Nachrichten, Gerüchte, Meldungen und Berichte aus der IT-Szene

Redaktion: Heinz Schmitz


Corona-Warn-App

Corona Warn-App

Die Corona Warn-App findet auch bei Fachlauten breite Zustimmung. (Quelle: coronawarn.app)

 

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Entwicklung der Corona-Warn-App von Beginn an in beratender Funktion begleitet. So unterstützte das BSI den Open-Source-Entwicklungsprozess etwa durch Code-Reviews und Penetrationstests des zur Verfügung gestellten Codes von Frontend und Backend. Im Zuge der Tests entdeckte kritische Schwachstellen wurden transparent gemacht und gemeinsam mit den Entwicklern behoben. Zudem war das BSI an der Erstellung der Sicherheitsdokumentation beratend beteiligt. Die Corona-Warn-App der Bundesregierung erfüllt alle für diese App zutreffenden Anforderungen aus der technischen Richtlinie "TR 03161 - Sicherheitsanforderungen an Digitale Gesundheitsanwendungen"

 

Dazu erklärt BSI-Präsident Arne Schönbohm: "Das BSI stand den Entwicklerinnen und Entwicklern der Corona-Warn-App von Anfang an beratend zur Seite, um bei jedem Schritt ein Höchstmaß an IT-Sicherheit für die Bürgerinnen und Bürger zu gewährleisten. Im engen Austausch mit der Bundesregierung, dem Robert Koch-Institut und den Entwicklern der App haben wir unsere Expertise insbesondere durch entwicklungsbegleitende Tests der App und der zugehörigen Backend-Infrastruktur eingebracht. Zudem waren unsere IT-Grundschutz-Expertinnen und -experten maßgeblich an der Erarbeitung und Umsetzung des Sicherheitskonzepts beteiligt. Dadurch wird die Corona-Warn-App sicher und datenschutzfreundlich dazu beitragen, die Corona-Pandemie einzudämmen. Ich selbst habe die App sofort heruntergeladen und werde sie auch meinem Umfeld empfehlen. Vertrauen schaffen und Grundrechte durch Technik und angemessene Sicherheitsmaßnahmen fördern und bewahren - dafür steht das BSI. Die Corona-Warn-App lebt vom Vertrauen der Bürgerinnen und Bürger dieses Landes. Damit sie dieses Vertrauen auch verdient, hat das BSI gemeinsam mit allen Beteiligten alle Möglichkeiten ausgeschöpft und steht auch weiterhin für die Informationssicherheit der App beratend zur Verfügung."

 

Auch der Bitkom Verband stellt sich hinter das Smartphone basierte Warnsystem als Hilfsmittel gegen die Verbreitung der Corona Pandemie. Die Bitkom-Mitglieder unterstützen die Corona-Warn-App mit unterschiedlichen, weitreichenden Maßnahmen. So soll der Datenverkehr für die Nutzung der App nicht auf das vorhandene mobile Datenvolumen von Mobilfunkkunden angerechnet werden (sogenanntes Zero-Rating der App).

 

Dazu erklärt Bitkom-Präsident Achim Berg: „Die Corona-Warn-App kann eine wichtige Rolle bei der Eindämmung der Pandemie spielen. Wir begrüßen sehr, dass die App jetzt verfügbar ist und empfehlen allen Smartphone-Besitzern, die App zu nutzen. Mit dieser App können wir nicht nur die Corona-Pandemie bekämpfen, mit ihr können wir der Welt auch das digitale Deutschland zeigen. Wir dürfen diese App nicht kaputtreden, wir sollten sie feiern. Die App ist anonym, datenschutzkonform und kann freiwillig genutzt werden. Bei der App-Entwicklung haben die beteiligten Unternehmen einen Open-Source-Ansatz gewählt, den Quellcode der App veröffentlicht und so für ein größtmögliches Maß an Transparenz gesorgt.

 

Die Mobilfunknetzbetreiber werden die Nutzung der App in ihren Netzen nicht auf das mobile Datenvolumen ihrer Kunden anrechnen. Wir als Digitalbranche appellieren an die Bürgerinnen und Bürger, mit der Installation der App einen Beitrag für die Gesundheit aller zu leisten. Je mehr Menschen mitmachen, umso eher vermeiden wir eine zweite Infektionswelle. Bis es einen wirksamen Covid19-Impfstoff gibt, können mit der Corona-Warn-App Leben gerettet werden.“

 

Die Entwicklung einer Corona-App zur Nachverfolgung von Infektionsketten ist derzeit in aller Munde. Google und Apple arbeiten daran, in ihre Smartphone-Betriebssysteme Android und iOS eine passende Schnittstelle einzubauen. Im Rahmen der Webinar-Reihe Digital Leader Weekly erläutern die beiden Experten Dr. Berndt Pilgram, Senior Manager Advanced Analytics bei Infineon Technologies, und Dr. Stefan Ried, Principal Analyst und IoT Practice Lead bei Cloudflight, Chancen und Risiken der App hinsichtlich Technologie, Verbreitung und Sicherheit.

 

Welche Arten von Corona-Apps gibt es derzeit?

Dr. Stefan Ried: Grundsätzlich unterscheidet man drei Typen von Corona-Apps. Die Tracing-App gibt Aufschlüsse zu Infektionsketten, die Datenspende-App analysiert Statistiken über den Gesundheitszustand der Bevölkerung vollkommen anonym und die sogenannte Quarantäne-App unterstützt Menschen dabei, in der Quarantäne zurechtzukommen. Wir konzentrieren uns in diesem Gespräch auf die Tracing-App, weil sie die Infektion am aktivsten vermeidet und datenschutztechnisch am heikelsten ist.

 

Das klingt so, als könnte es für die Nutzer schwierig werden, herauszufinden, welche App die richtige für sie ist. Wäre es nicht sinnvoll, alle Funktionen in einer einzigen App zu konsolidieren?

Dr. Stefan Ried: Auf den ersten Blick wäre das natürlich bequem. Ich würde aber gerade das nicht empfehlen, denn die drei genannten App-Typen machen sehr unterschiedliche Dinge. Während viele Bürger vollkommen anonym und nicht nachverfolgbar beispielsweise ihre Körpertemperatur täglich dem Robert-Koch-Institut zur Verfügung stellen möchten, würde die fehlende Rückverfolgbarkeit dem Sinn einer Tracing-App komplett widersprechen.

 

Dr. Berndt Pilgram: Ich kann Stefan nur zustimmen und möchte noch hinzufügen, dass es bei einer Tracing-App sehr wichtig ist, den Nutzern Anonymität und Datensicherheit zu gewährleisten. Die Tracing-App übermittelt überhaupt keine Daten an zentrale Stellen, was sie wirklich sehr sicher macht. Es wird nur eine einzige offizielle Tracing-App für jedes Land geben. Für Deutschland ist die offizielle Seite www.coronawarn.app. Dort findet man die Links in die jeweiligen App-Stores.

 

Herr Dr. Pilgram, Sie haben sich die verschiedenen technischen Ansätze genauer angeschaut, um Infineon auf den Einsatz der App vorzubereiten. Würden Sie uns bitte erläutern, was es mit der Terminologie PEPP-PT und DP-3T auf sich hat?

Dr. Berndt Pilgram: PEPP-PT steht für Pan-European Privacy-Preserving Proximity Tracing und ist zur Entwicklung einer europäischen Software-Architektur für Corona-Contact-Tracing-Apps ins Leben gerufen worden. Im Gegensatz zum DP-3T, dem offenen Decentralised Privacy-Preserving Proximity Tracing mit dezentraler Datenspeicherung direkt auf dem Smartphone, werden beim PEPP-PT die Tracing-Kontakte zentral gespeichert. Die Architektur der deutschen Corona-App verarbeitet zentral lediglich Keys beziehungsweise TANs. Die gesamte Tracing-Information, also mit welchen anderen Personen beziehungsweise Keys man eine räumliche Nähe hatte, befindet sich nur auf dem Smartphone. Geo-Positionen werden weder benötigt noch gespeichert.

 

Warum kommen diese Standards erst jetzt? Hätte man die Notwendigkeit einer solchen App nicht bereits früher vorhersehen können?

Dr. Stefan Ried: Zunächst bin ich sehr froh, dass wir auch im Gesundheitsministerium eine Diskussion zum Thema Technologie hatten und der Bundesgesundheitsminister Jens Spahn die zentralen Ansätze, die anfangs sogar GPS-Tracing namentlich bekannter Personen vorsahen, komplett aufgegeben hat. Dieses Konzept hätte voraussichtlich keine flächendeckende Akzeptanz gefunden. Leider haben wir insgesamt viel Zeit verloren. Wir hätten auch schon vor Jahren auf Experten, beispielsweise aus Singapur, die bereits 2003 nach dem SARS-Virus Erkenntnisse gewonnen hatten, oder auf die Bill & Melinda-Gates-Stiftung hören können, die eine weltweite Pandemie als eine der größten Bedrohungen der Menschheit vorhergesagt hat. Dann hätte man die Tracing-App schon lange in der Schublade liegen. 2012 gab es von der Bundesregierung mit Unterstützung des Robert-Koch-Instituts schon eine Modellrechnung zu einem ausgedachten Modi-SARS-Virus. Leider hatte daraus niemand eine digitale Konsequenz gezogen. Die Gesellschaft geht hoffentlich aus der Corona-Pandemie mit einem ganz anderen Verständnis für Digitalisierung heraus.

 

Google und Apple geben also neue APIs in ihren Betriebssystemen vor. Wird es dann viele verschiedene Apps zum Tracen geben?

Dr. Stefan Ried: Nein, jeder Nutzer kann pro Land nur einer offiziellen App die Erlaubnis zum COVID-Bluetooth-Tracing geben. Die beiden Hersteller gehen davon aus, dass jedes Land genau deshalb nur eine einzige offizielle Tracing-App baut. Die Bundesregierung hat die Entwicklung einer Corona-Tracing-App an SAP und die Deutsche Telekom vergeben. Die Telekom, als einer der weltweit größten Abnehmer von Apple-Geräten sowie verschiedener Android-Smartphones, hat einen guten Draht zu Google und Apple. SAP hat jedoch hauptsächlich Erfahrung in B2B-Backend-Prozessen und weniger Expertise im Bereich mobiler Consumer-Apps. SAP hat aber inzwischen erfahrene Mobile-App-Developer agiler Partnerunternehmen in die Entwicklung einbezogen. Glücklicherweise legt man einen großen Wert auf Usability und Aufklärung im Funktionsablauf, um eine große Akzeptanz innerhalb der Bevölkerung zu schaffen.

 

Usability ist bekanntermaßen keine der Stärken der offiziellen Corona-App in Österreich. Neben der Entscheidung eines jeden Bürgers, die offizielle Tracing-App zu nutzen oder nicht, wird ein großes Unternehmen wie Infineon so eine App aktiv an seine Mitarbeiter empfehlen oder während der Arbeitszeit sogar verpflichtend vorschreiben?

 

Dr. Berndt Pilgram: Bezüglich der mangelnden Usability muss ich Ihnen leider Recht geben. Österreichs Stopp-Corona-App, die auch das dezentrale DP-3T-Protokoll unterstützt, wird aber glücklicherweise laufend weiterentwickelt und verbessert. Insbesondere werden dabei die Betriebssystem-Updates von iOS und Android berücksichtigt, die eine sichere Bluetooth-Low-Energy-Datenverbindung für Proximity Tracing garantieren. Mit dem Zweck, korrekte Exposure Notifications zu ermöglichen, haben Google und Apple derzeit gemeinsam eine Schnittstelle – kurz API – für ihre Betriebssysteme iOS und Android definiert. Dadurch wird die Stopp-Corona-App richtig praxistauglich und kann hinsichtlich Datensicherheit, Anonymität und Datenschutz ohne Bedenken Mitarbeitern empfohlen werden.

 

Wird es Enterprise-Versionen der App geben?

Dr. Stefan Ried: Nein, Apple und Google sehen vor, dass Nutzer lediglich eine Corona-Tracing-App ausführen können. Das ganze Tracing ist auch nur sinnvoll, wenn alle Bürger eines Landes die selbe App nutzen. Deshalb sollten Unternehmen die Möglichkeit nutzen, die Consumer-App auf "Corporate Smartphones" automatisch zu installieren und gegebenenfalls einzuschalten oder zu konfigurieren. Die Tracing-App trägt nur dann erheblich zur Unterbrechung der Infektionsketten bei, wenn sie sich schnell und flächendeckend verbreitet. Im Idealfall hat ein Nutzer die Möglichkeit, seinem Umfeld die App persönlich zu empfehlen. Alternativ können Geschäfte am Eingang mit einem QR-Code auf die App hinweisen. Nur wenn es eine große Kampagne gibt, entsteht ein gesellschaftlicher Imperativ, diese App tatsächlich zu nutzen. Auch das Weiterempfehlen und Weitergeben über soziale Netze oder andere Proximity-Dienste, beispielsweise Apple Airdrop, sollte bald unterstützt werden. Der Kampf gegen eine zweite Welle kann nur gewonnen werden, wenn sich die App schneller ausbreitet als das Virus.

 

Ist das Ganze denn auch sicher? Wo sehen Sie die Risiken?

Dr. Berndt Pilgram: Auch wenn Datensicherheit, Anonymität und Datenschutz für den App-User gewährleistet sind, gibt es natürlich noch andere Aspekte, die die App völlig nutzlos machen könnten. So können Fehlalarme, sogenannte False Positives, dem Benutzer einer Tracing-App eine Warnung melden, obwohl es keinen echten Kontakt mit einer infizierten Person gab. Ein anderer Aspekt ist die Meldung eines False Negatives, bei dem die Tracing-App einen Kontakt zu einer tatsächlich infizierten Person per Bluetooth nicht identifizieren kann. Ich bin mir aber sicher, dass in beiden Fällen bei entsprechender Datenlage über eine längere Nutzungsdauer eine Optimierung der Bluetooth-Kontakt-Kriterien "Dauer" und "Abstand" erreicht werden kann, um somit das Auftreten von False Positives und False Negatives zu vermeiden. Zudem ermöglicht uns der Open-Source-Ansatz Einblick in die Implementierung, sodass Verbesserungen selbst beigetragen werden können. Auch die serverseitige Software ist vollkommen transparent.

 

Siehe auch:

https://www.coronawarn.app/de

https://www.bsi.bund.de/DE/Publikationen/TechnischeRichtlinien/tr03161/tr03161_node.html

https://de.cloudflight.io/presse/digital-leader-weekly-webinar-38478/

https://github.com/corona-warn-app/cwa-documentation/blob/master/solution_architecture.md#introduction

Zurück