CCC-Analyse: RKI greift bei Corona-Datenspende direkt auf Server zu

Von wegen Datenspende per Smartphone-App: Das RKI hat sich laut CCC direkten Zugriff auf die Fitnessdaten der Nutzer bei den Anbietern verschafft.

Artikel veröffentlicht am ,
Der CCC kritisiert die Datenspende-App des RKI.
Der CCC kritisiert die Datenspende-App des RKI. (Bild: Peter Steinlechner/Golem.de)

Das Robert-Koch-Institut (RKI) verstößt bei der Nutzung einer Corona-App für Fitnessdaten gegen seine eigene Datenschutzerklärung. Das hat eine Analyse des Chaos Computer Clubs (CCC) ergeben, die am 20. April 2020 veröffentlicht wurde (PDF). Demnach werden Fitnessdaten "regelmäßig nicht vom Smartphone des Datenspenders aus an das RKI übermittelt, sondern vom RKI direkt beim Anbieter des Fitnesstrackers oder Google Fit abgefragt und erst anschließend pseudonymisiert".

Stellenmarkt
  1. Service Manager Windows Serversysteme (m/w/d)
    operational services GmbH & Co. KG, Wolfsburg, Dresden, Ingolstadt, Leinfelden-Echterdingen
  2. Webentwickler (m/w/d) eGovernment
    Landratsamt Dachau, Dachau
Detailsuche

Das Institut hatte die von der Firma Thryve (mHealth Pioneers GmbH) entwickelte App am 7. April 2020 bereitgestellt. "Die von den Nutzern der Corona-Datenspende-App freiwillig zur Verfügung gestellten Daten ermöglichen den Wissenschaftlern des Robert-Koch-Instituts genauere Einblicke in die Verbreitung des Coronavirus", hieß es in der Pressemitteilung. Auf diese Weise wollten die Forscher an die sogenannten Vitaldaten der Nutzer wie Ruhepuls, Schlaf und Aktivitätsniveau gelangen. "Bei einer akuten Atemwegserkrankung ändern sich diese Vitalzeichen in den meisten Fällen deutlich. Daher können auch typische Covid-19-Symptome wie Fieber durch die App erkannt werden", schrieb das RKI.

Pseudonymisierung erst beim RKI

Der CCC-Analyse zufolge werden die Daten bei Android-Geräten jedoch nicht über die App an die Server des RKI gesendet. Vielmehr erhalte der Server des RKI "direkten Zugang zu den auf Servern der Fitnesstracker-Anbieter oder bei Google Fit gespeicherten Daten". Hierzu speichere das RKI eine große Anzahl von Zugangsdaten mit hohem Schutzbedarf. "Diese Zugangsdaten erlauben den Zugriff auf nicht pseudonymisierte und historische Fitnessdaten und bei den Anbietern Fitbit, Garmin, Polar und bei Google Fit den Zugriff auf die vollständigen Namen der Datenspender", schreibt der CCC.

Darüber hinaus empfange das RKI vollständige, das heißt nicht-pseudonymisierte Daten teils mitsamt vollständiger Namen der Datenspender. Eine Pseudonymisierung sei erst anschließend nach Empfang der vollständigen Daten auf Seiten des RKI möglich.

Widersprüchliche Angaben zur App

Golem Akademie
  1. Mobile Device Management mit Microsoft Intune
    22.-23. November 2021, online
  2. IT-Fachseminare der Golem Akademie
    Live-Workshops zu Schlüsselqualifikationen
  3. 1:1-Videocoaching mit Golem Shifoo
    Berufliche Herausforderungen meistern
Weitere IT-Trainings

Der CCC verweist darauf, dass sich Datenschutzerklärung und FAQ zu der Datenspende-App teilweise widersprächen. So heißt es in der Datenschutzerklärung: "Erfasste Daten werden von meinem Smartphone verschlüsselt zu den von uns ausschließlich in Deutschland betriebenen Servern übertragen, dort verarbeitet und gespeichert." In den FAQ schreibt des RKI hingegen zur Frage, ob die App dauerhaft im Hintergrund laufen müsse: "Die Anwendung kann geschlossen werden. Die Daten werden im Hintergrund von den Servern der Hersteller Ihres Fitnessarmbands oder Ihrer Smartwatch automatisch abgefragt. Sie müssen nichts weiter tun."

An einer anderen Stelle heißt es hingegen: "Die benötigten Daten werden vom Fitnessarmband automatisch erfasst. Mit der Corona-Datenspende-App werden diese Daten pseudonym an das Robert Koch-Institut gesendet." Laut CCC trifft Letzteres jedoch nicht zu, da die Daten erst auf dem Server des RKI pseudonymisiert würden.

Man-in-the-Middle-Angriffe möglich

Problematisch ist nach Ansicht der Sicherheitsexperten zudem die Tatsache, dass der direkte Zugang des RKI zu den Fitnessdaten bei Deinstallation der Smartphone-App nicht automatisch beendet werde. Auch sei dem Datenspender eine Kontrolle des Datenflusses an das RKI und der anschließend vorgenommenen Pseudonymisierung nicht möglich.

Darüber hinaus kritisiert der CCC in seiner Analyse, dass die App keinen Standardbrowser verwende, sondern einen eingebetteten Webview. Dies ermögliche beispielsweise Man-in-the-Middle-Angriffe, da die Kommunikation aus Webview heraus mit den Fitnesstracker-Anbietern oder Google Fit wegen fehlenden Certificate-Pinnings nicht sicher sei. Weitere Kritikpunkte sind die unverschlüsselte Speicherung von Zugangsdaten auf dem Smartphone sowie die unsichere Handhabung des vertraulichen Pseudonyms.

Anfang April war bereits bekanntgeworden, dass eine von der Deutschen Telekom veröffentlichte Corona-App Sicherheitslücken aufwies. Mit Blick auf weitere geplante Corona-Apps fordert der CCC "proaktives Handeln" und verweist auf die Anfang April veröffentlichten zehn Prüfsteine. Die darin geforderte Transparenz fördere "eine aktive und konstruktive Einbindung der Fachöffentlichkeit und hat damit das Potenzial, künftige App-gestützte Maßnahmen noch zielgerichteter zur Reife zu bringen".

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Trockenobst 23. Apr 2020

1. Die Stelle selbst wird sachlich damit umgehen. Der russische Superhacker nicht. Es...

Trockenobst 23. Apr 2020

Ich vertraue dem RKI nicht vollständig, weil es keinen wissenschaftlichen Betrieb...

Lanski 23. Apr 2020

Ob damit jemand besonderes ein Problem hat ist ja vollkommen egal wenn sich das Insitut...

niemandhier 22. Apr 2020

Die je nach Anbieter weder alles relevante unterstützen noch kostenlos sind..

ImBackAlive 22. Apr 2020

Ich bin mir jetzt nicht sicher, wie diese App konkret aufgebaut ist. Aber zumindest bei...



Aktuell auf der Startseite von Golem.de
600 Millionen Euro
Bundeswehr lässt Funkgeräte von 1982 nachbauen

Das SEM 80/90 mit 16 KBit/s wird exakt nachgebaut, zum Stückpreis von rund 20.000 Euro. Das Retrogerät geht für die Bundeswehr in Serie.

600 Millionen Euro: Bundeswehr lässt Funkgeräte von 1982 nachbauen
Artikel
  1. Meng Wanzhou: Huawei-Finanzchefin geht Deal mit USA ein
    Meng Wanzhou
    Huawei-Finanzchefin geht Deal mit USA ein

    Nach mehrjährigem Rechtsstreit treten die Huawei-Managerin Meng Wanzhou und zwei in China inhaftierte Kanadier den lang ersehnten Heimweg an.

  2. Wochenrückblick: Unter und über der Oberfläche
    Wochenrückblick
    Unter und über der Oberfläche

    Golem.de-Wochenrückblick Neue Surface-Geräte und iOS-Updates: die Woche im Video.

  3. Automotive Cells Company: Daimler beteiligt sich an Airbus der Batterien
    Automotive Cells Company
    Daimler beteiligt sich an "Airbus der Batterien"

    Um Elektroautos mit Batterien zu versorgen, beteiligt sich neben Stellantis und Totalenergies auch Daimler an der Automotive Cells Company (ACC).

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Samsung Odyssey G7 499€ • Alternate (u. a. Thermaltake Level 20 RS ARGB 99,90€) • Samsung 980 1 TB 83€ • Lenovo IdeaPad Duet Chromebook 229€ • Lenovo-Laptops zu Bestpreisen • 19% auf Sony-TVs bei MM • Samsung SSD 980 Pro 1TB 150,50€ • AeroCool Cylon 4 ARGB 25,89€ [Werbung]
    •  /