Die Corona-Tracing-App wird nach höchsten Sicherheitsstandards entwickelt. Risiken birgt allerdings laut der PSW-Group die dafür notwendige Bluetooth-Schnittstelle. Android-Anwender sollten zudem die Berechtigung für den Standortzugriff einschränken.
Um in der Corona-Pandemie die Ansteckungsgefahr zu vermindern, soll die Corona-Warn-App Kontakte von erkrankten Menschen verfolgen. In Deutschland wurde diese App in diesem Monat von der Deutschen Telekom und SAP fertiggestellt. Am Pfingstwochenende wurden bereits Quellcodes veröffentlicht. Hinsichtlich des Datenschutzes gab es bereits zu Beginn der Diskussion um eine Corona-App große Bedenken. Zunächst sprach sich die Bundesregierung für eine zentrale Datenspeicherung aus, entschied sich dann jedoch für eine dezentrale Variante. „Das hat den Vorteil, dass die Daten auf den Smartphone und nicht zentral auf einem Server liegen“, berichtet Patrycja Tulinska, Geschäftsführerin des Security-Spezialisten PSW GROUP. „Ansonsten könnte eine solche Datensammlung mit hochsensiblen Daten missbraucht werden, um unerlaubt Kontaktbeziehungen zu ermitteln und Profile anzulegen.“
In der Bevölkerung halten sich die Bedenken dennoch. IT-Sicherheitsexpertin Tulinska vermutet, dass diese auch daher rühren, dass der Unterschied zwischen Tracking und Tracing nur wenig bekannt ist. Mal höre man im Zusammenhang mit der Corona-App den Begriff Tracking-App, dann wieder Tracing-App. „Den Begriff Tracking kennen viele von ihrem Browser, aus dem Online-Marketing und von GPS-Geräten“, erläutert Tulinska. „Tracking bedeutet tatsächlich verfolgen. Beim Tracing hingegen geht es nicht ums Verfolgen, sondern ums Ermitteln.“
Anzeige
Trovarit Academy – Webinare zum Thema Business Software
Außerhalb der Corona-App sind deren Daten nutzlos
Bei der Corona-App handle es sich um eine Tracing-App. Beim Tracing wird für Verdachtskontakte eine für Menschen völlig unverständliche Zeichenkette angelegt und vorübergehend gespeichert. Diese Zeichenkette enthält Informationen über das verwendete Smartphone, das Datum, die Uhrzeit, die Nähe zum Kontakt sowie die Dauer der Begegnung. Da hier weder Orte noch Namen oder andere persönliche Daten enthalten sind, ist die angelegte Zeichenkette außerhalb der App komplett nutzlos. Die Corona-App selbst soll lediglich die eigenen Schlüssel und die IDs anderer Geräte speichern, außerdem Daten, die zur Kalkulation des Risikofaktors nötig sind, wie Zeitpunkt und Dauer von Kontakten oder empfangene Signalstärke. Die Signalleistung soll verschlüsselt übertragen werden – ein wichtiger Wert, der dabei hilft, die Entfernung zum Gegenüber einzuschätzen.
„Einen Zugriff auf die im Gerät gespeicherten Kontaktdaten wird es ebenso wenig geben wie die Speicherung von Standortdaten“, beruhigt Tulinska. Bei der App-Installation fielen keinerlei personenbezogene Daten an. Das Hochladen eigener Schlüssel erfordere jedoch eine Autorisierung durch die zuständige Gesundheitsbehörde, die mittels TAN erfolgen soll. Diese lasse sich per QR-Code oder telefonisch eingeben.
Bluetooth hat mehrere Sicherheitslücken
Das mögliche Problem zeigt sich für die IT-Sicherheitsexpertin an einer ganz anderen Stelle: Die Grundlage der Corona-Warn-App bildet eine offene Bluetooth-Schnittstelle, die Apple und Google bereits im Mai in die jeweiligen Betriebssysteme implementiert haben. Seit Mitte Mai ist die Kontaktverfolgungs-API der Corona-App freigegeben (Apple iOS ab Version 13, Google Android ab Version 6). „Bluetooth gehört nicht zu den sichersten Möglichkeiten“, erläutert Tulinska das Risiko. „Diese Technologie wurde nie für das Tracing entwickelt. Der eigentliche Zweck war immer der Datenaustausch aus kurzer Entfernung.“ Wer die Corona-App nutzen möchte, muss Bluetooth dauerhaft aktivieren. „Erst vor wenigen Monaten wurde eine Sicherheitslücke im Bluetooth-Stack von Android gefunden“, warnt Tulinska. „Wenige Wochen ist es her, dass Sicherheitsexperten eine weitere Lücke veröffentlichten, die nahezu alle Geräte betrifft.“
Behörden haben die Möglichkeit, die Schnittstellen in die nationalen Corona-Apps zu integrieren. Vertrieben werden diese dann über die App-Stores der Betriebssystementwickler. Ohne Nutzerzustimmung startet die Kontaktverfolgung laut Tulinska nicht. Mit Zustimmung werde der Smartphone-Nutzer gewarnt, wenn er Kontakt mit erkrankten Menschen hatte. Es erscheine dann ein Hinweis zum Download der App der jeweils zuständigen Behörde, um dann weitere Schritte einzuleiten. Die per Bluetooth erfassten IDs würden lokal auf dem Smartphone gespeichert und nach 14 Tagen wieder gelöscht. Erkrankte Mitmenschen könnten ihre Keys an die Server der zuständigen Gesundheitsbehörde übermitteln. Smartphones von Personen, die in direktem Kontakt zum Erkrankten standen, würden dann darüber informiert. Diese Daten würden ausschließlich über die Server weitergeleitet werden.
Corona-Schnittstelle kommt via App-Store
Apple hat die Bluetooth-API bereits über Updates ausgerollt: Die jüngst erschienene Version 13.5 von Apple iOS bringt die Funktion mit. Nutzer älterer iPhones oder iPads, auf denen die Version 13 nicht läuft, können die Schnittstelle nicht nutzen. „Wer bereits Apple iOS 13.x nutzt, findet die Tracing-Funktion in den Einstellungen unter „Datenschutz“ – „Health“ – „COVID-19 Kontaktprotokoll“, informiert Tulinska. „Die Funktion ist standardmäßig deaktiviert.“
Android-Anwender bekämen die Tracing-Funktion über die Google Play Services. Schließlich sei nicht Google selbst für das Einspielen von Updates unter Android verantwortlich, sondern die einzelnen Gerätehersteller. „Auch unter Android ist die Funktion standardmäßig deaktiviert“, erklärt Tulinska. „Wie schon unter Apple iOS, lässt sich die Option erst aktivieren, wenn eine entsprechende Corona-App installiert ist. Die generierten IDs lassen sich in den Systemeinstellungen löschen, außerdem können hier Kontaktbenachrichtigungen deaktiviert werden.“
Standort-Verfolgung könnten auch andere Android-Apps nutzen
Die Corona-Tracing-App erfüllt die höchsten Sicherheitsstandards“, berichtet Patrycja Tulinska, Geschäftsführerin des Security-Spezialisten PSW Group. „Das dafür nötige Bluetooth-Protokoll leidet aber unter mehreren Sicherheitslücken. Android-Anwender sollten die Standortzugriffs-Berechtigung deaktivieren, sonst können auch Android-Apps oder Google-Dienste diese Daten auswerten.“
Damit die Bluetooth-API bei Android-Geräten arbeiten kann, muss die Standortermittlung aktiviert sein. Die Corona-App soll zwar keine Standortdaten nutzen, allerdings können laut Tulinska andere Apps oder Google-Dienste diese Informationen auswerten: „Android-Nutzer sollten daher die Standortzugriffsberechtigung deaktivieren.“ Jürgen Frisch
