• IT-Karriere:
  • Services:

CCC-Analyse: RKI greift bei Corona-Datenspende direkt auf Server zu

Von wegen Datenspende per Smartphone-App: Das RKI hat sich laut CCC direkten Zugriff auf die Fitnessdaten der Nutzer bei den Anbietern verschafft.

Artikel veröffentlicht am ,
Der CCC kritisiert die Datenspende-App des RKI.
Der CCC kritisiert die Datenspende-App des RKI. (Bild: Peter Steinlechner/Golem.de)

Das Robert-Koch-Institut (RKI) verstößt bei der Nutzung einer Corona-App für Fitnessdaten gegen seine eigene Datenschutzerklärung. Das hat eine Analyse des Chaos Computer Clubs (CCC) ergeben, die am 20. April 2020 veröffentlicht wurde (PDF). Demnach werden Fitnessdaten "regelmäßig nicht vom Smartphone des Datenspenders aus an das RKI übermittelt, sondern vom RKI direkt beim Anbieter des Fitnesstrackers oder Google Fit abgefragt und erst anschließend pseudonymisiert".

Stellenmarkt
  1. Sagemcom Dr. Neuhaus GmbH, Rostock
  2. Hays AG, Ellwangen (Jagst)

Das Institut hatte die von der Firma Thryve (mHealth Pioneers GmbH) entwickelte App am 7. April 2020 bereitgestellt. "Die von den Nutzern der Corona-Datenspende-App freiwillig zur Verfügung gestellten Daten ermöglichen den Wissenschaftlern des Robert-Koch-Instituts genauere Einblicke in die Verbreitung des Coronavirus", hieß es in der Pressemitteilung. Auf diese Weise wollten die Forscher an die sogenannten Vitaldaten der Nutzer wie Ruhepuls, Schlaf und Aktivitätsniveau gelangen. "Bei einer akuten Atemwegserkrankung ändern sich diese Vitalzeichen in den meisten Fällen deutlich. Daher können auch typische Covid-19-Symptome wie Fieber durch die App erkannt werden", schrieb das RKI.

Pseudonymisierung erst beim RKI

Der CCC-Analyse zufolge werden die Daten bei Android-Geräten jedoch nicht über die App an die Server des RKI gesendet. Vielmehr erhalte der Server des RKI "direkten Zugang zu den auf Servern der Fitnesstracker-Anbieter oder bei Google Fit gespeicherten Daten". Hierzu speichere das RKI eine große Anzahl von Zugangsdaten mit hohem Schutzbedarf. "Diese Zugangsdaten erlauben den Zugriff auf nicht pseudonymisierte und historische Fitnessdaten und bei den Anbietern Fitbit, Garmin, Polar und bei Google Fit den Zugriff auf die vollständigen Namen der Datenspender", schreibt der CCC.

Darüber hinaus empfange das RKI vollständige, das heißt nicht-pseudonymisierte Daten teils mitsamt vollständiger Namen der Datenspender. Eine Pseudonymisierung sei erst anschließend nach Empfang der vollständigen Daten auf Seiten des RKI möglich.

Widersprüchliche Angaben zur App

Der CCC verweist darauf, dass sich Datenschutzerklärung und FAQ zu der Datenspende-App teilweise widersprächen. So heißt es in der Datenschutzerklärung: "Erfasste Daten werden von meinem Smartphone verschlüsselt zu den von uns ausschließlich in Deutschland betriebenen Servern übertragen, dort verarbeitet und gespeichert." In den FAQ schreibt des RKI hingegen zur Frage, ob die App dauerhaft im Hintergrund laufen müsse: "Die Anwendung kann geschlossen werden. Die Daten werden im Hintergrund von den Servern der Hersteller Ihres Fitnessarmbands oder Ihrer Smartwatch automatisch abgefragt. Sie müssen nichts weiter tun."

An einer anderen Stelle heißt es hingegen: "Die benötigten Daten werden vom Fitnessarmband automatisch erfasst. Mit der Corona-Datenspende-App werden diese Daten pseudonym an das Robert Koch-Institut gesendet." Laut CCC trifft Letzteres jedoch nicht zu, da die Daten erst auf dem Server des RKI pseudonymisiert würden.

Man-in-the-Middle-Angriffe möglich

Problematisch ist nach Ansicht der Sicherheitsexperten zudem die Tatsache, dass der direkte Zugang des RKI zu den Fitnessdaten bei Deinstallation der Smartphone-App nicht automatisch beendet werde. Auch sei dem Datenspender eine Kontrolle des Datenflusses an das RKI und der anschließend vorgenommenen Pseudonymisierung nicht möglich.

Darüber hinaus kritisiert der CCC in seiner Analyse, dass die App keinen Standardbrowser verwende, sondern einen eingebetteten Webview. Dies ermögliche beispielsweise Man-in-the-Middle-Angriffe, da die Kommunikation aus Webview heraus mit den Fitnesstracker-Anbietern oder Google Fit wegen fehlenden Certificate-Pinnings nicht sicher sei. Weitere Kritikpunkte sind die unverschlüsselte Speicherung von Zugangsdaten auf dem Smartphone sowie die unsichere Handhabung des vertraulichen Pseudonyms.

Anfang April war bereits bekanntgeworden, dass eine von der Deutschen Telekom veröffentlichte Corona-App Sicherheitslücken aufwies. Mit Blick auf weitere geplante Corona-Apps fordert der CCC "proaktives Handeln" und verweist auf die Anfang April veröffentlichten zehn Prüfsteine. Die darin geforderte Transparenz fördere "eine aktive und konstruktive Einbindung der Fachöffentlichkeit und hat damit das Potenzial, künftige App-gestützte Maßnahmen noch zielgerichteter zur Reife zu bringen".

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Mobile-Angebote
  1. 499,90€
  2. 206,10€ (mit Rabattcode "PFIFFIGER" - Bestpreis!)
  3. 569€ (Bestpreis!)

Trockenobst 23. Apr 2020

1. Die Stelle selbst wird sachlich damit umgehen. Der russische Superhacker nicht. Es...

Trockenobst 23. Apr 2020

Ich vertraue dem RKI nicht vollständig, weil es keinen wissenschaftlichen Betrieb...

Lanski 23. Apr 2020

Ob damit jemand besonderes ein Problem hat ist ja vollkommen egal wenn sich das Insitut...

niemandhier 22. Apr 2020

Die je nach Anbieter weder alles relevante unterstützen noch kostenlos sind..

ImBackAlive 22. Apr 2020

Ich bin mir jetzt nicht sicher, wie diese App konkret aufgebaut ist. Aber zumindest bei...


Folgen Sie uns
       


Assassin's Creed Valhalla - Fazit

Im Video stellt Golem.de das Action-Rollenspiel Assassins's Creed Valhalla vor, das Spieler als Wikinger nach England schickt.

Assassin's Creed Valhalla - Fazit Video aufrufen
    •  /