz und dem Schutz der App-Verweigerer.

In einer Protestwelle gingen die Pläne der deutschen Bundesregierung unter, bei der Entwicklung der Corona-Warn-App eine zentrale Speicherung und Auswertung der Nutzerdaten zu verfolgen. Kurz nach Bekanntwerden der Pläne hatten sich 300 internationale Wissenschaftler gegen dieses Konzept ausgesprochen. Einige der auf Bluetooth basierenden Vorschläge für Corona-Apps könnten eine Überwachung durch staatliche Akteure oder Privatunternehmen ermöglichen, die auf katastrophale Weise das Vertrauen in und die Akzeptanz für solche Anwendungen in der Gesellschaft beschädigten, hieß es in einem gemeinsamen Statement. Auch mehrere deutsche Digitalverbände kritisierten in einem Schreiben an die Regierung den zentralen Ansatz und warnten vor einer Bruchlandung.

Dezentrale Lösung

Die Bundesregierung reagierte auf die harsche Kritik am zentralen Ansatz. Man werde nun “eine dezentrale Architektur vorantreiben, die die Kontakte nur auf den Geräten speichert und damit Vertrauen schafft”, sagte Kanzleramtschef Helge Braun (CDU) in einem Interview mit dem ARD-Hauptstadtstudio [1]. Die Proteste waren wohl nicht allein verantwortlich – es stellte sich heraus, dass der zentrale Ansatz am Widerstand der beiden Betriebssystemhersteller Apple und Google scheitern könnte. Beide US-Firmen bevorzugen aus Gründen des Datenschutzes eine dezentrale Auswertung der Kontaktdaten auf den Smartphones der Nutzer.

Freiwillige Teilnahme

Bei der Einführung der App setzt die Regierung auf das Prinzip der Freiwilligkeit. Allerdings befürchten Netzaktivisten und Oppositionspolitiker eine Benachteiligung von Personen, die die App nicht nutzen können oder wollen. Eine gesetzliche Regelung solle das verhindern. Einem Bundestagsantrag [2] der Grünen zufolge soll ein solches Gesetz unter anderem garantieren, “dass es zu keiner, auch nicht späteren Bevorzugung beziehungsweise Diskriminierung von (Nicht-)Nutzerinnen und Nutzern der App kommt”.

Die SPD-Fraktion im Bundestag schließt eine gesetzliche Regelung ebenfalls nicht aus. “Je nach konkreter Ausgestaltung der App und bezogen auf eine mögliche weitere Verwendung der Daten wird zu prüfen sein, ob es gesetzlicher Regelungen bedarf, insbesondere etwa Absicherungen zum Diskriminierungsschutz, zur Zweckbindung oder zu den Löschfristen”, hieß es auf Anfrage.

Information zum Testergebnis

Über die Corona-App sollen Nutzer auch ihr Testergebnis erfahren können (Abbildung 1). Das geht aus einem ersten Dokument [3] hervor, das die mit der Entwicklung beauftragten Konzerne SAP und Deutsche Telekom auf Github hochgeladen haben. Es beschreibt “die funktionalen Anforderungen an die Gestaltung der App aus einer fachlichen und prozessualen Sicht” (Abbildung 2). Code für Android oder iOS wurde noch nicht hochgeladen. Die “Corona-Warn-App”, wie sie genannt wird, soll unter der freien Apache-Lizenz 2.0 veröffentlicht werden.

Abbildung 1: Die Corona-Warn-App soll auch über die Testergebnisse informieren. Quelle: Deutsche Telekom

Abbildung 2: Die Funktionen der Corona-App in der ersten Stufe. Quelle: DTAG/SAP

Zum Ergebnis eines Corona-Tests heißt es im Dokument: “Im Fall eines durchgeführten Tests auf eine SARS-CoV-2-Infektion kann der App-Nutzer über die App den digitalen Testinformationsprozess starten und damit über das ermittelte Testergebnis benachrichtigt werden.”. Dazu kann “ein auf dem Flyer des Arztes oder Testcenters vorhandener QR-Code (…) mit der Warn-App gescannt werden”. Darüber hinaus soll es auch möglich sein, dass die App-Nutzer lediglich über das Vorliegen eines Testergebnisses informiert.

Zustimmung erforderlich

Das Hochladen der temporären oder Pseudo-IDs der Nutzer soll erst möglich sein, wenn die Infektion verifiziert wurde und der Nutzer dem Upload zugestimmt hat. Die dazu erforderliche TAN kann er dann in der App eingeben. Das Robert Koch-Institut besteht darauf, dass pro Test nur einmal eine Warnung ausgelöst werden kann. Das soll einen Missbrauch der App vermeiden. Der Nachteil: Hält sich ein Infizierter nicht an die Quarantäne-Bestimmungen und hat anschließend weitere Kontakte, können andere Nutzer nicht mehr gewarnt werden.

Zuständigkeiten

Die Deutsche Telekom hatte Anfang April bereits eine eigene App für die Übermittlung von Corona-Testergebnissen veröffentlicht. Es ist unklar, ob die entsprechenden Funktionen und der Code in die Corona-Warn-App übernommen werden. Dazu gehört unter anderem die Einbindung der Testlabors, die die Ergebnisse an einen Server übertragen müssen. Die Covid-19-App sollte dazu beitragen, die Betroffenen schneller über das Testergebnis zu informieren. Die Benachrichtigung per Telefonanruf soll zeitraubend und fehleranfällig gewesen sein.

Telekom baut Backend, SAP die App

Für die Entwicklung der eigentlichen Apps ist in dem Projekt allerdings SAP zuständig. So heißt es in einem weiteren Dokument [4]: “[Die] Deutsche Telekom stellt das Netzwerk und die Mobiltechnologie zur Verfügung und wird für den sicheren, skalierbaren und stabilen Betrieb des Backends der App sorgen. SAP entwickelt die App, das zugehörige Framework und die zugrundeliegende Plattform.”

Als Grundlage für die App dienen demnach die Protokolle DP-3T (Decentralized Privacy-Preserving Proximity Tracing) und TCN sowie die Spezifikationen für Privacy-Preserving Contact Tracing von Apple und Google. Das TCN-Protokoll (Temporary Contact Numbers) soll eine Interoperabilität zwischen Tracing-Apps ermöglichen.

Durch die frühzeitige Veröffentlichung des Codes auf Github wollen SAP und Telekom bereits vor der geplanten Freigabe der App Mitte Juni die Kritik von Entwicklern einbeziehen. “Wir möchten so offen und transparent wie möglich sein, auch für Interessierte in der globalen Entwickler-Community, die nicht Deutsch sprechen. Daher wird sämtlicher Inhalt vor allem auf Englisch zur Verfügung gestellt. Wir bitten auch alle Interessierten, Englisch als Arbeitssprache zu verwenden, etwa für Entwicklerkommentare im Code, für die Dokumentation oder wenn Sie uns Anfragen senden”, heißt es.