Stopp-Corona-App: Experten-Analyse zeigt Verbesserungspotenzial auf

Bei der umstrittenen Stopp-Corona-App, die vom Roten Kreuz (RK) in Kooperation mit Accenture erstellt worden ist, gab es heute prinzipiell Entwarnung - wenn auch nicht ganz. [...]

Eine Analyse, die in knapp 1,5 Wochen von elf Experten von epicenter.works, noyb.eu und SBA Research, erarbeitet worden war, ergab 25 Empfehlungen für Veränderungen – 16 davon werden bereits heute per „Hotfix“ vom RK/Accenture-Team umgesetzt. Die Experten evaluierten die Stopp Corona-App des Roten Kreuzes auf Datensicherheit und Datenschutz. Es wurden keine kritischen Sicherheitslücken gefunden, jedoch einiges Verbesserungspotenzial bei der Umsetzung des Datenschutzes identifiziert.
Die Prüfung wurde möglich, da das RK und Accenture den Quellcode der Stopp Corona-App (Version 1.1) epicenter.works, noyb.eu und SBA für eine Analyse zur Verfügung gestellt hatten, um die Software im Hinblick auf IT-Security, Datenschutz und rechtliche Aspekte zu analysieren. Die Analyse erfolgte ehrenamtlich und unentgeltlich.

25 Empfehlungen: Großteil heute schon behoben

Die App wurde sicherheitstechnisch und im Hinblick auf Datenschutz überprüft. 16 der Empfehlungen werden mit einem “Hotfix” heute, drei der Empfehlungen mit der nächsten Version der App und vier Empfehlung in etwa vier Wochen umgesetzt. Die restlichen Dinge seien nur „langfristig zu lösen“ bzw. liegen etwa bei Google oder Apple. Die Ergebnisse haben Thomas Lohninger (epicenter.works), Max Schrems (noyb) und Christian Kudera (SBA Research) heute bei einer Pressekonferenz präsentiert, der vollständige Bericht ist auf den jeweiligen Webseiten der Organisationen abrufbar, etwa hier bei epicenter.works

App muss freiwillig bleiben

Das Konzept der App ist auch nach dem europäischen Datenschutzrecht zulässig. Max Schrems, Datenschutzjurist, noyb.eu: “Das Konzept des Roten Kreuz ist jedenfalls datenschutzkonform. In der doch extrem schnellen Umsetzung kann man aber noch in Details nachbessern.“ Schrems selbst sagte heute bei der Pressekonferenz: „Ich halte die App für sinnvoll und habe sie selbst installiert“. Rechtlich sei der Einsatz aber nur dann gesichert, „wenn die Installation der App freiwillig bleibt“, stellte Schrems klar.

Technisches Konzept: es geht noch datenschutzfreundlicher

Die App basiert zwar auf einer dezentralen Speicherung der Daten auf dem eigenen Handy – die Kommunikation zwischen den Telefonen passiert aber noch weitestgehend über zentrale Server, da das relevante Bluetooth-Protokoll zu wenig Daten zwischen den Mobiltelefonen übertragen kann.
Thomas Lohninger, Geschäftsführer epicenter.works: “Inzwischen gibt es mit Konzepten wie DP-3T oder Co-Epi Lösungen, die auch den Großteil der Kommunikation direkt von Handy zu Handy ermöglichen und damit noch datenschutzfreundlicher sind. Wir empfehlen dem RK, sobald das technisch möglich ist, auf dieses Konzept zu wechseln.” Hierzu ist aber auch eine angekündigte technische Umstellung von Apple und Google notwendig, damit die App auch auf iPhones reibungslos funktioniert.

Statistikfunktion entfernt, Problem Offline-Tracking

Grundsätzlich bescheinigten die Fachleute der App im Hinblick auf sicherheitstechnische Aspekte und Fragen des Datenschutzes ein gutes Ausgangsniveau, empfehlen jedoch eine Reihe von Nachbesserungen. Als dezidierte Beispiele wurden von den Experten heute die Statistikfunktion und das Offline-Tracking näher erläutert. “In der App war eine Statistikfunktion eingebaut, die den Kontaktaustausch über Bluetooth und den Empfang von Infektionsnachrichten an das Rote Kreuz übermittelt hat. Die Statistikfunktion wurde aufgrund unserer dringenden Empfehlung umgehend entfernt“, schilderte Christian Kudera, IT-Sicherheitsexperte SBA Research einen unmittelbaren Erfolg der Analyse. Ein weiteres Problem ist das Offline-Tracking von Geräten. Christian Kudera, IT-Sicherheitsexperte SBA Research sagte dazu: “Es ist für Angreifer möglich, Smartphones über längere Zeiträume an bestimmten Orten wiederzuerkennen und im Extremfall Bewegungsprofile zu erstellen. Uns wurde zugesagt, dass dieses Problem mit einer neuen Version Ende nächster Woche behoben wird.” Damit können Angreifer z.B. festellen, wann genau und wie lange welches Smartphone etwa in welchem Supermarkt gewesen ist. Nutzer können als Zwischenlösung den automatischen Handshake deaktivieren, so der Rat.

Österreichische Pionier-Leistung

Contact-Tracing-Apps können im Idealfall Leben retten. Die österreichische “Stopp Corona”-App ist, aktuell mit rund 400.000 Installationen, bisher Vorreiter in Europa. Max Schrems abschließend: “In Europa sind wir jetzt sicher Vorreiter, aber der Stand der Technik ändert sich aktuell fast täglich und das Rote Kreuz muss da sicher weiter dran bleiben.”