Contact-Tracing-Apps dienen Einzelnen dazu, herauszufinden, ob sie kürzlich Kontakt zu einer Person hatten, die mittlerweile positiv auf SARS-CoV-2 getestet wurde. Die Hoffnung ist, mit diesen Apps Infektionsketten schneller zu erkennen und damit Neuinfektionen zu verhindern, wenn Ausgangsbeschränkungen gelockert werden. Sie wären eine Ergänzung zu manueller Kontaktnachverfolgung durch die Gesundheitsämter sowie zu Sicherheitsmaßnahmen wie Abstands- oder Mundschutz-Regeln.
Bei der technischen Umsetzung gibt es weltweit verschiedene Ansätze. Im Gespräch sind die Nutzung von Funkzellendaten, GPS, WLAN-basierter Ortung und Bluetooth. Auch die Verknüpfung dieser Standortdaten mit personenbezogenen Daten, wie Telefonnummer, Kreditkarten oder Klarnamen variiert zwischen den Ländern.
Wir möchten auf eine Welt hinarbeiten, in der Menschen in der Lage sind souverän zu entscheiden, wem sie welche personenbezogenen Daten preisgeben möchten. Gerade Gesundheitsdaten sowie Daten über soziale Kontakte sind hochgradig sensibel und damit besonders schützenswert. Bei der Entwicklung einer Contact-Tracing-App spielen Datenschutzkonformität und Anonymität deshalb für uns eine entscheidende Rolle.
Verschiedene technische Ansätze
Die vielversprechendsten Ansätze für Contact-Tracing-Apps basieren auf Bluetooth Low Energy. Im Gegensatz zur viel zu groben Funkzellen-, GPS- oder WLAN-basierten Ortung sind Bluetooth-basierte Ansätze sowohl in Gebäuden funktionsfähig als auch präziser in der Ermittlung von tatsächlichen persönlichen Kontakten.
Außerdem wird zwischen zentralen und dezentralen Umsetzungsmodellen unterschieden. Bei zentralen Ansätzen sammelt eine Instanz alle Daten und entscheidet über Kontaktereignisse. Bei dezentralen Ansätzen ist dies nicht der Fall. Hier entscheidet die App des Nutzers lokal über solche Kontaktereignisse.
Zweifel an Nutzen und Wirksamkeit von Digital Contact Tracing
Experten bezweifeln die Genauigkeit von Contact-Tracing-Apps aufgrund der Beschränkungen von Bluetooth. Und natürlich gibt es aufgrund der Aktualität der Situation bisher noch keine verlässlichen Studien über die Wirksamkeit solcher Apps in Bezug auf die Verhinderung von Neuinfektionen. Zudem kann wohl nicht mit einer vollständigen Abdeckung in der Bevölkerung gerechnet werden, da nicht jeder eine solche App kurz- oder langfristig nutzen möchte und nicht jeder ein passendes Gerät besitzt. Zudem steht und fällt die Effektivität einer App mit ihrer Verbreitung. Je mehr verschiedene Lösungen weltweit auf den Markt kommen, desto unwahrscheinlicher ist wohl deren Wirksamkeit.
Gefahren der Überwachung
Viel entscheidender bei der Bewertung von Contact-Tracing-Apps sind unserer Meinung nach aber die Gefahren der Überwachungsmöglichkeiten, die mit deren Verbreitung einhergehen. So besteht die Gefahr, dass ein zentraler Datentopf mit derart sensiblen personenbezogenen Daten schnell Begehrlichkeiten weckt. Dies könnte dazu führen, dass die vormals zur Bekämpfung von Covid-19 erhobenen Daten später auch zu anderen Zwecken genutzt werden könnten. Diese Bedenken haben kürzlich eine Reihe von Wissenschaftlern und Forschern in einem offenen Brief zum Ausdruck gebracht. Auch Edward Snowden warnt eindringlich vor einer solchen Entwicklung. Zuletzt warnten eine Reihe deutscher Organsationen in einem offenen Brief an Gesundheitsminister Jens Spahn vor zentralen Ansätzen, wie sie aktuell durch das Projekt PEPP-PT verfolgt werden.
Das positive Beispiele der App aus Südkorea kann uns dabei nicht als Vorbild dienen, weil es nicht im Sinne des europäischen Datenschutzes entwickelt wurde. Wird eine Person dort positiv auf SARS-COV-2 getestet, findet eine Integration verschiedener Daten statt. Persönliche Daten wie Alter und Geschlecht werden mit Bewegungsdaten dieser Person, wie besuchte Orte, Geschäfte, Toiletten und Hotels verknüpft. Anschließend werden diese Daten für Personen in der Nähe veröffentlicht.
Gefahren der IT-Sicherheit
Ein weiterer wichtiger Gefahrenfaktor ist die IT-Sicherheit solcher Apps. Einmal weit verbreitet, bieten sie ein interessantes Ziel für Hacker und Trolle. Eine detaillierte Übersicht über diese Gefahren hat das Forum InformatikerInnen für Frieden und gesellschaftliche Verantwortung e.V. in einer Datenschutz-Folgenabschätzung erarbeitet.
Anonymität und Datenschutzkonformität sind möglich
Aus den genannten Gründen hat sich der Chaos Computer Club frühzeitig Gedanken darüber gemacht, welche Anforderungen an ein Contact-Tracing mit Hilfe von Apps erfüllt sein müssen. Der CCC beschreibt dabei folgende 10 Prüfsteine:
- Epidemiologischer Sinn & Zweckgebundenheit
- Freiwilligkeit & Diskriminierungsfreiheit
- Grundlegende Privatsphäre
- Transparenz und Prüfbarkeit
- Keine zentrale Entität, der vertraut werden muss
- Datensparsamkeit
- Anonymität
- Kein Aufbau von zentralen Bewegungs- und Kontaktprofilen
- Unverkettbarkeit
- Unbeobachtbarkeit der Kommunikation
Die o.g. Gefahren der Überwachung und IT-Sicherheit werden unserer Meinung nach damit weitestgehend ausgeschlossen. Linus Neumann, IT-Sicherheitsexperte und Sprecher des CCC, beschreibt in seinem Blogbeitrag, wie eine entsprechende Umsetzung einer solchen App aussehen könnte.
Auch das EU Parlament hat am 17. April 2020 Forderungen zur dezentralen Datenerfassung sowie zur Freiwilligkeit von Contact-Tracing-Apps beschlossen.
Zusammenfassung
Besondere Situationen erfordern besondere Maßnahmen. Bei allem Zweifel sowie der möglichen Gefahren, könnten Contact-Tracing-Apps ein wichtiger Baustein sein, um Ausgangsbeschränkungen zurückzunehmen. Wir lehnen Lösungen ab, deren Grundlage eine zentrale Datenhaltung ist. Stattdessen fordern wir die Umsetzung dezentraler Lösungen, so wie sie aktuell am besten durch die Gruppe DP-3T (Decentralized Privacy Preserving Proximity Tracing) angedacht werden. Dabei müssen diese Apps unbedingt alle Anforderungen des CCC umsetzen. Nur so ergäbe sich eine essentielle Vertrauenswürdigkeit auf deren Basis dann ein möglichst breiter freiwilliger Einsatz bis zum Ende der Corona-Krise erfolgen kann. Wir begrüßen deshalb den Entschluss der Bundesregierung künftig nun doch auf dezentrale Lösungen zu setzen. Wir hoffen sehr, dass die Bundesregierung auch künftig früher und häufiger auf Experten-Meinungen – vor allem im Bereich des Datenschutzes – hört. Diese zu übergehen ist nicht sinnvoll – wie der breite Protest gezeigt hat.
Impulse sind Gedanken einzelner Arbeitsgruppen oder von Einzelpersonen direkt aus dem Herzen der Partei, die die internen Diskussionen spiegeln und eben neue Impulse setzen sollen. Sie geben nicht zwingend den Status quo unseres Programms wieder oder Aspekte vor, die garantiert in dieser Form in Zukunft Teil des Programms werden – aber eben werden könnten.