Wer Luca nutzen will, installiert zunächst die App auf seinem Smartphone – benötigt wird mindestens Android 5.0 oder höher oder iOS 12.0 oder höher. Es wird einmalig ein Profil angelegt, das den vollständigen Namen und die Telefonnummer enthalten muss. Daraus wird ein QR-Code erstellt, der sich minütlich ändert. Zugeordnet ist der QR-Code dem jeweiligen Endgerät. Er ermöglicht das Einchecken in Restaurants, Kinos, Geschäfte u.a. – sofern die Betreiber dort ebenfalls die Luca-App verwenden. Ist dies der Fall, wird der QR-Code an der entsprechenden Örtlichkeit eingescannt. So wird erfasst, wer zu welchem Zeitpunkt wo gewesen ist. Diese Informationen sind laut App-Entwickler aber für die Betreiber nicht einsehbar – im Gegensatz zur Erfassung auf Papier. Die Orte werden längstens 30 Tage lang gespeichert.
Rolle der Gesundheitsämter
Zudem bietet Luca eine Anbindung an die Gesundheitsämter und andere Behörden an. Im Idealfall liefe es dann so ab: Ich habe mich infiziert, das für mich zuständige Gesundheitsamt tritt mit mir in Kontakt; ich liefere dem Gesundheitsamt freiwillig alle Orte, die ich besucht habe, woraufhin das Gesundheitsamt die betroffenen Betreiber bittet, die zeitlich relevanten Besuchereinträge freizugeben. Danach kann das Amt alle Kontaktpersonen informieren.
Dabei offenbaren sich aber diverse Sicherheitsmängel: Da Luca die Daten u.a. via Excel transportiert, und die Mitarbeiter der Ämter die Daten erst vergleichsweise umständlich herunterladen müssen, wird potenzieller Malware Tür und Tor geöffnet.
So funktioniert CWA
Um die CWA zu nutzen, wird ein Endgerät mit mindestens Android 6 bzw. iOS 13.5. benötigt – das Endgerät muss also geringfügig neuer sein als bei der Verwendung von Luca. CWA ist eine Tracing-App, die Listen über Smartphones erstellt, die in der Nähe des eigenen Geräts aufgetaucht sind. War darunter jemand mit gemeldeter SARS-CoV-2 Infektion, wird der Nutzer gewarnt und kann sich testen lassen und/oder in eine prophylaktische Quarantäne begeben. Die Nachverfolgung der Kontakte basiert auf Proximity-Tracing, das aber keine Auskunft über den Ort des Kontaktes gibt – ein wesentlicher Unterschied zu Luca. Technisch wird das möglich durch die Funktechnik Bluetooth Low Energy (BLE), die über die Signalstärke die räumliche Nähe zweier Smartphones schätzt. Die Nierencharakteristik führt zu einem suboptimalen Einfallswinkel der Abstrahlung, woraus eine hohe Ungenauigkeit resultiert. Die erhobenen Daten werden dezentral gespeichert – auf Basis des Decentralized Privacy-Preserving Proximity Tracing (DP-3T)-Konzepts. Dadurch enthält der Backend-Server keine Daten, die Aufschluss über die Kontakte von Infizierten geben könnten.
Unterschiede zwischen Luca und CWA
Nach der Installation arbeitet CWA mit eingeschaltetem Bluetooth selbstständig im Hintergrund. Der Anwender bleibt dabei anonym, weshalb das Gesundheitsamt auch keinen Kontakt aufnehmen kann. Die Hauptleistung der App beschränkt sich also darauf, über ein mögliches Infektionsrisiko zu informieren – sofern der Nutzer Bluetooth aktiviert und ein positives Testergebnis selbstständig in die App eingegeben hat. Auch der Kontakt zum Arzt und zum Gesundheitsamt gehen vom Nutzer aus. CWA verlangt also von seinen Anwendern ein hohes Maß an Eigeninitiative.
Luca hingegen bietet zusätzlich zur Kontaktnachverfolgung auch eine Art Kontaktdatenverwaltung: Neben den persönlichen Daten speichert die App auch Aufenthaltsorte. Gesundheitsämter, die ihr System an Luca angeschlossen haben, können bei Bedarf die Kontaktpersonen aktiv informieren. Luca setzt also weniger auf die Eigeninitiative des Anwenders als auf die Vernetzung mit Gesundheitsämtern.
Da bei CWA weder personenbezogene Daten noch Standorte erhoben werden, können Bewegungsprofile einzelner Anwender nur erstellt werden, wenn sich Personen mit sehr guten IT-Kenntnissen ins System hacken – unmöglich ist es aber nicht.
Luca hingegen speichert alle Daten verschlüsselt auf Servern in Deutschland. Die Betreiber behaupten, nur die Gesundheitsämter könnten die Daten wieder entschlüsseln.
Den Check-in über QR-Codes bieten mittlerweile beide Apps – grundsätzlich gut, gilt es aber noch immer das Problem der Inkompatibilität zu lösen: Es war geplant, den QR-Code für Check-ins bis April 2021 so zu bauen, dass er von beiden Apps gelesen werden kann. Dieses Ziel wurde aber bislang nicht erreicht.
Probleme beider Apps
Beide
Gefahr des Abschöpfens von Informationen durch die Hersteller der Telefon-Betriebssysteme/Hacker
Mangelnde Beteiligung: Simulationen haben gezeigt, dass eine mind. 60%ige Beteiligung notwendig wäre – so viele Nutzer sind aber höchst unrealistisch, da nur „Dauerbrenner“ wie etwa der Nachrichtendienst „WhatsApp“ solch hohe Nutzerzahlen verzeichnen können. Trotzdem können die Apps – zumindest im Idealfall – zumindest vereinzelt Infektionsketten unterbrechen; in welchem Ausmaß, ist schwer abschätzbar.
Gerade jetzt, wo der internationale Reiseverkehr jahreszeitlich und Fallzahlen-bedingt in den kommenden Wochen wieder rasant steigen wird, wäre eine internationale Vernetzung – vor allem in Hinblick auf die Vermeidung weiterer Mutationen – von unschätzbarem Wert. Doch weder die Macher von CWA noch von Luca haben einen Schritt in Richtung gesamteuropäische App getan. Viele Kontakte können so gar nicht erfasst werden, selbst wenn beide Kontakte die App ihres jeweiligen Heimatlandes nutzen.
CWA
Vollständige Anonymisierung ist nicht möglich; die Hürden, den Daten einer realen Person zuzuordnen, sind nicht sonderlich hoch
Bluetooth muss dauerhaft eingeschaltet sein – das tun aber tatsächlich die wenigsten Nutzer. Die meisten schalten Bluetooth nur bei Bedarf ein.
Abhängig von der Eigeninitiative des Nutzers
Luca
Abhängigkeit von der Systemanbindung an die Gesundheitsämter
massive Sicherheitslücken:
Der Chaos Computer Club (CCC) konnte nachweisen, dass es möglich ist, Menschen an Orten einzuchecken, an denen sie sich nie aufgehalten haben.
Sicherheitsforscher Marcus Mengs konnte demonstrieren, wie einfach per Luca Trojaner in Gesundheitsämter eingeschleust werden können.
Fazit
Beide Apps haben so ihre Probleme, und dass sie gegeneinander konkurrieren, hat sicher nicht dazu beigetragen, die Situation zu entschärfen. Trotzdem haben beide eine Daseinsberechtigung: Im Zweifelsfall kann der eine Infektionsfall, der durch die Apps verhindert wurde, dafür sorgen, dass viele weitere Ansteckungen gar nicht erst geschehen. Die Ansätze sind grundverschieden – Eigeninitiative vs. Verlassen auf das Gesundheitsamt. Und doch geht es letzten Endes nicht darum, zu entscheiden, welche App die bessere ist. Vielmehr geht es um die Frage, wie viele Menschen sie nutzen werden, wie sich die Betreiber der Gastronomie, Museen, Kinos, Theater usw. dazu positionieren. Zumindest bei Luca wird außerdem entscheidend sein, ob die Anbindung an die Gesundheitsämter funktionieren wird – nachdem die Pandemie in den letzten Monaten den desaströsen Nachzügler-Status der deutschen Gesundheitsämter in Hinblick auf die Digitalisierung offengelegt hat, sind Zweifel berechtigt.
Unterm Strich werden die Apps bei allen Bemühungen wohl auch weiterhin nur eine kleine Rolle in der Pandemiebekämpfung spielen. Viel wird in den nächsten Monaten auch von den politischen Entscheidungen in Deutschland abhängen: Werden im kommenden Herbst die Konsequenzen aus dem letzten gezogen? Wurde verstanden, dass das „Verbannen“ der Bevölkerung in Innenräume, die sich der öffentlichen Kontrolle entziehen, eher nicht den gewünschten Effekt hat? Werden alle schutzbedürftigen Menschen eine Impfung erhalten und wird eine Herdenimmunität erreicht? Und zu guter Letzt sollte jeder ein wenig auf sich selbst und damit auf andere achten: Wer in Innenräumen eine Maske trägt und eine gute Handhygiene an den Tag legt, schützt sich schon ziemlich gut vor einer Ansteckung – nicht nur mit SARS-CoV-2.
