Google und Apple: Die Macht der Giganten

Die Corona-App zeigt exemplarisch, warum die Dominanz von Google und Apple dringend gebrochen werden muss.

Gut dass es sie gibt, schlecht wie sie zustande kam: Die Corona-Warn-App Foto: Arne Dedert/dpa

Auf den ersten Blick sieht es so aus, als hätten Google und Apple alles richtig gemacht. Sie haben mitten in der Pandemie in Kooperation mit verschiedenen Ländern und wissenschaftlichen Einrichtungen daran gearbeitet, dass es eine funktionierende App zur Verfolgung der Kontakte Sars-CoV-2-infizierter Personen gibt. Sie haben, so berichten es Po­li­ti­ker:innen und Wissenschaftler:innen, sich dabei kooperativ und konstruktiv verhalten. Die beiden Unternehmen haben früh auf eine Lösung gesetzt, die gut ist für die Privatsphäre der App-Nut­zer:innen. So dürften sie einige Regierungen dazu gebracht haben, auf das privatsphäre-freundliche dezentrale App-Modell zu setzen.

Hier beginnt das Problem. Nicht weil ein Modell, bei dem die Konktaktinformationen an zentraler Stelle zusammenlaufen, besser wäre – im Gegenteil. Eine zentrale Zusammenführung würde eine Identifizierung der App-Nutzer:innen ermöglichen. Das von Google und Apple unterstützte datensparsame Modell ist also das richtige. Aber der Weg ist es nicht. Er zeigt geradezu exemplarisch, warum die Marktmacht von Google und Apple zu groß ist – und warum dieses Duopol auf dem Smartphone-Markt dringend aufgebrochen werden muss.

Bei der Corona-Nachverfolgungs-App haben Google und Apple gleich zwei Mal ihre Marktmacht ausgespielt. Der erster Fall ist die oben skizzierte Entscheidung zentrales versus dezentrales Modell. Beide Unternehmen haben früh angekündigt, Änderungen in ihren Smartphone-Betriebssystemen vorzunehmen, um entsprechende dezentral designte Nachverfolgungs-Apps zu unterstützen. Inhaltlich ist das eine gute Entscheidung: Für den Schutz der persönlichen Daten ist das dezentrale Modell deutlich besser. Und wer eine ernsthaft funktionierende Corona-Nachverfolgungs-App auf den Markt bringen will, kommt an dieser technischen Umsetzung nicht vorbei.

Aber: Die Entscheidung für das dezentrale Modell mutet einigermaßen willkürlich an. Klar, man könnte unterstellen, die beiden Unternehmen hätten dabei nur das Beste im Sinn, zum Beispiel zu verhindern, dass autokratische Regime mit der zentralen Datenspeicherung Bewegungsprofile erstellen. Oder auch, dass Google und Apple ein Interesse an der Pandemiebekämpfung haben. Und dass diese nun mal umso besser gelingen könnte, je mehr Menschen so eine App nutzen, und das ist vor allem dann der Fall, wenn das Vertrauen in die App groß ist. Ein privatsphäre-freundlicher Ansatz wie die dezentrale Speicherung ist geeignet, dieses Vertrauen herzustellen.

Aber auch das – immer noch willkürlich. Wenn Unternehmen, die sonst nicht gerade für einen überragenden Schutz der Privatsphäre bekannt sind, auf einmal ein datenschutzfreundliches Modell unterstützen, ja sogar technisch bindend machen, dann kann das die richtige Konsequenz aus ausnahmsweise guten Motiven sein. Was wir aber brauchen, ist: reproduzierbarer Schutz der Privatsphäre. Immer. Und nicht nur dann, wenn die maßgeblichen Unternehmen es ausnahmsweise mal für richtig halten.

Noch problematischer ist allerdings das API-Problem. API steht für application programming interface, das lässt sich mit Programmierschnittstelle übersetzen. So eine Schnittstelle wird bereitgestellt vom Hersteller des Betriebssystems, also Google oder Apple. Programmierer:innen von Apps brauchen sie, um ihre App an das Betriebssystem anzudocken. Die API ist also quasi die Wurzel der App in das System. Bei der Corona-Nachverfolgungs-App ist die Exposure-Notification-API wichtig. Die sorgt zum Beispiel dafür, dass die Smartphones die Abstände zu anderen Geräten mit der gleichen oder einer kompatiblen App messen und die Werte an die App weitergegeben werden. Diese Nähebestimmung ist die Grundlage der Nachverfolgungs-App.

Noch einmal zur Erinnerung: Die deutsche Corona-Nachverfolgungs-App an sich ist Open Source. Ihr Quellcode ist veröffentlicht und für alle mit Progammierkenntnissen überprüfbar. Wer ausreichend Java spricht, kann sich durch den Code wühlen und zum Beispiel nach unerwünschten Zusatzfunktionen oder Fehlern Ausschau halten. Sind die Entwickler:innen nicht gewillt, diese zu beseitigen, könnte eine unabhängige Entwicklerin einfach eine alternative App aus dem Code bauen, zum Beispiel ohne die unerwünschte Zusatzfunktion, und diese wiederum als Open-Source-Anwendung veröffentlichen.

Im Fall der Corona-Nachverfolgungs-App geht das allerdings nicht. Denn was nicht Open-Source ist: die Exposure-Notification-API, also die Wurzel. Google und Apple haben die Schnittstelle zwar umfangreich dokumentiert, den Quellcode behalten sie aber für sich. Nutzer:innen sind also darauf angewiesen, Google und Apple zu vertrauen, dass sie keine unerwünschten Funktionen oder folgenschweren Fehler eingebaut haben.

In der Datenschutz-Folgeabschätzung zu der App, die das Robert-Koch-Institut als verantwortliche Stelle im Juni herausgegeben hat, liest sich das so: „Exakte Funktionsweise unbekannt“. Das klingt schon sehr lapidar für eine Gesundheits-App.

Und noch ein weiteres Problem in diesem Kontext: Apple und Google erlauben nur einer App pro Land die Nutzung ihrer Schnittstelle und diese App muss von der Gesundheitsbehörde herausgegeben werden. Die unabhängige Entwicklerin von oben kann sich also viel Mühe geben und aus der Open-Source-App eine noch bessere bauen. Aber niemand wird sie nutzen können, weil Google und Apple der App keinen Zugriff auf die Schnittstelle erlauben.

Ein erster Schritt hin zu einem Aufbrechen des Duopols könnte also genau da ansetzen: in einer Öffnung des Software-Codes und der Schnittstellen. Sodass – auch für Apple-Geräte – alternative Apps und Betriebssysteme angeboten werden können. Für Qualität und Vielfalt der Angebote und auch für die Lebensdauer der Geräte dürfte das nur förderlich sein.

Comments

[VigarLunaris]

Um es kurz zu sagen, solange es 2 große Anbieter gibt, bestimmen diese den Markt.

Man erinnert sich noch an die "alten" Post zeiten? Ja früher gab es den Telefonanschluß nur von der Post.

Dann wurde mal geändert und es gab die T-Com und irgendwann auch mal andere Anbieter. Dennoch sind diese Anbieter meistens nur Mieter eines Monopolisten.

Bei den Handys ist es das gleich in Grün. 2 Große Platzhirsche geben uns den Service eines OS + Gerätschaften.

Bei dem einen wenigstens X Geräte jedoch alles auf dem einen OS-Unterbau.

Das hierbei vertrauen ein Problem ist, kann man nachvollziehen und auch ich finde es nicht toll das wir nur die Auswahl zwischen den "beiden" haben.

Letztlich gehört eigentlich der Handymarkt zerschlagen, aber wer traut sich schon daran. Vielleicht ist ja die Corona App etwas gutes in dem Falle, da hierbei ggf. ein Datensupergau = auch mal politische Folgen haben wird.

[Mainzerin]

Noch etwas, das problematisch ist: unter Android MUSS man den Standort einschalten, damit die Corona-App funktioniert. Das heißt: nicht nur für die eine App, sondern für alle. Und die nutzen die anderen Apps schlagartig.

Sprich: man wird automatisch zwangsweise zum massenhaften Datenscout!

Mein Standort bleibt, seitdem ich das entdeckt habe, ausgeschaltet.

Wenn die Politik meint, dass es sehr wichtig ist, dass alle diese App benutzen, dann sollen sie sich gefälligst gegen den Softwareanbieter durchsetzen und Datenschutz herstellen!

[VigarLunaris]

@Mainzerin Mainzerin um es kurz zu sagen:

Wenn GPS aus ist, lokalisiert das Gerät mithilfe von WLAN, GPRS und wenn das alles aus ist, aufgrund von hochgeladenen Bildern ( bekannte Objekte ).

Glauben sie nicht? Dann sehen Sie mal wie genau Sie ihr Handy einmessen können, aufgrund der WLAN-IDs und der stärke des WLAN Empfangs.

Fotografieren Sie mal ein Objekt in Mainz ( bekannt ) und lassen mal google googles oder oder oder das Objekt ansehen.

GPRS = Einer hat vorher mit Mobilen Internet + GPS an einmal an und ihr Handy meldet sich am Mobilfunkturm an und somit ist zumindest auf ca. 2-5 km der Standort des Geräts ermittelt.

[80576 (Profil gelöscht)]

@Mainzerin Glauben Sie ernsthaft, Sie könnten die Standortermittlung Ihres Smartphones wirklich ausschalten? Weil das Google Betriebssystem sagt, das wäre so? Hm, immer schön wachsam bleiben...

[kapito]

@Mainzerin Man muss GPS nicht aktiv haben, um die App zu nutzen. Insofern verstehe ich ihr Problem nicht.

[Weber]

Ein Dank an Svenja Bergt, daß sie immer wieder auf die völlig inakzeptable Großmacht der Tech-Giganten wie Google und Apple hinweist, und auf die Gefahren der Abhängigkeit von geschlossenen Betriebsystemen, von denen wir nicht wissen (können), was sie mit unseren Daten machen. Der Ausgang der Menschen aus dieser Unmündigkeit kann nur in freier und offener Software liegen - und die gibt es.

[Ingo Bernable]

"Ein erster Schritt hin zu einem Aufbrechen des Duopols könnte also genau da ansetzen: in einer Öffnung des Software-Codes und der Schnittstellen."

Bei Android ist das ja längst der Fall, lediglich die Google Play Erweiterungen sind proprietär. Und es gibt auch Android Distributionen die ohne diese auskommen und damit die geforderten Kriterien erfüllen, nur sind diese, obwohl gratis verfügbar, kaum verbreitet. Die im Artikel thematisierten Probleme ergaben sich daraus, dass Google die Exposure Notification API nicht in Android, sondern in Google Play integriert hat. Zwingende Gründe sie dort und nicht im OS unterzubringen sind zumindest nicht offensichtlich, demnach wäre es auch möglich gewesen, dass eine derartige API durch die Android-Entwickler-Community realisiert würde. Das ist aber, zumal in so kurzer Zeit, nicht passiert.

Zum Anderen sollte man die Konsequenzen der Forderung der Veröffentlichung der Quellcodes auch explizit machen. Es hieße etwa, dass das von Apple verfolgte Konzept ein auf eine sehr limitierte Hardwarepalette genau abgestimmtes Betriebssystem als USP anzubieten nicht mehr funktionieren würde, da es dann ja diverse, unterschiedliche IoS Distributionen gäbe. Das Versprechen an den Kunden, dass so ein System, weil geschlossen und variantenarm, halt einfach läuft wäre dahin, das Szenario würde eher dem heutigen Linux-Umfeld gleichen und wäre entsprechend voraussetzungsvoll für die Benutzer. Auch stellt so eine erzwungene Offenlegung der Sourcen im Prinzip eine Art der Enteignung dar. Darüber kann man natürlich nachdenken, aber der Anreiz für die Firmen weiter in die Entwicklung einer Software zu investieren die sie weder verkaufen noch kontrollieren können wäre wohl gering.

Und müssten das Kernargument, dass das Duopols gebrochen und die Technik durch jede*n verbessert werden können muss nicht genauso für die Hardware selbst gelten und sich die Forderung nach Offenlegung demnach nicht auch auf die Hardware-Konstruktionspläne erstrecken?

[LeserX X]

" Sodass – auch für Apple-Geräte – alternative Apps und Betriebssysteme angeboten werden können. Für Qualität und Vielfalt der Angebote und auch für die Lebensdauer der Geräte dürfte das nur förderlich sein."

Wenn ich die Forderung im Artikel richtig verstehe, soll also Apple das Betriebssystem iOS öffnen für andere Betriebssysteme? Und der Code der Corona-App komplett herausgegeben werden, damit es Alternativapps dazu geben kann?

Auf den Punkt mit dem Betriebssystem gehe ich mal nicht weiter ein, weil er vollkommen illusorisch ist.

Die Forderung, dass es Corona App Alternativen geben soll, halte ich ebenso für einen Fehler. Die App hat glücklicherweise eine hohe Akzeptanz in der Nutzerschaft bekommen. Würde man jetzt weitere alternative Corona Apps bauen, würde das nur verwirren und die Akzeptanz schmälern. Hätte eine der Apps einen Fehler, würde dies auf alle anderen Apps übertragen und deren Qualitätsansehen würde sinken -> die Bereitschaft zur Nutzung einer Corona App aus dem nun angebotenen Haufen von Apps würde sinken.

[tomás zerolo]

Alles sehr richtig, Frau Bergt. Es ist ja nicht nur so, dass Google (und ein wenig noch Apple) die Smartphone-Landschaft beherrscht. Google beherrscht auch noch den Browser, und die Werbemaschine im Backend.

Besonders schmerzhaft für mich ist es, diese Seite zu lesen, in der ein Google-Käfer (googletagservices) eingenistet ist :-(

[TheBox]

Was haben die Google- oder Apple-Abstands-APIs damit zu tun, ob das Tracking zentralisiert oder dezentral ist? Das API erzwingt keines der Modelle. Wie schon unten festgestellt: Neuland.

[Ruediger]

Ich lese den Kommentar so, dass Google unf Apple beim Umgang nut der Coronaapp zwar eigentlich alles richtig gemacht haben, aber weil es Google und Apple sind, muss man halt trotzdem was zum meckern finden. Dass ein kommerzieller Anbieter nicht alles Open Source machen kann, liegt doch einfach auch daran, dass in die Entwicklung viel Geld investiert wird. Ob sich App-Entwickler wirklich freuen würden, wenn sie ihre Produkte nicht nur für iOS und Android, sondern auch noch für zig andere Betriebssysteme entwickeln müssten, wage ich ja zu bezweifeln.

[Mmmmh]

Liebe Svenja, Sie schreiben: „Wenn Unternehmen, die sonst nicht gerade für einen überragenden Schutz der Privatsphäre bekannt sind,“

Sprechen Sie jetzt von Apple, oder von Google? Oder vermischen Sie hier Äpfel mit Birnen? Es gibt schon einen riesigen Unterschied zwischen beiden Firmen, was den Schutz der Ihrer Privatsphäre betrifft, oder? Und wenn Sie mir zustimmen, dann fällt Ihre Argumentation leider ein bisschen zusammen.

[Rudolf Fissner]

Wieder einmal so ein Internet Neulandartikel bei der taz / Warum gibt es keine Wlan-Kabel?

"Warum ist mein iPhone nicht dabei?

Das kann unterschiedliche Gründe haben: Zum einen haben ältere iPhones (bis zum iPhone 6) gar nicht die Hardware-Voraussetzungen des benötigten Bluetooth Low Energy Beacon (4.2)" www.br.de/nachrich...en-muessen,S1gcwAT Diese Bluetooth Hardwarevoraussetzung ist der Hauptgrund.

Hardware kann auch nicht mit Betriebssystemänderungen nachgerüstet werden. Deshalb hat und kann auch die Open Source Community kein quelloffenes Betriebssystem auf den Markt geworfen, dass diese Hardwarevoraussetzung implementiert.

[wirklich?]

@Rudolf Fissner Sie haben das Thema des Artikels verfehlt, auch wenn Sie in Ihrem Kommentar nicht Unrecht haben, darum ging es hier überhaupt nicht.

[Rudolf Fissner]

@wirklich? Wirklich?

Der Artikel behauptet, dass aufgrund der Closed Source der Betriebssysteme die Corona App nicht auf allen Geräten funktioniert.

Wobei selbst das nicht stimmt, den Android steht unter der Apache Lizenz und ist Open Source: de.wikipedia.org/w...d_(Betriebssystem)

Und die Exposure-Notification-API von Google selbst brauch die oben angesprochene Bluetooth Hardware ( Bluetooth Low Energy : en.wikipedia.org/w...uetooth_Low_Energy ). Auch mit einer Open Source API kann man nicht auf eine nicht vorhandene Hardware zugreifen können. en.wikipedia.org/w...osure_Notification

[Wolfgang Koch]

@Rudolf Fissner Hallo, habe eine 7 Jahre altes Samsung Note 3 mit Lineage OS ( Android 7.2 ) und die Corona App läuft gut, so viel zum Thema alte Hardware und Open-Source Betriebssystem

[stillill]

@Rudolf Fissner "Der Artikel behauptet, dass aufgrund der Closed Source der Betriebssysteme die Corona App nicht auf allen Geräten funktioniert."

Also entweder der Artikel ist bearbeitet worden oder Sie beziehen sich auf einen anderen Artikel!? Dieses Statement kann auch ich nirgendwo finden.

:)

[Rudolf Fissner]

@stillill Nö. Ich beiehe mich auf die Hardware die dem Artikel zugrunde liegt:

"Bei der Corona-Nachverfolgungs-App ist die Exposure-Notification-API wichtig. [...] Diese Nähebestimmung ist die Grundlage der Nachverfolgungs-App."

Und die braucht Hardware, die 30% der Smartphones fehlt und auch nicht softwareseitig nachgerüstet werden kann. Auch durch Aufbrechen der "Dominanz von Google und Apple" wird aus einem Rollstuhl kein Fahrrad. Ein altes Möhrenhandy ist auch danach noch ein altes Möhrenhandy.

Und andere Lösungswege für eine Corona-App scheiterten u.a. am notwendigen Datenschutz.

Das verschweigt der Artikel und behauptet fälschlich, dass eine Softwarelösung mit der gleichen Funktionalität per Exposure-Notification also Bluetooth Low Energy Hardware möglich ist.

[tomás zerolo]

@Rudolf Fissner Hm. Lesen Sie sich doch bitte mal [1] durch und kommen Sie dann zurück.

[1] github.com/corona-...mentation/issues/5

[Rudolf Fissner]

@tomás zerolo Und?

"F-Droid ist ein alternativer App Store FÜR das mobile Betriebssystem Android." de.wikipedia.org/wiki/F-Droid

Exposure-Notification-API ist Betriebssystemebene nicht App(Store) Ebene.

Weiter unten in ihrem Link können Sie lesen "Sure, a Google Play loose app would be cool, but that's just not technically possible. Because the API that does everything in the background comes directly from Google and Apple.

blog.google/docume...ication_v1.2.2.pdf "

[tomás zerolo]

@Rudolf Fissner "Und?"

Heisst lediglich, dass der Artikel einfach richtig ist: der Treiber "da unten", der sich mit der Hardware unterhält ist keine freie Software -- und (im Falle Android) durch Google kontrolliert.

Zu viel Macht.