Missbrauch der Corona-Tracing-App für Überwachungstechnologie verhindern

Nach wochenlanger Diskussion lässt die deutsche Corona-Tracing-App noch immer auf sich warten. Streit zwischen den Teams, die ein europäisches Grundkonzept entwickeln sollen, kollidierende Konzepte von Tech-Unternehmen und Regierungen und der unklare Kurs von Bundesgesundheitsminister Jens Spahn bringen zunehmende Verwirrung in eine dringend notwendige gesamtgesellschaftliche Debatte über eine Technologie mit hohem Missbrauchspotenzial.

Reporter ohne Grenzen sieht die Anonymität von  Journalisten und deren Quellen im Kontext zunehmender Einschränkungen der Pressefreiheit in der Corona-Krise international gefährdet. 

Dutzende Corona-Apps sind weltweit bereits im Einsatz, einige erleichtern die Rückverfolgung von Kontakten infizierter Personen, andere kontrollieren die Einhaltung eines Quarantänezwangs oder dienen wie in China gleich als Zugangsvoraussetzung für die Teilnahme am öffentlichen Leben.

Auch in Deutschland wird seit einigen Wochen über die Einführung einer Tracing-App zur schnellen Identifizierung von Kontaktpersonen Corona-Infizierter diskutiert.

Eine pan-europäische Initiative unter Beteiligung von Forschungsinstituten und Unternehmen (PEPP-PT) sollte eine datenschutzfreundliche Variante eines App-Vorbilds aus Singapur liefern – ohne Registrierung von Telefonnummern, weiterhin freiwillig, strikt zweckgebunden und transparent als Open Source Software. Neben dem Chaos Computer Club (CCC) hat auch Reporter ohne Grenzen bereits Anfang April Mindestanforderungen an eine solche App zum Schutz von Anonymität und Privatsphäre formuliert.

Eben jene Transparenz ist dann jedoch zu lange ausgeblieben; zahlreiche prominente Wissenschaftler distanzierten sich vergangene Woche öffentlich von der PEPP-PT-Initiative, für deren Konzept sich die deutsche Bundesregierung nun aller Kritk zum Trotz entschieden haben soll.

Es folgte ein Offener Brief von fast 300 Wissenschaftlern, die das besagte Projekt zwar nicht namentlich nannten, spätestens in Pressegesprächen doch aber unverhohlene Kritik genau daran äußerten. In dem offenen Brief sprechen die Fachleute von Lösungen, die per „mission creep“, also einer Art Zweckerweiterung per Salamitaktik, zu einer „beispiellosen Überwachung“ führen könnten.

„Auch ein vergleichsweise datenschutzfreundliches Tracing von Kontakten stellt eine Technologie mit erheblichem Missbrauchspotenzial dar“, sagte Christian Mihr, Geschäftsführer von Reporter ohne Grenzen

„Eine Warnung von hunderten renommierten Expertinnen und Experten muss auch in einer Krisendebatte Gehör finden. Jegliche nachträgliche Zweckerweiterung, die die Anonymität der Nutzerinnen und Nutzer und ihrer Kontakte, insbesondere auch im Kontext der journalistischen Arbeit, in Frage stellt, muss kategorisch ausgeschlossen werden. Diese Software wird internationalen Einsatz finden und darf nicht durch Missbrauch durch autoritäre Staaten zum Exportgut für Überwachungstechnologie werden.“ 

Gegenstand der Bedenken ist die anvisierte Übermittlung von Kontaktdaten der zukünftigen App-Nutzerinnen und -Nutzer an einen zentralen Server, den jeweils nationale Gesundheitsbehörden betreiben würden. Die Sorge: Aus der Verbindung von pseudonymen ID-Informationen der einzelnen Smartphones und dem übersendeten Kontaktnetzwerk einer Person ließe sich eine umfangreiche Übersicht sozialer Interaktion innerhalb einer Gesellschaft („social graph“) auslesen.

Digitale Datenbanken und soziale Netzwerke erleichtern inzwischen die Erkennung von Parallelen zwischen solchen pseudonymen Datensätzen und öffentlichen oder schlicht gehackten Informationen. Mindestens für Journalistinnen und Journalisten würde dieses Missbrauchspotenzial zum Ausschlusskriterium, in weniger rechtsstaatlichen Kontexten könnte eine zwangsweise Nutzung der Technologie digitale Überwachung erleichtern. Auch in Rechtsstaaten sind technische Sicherheitsmaßnahmen unbedingt erforderlich, um etwaigen Begehrlichkeiten staatlicher Behörden abseits der Gesundheitsämter entgegenzutreten. 

Wie die  Wissenschaftler hat sich auch das EU-Parlament inzwischen für eine dezentrale Lösung ausgesprochen. Deutschland und Frankreich halten dagegen öffentlich an einer zentralen Lösung fest, von der sie sich wohl vor allem Algorithmen-basierte Erkenntnisse z. B. über Erkrankungsrate und Umstände der Virenübertragung (Nähe, Dauer des Kontakts) erhoffen. Noch vor zwei Tagen hieß es, die Bundesregierung prüfe weitere Ansätze, darunter die österreichische „Stop Corona“-App, die derweil bewusst „ent-dezentralisiert wird“.

Tatsächlich bergen sowohl zentrale wie auch dezentrale Varianten Risiken; auch in einem dezentralen Modell, in dem nur die IDs Infizierter an einen Server übermittelt werden, wären gezielte Deanonymisierungsangriffe denkbar, ein Zugriff auf das gesamte System aber schwieriger. Reporter ohne Grenzen erläutert mögliche Risiken der verschiedenen Ansätze in dieser ausführlichen Analyse.