So schneidet die Rot-Kreuz-App bei Experten ab

Am Mittwoch präsentierten Rechtsexperten ihre Einschätzung zur "Stopp Corona"-App des Roten Kreuzes. Vor allem hinsichtlich datenschutzrechtlicher Bedenken, geben sie weitgehend Entwarnung.

Am Mittwoch veröffentlichten Experten in einem Bericht ihre Einschätzungen zur Rot-Kreuz-App "Stopp Corona". Im Vorfeld war diese App Gegenstand vieler Diskussionen. Während Politiker und Vertreter des Roten Kreuzes Werbung für die Sinnhaftigkeit der App machten, meldeten manche User datenschutzrechtliche Bedenken an.

Zwar machten die Experten insgesamt 25 Verbesserungsvorschläge, es wurden jedoch keine kritischen Sicherheitslücken gefunden, so das Gutachten.Viele empfohlene Verbesserungen wurden bereits vom Roten Kreuz (ÖRK) umgesetzt. Innerhalb des bestehenden Systems wurden einige dieser Punkte bereits am Mittwoch implementiert, andere benötigen langfristige Änderungen - auch durch Apple und Google.

Rotes Kreuz bat um App-Analyse

Das ÖRK und Accenture GmbH, jene Firma, die die App gestaltet hat, haben den Quellcode der Stopp Corona-App (Version 1.1) epicenter.works, noyb.eu und SBA für eine Analyse zur Verfügung gestellt, um die Software im Hinblick auf IT-Security, Datenschutz und rechtliche Aspekte zu analysieren.

Experten haben daraufhin die Applikation sicherheitstechnisch und im Hinblick auf Datenschutz überprüft und ihre Erkenntnisse am Mittwoch mitgeteilt. Insgesamt machte das Gremium 25 Verbesserungsvorschläge, von denen bereits 16 umgesetzt wurden. Drei weitere Verbesserungen werden mit der nächsten Version der App kommende Woche realisiert. Weitere vier Empfehlungen können erst in rund einem Monat umgesetzt werden.

Die App basiert zwar auf einer dezentralen Speicherung der Daten auf dem eigenen Handy - die Kommunikation zwischen den Telefonen passiert aber noch weitestgehend über zentrale Server, da das relevante Bluetooth-Protokoll zu wenig Daten zwischen den Mobiltelefonen übertragen kann.

Manche Adaptierungen brauchen noch Wochen

Denn für manche Nachbesserungen ist eine technische Umstellung von Apple und Google notwendig. Sobald diese erfolgt ist, wird dem Roten Kreuz dringend empfohlen auf ein anderes Konzept zu wechseln, so Thomas Lohninger von epicenter.works. Konkret geht es um Lösungen, die auch den Großteil der Kommunikation direkt von Handy zu Handy ermöglichen und damit noch datenschutzfreundlicher sind.

Grundsätzlich bescheinigen die Fachleute der App im Hinblick auf sicherheitstechnische Aspekte und Fragen des Datenschutzes ein gutes Ausgangsniveau, empfehlen jedoch eine Reihe von Nachbesserungen. Christian Kudera, IT-Sicherheitsexperte SBA Research: "In der App war eine Statistikfunktion eingebaut, die den Kontaktaustausch über Bluetooth und den Empfang von Infektionsnachrichten an das Rote Kreuz übermittelt hat. Die Statistikfunktion wurde aufgrund unserer dringenden Empfehlung umgehend entfernt."

Ein weiteres Problem ist das Offline-Tracking von Geräten. Christian Kudera, IT-Sicherheitsexperte SBA Research: "Es ist für Angreifer möglich, Smartphones über längere Zeiträume an bestimmten Orten wiederzuerkennen und im Extremfall Bewegungsprofile zu erstellen. Uns wurde zugesagt, dass dieses Problem mit einer neuen Version Ende nächster Woche behoben wird." Nutzer können als Zwischenlösung den automatischen Handshake deaktivieren.

App ist mit Datenschutz vereinbar

Das Konzept der App ist nach dem europäischen Datenschutzrecht zulässig. Max Schrems, Datenschutzjurist, noyb.eu: "Das Konzept des Roten Kreuz ist jedenfalls datenschutzkonform. In der doch extrem schnellen Umsetzung kann man aber noch in Details nachbessern. Wir haben noch genauere Informationen empfohlen und mehr Gedanken, wie man sicherstellen kann, dass die Corona-Warnungen auch korrekt sind. Vieles davon wurde sofort umgesetzt."

Contact-Tracing-Apps können im Idealfall Leben zu retten. Die österreichische "Stopp Corona"-App ist, soweit bekannt, mit 400.000 Installationen bisher Vorreiter in Europa. Dennoch mahnt Schrems zu ständigen Aktualisierungen. Der Stand der Technik würde sich nahezu täglich ändern. Da müsse das Rote Kreuz dranbleiben, so Schrems.

Wer den gesamten Bericht mit allen technischen Details nachlesen will, kann dies hier tun.

Zahlen in Österreich: