Stopp-Corona-App: Experten-Analyse zeigt Verbesserungspotenzial auf

Bei der umstrittenen Stopp-Corona-App, die vom Roten Kreuz (RK) in Kooperation mit Accenture erstellt worden ist, gab es heute prinzipiell Entwarnung - wenn auch nicht ganz. [...]

Analyse Stopp-Corona-App
Thomas Lohninger (epicenter.works), Max Schrems (noyb) und Christian Kudera (SBA-Research) präsentierten heute die Analyse der Stopp-Corona-App. (c) Wahlmüller

Eine Analyse, die in knapp 1,5 Wochen von elf Experten von epicenter.works, noyb.eu und SBA Research, erarbeitet worden war, ergab 25 Empfehlungen für Veränderungen – 16 davon werden bereits heute per „Hotfix“ vom RK/Accenture-Team umgesetzt. Die Experten evaluierten die Stopp Corona-App des Roten Kreuzes auf Datensicherheit und Datenschutz. Es wurden keine kritischen Sicherheitslücken gefunden, jedoch einiges Verbesserungspotenzial bei der Umsetzung des Datenschutzes identifiziert.
Die Prüfung wurde möglich, da das RK und Accenture den Quellcode der Stopp Corona-App (Version 1.1) epicenter.works, noyb.eu und SBA für eine Analyse zur Verfügung gestellt hatten, um die Software im Hinblick auf IT-Security, Datenschutz und rechtliche Aspekte zu analysieren. Die Analyse erfolgte ehrenamtlich und unentgeltlich.

25 Empfehlungen: Großteil heute schon behoben

Die App wurde sicherheitstechnisch und im Hinblick auf Datenschutz überprüft. 16 der Empfehlungen werden mit einem “Hotfix” heute, drei der Empfehlungen mit der nächsten Version der App und vier Empfehlung in etwa vier Wochen umgesetzt. Die restlichen Dinge seien nur „langfristig zu lösen“ bzw. liegen etwa bei Google oder Apple. Die Ergebnisse haben Thomas Lohninger (epicenter.works), Max Schrems (noyb) und Christian Kudera (SBA Research) heute bei einer Pressekonferenz präsentiert, der vollständige Bericht ist auf den jeweiligen Webseiten der Organisationen abrufbar, etwa hier bei epicenter.works

App muss freiwillig bleiben

Das Konzept der App ist auch nach dem europäischen Datenschutzrecht zulässig. Max Schrems, Datenschutzjurist, noyb.eu: “Das Konzept des Roten Kreuz ist jedenfalls datenschutzkonform. In der doch extrem schnellen Umsetzung kann man aber noch in Details nachbessern.“ Schrems selbst sagte heute bei der Pressekonferenz: „Ich halte die App für sinnvoll und habe sie selbst installiert“. Rechtlich sei der Einsatz aber nur dann gesichert, „wenn die Installation der App freiwillig bleibt“, stellte Schrems klar.

Technisches Konzept: es geht noch datenschutzfreundlicher

Die App basiert zwar auf einer dezentralen Speicherung der Daten auf dem eigenen Handy – die Kommunikation zwischen den Telefonen passiert aber noch weitestgehend über zentrale Server, da das relevante Bluetooth-Protokoll zu wenig Daten zwischen den Mobiltelefonen übertragen kann.
Thomas Lohninger, Geschäftsführer epicenter.works: “Inzwischen gibt es mit Konzepten wie DP-3T oder Co-Epi Lösungen, die auch den Großteil der Kommunikation direkt von Handy zu Handy ermöglichen und damit noch datenschutzfreundlicher sind. Wir empfehlen dem RK, sobald das technisch möglich ist, auf dieses Konzept zu wechseln.” Hierzu ist aber auch eine angekündigte technische Umstellung von Apple und Google notwendig, damit die App auch auf iPhones reibungslos funktioniert.

Statistikfunktion entfernt, Problem Offline-Tracking

Grundsätzlich bescheinigten die Fachleute der App im Hinblick auf sicherheitstechnische Aspekte und Fragen des Datenschutzes ein gutes Ausgangsniveau, empfehlen jedoch eine Reihe von Nachbesserungen. Als dezidierte Beispiele wurden von den Experten heute die Statistikfunktion und das Offline-Tracking näher erläutert. “In der App war eine Statistikfunktion eingebaut, die den Kontaktaustausch über Bluetooth und den Empfang von Infektionsnachrichten an das Rote Kreuz übermittelt hat. Die Statistikfunktion wurde aufgrund unserer dringenden Empfehlung umgehend entfernt“, schilderte Christian Kudera, IT-Sicherheitsexperte SBA Research einen unmittelbaren Erfolg der Analyse. Ein weiteres Problem ist das Offline-Tracking von Geräten. Christian Kudera, IT-Sicherheitsexperte SBA Research sagte dazu: “Es ist für Angreifer möglich, Smartphones über längere Zeiträume an bestimmten Orten wiederzuerkennen und im Extremfall Bewegungsprofile zu erstellen. Uns wurde zugesagt, dass dieses Problem mit einer neuen Version Ende nächster Woche behoben wird.” Damit können Angreifer z.B. festellen, wann genau und wie lange welches Smartphone etwa in welchem Supermarkt gewesen ist. Nutzer können als Zwischenlösung den automatischen Handshake deaktivieren, so der Rat.

Österreichische Pionier-Leistung

Contact-Tracing-Apps können im Idealfall Leben retten. Die österreichische “Stopp Corona”-App ist, aktuell mit rund 400.000 Installationen, bisher Vorreiter in Europa. Max Schrems abschließend: “In Europa sind wir jetzt sicher Vorreiter, aber der Stand der Technik ändert sich aktuell fast täglich und das Rote Kreuz muss da sicher weiter dran bleiben.”


Mehr Artikel

News

Bad Bots werden immer menschenähnlicher

Bei Bad Bots handelt es sich um automatisierte Softwareprogramme, die für die Durchführung von Online-Aktivitäten im großen Maßstab entwickelt werden. Bad Bots sind für entsprechend schädliche Online-Aktivitäten konzipiert und können gegen viele verschiedene Ziele eingesetzt werden, darunter Websites, Server, APIs und andere Endpunkte. […]

Frauen berichten vielfach, dass ihre Schmerzen manchmal jahrelang nicht ernst genommen oder belächelt wurden. Künftig sollen Schmerzen gendersensibel in 3D visualisiert werden (c) mit KI generiert/DALL-E
News

Schmerzforschung und Gendermedizin

Im Projekt „Embodied Perceptions“ unter Leitung des AIT Center for Technology Experience wird das Thema Schmerzen ganzheitlich und gendersensibel betrachtet: Das Projektteam forscht zu Möglichkeiten, subjektives Schmerzempfinden über 3D-Avatare zu visualisieren. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*