Seit Dienstag Nacht um zwei Uhr ist die offizielle deutsche Corona-App erhältlich, die von SAP und der Telekom entwickelte App basiert auf Technologien von Apple und Google.
Das Konzept wurde schon oft erläutert, es ist aber doch recht erklärungsbedürftig: Ein Nutzer der App sendet nach Installation und Aktivierung permanent Signale aus. Diese werden von allen anderen App-Nutzern in der Nähe per Bluetooth empfangen und Nähe und Dauer der Kontakte wird dadurch gespeichert – die Entfernung wird etwa anhand der Signalstärke bestimmt. Wie versprochen ist die Nutzung der App aber freiwillig und man wird anonym über einen eventuellen Kontakt mit einem Infizierten informiert. Der Staat erhält keine Informationen, wer mit wem im Kontakt war und nur der potenziell Infizierte wird informiert.
Das soll Befürchtungen der Nutzer vor Überwachung und Zwangs-Quarantäne beruhigen, so hatten anfangs Staaten und auch deutsche Landesbehörden die Kontaktdaten der Nutzer verlangt. Apple und Google hatten dies aber rigoros ausgeschlossen – zum nicht geringen Ärger einiger Länder wie Frankreich und Australien.
Kritik am Konzept
Das Konzept der beiden IT-Konzerne blieb aber nicht ohne Kritik, so hatte die EFF schon kurz nach Vorstellung des Systems einige kritische Anmerkungen geäußert. Einige dieser Kritikpunkte wurden nun von Forschern der TU Darmstadt in der Praxis getestet und bestätigt. Wie eine Studie zeigt, hat das Konzept der App doch einige Schwächen, die von Angreifern ausgenutzt werden könnten.
Was man vorab erklären sollte: Bei der Kritik geht es nicht um die von der Bundesregierung veröffentlichte App selbst, sondern das von Apple und Google entwickelte Tracing-Konzept, auch GAP API genannt. Die Corona-App ist die nur in Deutschland eingesetzte „Bedienoberfläche“ für diese Technologie, die auch in vielen anderen Ländern verwendet wird oder werden wird. Deshalb müssten Google und Android diese Schwachstellen beheben oder zumindest kommentieren.
Kann man die Nutzer identifizieren?
Erkannt werden die Kontakte über anonymisierte Identifikationsdaten, die per Bluetooth übertragen werden: Sogenannte Tracing Keys, die täglich neu generiert werden. Auf GPS-Informationen wurde zum Schutz der Privatsphäre eigens verzichtet. Mit genügend Aufwand sind aber laut den Forschern doch Profile der Nutzer erstellbar – wenn auch nur indirekt. Stellt man beispielsweise an mehreren Standorten Empfangsgeräte auf, die diese sogenannten Tracing Keys eines Nutzers auffangen und speichern, kann man seine Bewegungen nachvollziehen. Das genügt oft für eine Zuordnung, kann man eine Person doch einem bestimmten Arbeitsplatz oder Wohnort zuordnen. Im Einzelfall könnte man so auch einen Infizierten „deanonymisieren“.
Kann man falsche Kontaktdaten senden?
Leider gibt es immer wieder „Trolle“, die einfach nur Schaden anrichten wollen. Auch hier bietet die App Angriffspunkte für eine sogenannte „Wormhole-“Attacke. So könnten Angreifer die Tracing Keys von Infizierten auffangen und an anderen Stellen wiederholt abspielen. Dies würde zu einer Fülle an unnötigen Zahl an Kontakten führen und vermutlich auch zahlreichen Fehlalarmen.
Wie die Entwickler ergänzen, könnten allerdings so gut wie alle Tracing-Apps durch solche Angriffe beeinträchtigt werden. Nach ihrer Einschränkung ist das System aber eindeutig verbesserungsfähig. Eine Lösung können Sie nicht anbieten.
Unsere Meinung:
Das von Apple und Google entwickelte Tracing-System ist offensichtlich nicht völlig sicher vor Angriffen. Nach unserem persönlichen Eindruck ist die Gefahr für die Nutzer aber in der Praxis eher begrenzt: Angriffe sind zwar möglich, das sollte aber niemanden von der Nutzung der für die Eindämmung der Pandemie sehr wichtigen App abhalten. Die Erstellung von Nutzerprofilen ist äußerst aufwendig und die Gefahr von Trollen attackiert zu werden aktuell recht gering. Konzipiert ist das System außerdem nur für eine sehr begrenzte Nutzungsdauer, was die langfristige Gefährdung weiter reduzieren sollte.
Autor: Stephan Wiesend, Autor
Stephan Wiesend schreibt seit 2001 für IDG Artikel zu den Themen Mac-OS, iOS, Software, Hardware und Praxis. Seit 2003 arbeitet er als freier Autor in München und hat bereits mehrere Bücher zum Thema Apps veröffentlicht.