Corona Warn App: 300 Entwickler warnen vor Überwachung und Missbrauch
• 21.04.20 Die Corona Pandemie weitet sich weiterhin stark aus. So gab es am heutigen Vormittag 147.065 infizierte Personen in Deutschland, laut Johns-Hopkins-Universität in Baltimore. Schon vor Ostern hatte das Robert-Koch-Institut (RKI) eine neue App zum Erkennen von Krankheits-Symptomen präsentiert. Die App namens Corona
|
Corona Krise: Streit unter Entwicklern der europaweiten Corona Warn-App
So warnen aktuell in einem offenen Brief rund 300 internationale Wissenschaftler vor einer möglichen Überwachung durch die Corona Warn App beim Pepp-PT Projekt. Dabei könnten die Daten der Corona App auf einem zentralen Server gespeichert werden, womit der Server-Betreiber bei einer unverschlüsselten Speicherung Zugriff auf die Daten der europäischen Bürger haben.
Corona Warn App: 300 Entwicklern warnen vor Überwachung und Missbrauch -Bild: Telekom |
So sehen rund 300 beteiligte Experten an dem Projekt die Gefahr von Überwachung und Missbrauch bei einer zentralisierten Speicherung von Daten bei der Corona Warn App.
Unter der Unterzeichnern sind auch Vertreter diverser Forschungseinrichtungen, die bei dem europäischen Projekt Pepp-PT mitmachten. Seit der Schweizer Epidemiologe Marcel Salathé am 17. April auf Twitter seinen Rückzug aus dem Projekt verkündete, gibt es weitere Teilnehmer des Projektes mit Kritik an der Datenerfassung und Speicherung.
Auch die Gesellschaft für Freiheitsrechte (GFF), die die App Pepp-PT lange Zeit gegen die aufkommende Kritik verteidigte, stellt sich nicht länger uneingeschränkt hinter das Projekt. Die Vertreter von GFF sehen derzeit sogar die zentrale und dezentrale Speicherung von Daten kritisch.
"Beide Ansätze, zentral und dezentral, bieten unterschiedliche Risiken und Vorteile für die Privatsphäre und Informationssicherheit der betroffenen Personen. Beide setzen Vertrauen in unterschiedliche Akteur*innen voraus. Dies zwingt nicht nur zu einer rein rechtlichen und technischen Bewertung und Abwägung, sondern auch zu einer politischen.", so die Stellungnahme.
Bundesamt veröffentlicht Sicherheitsanforderungen für Gesundheits-Apps
Durch die entsprechende Technische Richtlinie vom Bundesamt für Sicherheit in der Informationstechnik, müssen mobile Gesundheitsanwendungen besonders achtsam mit sensiblen und besonders schützenswerten persönlichen Daten umgehen. Das Bundesamt Informationstechnik (BSI) hat dazu eine Technische Richtlinie (TR) entwickelt.Die TR "Sicherheitsanforderungen an digitale Gesundheitsanwendungen" (BSI TR-03161) ist unabhängig von und bereits im Vorfeld der gegenwärtigen Corona-Pandemie für Gesundheits-Apps entwickelt worden. Sie kann grundsätzlich für alle mobilen Anwendungen, die sensible Daten verarbeiten und speichern, herangezogen werden. Grundsätzlich fordert das BSI, Sicherheitsanforderungen von Anfang an bei der Software-Entwicklung mitzudenken.
"Sensible Gesundheitsdaten verdienen einen besonderen Schutz. Sowohl das jeweilige Smartphone der Nutzerinnen und Nutzer als auch die Hintergrundanwendungen auf Seiten der Anbieter müssen daher ein Mindestmaß an Sicherheit vorweisen können. Denn die Veröffentlichung solch sensibler Daten wie Pulsfrequenz, Schlafrhythmus oder Medikationspläne, lässt sich nicht ungeschehen machen. Hier kann nicht, wie im Falle eines Missbrauchs beim Online-Banking, der Fehlbetrag zurückgebucht werden. Mit der nun bereitgestellten Technischen Richtlinie stellt das BSI als die Cyber-Sicherheitsbehörde des Bundes einen wichtigen Leitfaden zur Verfügung, damit die Anwendungen das erforderliche IT-Sicherheitsniveau erreichen können.", so der Präsident des BSI, Arne Schönbohm.
Die technische Richtlinie verfolgt die grundsätzlichen Schutzziele der IT-Sicherheit: Vertraulichkeit, Integrität und Verfügbarkeit. Sie kann als Mindestanforderung für den sicheren Betrieb einer Anwendung betrachtet werden.
In zukünftigen Versionen sollen auf Grundlage der Erfahrungen und der Rückmeldungen aus der Industrie, Erweiterungen vorgenommen, die eine Zertifizierung von Apps nach dieser Technischen Richtlinie ermöglichen.
Neue App Corona Datenspende -Bild: RKI |
Neue App des Robert-Koch-Institut mit Corona Datenspende
Mittlerweile haben mehrere 100.000 Nutzer die Android Nutzer die App auf ihren Smartphones installiert. Im Apples App Store steht die App sogar auf Platz 1. Allerdings kritisieren IT-Rechtler und Netzaktivisten die App Datenspende des RKI. So ist die Software eines Drittanbieters nicht überprüfbar ist, was daher für Sicherheitslücken sorgen kann. Ferner ist der Weg der Daten nicht verifizierbar.Die App namens Corona Datenspende kann man ferner auch auf Fitnessarmbändern und Smartwatches installieren. Dabei sendet die App anonymisierte Daten über Symptome wie höhere Temperatur oder auch schlechten Schlaf, die auf Atemwegserkrankungen hinwiesen an die Server. Bislang steht aber noch nicht fest, wer hinter den Datenservern steht und wer hier die Kontrolle ausübt.
Mit den gesammelten Daten soll eine Karte erstellt werden, die die Verbreitung von möglicherweise infizierten Personen bis auf die Ebene der Postleitzahl darstellt.
Die App Corona Datenspende kann Covid-19 nicht nachweisen. Die App dient alleine dazu dem RKI eine Übersicht zu geben.
Bei der Corona Datenspende werden ferner Daten wie die Postleitzahl, Angaben zum Geschlecht, Alter, Gewicht, Größe sowie Pulsschlag, Körpertemperatur und Schlafgewohnheiten abgefragt.
Daten sind nicht Anonym sondern nur pseudonymisiert
Da die Daten mit einer Schlüssel-ID versehen sind, lassen sich diese Daten immer einer Person zuordnen, so Chefredakteur Dipl. Inform. Martin Kopka vom Redaktionsnetzwerk Tarifrechner. So kann man durch Ausspähen, Diebstahl oder Hacker-Methoden diese Schlüssel-ID auf dem Smartphone wieder personalisieren. Auch kann man durch das Tracking der Standorte, besonders auf dem Lande, die Positionsdaten Familien und damit wieder einzelnen Personen zuordnen. Daher sollte die App mit bedacht und, wenn überhaupt, nur zeitlich befristet eingesetzt werden. Ferner muss es eine Datenaufsicht mit einer Meldebehörde für Beschwerden und Löschungen geben, so die Kritik des Chefredakteurs weiter.Immerhin verspricht das RKI, dass die Daten pseudonymisiert sind und es zu keiner Zeit Kenntnis über persönliche Informationen wie Name oder Anschrift der App-Nutzerinnen und -Nutzer hat. Allerdings hat das RKI leider in der Vergangenheit schon so oft daneben gelegen.
Daher zweifeln IT-Rechtler und Netzaktivisten an der Datensicherheit, weil das RKI Software eines Drittanbieters nutzt, die nicht quelloffen ist. Daher ist der Code nicht verifizierbar. Hier kann man nur Vertrauen. Auch gibt es keine Hinweise über eine sichere verschlüsselte Datenspeicherung, auch ist der Ort der Datenspeicherung nicht bekannt.
Projekt PEPP-PT: Corona-Tracing-App geplant
Dabei sollte alles Datenschutzkonform geschehen. Dazu gibt es das länderübergreifende Projekt "Pan-European Privacy-Preserving Proximity Tracing" kurz PEPP-PT. Dabei hat Vodafone derzeit reichlich Erfahrung im Crowdsourcing, während Telefonica Deutschland anonymisierte Daten zur Verfügung stellt.Eine einfache Lösung bei den Kontaktermittlungen, liegt bei der Verwendung von Smartphones. Mit Hilfe von Smartphones sollen Kontakte zu den am Virus erkrankten Menschen festgestellt werden. Dabei werden die Smartphone-Daten bei den Bluetooth-Kontakten erfasst und untereinander ausgetauscht.
Per Bluetooth bemerken Smartphones, ob sich andere Telefone über mehrere Minuten in unserer direkten Umgebung befinden. Basierend auf diesen Informationen ist es möglich, Menschen zu informieren, wenn sie Kontakt zu Personen hatten, bei denen später das Virus nachgewiesen wird. Mit entsprechenden Vorsichtsmaßnahmen können dann weitere Infektionsketten unterbrochen werden.
Das länderübergreifende Projekt "Pan-European Privacy-Preserving Proximity Tracing" (PEPP-PT) entwickelt eine Plattform, deren Technologie und Mechanismen künftig von entsprechenden Apps genutzt werden können. So kann künftig jeder freiwillig über Kontakte zu Trägern des Virus informiert werden.
Je mehr Menschen die Technologie künftig mit einer entsprechenden Apps nutzen, desto genauer sind die Informationen, desto höher ist die Sicherheit für jeden Einzelnen und desto größer ist die Chance Infektionsketten zu unterbrechen und die Ausbreitung des Virus zu verlangsamen.
Neue Corona-App mit PEPP-PT für Kontakte -Bild: Vodafone |
Begegnungs-Daten bleiben nur über einen Zeitraum gespeichert
Die aufgezeichneten Begegnungs-Daten bleiben nur über einen befristeten Zeitraum gespeichert. Zumal sollen die Daten verschlüsselt gespeichert und erhoben werden. Nach einem Zeitraum, welcher nur für eine mögliche Ansteckung relevant ist, werden die Daten automatisch gelöscht.Wenn dann ein PEPP-PT-Nutzer positiv getestet wurde, bekommen alle Kontaktpersonen eine TAN zugeschickt. Mit Hilfe dieser Tan können die App Nutzer sich dann freiwillig bei der zuständigen Gesundheitsbehörde melden. Dabei soll dieses Verfahren auch über die europäischen Grenzen hinaus funktionieren, so enthält die anonyme ID auch einen Länder-Code.
Auch der Branchenverband Bitkom begrüßte die europäische Entwicklung: "Sobald diese App verfügbar ist, werde ich sie sofort installieren", sagte sein Präsident Achim Berg. "Und ich rufe alle dazu auf, ihre persönlichen Prioritäten jetzt für den Schutz von Menschenleben zu setzen. Laden Sie diese App herunter und nutzen Sie sie! Je mehr mitmachen, umso größer ist der Effekt. Das Virus können wir nur gemeinsam stoppen.".
Bluetooth-Schnittstelle kämpft derzeit mit Sicherheitslücken
Bei einer Bluetooth basierten Technologie gibt es aber derzeit noch Sicherheitslücken. Diese Sicherheitslücken befinden sich in den Bluetooth-Chips und lassen sich bereits ausnutzen, wenn auf einem Gerät nur Bluetooth aktiviert ist. Damit könnten Angreifer gezielten Missbrauch betreiben.Auch müssen Android Nutzer derzeit die Standortfreigabe bei Bluetooth aktivieren. Dieses würde Dienste wie Google dann freuen, da damit permanent neue Standortdaten freigeben werden. Nur Apple Nutzer sind derzeit vor dem ausspionieren geschützt.
Damit Ihnen in Zukunft keine aktuelle News oder Spar-Angebot entgeht, können Sie sich auch bei unserem kostenlosen Newsletter anmelden. Einmal in der Woche bekommen Sie dann eine Übersicht an Aktionen und wichtigen Änderungen im Telefonmarkt. Noch schneller sind Sie aber via Twitter und Facebook informiert.
Verwandte Nachrichten: |
|
Auf dieser Seite gibt es Affilate Links, die den Preis nicht beeinflussen. Damit wird der hochwertige Journalismus kostenfrei angeboten |