Die Luca-App und der Datenschutz – Update: Wie sicher ist die App?

Update vom 02.02.2022

Erfreulicherweise bieten mittlerweile mehr und mehr Unternehmen die Corona Warn-App für die Kontakterfassung mittels QR-Code an. Sollten die Bundesländer sich dazu durchringen, dies als gleichwertige Alternative anzubieten, wäre dies ein ausgesprochen guter Schritt in die richtige Richtung.

Update vom 12.01.2022

Auch im neuen Jahr bleibt das Thema Kontaktverfolgung im Infektionsfalle erhalten. Erhalten blieb auch die Kritik an der Luca App, einzelne Bundesländer prüfen, ob sie den bestehenden Vertrag auslaufen lassen wollen.
Die jüngsten datenschutzrechtlich brisanten Vorfälle mehren die Zweifel. So wurden nach Entschlüsselung durch den Betreiber und das zuständige Gesundheitsamt die Kontaktdaten in einem Fall widerrechtlich für polizeiliche Ermittlungen genutzt. Derartige Vorfälle, in Zeiten der papiernen Nachweise häufiger vorkommend, stärken die Position der Verfechter der App nicht.
Mittlerweile wurde auch die Corona Warn-App des Bundes ausgebaut und kann, sofern angeboten, Kontakte zwischen Personen bei Veranstaltungen oder an öffentlichen Orten auswerten und mögliche betroffene Personen direkt warnen. Was angesichts der Überlastung der Gesundheitsämter der wohl effizientere Weg sein dürfte.

Update vom 23.08.2021

In den letzten Wochen mehren sich kritische Stimmen aus den Gesundheitsämtern, die deutliche Zweifel am Nutzen der Luca App für die Kontaktnachverfolgung äußern. So meldet beispielsweise der MDR, dass Weimar das Pilotprojekt mit der App nicht fortführen wird.

Zu viele und wenig nutzbringende Informationen führten eher zu einer Überlastung der Ämter. Oftmals seien die Bereiche der Kontakterfassung zu weit ausgelegt, um echten Nutzen zu generieren.

Der Bundesdatenschutzbeauftragte empfiehlt eine Änderung der Corona Landesverordnungen

Aus diesem Grund empfiehlt der Bundesdatenschutzbeauftragte aktuell via Twitter die Änderung der Corona Landesverordnungen um die dezentrale Corona Warn-App des Bundes zur Kontakterfassung zuzulassen. Dies würde, so Ulrich Kelber, die Gesundheitsämter entlasten und zugleich die direkte Information möglicherweise infizierter Personen erlauben.

Update vom 31.07.2021

Mittlerweile ist in der aktuellen Version der Luca App auch die Möglichkeit impementiert, den aktuellen Impfstatus (Erstimpfung, Zweitimpfung, Datum des vollständigen Impfschutzes) zu hinterlegen. Analog zur Corona Warn-App des Bundes kann der erhaltene QR-Code des Impfzertifikats hinzu gefügt werden.

Angezeigt wird, neben dem Impfstatus (Vollständiger Impfschutz in …) das Impfdatum der jeweilig aktuellen Impfung, der empfangene Impfstoff, das Geburtsdatum des Geimpften und der Aussteller des Zertifikats.

Update vom 07.06.2021

Nachdem uns einige Rückfragen erreichten, hier zur Information noch detaillierter. Bei der beschriebenen Sicherheitslücke handelt es sich um eine Lücke, die ausschließlich die Gesundheitsämter nach der Entschlüsselung der vorliegenden Informationen betrifft. Unternehmen, die die Luca-App zur zum Contact-Tracing einsetzen, sind nach dem vorliegenden Kenntnisstand nicht gefährdet.

Zudem haben Unternehmen, welche die Luca App einsetzen, bedingt durch die Verschlüsselung keinerlei Möglichkeit, Schadcode zu identifizieren. Darüber hinaus haben die Betreiber versichert, die Lücke sei geschlossen. Natürlich müssen die Gesundheitsämter geeignete organisatorische und technische Maßnahmen für den Schutz ihrer digitalen Infrastruktur treffen.

Dennoch sollten Unternehmen den Einsatz der App mit ihren jeweils zuständigen Gesundheitsämtern absprechen und koordinieren. Der Vorteil, auch kleinräumige Kontakte, beispielsweise im Innenbereich von Restaurants, können weitaus besser eingegrenzt werden, als mit den klassischen Papierlisten, deren Auswertung zeitaufwändig und datenschutzrechtlich problematischer ist.

Angebot:
Datenschutz ist machbar – ohne dass die Kosten aus dem Ruder laufen.
Wir arbeiten als Team für mittelständische und kleinere Unternehmen, teils als bestellte externe Datenschutzbeauftragte, teils in spezieller beratender und unterstützender Funktion für interne DSB.
Transparenz bei den Kosten – weitere Informationen auf dieser Seite.

Update vom 02.06.2021

Laut Pressemeldungen haben die Betreiber der App nachgebessert und die beschriebene Sicherheitslücke geschlossen. Das Bundesamt für Sicherheit in der Informationstechnik hat in einer Stellungnahme den Betreiber der App für die Sicherheit der Verarbeitung verantwortlich gemacht. Diese Verantwortung kann weder an die Gesundheitsämter, noch die Unternehmen, die das System einsetzen, abgegeben werden.
Sollten Sie planen, die App im Unternehmen einzusetzen, empfiehlt sich eine frühzeitige Kontaktaufnahme mit den zuständigen Gesundheitsämtern.

Update: vom 26.05.2021

Sicherheitsexperten warnen: Die Luca-App gefährdet die Arbeit der Gesundheitsämter

Wie die Zeit online heute meldet, haben Sicherheitsexperten gravierende Mängel der Luca-App ausgemacht, die im Extremfall zum Lahmlegen von Gesundheitsämtern und zur Verschlüsselung von Clients und Servern der Ämter führen kann. Das Einfallstor für erfolgreiche Angriffe auf die Integrität und Verfügbarkeit der Daten der Gesundheitsämter scheint weit offen zu sein. Nach Darstellung der Zeit ist es Angreifern möglich, Schadcode in den von Luca übermittelten Daten zu verstecken. Massenhafte Angriffe zur Verschlüsselung von Zielsystemen sind ebenso möglich, wie SQL-Injections zum Abfischen der Sormas-Zieldatenbanken.

Update 26.5.2021 – 19.20 Uhr

Wie heise online berichtet, liegt mittlerweile die Stellungnahme des Betreibers der App vor. Hier die Bewertung durch heise online im Zitat:
„…Zur Bewertung lässt sich sagen, dass die Hersteller der Luca-App eine wichtige Sicherheitsmaßnahme sträflich vernachlässigt haben. Das Filtern von Daten, die ein Angreifer in Systeme einschleusen könnte, ist eine der wichtigsten Maßnahmen zum Schutz gegen Cyber-Angriffe. Dabei wurden die Herausgeber der App bereits Anfang Mai auf dieses Problem hingewiesen. Da haben sie ein solches Szenario allerdings kategorisch ausgeschlossen: „Eine code injection über den Namen ist bei Luca im Gesundheitsamt nicht möglich“, zitiert etwa Zeit Online Patrick Henning….“
(Quelle: https://www.heise.de/news/Gefahr-fuer-Gesundheitsaemter-Luca-App-ermoeglicht-Code-Injection-6054744.html)

Noch gibt es keine Stellungnahme des Bundesamtes für Sicherheit in der Informationstechnik. Wir informieren Sie, wenn neue Nachrichten vorliegen.

Ältere Artikel zum Thema:

Wer die Presseveröffentlichungen der jüngeren Zeit verfolgt hatte, konnte fast den Eindruck gewinnen, dass der Datenschutz, genauer der Schutz personenbezogener Daten, ein wesentlicher Hinderungsfaktor einer erfolgreichen Pandemiebekämpfung wäre. Ein gern gezogenes Argument, um fehlerhafte Einschätzungen, mangelhafte Beschlüsse und Aktivitäten zu kaschieren und Verantwortlichkeiten zu verschleiern.

Datenschutz versus Contact-Tracing?

Wer das Thema nüchterner betrachtet, kommt sehr schnell zum Ergebnis, dass häufig von Tracing gesprochen wird, aber in Wirklichkeit Tracking gemeint ist. Während Apps, wie sie beispielsweise in China oder Südkorea eingesetzt werden, echtes Contact-Tracking realisieren und sogar als Kontrollinstrument für die Einhaltung von Quarantänemaßnahmen eingesetzt werden, geht es beim Tracing zunächst einmal nur darum, ein Protokoll über Bewegungen zu erstellen. Was konkret mit diesem Protokoll geschieht, liegt dann in der Hand desjenigen, der die Tracing-App einsetzt. Werden Tracking-Systeme eingesetzt, liegen die weiteren Auswertungen und Schritte nicht mehr bei dem Betroffenen. Der Hauptunterschied beider Vorgehensweisen liegt also in der Freiwilligkeit. Aus gutem Grund müssen also echte Trackingsysteme sehr genau betrachtet und auf ihre datenschutzrechtliche Berechtigung hinterfragt werden.

Die Corona Warn-App des Bundes

Bislang enthält die Corona Warn-App des Bundes weder eine Tracking- noch eine automatisierte Tracing-Funktion. Nachgerüstet wurde lediglich die Option, händisch einen Kontakt, entweder einen Ort oder eine Person, einzugeben und zu speichern. Seit kurzem besteht auch die Möglichkeit, diese Daten freiwillig als „Datenspende“ an das RKI zu übermitteln. Das ganze Procedere ist mühsam und aufwändig. Es darf bezweifelt werden, dass die User der Corona Warn-App diese Möglichkeit immer nutzen. Andererseits muss festgehalten werden, dass gerade die Corona Warn-App aufgrund des datenschutzrechtlich einwandfreien Konzepts breit akzeptiert ist.

Der Mangel an Komfort bei der Bedienung hat dazu geführt, dass eine Reihe von Anbietern alternative Apps auf den Markt gebracht haben. Die aktuell populärste dürfte die Luca-App sein.

Die Luca-App – (k)eine Alternative zur Corona Warn-App

Lediglich die angeschlossenen Gesundheitsämter verfügen über die Möglichkeit der Entschlüsselung. Damit bietet die App einen echten Mehrwert zu den im vergangenen Jahr durchaus auch missbrauchten Kontaktlisten in Papierform. Datenschutzrechtlich ist das eindeutig ein erheblicher Fortschritt.

Der User entscheidet selbst über die Datenfreigabe

Der Hauptunterschied zu klassischen Trackingverfahren ist, dass der User selbst nach der Information eines möglichen Kontakts mit Infizierten entscheidet, ob er seine Kontakthistorie freigeben möchte oder nicht. Für die Kontaktnachverfolgung durch die Gesundheitsämter ist es natürlich eine Erleichterung, wenn Kontaktdaten quasi auf Knopfdruck digitalisiert zur Verfügung stehen und in die Systeme der Ämter eingespeist werden können. Gerade die Tatsache, dass jeder User sich freiwillig für die Datenweitergabe entscheiden kann, dürfte die Hemmschwelle des Einsatzes der App deutlich senken. Das Grundrecht auf informationelle Selbstbestimmung ist eben kein Luxusrecht, das je nach politischer Großwetterlage geschleift werden kann. Wer Angst haben muss, dass seine Daten zu anderen als zu den angekündigten legitimen Zwecken missbraucht werden, wird im Zweifel Falschangaben und Verschleierung vorziehen. Die Benjamin Blümchens in der Gastronomie vom vergangenen Jahr sind die logische Folge.

Contact-Tracing kann datenschutzkonform realisiert werden und gerade deshalb einen wirksamen Beitrag zur Pandemiebekämpfung leisten.

Unternehmen wie Behörden sind gut beraten, sich mit den Möglichkeiten des digitalen Contact-Tracing auseinanderzusetzen. Damit kann und wird die Corona Warn-App nicht obsolet werden, aber eine sinnvolle Ergänzung sind gute, datenschutzkonforme Tracing-Apps allemal.

Mecklenburg-Vorpommern und nun auch Berlin

setzen künftig die Luca App ergänzend ein. Mehrere Landesbeauftragte für Datenschutz halten die App für einen deutlichen Fortschritt und empfehlen sie. Nach jüngsten Meldungen soll nun auch die Corona Warn-App des Bundes eine Contact-Tracing Funktion erhalten.
Nach den Meldungen von gestern und heute führen Baden-Württemberg, Hessen und Brandenburg ebenfalls die Luca App ein.

Bewertung durch die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder

Inzwischen liegt auch eine Bewertung der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) vor. Insgesamt wird die App positiv bewertet, es wird jedoch empfohlen das Schutzniveau zu verbessern.

Die culture4life GmbH hat nach derzeitiger Kenntnis der DSK in dem Luca-System die oben genannten Vorteile realisiert und bisher identifizierte Risiken teilweise behandelt. Die DSK fordert das Unternehmen dennoch auf, weitere Anpassungen an dem System vorzunehmen, um den Schutz der teilnehmenden Personen weiter zu erhöhen.

….

Die DSK fordert die Gesetzgeber auf Landes-und Bundesebene auf, bundeseinheitliche gesetzliche Regelungen zur digitalen Kontaktnachverfolgung zu schaffen. Dabei ist auch zu prüfen, inwieweit mit datensparsameren Verfahren das Ziel der Kontaktnachverfolgung im Rahmen der aktuellen Pandemiebekämpfung erreicht werden kann.

Stellungnahme der DSK vom 26.3.2021: https://www.bfdi.bund.de/SharedDocs/Publikationen/Entschliessungssammlung/DSKBeschluessePositionspapiere/Mrz21_Kontaknachverfolgungsapp.html?nn=5217016

Update vom 08.04.2021:

Zum Zeitpunkt der ersten Version dieses Artikels stand die Veröffentlichung des Quellcodes als Open Source noch aus, diese war seitens der Anbieter für Ende März versprochen worden. Stand heute muss leider festgehalten werden, dass der Quellcode des Backend-Servers nicht veröffentlicht wurde und die teilweise veröffentlichten Quellcodes deutliche Probleme aufweisen. Mittlerweile wurde zwar aufgrund der teilweise recht massiven Kritik nachgebessert, es bleiben jedoch wichtige Fragen unbeantwortet. Dies kann man unter dem Gesichtspunkt von Anfangsschwierigkeiten bewerten. Nach wie vor halten wir die App für eine sinnvolle Ergänzung der Corona Warn-App, die in Kürze ebenfalls Contact-Tracing ermöglichen soll. Eine abschließende Bewertung ist jedoch aktuell nicht möglich.

Angebot:
Datenschutz ist machbar – ohne dass die Kosten aus dem Ruder laufen.
Wir arbeiten als Team für mittelständische und kleinere Unternehmen, teils als bestellte externe Datenschutzbeauftragte, teils in spezieller beratender und unterstützender Funktion für interne DSB.
Transparenz bei den Kosten – weitere Informationen auf dieser Seite.

Sie möchten die Luca App oder ein anderes Contact-Tracingverfahren in Ihrem Unternehmen einsetzen?

Schreiben Sie uns eine kurze Mail (info@prisecon.de) und schildern Sie uns Ihr Anliegen. Gerne helfen wir weiter.