Streit um Luca-App in Berlin: Sicher ist anders
Stundenlang befragen Abgeordnete den Senat, Datenschützer, Entwickler. Ergebnis: Es gibt schlechtere Anbieter, aber sicher ist die Luca-App nicht.
In einigen Geschäften in Berlin ist Luca schon im Einsatz Foto: Christoph Soeder/dpa
BERLIN taz | Die Liste der Fragen ist selbst für ein umstrittenes Thema ungewöhnlich lang: Mehr als eine Stunde dauert allein die erste Fragerunde zum Thema Luca-App im Ausschuss für Datenschutz des Abgeordnetenhauses – wohlgemerkt ohne die Antworten. Die App wurde von der Öffentlichkeit weitgehend unbemerkt in Berlin von Senat, Nutzer:innen und Gesundheitsämtern in den letzten Tagen an den Start gebracht.
Eingeladen, die Umstände der Einführung zu erklären, sind an diesem Montagnachmittag unter anderem Vertreter des Entwicklers Culture4Life GmbH, die für den Betrieb zuständige Senatsverwaltung für Gesundheit und Berlins Landesbeauftragte für den Datenschutz, Maja Smoltczyk. Am Ende, nach knapp zweieinhalb Stunden, sind viele neue Informationen über Luca bekannt.
Und trotzdem zieht der Datenschutzexperte der Linken, Sebastian Schlüsselburg, ein ernüchterndes Fazit: „Es sind noch nicht alle Datenschutzprobleme gelöst“, schreibt er bei Twitter. „Trotzdem ist sie an die Gesundheitsämter angeschlossen worden. Das ist ein Problem.“
Die Luca-App soll den Ämtern ermöglichen, die Kontakte von bestätigten Covid-Infizierten nachzuverfolgen. Dafür muss, wer etwa ein Geschäft oder ein Museum besucht – künftig auch ein Theater oder ein Kino – mittels der App seine persönlichen Daten kontaktlos beim Inhaber oder Betreiber hinterlassen. So sollen händisch ausgefüllte Kontaktbögen ersetzt und die Nachverfolgung im Falle eines Falles beschleunigt werden. Die Nutzung von Luca ist laut Senat nicht verpflichtend, wird aber sowohl Bürger*innen wie Geschäften wärmstens empfohlen.
„Es handelt sich um einen bunten Strauß von Problemen, die zum großen Teil lösbar sind, aber eben auch gelöst werden müssen.“
Anders als bei der mit bis zu 70 Millionen Euro entwickelten Corona-Warn-App des Bundes, die bisher eine solche Nachverfolgung nicht leisten kann, werden die Daten bei Luca zentral verwaltet. Ein Problem, wie Datenschützerin Smoltczyk am Montag noch einmal betont: „Wo eine Vielzahl personenbezogener Daten zentral gespeichert werden, kann auch eine Vielzahl dieser Daten entwendet werden.“ Besonders pikant: Durch die Auflistung zahlreicher Aufenthaltsorte ließen sich fast schon Bewegungsprofile einzelner Personen erstellen.
Doch es gibt laut Smoltczyk noch zahlreiche weitere Probleme: Das System lasse sich manipulieren; so könnten sich Personen in Listen von Veranstaltungen eintragen, auf denen sie gar nicht gewesen sind. Für Geschäftsinhaber sei unklar, ob ein Datenabruf wirklich von einem Gesundheitsamt komme oder von jemand anderem. Zudem würden Kunden nicht genügend über die Nutzungsbedingungen und den Datenschutz aufgeklärt.
„Ein bunter Strauß an Problemen, die zum großen Teil lösbar sind“, fasst Maja Smoltczyk zusammen und fügt hinzu: „Aber eben auch gelöst werden müssen.“ Immerhin gebe es dafür die Bereitschaft des Entwicklers, betonte sie – das sei in so mancher Senatsverwaltung in Berlin nicht der Fall. Smoltczyk geht davon aus, dass es mindestens bis Sommer dauern werde, bis Luca datenschutzkonform sein kann.
Umstrittener Erwerb
Viele Unklarheiten ranken sich zudem um den Erwerb einer Lizenz für die App, für die Berlin rund 1,2 Millionen Euro allein für 2021 zahlt. Der Regierende Bürgermeister Michael Müller (SPD) hatte dies Ende März bekannt gegeben, und es wirkte so, als habe er weitgehend auf eigene Faust gehandelt. Im Ausschuss wird ihm deshalb, sogar von einem Mitglied der eigenen Partei, unterstellt, von dem Thema (zu) wenig Ahnung zu haben.
Laut einem Vertreter der Senatsverwaltung für Gesundheit von Senatorin Dilek Kalayci (SPD) stellt sich der Erwerb ein bisschen anders dar. Nach der Konferenz der Ministerpräsident*innen mit Kanzlerin Angela Merkel (CDU) am 3. März, bei der der Beschluss für den Erwerb eines digitalen Nachverfolgesystem gefallen sei, habe man sich intensiv mit den zahlreichen auf dem Markt befindlichen Apps beschäftigt. Luca sei für die Gesundheitsämter am passendsten, so das Ergebnis. Zudem sei es „derzeit das effektivste System“.
Auch die Bezirke, unter deren Hoheit die Ämter stehen, hätten sich für Luca stark gemacht. Das bestätigt Neuköllns Stadtrat Falko Liecke (CDU): „Ich kenne keinen Bezirk, der diese App nicht nutzen will.“ Und was die Finanzierung angeht, gibt es offenbar die Zusage des Bundes, die Kosten für die nächsten 18 Monate zu übernehmen.
„Es steht außer Frage, dass solche Systeme missbraucht werden können.“
Selbst für Patrick Hennig vom Luca-Entwickler Culture4Life GmbH steht außer Frage, „dass solche Systeme missbraucht werden können“. Was aktuell in der Kritik stehe, seien vielfach aber keine konzeptionellen Fehler, sondern bewusste Entscheidungen. „Wir wollten nicht, dass Geodaten oder der Personalausweis überprüft werden müssen“, sagt er. Auch sei wichtig gewesen, dass die Betreiber der Geschäfte keinen Zugriff auf die Daten der Kunden hätten. Nach seiner Auskunft hätten inzwischen 4,3 Millionen Menschen die App heruntergeladen; bundesweit 230 Gesundheitsämter würden sich an das Luca-System anschließen lassen.
Datenschutz einbeziehen
„Wir haben von Anfang an versucht, die Datenschutzbehörden einzubeziehen“, betont Hennig. Die jüngsten Zugeständnisse – etwa die inzwischen komplette Offenlegung des Quellcodes – seien indes nicht selbstverständlich. „Das ist ein sicherheitskritisches System; da veröffentlicht man nicht nebenbei den Quellcode.“ Insgesamt vier Wochen lang würden die persönlichen Daten gespeichert, verrät Hennig, und erklärt: „Das System ist sicher.“ Um dann hinzuzufügen: „Es kann noch sicherer werden.“
Vielfach geteilt wird im Ausschuss die Aussage von Sabine Smentek. Sie ist als Staatssekretärin in der Senatsinnenverwaltung für die Digitalisierung der Verwaltung zuständig. „Grundsätzlich ist es besser, erst die Lösung für ein Problem zu suchen, und dann das Produkt“, sagt sie.
Die Notwendigkeit für Lösungen hat die Politik jedoch zu spät erkannt, genauso wie die Option, die Corona-Warn-App in diese Richtung weiterzuentwickeln. Nun steigt der Druck, neben den Geschäften auch der Kultur bald die Möglichkeit zu bieten, coronasicher wieder Angebote machen zu können für Veranstaltungen vor Publikum.
Leser*innenkommentare
Jugend
Ist das Journalismus wenn man einfach das Henning-Gelaber abdruckt oder kann das weg?
Wobei ja kritische Ansätze vorhanden sind.
Bei dieser App ist die Scharmobergenze jedoch echt erreicht. Das geht in die Geschichte ein.
0103 (Profil gelöscht)
Gast
Wenn es doch nur die Luca-App wäre... Es haut mich immer wieder aus den Schuhen wie viele völlig planlose Klitschen ihr Geld mit absoluter Schrott-Software verdienen und wie gerne vor allem auch die öffentliche Hand dort zugreift. Ich habe schon Läden gesehen in denen es keinen einzigen Entwickler mit Berufsausbildung oder Hochschulabschluss gab. Was da am Ende herauskommt erfüllt natürlich nicht die gesetzlichen Anforderungen und erst recht keine Industriestandards. Irgendwie kommen diese Läden aber immer wieder damit durch. Den Schaden haben am Ende oft Dritte, z.B. die Nutzer deren Daten gestohlen werden.
Wenn unsere "digitale Gesellschaft" eine Zukunft haben soll müssen wir dieses Problem unbedingt, z.B. durch eine entsprechende Regulierung, angehen. Im Moment sieht es aber so gar nicht danach aus. Ganz im Gegenteil bläst der Staat den unzähligen Schaumschlägern mit ihren sinnlosen Blockchains, KIs und Co. das Geld nur so in den Allerwertesten. Das gleiche gilt für unsere Forschungslandschaft, in der Projekte kaum noch finanzierbar sind, wenn nicht die richtigen Buzzwords im Titel stehen.
Dass Gestalten wie Smudo jetzt öffentlich gegen die Experten auf dem Feld wettern und dafür noch Beifall bekommen ist exakt die selbe Entwicklung in Richtung Wissenschaftsfeindlichkeit wie wir sie bei den Querdenkern beobachten können. Das erscheint besonders gefährlich wenn man bedenkt dass es in Zukunft immer schwerer sein wird die Benutzung fragwürdiger Anwendungen und Technologien zu verweigern.
J_CGN
Die App ist grober Unfug.
1)Von Identity haben die Entwickler keine Ahnung. Es ist problemlos möglich, Fake-ID's zu erstellen.
2) Wer kritische personenbezogene Daten verarbeitet und keine Datenschutzfokgenabschätzung macht, handelt schlicht bösartig, weil er kritische Fragen vermeiden will. So dumm können die Macher garnicht sein, dass sie das versehentlich vergessen haben. Und mit der Annahme dass sie so dumm sind, sind sie schlicht nicht vertrauenswürdig.
3) Der Code enthält fest eingetragene Passwörter. Das ist ein seit Jahren als eklatante Sicherheitslücke grudnsätzlich und selbst für Anfänger bekannt.Auch wieder ein Beispiek abgrundtiefer Dummheit der Entwickler.
Alles in allem ist diese App eine echte sicherheitstechnische Zumutung.
Wird halt schön vom Bärchen Smudo mit medialer Unterstützung gehyped und gepushed.
Biks
> „Das ist ein sicherheitskritisches System; da veröffentlicht man nicht nebenbei den Quellcode.“
Umgekehrt wird ein Schuh draus. Da es ein sicherheitskritisches System ist, sollte man den Quellcode veröffentlichen. Auch ohne Quellcode kann man Sicherheitslücken finden, es ist nur viel aufwändiger und obendrein illegal.
D.h. ohne Quellcode lohnt sich die Suche nach Sicherheitslücken nur für kriminelle Experten, die sie für eigene Zwecke missbrauchen wollen. Wenn der Quellcode dagegen öffentlich ist, können auch wohlgesonnene Experten ihn analysieren und auf Probleme hinweisen, womit bei einer so wichtigen App auch zu rechnen ist.
Aber das Veröffentlichen des Quellcodes steht wohl im Widerspruch zum Geschäftsmodell.
Toto Barig
@Biks In dem Fall glaube ich nicht, daß die Veröffentlichung des Quellcodes im Widerspruch zum Geschäftsmodell steht. Sondern die Firma weiß, daß der Code so schlecht geschrieben ist, daß er in der Luft zerrissen würde. Belegen kann ich diese Vermutung natürlich nur mit meinem Bauchgefühl.
Beskar
@Biks Hennig erzählt seit Monaten absoluten Schwachsinn. Zu Anfang hatte ich noch geglaubt er lügt fürs Geld. Mittlerweile hat er eindeutig vorgeführt, dass er ein Ahnungslose Schlangenölverkäufer ist. Wer sich das backend Konzept anguckt, der glaubt hier ein Azubi Projekt zu sehen. Das ist konzeptionell eine Bodenlose Katastrophe. Es ist auch nichts was nachträglich verbessert werden kann, Luca ist scheiße by Design.
Auch seine Aussage bezüglich security by obysurity ist bewusst gelogen, wenn er die geringste Ahnung von Software hat. Wie sie schon gesagt haben, ist es tatsächlich andersrum. Besonders deutlich wird das an den Kommentaren im repository. Da wird Hennig für nur ausgelacht.
Auch glaube ich nicht, dass es sich hier um die SW handelt, bis der Code unabhängig in die App compiliert wird. Dafür war die "Veröffentlichung" zu exotisch. Erstmal schön alle ToS von Github brechen, keine Versionskontrolle und code der "vorbereitet" werden muss.
Solange, das nicht compiliert wurde ist das alles, außer Luca, was da auf Github steht.
Toto Barig
Es gibt neben dem Datenschutz noch ein anderes Problem:
Müller hat die Lusa-App offenbar im Alleingang ohne Ausschreibung und ohne irgendein Vergabeverfahren eingekauft.
Eigentlich müßten zunächst die Anforderungen formuliert werden. Datenschutz gehört dazu.
Dann guckt man sich auf dem Markt um, welche Produkte die Anforderungen erfüllen.
Und dann guckt man auf den Preis.
Müller hat nur gesehen, daß ein "Prominenter" aus seiner (und meiner!) Alteleutegeneration im ÖR kostenlose Werbestunden für sein Startup kriegt und wie ein Teleshopping-Opfer einfach gekauft.
Nun wird die Konkurrenz, und davon gibt es reichlich, klagen. Hoffentlich erfolgreich!
jox
> Smoltczyk geht davon aus, dass es mindestens bis Sommer dauern werde, bis Luca datenschutzkonform sein kann.
Das ist wohl ein Irrtum: Datenschutz ist - genau wie übrigens Security - kein Feature, was man nachträglich an eine Software dran tackern kann. Datenschutz hat, wenn er beachtet wird, schon Einfluss in der Embryonalphase eines Projekts, und wenn man versucht das später hin zu biegen, kommt typischerweise eine scheußliche, nicht lebensfähige Missgeburt heraus.
Dazu kommt, dass Datenschutz in Software in aller Regel engstens verbandelt ist mit dem zugrunde liegenden Geschäftsmodell. Auch das ist schwer zu ändern. Wenn die erste Version schon Daten speit, werden spätere Instanzen der Software nicht zuverlässiger sein als ein Knastbruder, der als Bankangestellter eingestellt wird.
Beskar
@jox Wenn man sich das Backend anguckt, dann ist da per design, ab einer Infektion 0 Datenschutz drinnen. Den, der das patched, will ich sehen.
Alle Daten sind in klartext zentralisiert auf dem Firmenserver, sobald eine Infektion stattfindet. Datenschutz sieht anders aus.
Schauen Sie sich die Entstehungsgeschichte an. Hier soll der Staat eine Ticketing App finanzieren. Wenn Sie das gesamte Konzept unter der Lupe: Rein für kommerzielles Ticketing gedacht betrachten, ergibt die App einen Sinn. Dann macht auch das geschacher um den Code und dessen angebliche "Veröffentlichung" mit Verstoß gegen Github ToS Sinn. Angeblich deshalb, weil bei dem Code welcher Online ist, auch Aufgrund der Veröffentlichungsumstände, nicht davon ausgegangen werden kann, dass dieser compilierbar ist. Mein letzter Wissensstand war, dass auch bei der compilation mit security by obscurity rumgelogen wird. Öffentlichen Code wiederzuverwenden fällt auf, ein seriöser Kunde, wie zb der Staat, kauft so etwas nicht. Weshalb sollte dann ein Programm für die öffentliche daseinsvorsorge, wird per se nur ein Mal gekauft, versuchen diesen proprietär zu halten? Wenn ich mir dann aber das Lizenzkonzept, I'm Gegensatz zu security ist das ausgearbeitet, anschaue, dann soll hier eine proprietäre ticketing App für hohe Lizenzgebühren verscherbelt werden.
Mr Kommerz himself hat die Werbetrommel geschlagen. Das war von Anfang an unseriös und jetzt absolut nicht mehr ernst zu nehmen.
Da sollte der Verlust von 20 Mille hingenommen werden und ein seriöser Anbieter gewählt werden.
Ajuga
@jox Alles wenig verwunderlich, wenn man sich mal diesen historischen Artikel über den Mann hinter der App durchliest: www.tagesspiegel.d...eiben/9755824.html
Dem gehts um Reibach. Datenschutz ist kein Thema, das in der Prioritätenliste des Herrn Trojan (ist das eigentlich ein Künstlername?) irgendwie sonderlich weit oben stehen würde.