In vielen Ländern in Europa wird über den Einsatz einer Corona-App noch diskutiert, in Österreich ist „Stopp Corona“ bereits verfügbar. Trotz Kritik schneidet die App bei Datenschützern gut ab.
Die "Stopp Corona"-App des Roten Kreuzes soll zusätzlich helfen, eine zweite Infektionswelle in Österreich zu verhindern. Indem Personen, die mit einem Coronavirus-Infizierten Kontakt hatten, schnell informiert und isoliert werden können. "Der Zeitvorsprung, den wir gegenüber dem Virus [mit der App, Anm.] generieren, kann entscheidend sein, die Pandemie gut unter Kontrolle zu halten und damit mehr soziale Kontakte zulassen zu können", betont Bundesrettungskommandant Gerry Foitik am Mittwoch in einem Presse-Briefing. Dafür sei es notwendig, dass die App auch flächendeckend genutzt wird. Die Handhabung, aber auch das Vertrauen in die Anwendung muss dafür verbessert werden. Bevor der Quellcode vollständig offengelegt wird, konnten Datenschützer „Stopp Corona“ unter die Lupe nehmen.
"Transparenz schafft Vertrauen", betont Managing Director Michael Zettel von Accenture. Auch aufgrund anhaltender Kritik von Datenschützern wurde der Quellcode vorab SBA Research, Noyb und Epicenter Works vorgelegt. Tatsächlich stellten sie der App insgesamt gute Noten aus. "Ich lasse die App weiter auf meinem Handy installiert", erklärte dazu auch Datenschutzexperte Max Schrems (Noyb). Insgesamt wurden 26 Empfehlungen, technischer wie auch datenschutzrechtlicher Natur, ausgegeben.
16 der 26 Empfehlungen wurden in einem sogenannten "Hot Fix" bereits umgesetzt. Die Updates sollen im Laufe des Tages zur Verfügung stehen. In den kommenden Tagen soll an den weiteren Punkten gearbeitet werden. Einige davon bedürfen einer Architekturänderung, auch, weil man bereits die von Apple und Google angekündigten Änderungen, die nur auf Betriebssysteme vorgenommen werden können, implementieren möchte. Damit soll der digitale, automatische Handshake via Bluetooth möglich gemacht werden, der bis dato noch nicht so recht funktioniert. Einerseits weil die iOS-App nur funktioniert, wenn sie aktiv, also geöffnet ist. Aber auch bei Android-Smartphones hapert es am automatischen Handshake. Das Problem liegt hier meist an den Energie-Optimierungen im Hintergrund. Die Behebung dieser Probleme liegt bei Apple und Google.
"Wir haben zwar mit Closed Source begonnen, auch weil der Auftraggeber [Rotes Kreuz, Anm.] auf zeitnahe Umsetzung gedrängt hat. Im zweiten Schritt wurde der Quellcode den NGOs vorgelegt, um Input zu bekommen und die App weiter zu verbessern. Im nächsten Schritt, der noch heute folgen könnte, wird der Quellcode Open Source und steht damit allen zur Einsicht zur Verfügung", fügt Zettel hinzu. Von Anfang an sei die App - "völlig zurecht" - im Zentrum der Betrachtung und Kritik gestanden, ergänzt Christof Tschohl, Datenschutzbeauftragter des Österreichischen Roten Kreuzes. Auch intern sei die Privatsphäre und der Datenschutz im Zentrum der Entwicklungen gestanden.
Ein Ausblick auf die Zukunft der App
Wenn die Ausgehbeschränkungen im Mai gelockert werden, könnte die App ein zentrales Instrument sein, betont Christian Winkelhofer, Managing Director New Technologies bei Accenture Österreich. Das transparente Vorgehen und die Zusammenarbeit mit den Datenschutzbehörden soll das Vertrauen in die App steigern. Mit 400.000 Downloads ist man noch weit von einer flächendeckenden Wirksamkeit entfernt. 40 bis 60 Prozent der Bevölkerung seien dafür notwendig, betonte Foitik in der Vergangenheit. Um die Verbreitung zu forcieren werde auch eine Empfehlungsfunktion implementiert.
Zentral versus dezentraler Weg, Informationen zu speichern
„Vor sechs Wochen gab es noch kein Contact Tracing. Allein das zeigt die Dynamik in der Entwicklung", betont Christian Winkelhofer. Viele andere Länder sind derzeit mit dem Ausrollprozess beschäftigt, Deutschland diskutiert Konzepte, in Italien werden Apps regional aufgesetzt, und Tschechien und Norwegen sind in der Pilotphase, ergänzt er.
Währenddessen konzentriert man sich bei Accenture um die Wahrung der Privatsphäre der Nutzer. "Wir werden weiterhin das Designprinzip des dezentralen Ansatzes verfolgen", ergänzt Zettel. Dabei handelt es sich um die Frage, wie mit den Daten, die mit der App generiert werden, umgegangen wird.
Dafür will man beim Roten Kreuz auf DP-3T umsteigen, das sich als "Goldstandard" herauskristallisiert habe und das "Pan European Privacy Perserving Proximity Tracing" (PEPP-PT) in den Hintergrund gerückt hat. In der prinzipiellen Funktionsweise unterscheiden sich die beiden Konzepte nur wenig. Primär geht es darum, dass ein Nutzer auf seinem Smartphone eine App installiert, um mit Hilfe von Bluetooth ständig IDs aussendet und gleichzeitig auch IDs anderer Nutzer empfängt. Diese werden dann auf dem Gerät gespeichert und nach einer gewissen Zeit auch wieder gelöscht. Wo sich hier der Weg bei den beiden Konzepten teilt: Was passiert nach einer Infektion und welche Daten werden dann hochgeladen.
Bei der dezentralen Vorgehensweise DP-3T wird lediglich ein geheimer Seed Key hochgeladen, aus dem die IDs generiert werden können, die vom Gerät in dem Infektionszeitfenster ausgesendet wurden. Die IDs der anderen Nutzer, die der Infizierte in dem bestimmten Zeitraum empfangen hat, werden nicht hochgeladen. Am Ende wird also dann nur eine ID des Infizierten an den Server geschickt, die dann wiederum an alle Apps geschickt wird. Diese überprüft dann automatisch, ob sich diese unter den Kontakten befindet. Ziel ist es, so wenig Daten wie möglich an Server zu schicken. Anders als bei PEPP-PT. Hier spielt das Backend die Rolle eines "allwissenden" Servers.
Speichern auf heimischen Servern
Dagegen spricht sich das Rote Kreuz aus und kündigt zudem an, dass alle Daten künftig auf österreichischen Servern gespeichert werden.
Viele Datenschützer empfehlen den dezentralen Ansatz, darunter auch der Chaos Computer Club. Ähnliche Architekturansätze bereiten auch Google und Apple vor. Die Vorbereitungen für die dafür notwendigen architektonischen Anpassungen laufen bei Accenture bereits. Man hoffe, dass bis Mitte Mai die Änderungen implementiert werden können. Hier sei man aber auf die Fortschritte von den beiden Tech-Unternehmen abhängig.