Auch die Corona-Warn-App hat Nachteile

So sind von den fast 3,3 Millionen seit September 2020 in Deutschland registrierten Corona-Infektionen nur 437.000 über die Corona-Warn-App gemeldet worden (PDF). Das entspricht einem Anteil von 13,3 Prozent.

Daher ist die Wahrscheinlichkeit sehr gering, nach einer Veranstaltung tatsächlich über die App gewarnt zu werden, wenn die Infektion eines Teilnehmers festgestellt wurde. Falsche Warnungen sind ebenfalls möglich. Die Wahrscheinlichkeit könnte deutlich erhöht werden, wenn es den Gesundheitsämtern oder Veranstaltern möglich wäre, die entsprechenden Codes hochzuladen. Diese Möglichkeit fordert unter anderem der Bundesdatenschutzbeauftragte Ulrich Kelber. Sie wird bereits von den Entwicklern, der Deutschen Telekom und SAP, geprüft.

Datenqualität angeblich bei fast 100 Prozent

Andererseits stellt sich die Frage, wie sinnvoll eine ungefilterte Warnung aller App-Nutzer ist. Wenn die Gesundheitsämter, wie von Kastl erläutert, nur in den wenigsten Fällen solche Events als Infektionsherde einstufen, müsste im Grund nicht jeder Teilnehmer automatisch gewarnt werden. Kastl sagte in ihrem Statement vor dem Bundestagsausschuss: "Selbst mit Öffnungen ergibt sich durch Gästelistenapps wie Luca kaum weniger Arbeit für Gesundheitsämter, eher mehr. Denn Cluster bei Ereignissen brauchen oftmals eine ausführliche Analyse, während der die CWA vielleicht bereits die Anwesenden gewarnt hat."

Laut Kastl lohnt sich die Auswertung von Gästelisten "nur bei erkennbar hohem Risiko eines Clusters". Dabei helfe nur gute Datenqualität weiter. Auch das ist weiterhin ein strittiger Punkt bei der Luca-App, vor allem durch die Möglichkeit, falsche Personendaten anzugeben oder sich bei entfernten Veranstaltungen einzuloggen. Hennig sagte dazu in der Ausschusssitzung, dass es bei Öffnungen in der Modellregion Nordfriesland nach mehreren Infektionsfällen eine fast 100-prozentige Datenqualität gegeben habe: "Von über 100 Kontaktdaten war bei einem der Vorname falsch."

Wann hat sich das Thema erledigt?

Nach Ansicht des IT-Experten Henning Tillmann stellt sich ohnehin die Frage, ob diese ganzen Nachverfolgungssysteme bei einer durchgeimpften Bevölkerung noch erforderlich sind. "Wir lange wollen wir uns mit dem Thema noch beschäftigen?", fragte er im Bundestag. Er verwies auf das Beispiel Israel, wo die Inzidenzwerte inzwischen bei 5 lägen und 60 Prozent der Bevölkerung geimpft seien.

Wie lange braucht man also noch Systeme wie Luca? Möglicherweise nur für den Zeitraum zwischen den ersten Lockerungen und einer Herdenimmunität mit sehr niedrigen Infektionswerten. So lange sollten nach Ansicht Hennigs die Luca-App und die Corona-Warn-App parallel eingesetzt werden. "Nur dezentral und anonym alleine funktioniert nicht. Es muss halt eine Mischung sein. Beides ergänzt sich", sagte er Golem.de.

Im Streit mit der Sicherheits-Community setzt er darauf, "dass sich die Hitze der Diskussion etwas legt". Er werde sich "jedenfalls freuen, wenn man öfter miteinander spricht als übereinander. Ich denke, das war zuletzt auch der Fall - wir haben ja ein gemeinsames Interesse, die Sicherheit von Lösungen wie Luca zu erhöhen."

Nachtrag vom 12. Mai 2021, 11:33 Uhr

Wir haben im ersten Absatz noch ergänzt, warum wir die Kritik an der Luca-App als extrem empfinden und sie unserer Ansicht nach in bestimmten Kreisen regelrecht verhasst ist.

Nachtrag vom 12. Mai 2021, 22:14 Uhr

Auf Anfrage von Golem.de, inwieweit das Bundesamt für Sicherheit in der Informationstechnik (BSI) ein Gutachten zur Luca-App erstellt hat, teilte die Behörde am 12. Mai 2021 mit: "Das BSI hat mit Stand Anfang Mai die iOS-Version der Luca-App im Rahmen seines App-Testing-Portals durch einen IT-Sicherheitsdienstleister prüfen lassen." Das App-Testing-Portal sei ein Angebot des BSI an die Bundesverwaltung, um den Einsatz von Apps auf Dienst-IT im vertraulichen Umfeld (VS/Verschlusssachen) überprüfen zu lassen. Diese Tests hätten eine begrenzte Prüftiefe und bezögen sich explizit nur auf die mobile Anwendung.

Weiter sagte ein Sprecher: "Es gibt kein Auftrag an das BSI, eine intensivere Prüfung der Luca-App vorzunehmen. Die Prüfung der Luca-App ist daher nicht vergleichbar mit der anhaltenden entwicklungsbegleitenden IT-Sicherheitsprüfung der Corona-Warn-App wie sie durch das BSI weiterhin durchgeführt wird." Ähnlich hatte sich auch BSI-Präsident Arne Schönbohm im Digitalausschuss geäußert: "Zum Thema der Luca-App ist es so: Das ist ja eine App wie viele andere Apps dementsprechend auch. Dort sind wir nicht intensiv eingebunden in die Prüfung letzten Endes der Sicherheit der einzelnen Funktionalitäten."