Wie die Corona-Warn-App von SAP und Telekom funktioniert
Die offizielle Corona-Warn-App von SAP und Telekom ist fast fertig. Im Vorfeld veröffentlichten die Entwickler Dokumentationen zur App und ihrer Risikobewertung.
(Bild: Engin Akyurt / Pixabay)
SAP und Telekom bemühen sich um Vertrauen für ihre Corona-Warn-App. Nach knapp einem Monat Entwicklungsarbeit sind bereits detaillierte Erläuterungen sowie der Server-Quellcode auf GitHub einsehbar. Auf den ersten Blick hat alles Hand und Fuß. Die Entwickler reagieren auf viele Sicherheitsbedenken und setzen auf hohe Transparenz.
Aufgrund der komplexen Struktur wird eine genauere Sicherheitsanalyse durch unabhängige Experten aber einige Wochen nach Veröffentlichung der App in Anspruch nehmen. Die Entwickler haben den vollständigen Programmcode auf Github veröffentlicht. Heise online hat einen genaueren Blick auf den Quellcode der Smartphone-Apps geworfen.
Bluetooth LE spart Akkulaufzeit
Die Corona-Warn-App, so der offizielle Name, nutzt die von Apple und Google entwickelte Schnittstelle für „Privacy-Preserving Contact Tracing“. Sie erlaubt es, Bluetooth-LE-Signale im Hintergrund auszutauschen, ohne dass die Akkulaufzeit signifikant darunter leiden soll. An Server werden lediglich pseudonymisierte Kennungen von Infizierten übertragen und nach spätestens zwei Wochen wieder gelöscht.
Die App läuft auf Smartphones ab Android 6.0 sowie ab iOS 13.5. Kompatibel sind Modelle, die in den vergangenen fünf Jahren auf den Markt kamen, dazu gehören iPhones ab 6S und das Samsung Galaxy ab S6. Android-Telefone benötigen kein Betriebssystem-Update, sondern die App „Google Play-Dienste“ aus dem Play Store.
Damit ein Infizierter seine Kontakte per App warnen kann, benötigt er eine TAN. Die App holt diese automatisch von einem Überprüfungsserver ab, an den das Testlabor pseudonymisierte Ergebnisse überträgt. Wem das nicht geheuer ist, der kann die TAN vom Gesundheitsamt auch manuell eingeben. Kontakte gibt die App nicht weiter. Ohne offizielles Testergebnis lassen sich keine Warnungen versenden.
Scans im 5-Minuten-Takt
Die Smartphones senden im Hintergrund wechselnde pseudonymisierte Kennungen per Bluetooth aus. Allerdings scannen die Smartphones die Umgebung nicht permanent nach neuen Kontakten, sondern nur für zwei bis vier Sekunden etwa alle fünf Minuten. Dadurch spart man Akkulaufzeit, kann jedoch nicht alle kurzfristigen Kontakte erfassen – selbst wenn sie innig sind. Der Nutzer kann das Tracing jederzeit manuell unterbrechen.
Zur Funktionsweise der Corona-Tracing-Apps siehe auch:
Für eine Kontaktwarnung berechnet die App ein Ansteckungsrisiko. Der Risikowert ergibt sich aus vier Faktoren: die Anzahl der Tage, die der Kontakt zurückliegt, seine Dauer in 5-Minuten-Schritten, die durchschnittliche Stärke des Bluetooth-Signals sowie ein Ansteckungsfaktor. Letzteren legt das Gesundheitsamt anhand des Krankheitsverlaufs des Infizierten fest.
Jeder Faktor ist in acht Stufen unterteilt. Für jede Stufe legt das Gesundheitsamt eine Gewichtung zwischen 0 und 8 fest. Diese Gewichtungen lassen sich je nach Verlauf der Epidemie und neuen Erkenntnissen anpassen. Die App berechnet den Risikowert aus dem Produkt der Gewichtungen und teilt ihn anhand von Grenzwerten in Klassen ein, die dem Nutzer angezeigt werden. Zusätzlich erfährt er den Tag des Kontakts, aber nicht die Uhrzeit, um die Identität des Infizierten besser zu schützen.
(Bild: Apple / Google)
Einmal täglich kontaktiert die App die Open Telekom Cloud und holt sich Kennungen von Infizierten sowie aktuelle Gewichtungen und Grenzwerte zur Risikobeurteilung ab. Bei 2000 Neuinfizierten pro Tag erwartet die Telekom einen Download von 1,5 MByte pro Smartphone.
Eigene Verantwortung
Da nur der App-Nutzer erfährt, ob sein Smartphone zu dem eines Infizierten Kontakt hatte und wie groß das Ansteckungsrisiko war, bleibt es seine Entscheidung, ob er die Warnung akzeptiert und sich isoliert oder diese ignoriert. Die App nennt ihm lediglich weitere Quellen sowie Telefonnummern, wo er sich informieren kann.
Eine Datenspende an Forschungseinrichtungen durch die App ist derzeit nicht vorgesehen. Parallel zur App-Entwicklung laufen an der Ruhr-Universität Bochum Versuchsreihen zur Kalibrierung der Bluetooth-Signalstärken.
