Wer entwickelt die App?

Die deutsche Corona-Warn-App wird von der Deutschen Telekom und SAP entwickelt. Dabei stellt die Telekom das Netzwerk und die Mobiltechnologie zur Verfügung und soll nach eigenen Angaben für einen sicheren, skalierbaren und stabilen Betrieb des Backends der App sorgen. SAP entwickelt die App, das zugehörige Framework und die zugrundeliegende Plattform.

Die Firmen greifen bei der Entwicklung der App auf Forschungsergebnisse des Fraunhofer Heinrich Hertz-Instituts (HHI) zurück. Das Helmholtz-Center for Informationen Security (CISPA) unterstützt ebenfalls die Entwicklung. Inzwischen hat sich auch eine Open-Source-Community für die App im Netz organisiert.

Der Code wird jedoch komplett neu geschrieben und auf Github zur Verfügung gestellt. Der Code für die Backend-Server ist ebenfalls Open Source und wird unter der freien Apache-Lizenz 2.0 veröffentlicht.

Die Entwicklung der Corona-Warn-App durch die Deutsche Telekom und SAP kostete netto 20 Millionen Euro. Für den Betrieb der App sowie die Bereithaltung mehrsprachiger Telefonhotlines werden monatlich etwa 2,5 bis 3,5 Millionen Euro veranschlagt. Dabei hängen die Kosten von der konkreten Inanspruchnahme der Hotlines ab.

Wie datenschutzkonform ist die Nutzung?

Bei der Installation der App werden keinen personenbezogenen Daten abgefragt und registriert. Das Hochladen der eigenen Schlüssel ist jedoch nur nach einer Autorisierung durch die Gesundheitsbehörden möglich. Eine entsprechende TAN soll entweder per QR-Code oder telefonisch eingegeben werden können.

Als Grundlage für die App dient auch das Protokoll DP-3T (Decentralized Privacy-Preserving Proximity Tracing). Dieses sieht vor, den Traffic zwischen Smartphones und Servern zu obfuskieren. Damit soll sichergestellt werden, dass aus dem Datentraffic nicht schon auf eine Infektion geschlossen werden kann.

Der sogenannte dezentrale Ansatz soll zudem sicherstellen, dass die Daten nicht zentral auf einem Server ausgewertet werden können. Sonst ließen sich Kontaktbeziehungen zwischen den Personen (Social Graph) ermitteln. Die registrierten Kontakte werden ausschließlich auf den Endgeräten gespeichert.

Aus diesem Grund ist die Berechnung eines möglichen Infektionsrisikos beim dezentralen Modell ausschließlich auf den Endgeräten möglich. Betroffene sind nicht verpflichtet, mögliche Warnungen den Gesundheitsbehörden zu melden. Sie können jederzeit die gespeicherten IDs löschen, die Bluetooth-Schnittstelle deaktivieren oder die App löschen.

Der Datenschutzfolgenabschätzung (PDF) zufolge werden bei der Kommunikation mit dem Server die IP-Adresse, Datum und Uhrzeit des Abrufs, die übertragene Datenmenge und die Meldung über einen erfolgreichen Abruf gespeichert.

Bei Android-Geräten darf für die Nutzung der Bluetooth-LE-Schnittstelle die Standortermittlung innerhalb der App nicht aktiviert sein. Google hat die ursprünglichen Vorgaben später angepasst und untersagt die Aktivierung der Standortermittlung in der aktualisierten API-Dokumentation (PDF) und in den Nutzungsbedingungen (PDF). Allerdings wird bei der Aktivierung der Schnittstelle verlangt, die Standortermittlung zu aktivieren. Die App funktioniert aber auch dann eingeschränkt, wenn die Freigabe anschließend wieder deaktiviert wird. Jedoch werden keine Zufalls-IDs mehr ausgetauscht.