Luca: Datenschutz-Bedenken bei der neuen Corona-App

Das Prinzip der App ist einfach, birgt aber großes Potential. Im Grunde funktioniert sie wie ein digitales Tagebuch, das speichert, wann eine Person wo und mit wem Kontakt hatte. Im Rahmen der Pandemiebekämpfung sind das wertvolle Daten. Denn so können Infektionsketten genau nachvollzogen werden.

Luca erstellt dabei eine persönliche Kontakt- und Besuchshistorie – egal ob bei einem Restaurantbesuch, einem Treffen mit Freund:innen oder im Büro. Das Ganze funktioniert geräteunabhängig mit einem QR-Code. Damit es aufgeht, benötigen auch die Gastgeber:innen luca auf einem mobilen Endgerät. In der App können Restaurants beispielsweise auch für einzelne Tische QR-Codes erstellen. 

Bei Beginn einer Veranstaltung oder eines Treffens checken die Leute dann mit ihrem Code ein. Dieser übermittelt anonymisiert die vorher hinterlegten Kontaktdaten. Am Ende checken alle wieder aus oder lassen sich – nach Freigabe – automatisch über ihren Standort auschecken. Gespeichert wird die Historie der letzten 14 Tage.

Im Falle einer Infektion können die Betroffenen ihre Historie verschlüsselt und via TAN an das zuständige Gesundheitsamt weiterleiten. Im Anschluss informiert das Gesundheitsamt betroffene Veranstaltungsorte, die ihrerseits die zeitlich relevanten Check-ins freigeben können. Nur die Gesundheitsämter können die Datensätze zusammenführen und auch wieder entschlüsseln. So hat das Gesundheitsamt alle relevanten Daten, um Infektionsketten zu erkennen und mögliche Betroffene rechtzeitig zu informieren – und das ohne großen Aufwand per Klick.

Für Personen, die kein Smartphone besitzen, stehen alternativ Schlüsselanhänger mit einem QR-Code zur Verfügung. Diese müssen einmalig per Seriennummer registriert werden. Anschließend sind Check-ins auch mit den Anhängern möglich.

Die App bringt viele Vorteile mit sich. Die Rechnung geht allerdings nur auf, wenn möglichst viele Menschen mitmachen. 

Der größte Vorteil der App ist die Arbeitserleichterung und vor allem Entlastung für Gesundheitsämter. Statt schlecht leserliche Zettel händisch einzutragen, funktioniert die Nachverfolgung mit luca auf Knopfdruck. Dadurch können Infektionsketten schneller erkannt und durchbrochen werden. Auch die Übermittlung der Daten wird durch die App schneller und einfacher. Personen mit einer Risikobegegnung können direkt über luca informiert werden – das spart Zeit, die sonst für E-Mails oder Anrufe draufgeht.

Hinzu kommt, dass Veranstalter:innen leichter ihren Dokumentationspflichten nachkommen können – sobald es zu Öffnungen kommt. Statt händischer Listen können Besuchende problemlos per QR-Code eingecheckt werden. Das nutzt übrigens auch dem Datenschutz. Eine digitale Speicherung – wenn sie richtig verschlüsselt und nach dem Stand der Technik ist – schützt Kontaktdaten besser vor unbefugter Kenntnisnahme und Missbrauch als ein Stapel Zettel.

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg ist begeistert. Auch laut DSK setzt die luca-App die Vorteile digitaler Lösungen um. Sie sieht dennoch Risiken und äußert einige Bedenken. 

Ein Kritikpunkt an luca aus Datenschutzsicht ist die Art der Speicherung: Die erhobenen Daten werden alle zentral gespeichert. Die Server stehen zwar in Deutschland. Sollten Unbefugte allerdings Zugriff auf die Daten erhalten, wäre die Beeinträchtigung für Einzelne und das Gemeinwesen maßgeblich. Die DSK bespricht daher mit den Betreibern, ob eine dezentrale Speicherung bei gleichbleibender Effizienz möglich ist.

Ebenso wie bei der Speicherung geht auch bei der Verschlüsselung die größte Gefahr durch unberechtigte Zugriffe aus. Alle Gesundheitsämter verfügen über die gleichen Schlüssel, die alle von der culture4life GmbH verwaltet werden. Hierdurch entsteht das Risiko, dass Dritte durch Ausspähen auf die zentral gespeicherten Daten zugreifen könnten. Dieses Risiko ist mit der richtigen Verschlüsselung vermeidbar.

Auch bei den Veranstalter:innen könnte angesetzt werden. 

In einem Interview hat sich einer der Entwickler, Patrick Hennig, zu den Bedenken geäußert und betont, dass luca eine gute Ergänzung zur Corona-Warn-App darstelle. Auf den Kritikpunkt der zentralen Speicherung entgegnet er, dass ein Datenaustausch für die Gesundheitsämter essentiell sei. Dieser soll allerdings mit maximaler Sicherheit erfolgen. Daher komme unter anderem Ende-zu-Ende-Verschlüsselung zum Einsatz, so dass weder die Entwickler noch Dritte auf die Daten zugreifen können.

Zusätzlich liege laut Hennig eine Datenschutzfolgeabschätzung vor, die momentan mit der Berliner Datenschutzaufsichtsbehörde abgestimmt werde. Auch die Codes werden schrittweise offengelegt und sollen diese Woche in Gänze verfügbar sein. Bisher wurden aber noch keine Sicherheitslücken entdeckt, so Hennig.