CCC-Analyse: RKI greift bei Corona-Datenspende direkt auf Server zu

Von wegen Datenspende per Smartphone-App: Das RKI hat sich laut CCC direkten Zugriff auf die Fitnessdaten der Nutzer bei den Anbietern verschafft.

Artikel veröffentlicht am ,
Der CCC kritisiert die Datenspende-App des RKI.
Der CCC kritisiert die Datenspende-App des RKI. (Bild: Peter Steinlechner/Golem.de)

Das Robert-Koch-Institut (RKI) verstößt bei der Nutzung einer Corona-App für Fitnessdaten gegen seine eigene Datenschutzerklärung. Das hat eine Analyse des Chaos Computer Clubs (CCC) ergeben, die am 20. April 2020 veröffentlicht wurde (PDF). Demnach werden Fitnessdaten "regelmäßig nicht vom Smartphone des Datenspenders aus an das RKI übermittelt, sondern vom RKI direkt beim Anbieter des Fitnesstrackers oder Google Fit abgefragt und erst anschließend pseudonymisiert".

Stellenmarkt
  1. IT Systemadministrator - Kommunikationssysteme (gn)
    ESG Elektroniksystem- und Logistik-GmbH, Fürstenfeldbruck
  2. SAP Basis Administrator (m/w/d)
    Sanofi-Aventis Deutschland GmbH, Frankfurt am Main
Detailsuche

Das Institut hatte die von der Firma Thryve (mHealth Pioneers GmbH) entwickelte App am 7. April 2020 bereitgestellt. "Die von den Nutzern der Corona-Datenspende-App freiwillig zur Verfügung gestellten Daten ermöglichen den Wissenschaftlern des Robert-Koch-Instituts genauere Einblicke in die Verbreitung des Coronavirus", hieß es in der Pressemitteilung. Auf diese Weise wollten die Forscher an die sogenannten Vitaldaten der Nutzer wie Ruhepuls, Schlaf und Aktivitätsniveau gelangen. "Bei einer akuten Atemwegserkrankung ändern sich diese Vitalzeichen in den meisten Fällen deutlich. Daher können auch typische Covid-19-Symptome wie Fieber durch die App erkannt werden", schrieb das RKI.

Pseudonymisierung erst beim RKI

Der CCC-Analyse zufolge werden die Daten bei Android-Geräten jedoch nicht über die App an die Server des RKI gesendet. Vielmehr erhalte der Server des RKI "direkten Zugang zu den auf Servern der Fitnesstracker-Anbieter oder bei Google Fit gespeicherten Daten". Hierzu speichere das RKI eine große Anzahl von Zugangsdaten mit hohem Schutzbedarf. "Diese Zugangsdaten erlauben den Zugriff auf nicht pseudonymisierte und historische Fitnessdaten und bei den Anbietern Fitbit, Garmin, Polar und bei Google Fit den Zugriff auf die vollständigen Namen der Datenspender", schreibt der CCC.

Darüber hinaus empfange das RKI vollständige, das heißt nicht-pseudonymisierte Daten teils mitsamt vollständiger Namen der Datenspender. Eine Pseudonymisierung sei erst anschließend nach Empfang der vollständigen Daten auf Seiten des RKI möglich.

Widersprüchliche Angaben zur App

Der CCC verweist darauf, dass sich Datenschutzerklärung und FAQ zu der Datenspende-App teilweise widersprächen. So heißt es in der Datenschutzerklärung: "Erfasste Daten werden von meinem Smartphone verschlüsselt zu den von uns ausschließlich in Deutschland betriebenen Servern übertragen, dort verarbeitet und gespeichert." In den FAQ schreibt des RKI hingegen zur Frage, ob die App dauerhaft im Hintergrund laufen müsse: "Die Anwendung kann geschlossen werden. Die Daten werden im Hintergrund von den Servern der Hersteller Ihres Fitnessarmbands oder Ihrer Smartwatch automatisch abgefragt. Sie müssen nichts weiter tun."

An einer anderen Stelle heißt es hingegen: "Die benötigten Daten werden vom Fitnessarmband automatisch erfasst. Mit der Corona-Datenspende-App werden diese Daten pseudonym an das Robert Koch-Institut gesendet." Laut CCC trifft Letzteres jedoch nicht zu, da die Daten erst auf dem Server des RKI pseudonymisiert würden.

Man-in-the-Middle-Angriffe möglich

Problematisch ist nach Ansicht der Sicherheitsexperten zudem die Tatsache, dass der direkte Zugang des RKI zu den Fitnessdaten bei Deinstallation der Smartphone-App nicht automatisch beendet werde. Auch sei dem Datenspender eine Kontrolle des Datenflusses an das RKI und der anschließend vorgenommenen Pseudonymisierung nicht möglich.

Darüber hinaus kritisiert der CCC in seiner Analyse, dass die App keinen Standardbrowser verwende, sondern einen eingebetteten Webview. Dies ermögliche beispielsweise Man-in-the-Middle-Angriffe, da die Kommunikation aus Webview heraus mit den Fitnesstracker-Anbietern oder Google Fit wegen fehlenden Certificate-Pinnings nicht sicher sei. Weitere Kritikpunkte sind die unverschlüsselte Speicherung von Zugangsdaten auf dem Smartphone sowie die unsichere Handhabung des vertraulichen Pseudonyms.

Anfang April war bereits bekanntgeworden, dass eine von der Deutschen Telekom veröffentlichte Corona-App Sicherheitslücken aufwies. Mit Blick auf weitere geplante Corona-Apps fordert der CCC "proaktives Handeln" und verweist auf die Anfang April veröffentlichten zehn Prüfsteine. Die darin geforderte Transparenz fördere "eine aktive und konstruktive Einbindung der Fachöffentlichkeit und hat damit das Potenzial, künftige App-gestützte Maßnahmen noch zielgerichteter zur Reife zu bringen".

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Glasfaser
Berliner Senat blamiert sich mit Gigabitstrategie

Der Berliner Senat ist nach Jahren aus dem Dämmerzustand hochgeschreckt und hat nun eine Gigabitstrategie. Warum haben sie nicht einfach geschwiegen?
Ein IMHO von Achim Sawall

Glasfaser: Berliner Senat blamiert sich mit Gigabitstrategie
Artikel
  1. Razer: Der erste Blade-Laptop mit Ryzen ist da
    Razer
    Der erste Blade-Laptop mit Ryzen ist da

    Wieder 14 Zoll, erstmals mit AMD-Chip: Das neue Razer Blade kombiniert einen 75-Watt-Ryzen mit der flottesten Geforce RTX.
    Ein Hands-on von Marc Sauter

  2. Selbständige: Vodafone mit neuen Tarifen ohne Preissteigerung
    Selbständige
    Vodafone mit neuen Tarifen ohne Preissteigerung

    Vodafone wird seine Preise in neuen Tarifen für Selbständige nach 24 Monaten nicht mehr anheben.

  3. Gorillas-Chef: Entlassungen sind im Interesse der Community
    Gorillas-Chef
    Entlassungen sind "im Interesse der Community"

    Der Chef des Gorillas-Lieferdienstes rechtfertigt die Kündigung eines Arbeiters. Eine Fahrerin mit blauen Flecken am Rücken bewertet das anders.

Trockenobst 23. Apr 2020

1. Die Stelle selbst wird sachlich damit umgehen. Der russische Superhacker nicht. Es...

Trockenobst 23. Apr 2020

Ich vertraue dem RKI nicht vollständig, weil es keinen wissenschaftlichen Betrieb...

Lanski 23. Apr 2020

Ob damit jemand besonderes ein Problem hat ist ja vollkommen egal wenn sich das Insitut...

niemandhier 22. Apr 2020

Die je nach Anbieter weder alles relevante unterstützen noch kostenlos sind..

ImBackAlive 22. Apr 2020

Ich bin mir jetzt nicht sicher, wie diese App konkret aufgebaut ist. Aber zumindest bei...


Folgen Sie uns
       


  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Dualsense 59,99€ • Battlefield 2042 PC 53,99€ • XXL Sale bei Alternate • Rainbow Six Extraction Limited PS5 69,99€ • Sony Pulse 3D-Headset PS5 99,99€ • Snakebyte Gaming Seat Evo 149,99€ • Bethesda E3 Promo bei GP [Werbung]
    •  /