Corona-NachverfolgungLuca-App – neue Mängel und immer noch intransparent

Die Luca-App soll vor allem den Besuch im Restaurant, Konzert oder Geschäft erleichtern: Einfach einchecken mit Smartphone-Kamera und einem QR-Code, der vom Ladenbesitzer oder der Veranstalterin generiert wird.

Die persönlichen Daten werden dann verschlüsselt auf einem Server der Berliner Entwicklerfirma Nexenio gespeichert. Sobald sich ein Nutzer oder eine Nutzerin mit Corona infiziert hat, können die Gesundheitsämter auf die verschlüsselten Daten zurückgreifen und mit der Kontaktverfolgung beginnen. Anhand des hinterlegten Check-in-Verlaufs ist nachvollziehbar, wer mit im Laden oder beim Konzert war und sich möglicherweise infiziert hat.

Und genau bei dieser Funktion hat die App eine Schwachstelle: Personen können sich mit dem QR-Code von überall einchecken, egal, ob sie vor Ort sind oder nicht. Fernseh- und Podcast-Moderator Jan Böhmermann hat das demonstriert: Er war in Berlin, hat sich aber nachts um halb eins mithilfe der Luca-App im Osnabrücker Zoo eingecheckt.

Deutschlandfunk-Nova-Reporter Konstantin Köhler meint, dass man der App nicht vorwerfen könne, dass man sich einchecken kann, obwohl man nicht vor Ort ist. Das sei technisch bedingt. Aber: Für die Gesundheitsämter ist das ein Problem. Denn sie können sich im Zweifelsfall nicht darauf verlassen, dass die Daten, die die App übermittelt, wirklich stimmen. Möglicherweise waren die Menschen, die sich für den Besuch im Osnabrücker Zoo registriert haben, gar nicht dort, wo ein Corona-Fall aufgetreten ist.

Alle Zoo-Besucher in Quarantäne?

Auf ein weiteres Problem weist die Bundestagsabgeordnete Anke Domscheit-Berg hin: Wenn es einen Corona-Fall im Duisburger Zoo gibt, dann ist es eher unwahrscheinlich, dass der oder die Infizierte alle Besucher des Zoos auf einmal angesteckt hat. Die App könnte also dazu führen, dass viel zu viele Menschen informiert- und in Quarantäne geschickt werden. Die App ist demnach viel zu ungenau.

Schon zum Start der App gab es Kritik am Datenschutz. Inzwischen warnen Datenschützer vor der Nutzung der App. Eine Analyse von Forschenden der Eidgenössischen Technischen Hochschule Lausanne in der Schweiz kommt zum Ergebnis: Der Datenschutz ist mangelhaft, zum Beispiel sei die Anonymität gar nicht gegeben. Mit großer Wahrscheinlichkeit ließe sich rekonstruieren, welches Gerät und letztlich welche Person sich hinter einer pseudonymen Nutzer-Identifikationsnummer verbirgt. Die Sicherheit der App beruhe allein auf dem Vertrauen in den Server und Nexion.

Immerhin hat Nexion den Quellcode der App veröffentlicht, sodass sie jetzt bis ins letzte Detail von Expertinnen und Experten analysiert werden könnte. Kritisiert wird aber nach wie vor, dass wohl nicht alles zugänglich sei. Sebastian Grüner vom Online-Magazin golem.de hat den Eindruck, es solle gar nicht alles offen gelegt werden. Die Überprüfung unter einer bestimmten Lizenz sei schwierig, sodass letztlich der Quellcode der Luca-App gar nicht unabhängig überprüft werden könne.

Markus Feilner vom Online-Magazin heise.de kritisiert, dass das, was bisher an Softwarequelltext publiziert worden sei, unvollständig und von fragwürdiger Qualität sei.

Behörden und Verwaltungen, die die Luca-App noch nicht nutzen oder bestellt haben, können auf das Update der Corona-Warn-App hoffen. Diese soll ebenfalls eine Check-In-Funktion bekommen. In Bezug auf Sicherheit und Datenschutz ist diese App bisher positiv bewertet worden, meint Konstantin Köhler.