Licht und Schatten bei der Prüfung der deutschen Corona-Warn-App
Am kommenden Dienstag soll die deutsche Corona-Warn-App offiziell vorgestellt werden und am selben Tag auch in den jeweiligen AppStores erscheinen. Die Bundesregierung hat dabei von Beginn an auf Transparenz gesetzt, was vor allem die Bedenken innerhalb der Bevölkerung hinsichtlich des Datenschutzes und der Datensicherheit zerstreuen sollte. So setzt man beispielsweise auf den von Apple und Google entwickelten dezentralen Ansatz der Datenhaltung, hat die zur App gehörige Datenschutzerklärung als PDF veröffentlicht, eine Info-Webseite zur App veröffentlicht und den Quellcode auf GitHub veröffentlicht, so dass Datenschützer und interessierte Entwickler Einblick nehemn können. Dies ist inzwischen auch geschehen und es gibt auch kritisch angemerkte Punkte zu der von der Telekom und SAP entwickelten App.
Unter anderem hat wurde die App im Auftrag vom Bundesamt für Sicherheit für Informationstechnik (BSI) vom TÜV Informationstechnik, einer auf IT-Sicherheit spezialisierten Tochter des TÜV Nord auf Sicherheitslücken geprüft. Dabei wurden in der Tat noch Mängel entdeckt, die die Mitarbeiter den Entwicklern gemeldet haben, damit diese noch vor der Veröffentlichung behoben werden können. Einer dieser Mängel wurde von den TÜV-Prüfern dabei als schwerwiegend eingestuft. Details zu der Sicherheitsprüfung können hier eingesehen weden.
Gegenüber den Kollegen von Heise online äußerte sich TÜVit-Geschäftsführer Dirk Kretzschmar kritisch in Bezug auf den Start-Termin der Corona-Warn-App in der kommenden Woche. Stattdessen würde man einen Termin Ende des Monats befürworten, um sich mehr Zeit zu nehmen, um die App weiter zu verfeinern. Vor allem bemängeln die TÜV-Prüfer das TAN-Konzept, mit dem die Patienten innerhalb der App angeben können, dass sie positiv auf SARS-CoV-2 getestet wurden. Über eine solche TAN wird dann der von Apple und Google entwickelte Prozess angestoßen, der den Diagnose-Schlüssel des Nutzern an den Backend-Server der App übermittelt. Dieser Schlüssel wird dann von den Geräten aller anderen Nutzer heruntergeladen, um zu prüfen, ob man mit dem bestätigt als positiv getesteten Nutzer Kontakt hatte. Dem TÜVit zufolge ist der Algorithmus, mit dem diese TANs generiert werden, relativ leicht zu knacken, so dass ein potenzieller Angreifer eine solche TAN selbst hätte erstellen können, wodurch man sich fälschlicherweise als positiv getestet ausgeben kann.
Hierzu muss allerdings angemerkt werden, dass ein solcher Angriff nur dann wirksam wäre, wenn er von einer größeren Anzahl von Angreifern durchgeführt würde, da man einerseits die eigene TAN fälschen, sich aber andererseits auch in die Bluetooth-Reichweite von möglichst vielen anderen Geräten begeben müsste, damit der Angiff effektiv ist. Für die Bevölkerung sicherlich von größtem Interesse ist die Frage nach der Privatsphäre und dem Datenschutz bei der Nutzung der Corona-Warn-App. Hierzu stimmt der TÜVit positive Töne an. Offensichtlich hält die App in diesem Punkt das was die Regierung versprochen hat. So haben die Tester keine Tracking-Technologien außerhalb der von Apple und Google API finden können. Zudem dringen auch keinerlei private Daten der Nutzer nach außen.
Obwohl man sich mehr Zeit für Tests und die Behebung der gefundenen Mängel gewünscht hätte, ist man beim TÜVit zuversichtlich, das die Entwickler der Corona-Warn-App die TAN-Lücke und weitere gefundene Probleme beheben können und hat deshalb auch grünes Licht für die Veröffentlichung gegeben.
In eine etwas andere Kerbe schlägt in Sachen Datenschutz jedoch ein Team von Sicherheitsforschern der Technischen Universität Darmstadt, der Universität Marburg und der Universität Würzburg. In einer jüngst veröffentlichten Studie bemängeln sie, dass die von Apple und Google entwickelte Tracing-Technologie (Google Apple Protokoll - GAP) anfällig für Datenschutz- und Sicherheitsrisiken sein kann. Mithilfe verschiedener Experimente und Testverfahren prüften die Forscher, ob die bereits in der Theorie diskutierten Angriffsszenarien auch in der Praxis zum Einsatz kommen können und konnten dies bestätigen. Dabei setzte man unter anderem handelsübliche Tools wie Bluetooth-Sniffer als App auf Smartphones oder auf einem Raspberry Pi ein.
Die Forscher bemängeln unter anderem, dass sich potenziell Bewegungsprofile von mit COVID-19 infizierten Personen erstellen und diese sich auch unter bestimmten Umständen identifizieren lassen. Zudem sind Manipulationen des Systems möglich (siehe auch oben), die die Genauigkeit und Zuverlässigkeit des Tracings beeinträchtigen können. Wohlgemerkt bezieht sich dies nicht auf die deutsche Corona-Warn-App, sondern auf die zugrundeliegende Technologie von Apple und Google, die nach Aussage der beiden Konzerne aber auch stetig weiterentwickelt wird. Angemerkt werden muss zudem, dass es sich bei der Veröffentlichung der Forschungsergebnisse um eine Vorabveröffentlichung handelt, die bislang noch keinen Peer-Review Prozess durchlaufen hat.
Auch wenn die entdeckten Probleme mit der Technologie und innerhalb der deutschen Corona-Warn-App sicherlich Anlass sind, sich Gedanken zu machen, möchte ich auch an dieser Stelle noch einmal betonen, dass ich die Nutzung der App absolut befürworte. Sinnvoll eingesetzt werden kann sie nämlich nur dann, wenn möglichst viele Nutzer, sie auf ihren Geräten installieren und nutzen. Aus diesem Grund möchte ich auch meine Leser zur Nutzung der App ermuntern, sobald sie am kommenden Dienstag erschienen ist. Ich werde dann selbstverständlich noch einmal entsprechend informieren. Beim Tracing werden keinerlei persönliche Daten übertragen, noch kann auf Basis des zufällig erstellten Bluetooth-Schlüssels auf eine Person rückgeschlossen werden. Alle Details dazu habe ich hier im Blog zusammengestellt. In Zeiten, in denen Milliarden von Menschen Facebook, Google, Amazon, Instagram und WhatsApp nutzen, ist es beinahe schon tragisch wenn man sich mit Verweis auf den Datenschutz auf die Installation einer App verzichtet, die der eigenen Gesundheit und dem Wohl der Gesellschaft dient.
Hinweis: Aufgrund des politischen Themas und der entsprechenden kontroversen Meinungen hierzu sind Kommentare zu diesem Artikel deaktiviert. Kommentare zu diesem Artikel unter anderen Artikeln werden gelöscht. Wer mir dazu etwas zu sagen hat, kann dies gerne per Kontaktformular tun.
Trackbacks
Keine Trackbacks
Die Kommentarfunktion wurde vom Besitzer dieses Blogs in diesem Eintrag deaktiviert.
Kommentare
Ansicht der Kommentare: Linear | Verschachtelt