Nach missbräuchlichen Check-ins: Luca-App soll mit Signaturen sicherer werden
Missbräuchliche Check-ins über die Luca-App sollen künftig erschwert werden. "Wenn eine Telefonnummer verifiziert wird, wird eine Signatur erzeugt und dem Client zurückgegeben" , sagte Patrick Hennig, Chef der Luca-App-Firmen Nexenio und Culture4Life, am Dienstag im Gespräch mit Golem.de. Bei jedem Check-in müsse diese Signatur dann angeben werden. Damit will Nexenio verhindern, dass Check-ins mit gefakten Telefonnummern und Personendaten bei den Gesundheitsämtern ausgewertet werden.
Mit einer eigens geschriebenen Webanwendung hat das Künstlerkollektiv Peng am Dienstag auf das Authentifizierungsproblem bei der Luca-App aufmerksam gemacht. Über die Webseite Luci-App.de(öffnet im neuen Fenster) lassen sich vorgegebene Personen in beliebige Veranstaltungen per QR-Code einchecken. Auswählen lassen sich "Alle Ministerpräsidenten" , "Vier Popmusiker" , "25 Hans Mustermänner" und "Nur mich (anonym)" . Dann kann mit dem Smartphone der QR-Code einer Veranstaltung oder eines Ortes eingescannt werden.
Falsche Daten über API einschleusen
Zur Begründung heißt es: "Mit unserer Luci App kannst du beliebig oft bei Luca einchecken. Wer und wo du bist, kannst du völlig frei wählen. Das geht, weil die Luca App nicht sicher gebaut wurde. Und wenn die Luca Macher diese Lücke schließen wollen, müssen sie ihr Anonymitätsversprechen brechen. Denn Filtern kann ja nur, wer reingucken kann. Nix reingucken. Nix filter. Alles klar."
Möglich ist dieser Missbrauch, weil die Telefonnummer nur Client-seitig geprüft wird. Wer den Javascript-Code verändert, kann über die Luca-API über den Webclient auch falsche Telefonnummern angeben. Dem Peng-Kollektiv zufolge werden aber de facto kein Check-ins vorgenommen. "Wir haben gezeigt, dass man theoretisch die Luca App mit Datenmüll fluten kann. Dadurch wird deutlich, dass man Luca mit ein paar Zeilen Codeänderungen kaputtmachen könnte."
Gesundheitsämter prüfen Signatur
Hennig will dieses Problem nun über die Signatur beheben. Das sei mit der Berliner Datenschutzbehörde so vereinbart worden. Bis Mitte Mai solle das neue Konzept über ein Update der App umgesetzt werden. "Bei den Gesundheitsämtern wird die Signatur geprüft" , sagte Hennig. Wenn diese nicht vorhanden sei, werde der Datensatz nicht angezeigt. Es sei weiterhin nicht geplant, im Backend jeden Check-in-Vorgang einer Telefonnummer zuzuordnen.
Ebenfalls sei nicht vorgesehen, Check-ins in entfernten Orten per Geo-Koordinaten zu verhindern. Das stehe nicht im Verhältnis zum Zweck der Luca-App. Erste Einsätze des Systems in Nordfriesland hätten brauchbare Daten geliefert. "Da stand nicht einmal Mickey Mouse drin" , sagte Hennig.
Luci-App als "netter Gag"
Die Aktion des Peng-Kollektivs bezeichnete Hennig als "netten Gag, der aber keinen Schaden anrichtet" . Allerdings zeigte er sich genervt von den ständigen Angriffen auf das Luca-System und die Vorwürfe gegen die Betreiber. "So langsam wird es ein bisschen absurd mit diesem ganzen Missbrauchszeug" , sagte Hennig, "das reißt nicht ab, dass irgendjemand Zeit darauf verwendet."
Als unzutreffend bezeichnete er zudem Spekulationen, wonach über die App Schadecode in die Datensätze geschrieben und über den Datenexport in CSV-Dateien in die Datenbanken der Gesundheitsämter geschleust werden könne. Darüber hatte die Zeit (Paywall)(öffnet im neuen Fenster) berichtet. Laut Hennig werden solche Zeichen beim Entschlüsseln der Daten für die Gesundheitsämter und beim Import in deren Sormas-System herausgefiltert. "Ein Angriff ist nicht möglich" , sagte Hennig.
Es sei hingegen nicht sinnvoll, solche Sonderzeichen schon bei der Eingabe der Nutzerdaten zu blockieren. "Wir können es nur auf Smartphones verhindern, denn über die API könnte trotzdem jeder andere Zeichen reinschieben, deswegen haben wir bei der Eingabe darauf verzichtet" , sagte er zur Begründung.
Datenschützer fordern Schutz vor Identitätsmissbrauch
Die Datenschutzbehörden von Bund und Ländern haben Ende April 2021 in einer Orientierungshilfe (PDF)(öffnet im neuen Fenster) zu Kontaktverfolgungs-Apps solche zentralen Systeme wie die Luca-App nicht grundsätzlich abgelehnt. Sowohl zentrale als auch dezentrale Ansätze, wie die Corona-Warn-App, erlaubten "grundsätzlich die gleiche Funktionalität" sowohl im Hinblick auf die Erfüllung der infektionsschutzrechtlichen Anforderungen als auch auf die Einhaltung der datenschutzrechtlichen Vorgaben.
In der Orientierungshilfe der Datenschutzkonferenz (DSK) wird gefordert: "Das Verfahren soll angemessenen Schutz gegen den Identitätsmissbrauch zulasten der betroffenen Personen und gegen den Eintrag von Anwesenheitsdaten, die keinem tatsächlichen Aufenthalt entsprechen, aufweisen." Letzteres lässt sich aber weder mit der Luca-App noch mit der Corona-Warn-App verhindern.
Luca-App im Digitalausschuss
Mit den Vor- und Nachteilen der Apps zur Clusterererkennung befasst sich am Mittwoch(öffnet im neuen Fenster) auch der Digitalausschuss des Deutschen Bundestags. Dort soll es einen "Bericht zur Sicherheit und Koordinierung der Nutzung" solcher Apps geben.
Das Peng-Kollektiv empfiehlt statt der Luca-App die Nutzung der Corona-Warn-App. Doch diese hat ebenfalls Nachteile. So lassen sich falsche Warnungen erzeugen , wenn Nutzer sich in Veranstaltungen einloggen, an denen sie gar nicht teilgenommen haben. Zudem kann keinerlei Warnung erfolgen , wenn ein Infizierter die App nicht nutzt oder seine Daten nicht hochlädt. Dadurch sinkt die Wahrscheinlichkeit sehr stark, dass über die Corona-Warn-App tatsächlich Nutzer gewarnt werden.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.