Corona-Apps im Sicherheitscheck: Schwachstellen bei „Luca“

Digitale Kontakterfassung könnte Infektionsketten aufdecken und stoppen helfen und womöglich die Öffnung von Restaurants und Geschäften sowie Veranstaltungen ermöglichen. Doch wie steht es um die Sicherheit der erfassten persönlichen Daten? Vergangene Woche haben die Experten des hannoverschen App-Sicherheits-Unternehmens „mediaTest digital“ die gerade populär gewordene App „Luca“ des Berliner Tech-Startups Nexenio analysiert, die von dem bekannten Musiker Smudo („Die Fantastischen Vier“) mitentwickelt und gefördert wird. Die Region Hannover prüft gerade, ob sie die App einsetzen wird – mehr dazu hier. Das Fazit der „mediaTest digital“-Experten – sie waren unter anderem am Sicherheitskonzept für das Handy der Bundeskanzlerin nach der NSA-Abhöraffäre beteiligt – fällt nicht so gut aus wie für die ebenfalls getestete Corona-Warn-App. Das erfuhr die NP auf Anfrage exklusiv. Überflüssige Schnüffelei: „Das Verhalten der Luca-App ist insgesamt in Ordnung, im Code gibt es jedoch Verbesserungspotenzial“, sagt Geschäftsführer Sebastian Wolters. So sende die App etwa sehr häufig Tracking-Daten (also Informationen, wo man sich gerade aufhält oder bewegt), „obwohl man noch nirgendwo eingecheckt hat“. Also ohne dass man den QR-Code eines Restaurants oder einer Veranstaltung oder eines Geschäfts gescannt hat, die das anbieten. „Aus Gründen der Datensparsamkeit schlicht überflüssig“, sagt Wolters. Unnötige Ausnahmen: Zudem sei in die App die grundsätzliche Möglichkeit eingebaut, dass auch unverschlüsselte Verbindungen zur Luca-Web-Seite aufgebaut werden könnten – was im Test aber nicht passiert sei. Wolters zur NP: „Wir wissen nicht, ob das übersehen wurde oder bewusst so gemacht worden ist. Solche Ausnahmen sollten nicht sein, sind unnötig.“ Geschäftsmodell unbekannt: Wolters weiter: „Grund zur Vorsicht gibt zusätzlich der Fakt, dass das Erlös- und Finanzierungsmodell der App nicht bekannt ist. Und es gilt zu beachten, dass die Daten - anders als bei der Corona-Warn-App - nicht dezentral gespeichert werden, sondern zentral in der Hand des App-Entwicklers liegen.“ Dabei hoffe er sehr, dass hinter der App wirklich nur hehre Absichten von Kulturschaffenden stehen – nicht zuletzt, da er „ein großer Fan der Fanta Vier“ mit Smudo sei. CWA-Update im Labor: Die federführend von Deutscher Telekom und SAP im Auftrag des Bundes für das Robert Koch-Institut (RKI) entwickelte Corona-Warn-App (CWA) hat mit dem jüngsten Update 1.14 weitere Kontaktverfolgungsmöglichkeiten durch die Eingabe persönlicher Informationen und Begegnungsdetails geschaffen. Darum haben die Experten von „mediaTest digital“ erneut auch die Sicherheit der von mittlerweile mehr als 26 Millionen Menschen genutzten App und deren Schutz persönlicher Daten kritisch untersucht. Hohes Sicherheitsniveau: Aus Sicht der Experten ist die wichtigste Erkenntnis für die Anwender, „dass selbst bei Eingabe sensibler Informationen im Rahmen der neuen Kontakttagebücher keine Daten das Gerät verlassen und somit das hohe Sicherheitsniveau“ der CWA bestehen bleibt. Es gebe auch weiter keine Nutzung von Trackingdiensten oder anderen Analyse-Tools, die Daten würden nur lokal auf dem Gerät verarbeitet. Vorbildlich: Wolters Fazit „Es freut uns zu sehen, dass das vorbildliche Sicherheitsniveau der Corona-Warn-App trotz der Eingabe sensibler Informationen gewahrt bleibt und dieses wichtige Instrument zur Eindämmung der Pandemie bedenkenlos genutzt werden kann.“ So funktioniert die Luca-App: Die Luca-App soll als Ersatz für Kontaktformulare in Cafés, Bars, Restaurants, Einzelhandel oder bei Veranstaltungen dienen. Sie lässt sich auch über den Browser aufrufen, man muss die App nicht installiert haben ( luca-app.de ). Im Grunde funktioniert sie so: Über einen so genannten QR-Code, der für die jeweilige Veranstaltung oder das Restaurant erzeugt wurde und den man per Handykamera liest („scannt“), registriert man sich als Besucher (ist dann „eingecheckt“), muss also keine Zettel oder Formulare ausfüllen. Auf die Daten hat nur das jeweilige Gesundheitsamt vor Ort Zugriff – sofern der App-Nutzer dem zugestimmt hat. Wird dem Gesundheitsamt von einem positiv getesteten Luca-Nutzer ein Corona-Fall gemeldet, sucht das System in seiner Datenbank nach dessen Kontaktpersonen der vergangenen 14 Tage (geht nur, sofern die auch Luca genutzt haben) und informiert die betroffenen Restaurants oder Veranstalter. Nach 14 Tagen sollen die Daten automatisch gelöscht werden. Die App kann auch eingesetzt werden, um für private Treffen Kontakte zu dokumentieren. Im Gegensatz zur Corona-Warn-App, die ständig „an“ ist und registriert, wenn sich eine andere Person mit dieser App in der Nähe aufhält, ist Luca nur aktiv, wenn ein Nutzer sie öffnet und sich per QR-Code für den Besuch von Gastronomie oder einer Veranstaltung anmeldet. Für die Corona-Warn-App wird derzeit auch an einer ähnlichen „Check-in“-Funktion gearbeitet. Lesen Sie auch So will Smudo mit „Luca“ raus aus der Corona-Pandemie Luca-App gegen Corona: Wie funktioniert sie, und worauf muss man achten? Corona Hannover: Test geplant für Einsatz der Luca-App Von Ralph Hübner

Hannover: Corona-Apps im Sicherheitscheck - Schwachstellen bei „Luca“