Kaum Mehrwehrt für Gesundheitsämter und Datenschutz-Probleme:
Das Aus für luca?

Die Hoffnungen waren groß, dass luca zur Bekämpfung der Pandemie beitragen und die Gesundheitsämter in der Kontaktnachverfolgung entlasten kann. Die Bilanz: ernüchternd. Aktuell spielt sie kaum noch eine Rolle, sie wird quasi gar nicht mehr von den Gesundheitsämtern eingesetzt und mehrere Bundesländer wollen ihre Verträge kündigen.

Die häufigsten Gründe: Sicherheitsmängel, Datenschutz-Probleme und die Überlastung der Gesundheitsämter. Datenschützende und (IT-) Sicherheits-Expert:innen warnen schon lange und fordern Anpassungen bzw. die Absetzung von luca. Jetzt könnte das Aus kurzbevorstehen.

Doch was genau ist in Bezug auf den Datenschutz zu beanstanden? Warum nutzen die Gesundheitsämter luca nicht mehr zur Kontaktverfolgung? Und wie könnte es in Zukunft mit der App weitergehen? 

In vielen Regionen war die App DAS Mittel zur Kontaktnachverfolgung. In einer Zeit mit geringen Infektionszahlen hat luca seinen Zweck erfüllt und wurde der digitale Türsteher für fast jede soziale Aktivität. Auch die über 40 Mio. Downloads sprechen für sich. Aber… Die Infektionszahlen steigen. Dadurch wird die Kontaktnachverfolgung für die Gesundheitsämter quasi unmöglich. Es fehlen Personal und Zeit, um diese Mammutaufgabe zu bewältigen. Auch die schiere Vielzahl an Daten, die die Luca-App auf Anfrage ausspuckt, kann nicht mehr sinnvoll bearbeitet werden.

Die Folge: Gesundheitsämter fragen gar keine Daten bei Restaurants oder Kneipen mehr an. Dadurch wird der Luca-App ein Stück weit die Daseinsberechtigung entzogen. Der Anlass der Entwicklung – Kontaktnachverfolgung – fällt bei hohen Inzidenzen weg.

Die App wurde vor allem entwickelt, um die Gastronomie in ihren Dokumentationspflichten zu unterstützen. Hier bedeutete sie eine große Erleichterung und Verbesserung – auch in Bezug auf den Datenschutz. Öffentlich ausliegende Zettel mit personenbezogenen Daten gehören der Vergangenheit an.

Ob die Daten bei der Betreiber-Firma besser aufgehoben sind, ist allerdings fraglich. Bereits seit Monaten kritisieren Datenschützende und Sicherheitsexpert:innen die Anwendung – beispielsweise wegen der zentralen Speicherung der Daten. Diese lade geradezu ein, die Daten auch für andere Zwecke wie polizeiliche Ermittlungen zu nutzen. Auch was mit den Daten passiert und ob sie beispielsweise gelöscht werden, ist nicht abschließend geklärt. Beobachter:innen fordern daher Datenschutzbehörden auf, dies zu überprüfen.

Die Corona-Warn-App schneidet hier in vielen Punkten besser ab: So werden die Daten nicht an einer einzigen Stelle, sondern dezentral auf dem eigenen Smartphone gespeichert. Das gilt für die Check-ins genauso wie für die Impf- und Testnachweise. Außerdem müssen nicht zwingend personenbezogene Daten angegeben werden. Die dezentrale Speicherung bedeutet gleichzeitig, dass es kaum Möglichkeiten zur Zweckentfremdung der Daten gibt.

Neben Datenschutz- gibt es bei luca aber auch Sicherheitsbedenken: So gab es bei den Schlüsselanhängern mit QR-Codes beispielsweise gravierende Sicherheitsmängel. Im Mai hatte zudem ein Sicherheitsforscher demonstriert, dass er die App und die dahinterliegenden Gesundheitsämter mit einem Schadcode in den eigenen Kontaktdaten angreifen konnte. Obwohl derartige Bedenken früh geäußert wurden, habe sich nicht viel verändert.

Neben den internen Problemen beim Datenschutz kam es auch zu einem Datenschutzvorfall in einem Mainzer Gesundheitsamt. Das Polizeipräsidium Mainz hat bei Ermittlungen zu einem Sturz mit Todesfolge auf Daten der Luca-App zugegriffen. Die Daten konnte das Präsidium über das zuständige Gesundheitsamt anfragen. Strafverfolgungen mit Daten der Luca-App sind allerdings – wie im Infektionsschutzgesetz festgeschrieben – aus datenschutzrechtlichen Gründen nicht zulässig. Das Gesundheitsamt hätte die Daten nie an die Polizei weitergeben dürfen. Die Folge: ein umfassender Datenschutzvorfall. Der zuständige behördliche Datenschutzbeauftragte ist informiert.