Seite 3: Gibt es Alternativen zu Luca?

Inhaltsverzeichnis

Luca ist nicht die erste Anwendung, die die Corona-Kontaktlisten digitalisieren will. Erste Systeme sind bereits beim WirVsVirus-Hackathon der Bundesregierung vor einem Jahr entstanden, seitdem existieren dutzende kleine und große Anbieter – oft mit kommerziellem Hintergrund. Systeme wie e-guest setzen auf Smartphone-Apps, andere wie darfichrein.de oder recover laufen nur als eine Art Kontaktformular im Browser – doch Standard ist, dass zuerst ein QR-Code gescannt werden muss. Nutzerinnen und Nutzer sehen so nicht immer auf den ersten Blick, welches System an welchem Ort zum Einsatz kommt.

Viele der Anbieter haben sich der Initiative "Wir für Digitalisierung" angeschlossen, die nicht damit einverstanden, dass Luca hervorgehoben wird. Als Alternative schlagen sie eine gemeinsame Plattform vor, auf der die Gesundheitsämter über eine Schnittstelle die Kontaktlisten vieler oder aller Anbieter anfordern können, wenn sie eine Infektionskette verfolgen wollen. Die Plattform soll in Köln in einem ersten Testlauf beim dortigen Gesundheitsamt eingesetzt werden.

Ende März hat sich die Thüringer Landesregierung dazu entschieden, von dem ursprünglich geplanten Einsatz von Luca abzusehen und auf eine "offene Schnittstelle" zu setzen. Das Finanzministerium hatte argumentiert, man wolle die bereits vorhandenen Lösungen nutzen und "das Engagement der vielen Start-ups würdigen und unterstützen". Darüber hinaus sei dies kostengünstiger als die insgesamt 10,5 Millionen Euro, die die anderen Bundesländer zusammengenommen für eine Jahreslizenz von Luca veranschlagt haben. Auch das Land Nordrhein-Westfalen setzt seit April für die Öffnungsversuche in "Modellkommunen" auf eine "Pluralität" von Corona-Check-In-Apps mit gemeinsamer Schnittstelle.

Wie datensicher sind die Alternativen?

Das Grundproblem, dass alle erfassten Kontaktdaten – wenn auch verschlüsselt – auf einem zentralen Server landen, teilen fast alle Anbieter von digitaler Kontaktdatenerfassung. Laut der baden-württembergischen Datenschutzaufsicht soll Missbrauch verhindert werden, indem weder App-Betreiber noch Gastgeber die Daten unverschlüsselt sehen können, sondern nur das Gesundheitsamt. Doch in der Praxis unterscheiden sich die Umsetzungen und Verschlüsselungskonzepte der Anbieter zum Teil erheblich. Auch hier ist Open Source die absolute Ausnahme (zum Beispiel recover), sodass unabhängige Überprüfungen bisher schwierig sind, auch wenn alle Anbieter versprechen, die Daten sicher und DSGVO-konform zu speichern. Immerhin erschwert das bundesweite Infektionsschutzgesetz seit Dezember die Zweckentfremdung der Kontaktdaten durch die Polizei, doch im vergangenen Jahr kam es auch schon zu mehreren Datenlecks bei Anbietern von digitalen Corona-Kontaktlisten.

Brauche ich jetzt viele verschiedene Apps?

Wer sowohl die CWA nutzt als auch an verschiedenen Orten einchecken möchte, braucht künftig womöglich mehrere Apps. Sollte Luca tatsächlich flächendeckend eingeführt werden und die Pflicht zur Datenerfassung bestehen bleiben, wären es dann zumindest zwei – eine eindeutige Entscheidung für ganz Deutschland gibt es bislang aber noch nicht. Doch sowohl Luca als auch viele andere Check-In-Systeme funktionieren auch als Webapps beziehungsweise ausschließlich im Browser, sodass nicht in jedem Fall Apps heruntergeladen werden müssen.

Kann ich in den Apps auch Testergebnisse hinterlegen?

In der CWA konnten von Anfang an die Ergebnisse der "normalen" PCR-Tests erfasst werden. Nur so funktioniert im Infektionsfall die Warnung der Kontaktpersonen, die die CWA ebenfalls nutzen. Künftig soll es auch möglich sein, die Ergebnisse von Schnelltests in der CWA zu hinterlegen. Angekündigt wurde die Funktion für den Monat April, zunächst sind unter anderem die Schnelltestsysteme der Bundesvereinigung der Apothekerverbände, der Drogeriemarktkette dm und der Galeria-Kaufhäuser angebunden. Auch beteiligt ist der Anbieter Doctorbox, der bereits im Tübinger "Modellversuch" von Öffnungen mit Testpflicht zum Einsatz kommt. Später soll auch der Impfstatus in der App erfasst werden können.

Auch die Luca-App kooperiert seit Ende März mit einem ersten Anbieter von Schnelltests. Laut Pressemitteilungen der Luca-Betreiber und des Unternehmens Ticket I/O sollen zunächst die Ergebnisse von 250 Schnelltestzentren in der App dokumentiert werden können. Die Betreiber betonen dabei, dass die Daten der Testergebnisse trotz des zentralisierten Konzepts von Luca nur lokal auf dem Smartphone bleiben sollen. Beim Check-In werde jedoch die Information dokumentiert, dass ein negatives Ergebnis vorhanden war.

Geplant ist eine Integration von Schnelltests auch bei anderen Apps - angekündigt hat sie beispielsweise der bayerische Anbieter Darfichrein. Auch Jan Kus, Geschäftsführer der Firma hinter der Open-Source-Lösung Recover, bestätigt gegenüber heise online entsprechende Pläne. Allerdings wolle Recover vor allem die Ergebnisse von Selbsttests erfassen, die zuhause und nicht in einem Schnelltestzentrum gemacht werden können.

Würde Kontaktverfolgung auch ausschließlich anonym funktionieren?

Wie die Beispiele aus der Schweiz und Großbritannien zeigen, müssen Gesundheitsbehörden nicht zwingend auf Kontaktlisten von öffentlichen Orten wie Restaurants oder Veranstaltungen zugreifen können – vorausgesetzt, die Kontaktpersonen werden via App gewarnt und halten sich auch ohne behördliche Kontrollen an die Pflicht zur Selbstisolation. Bei hohen Inzidenzen und überlasteten Gesundheitsämtern steht umgekehrt die Frage im Raum, ob diese mit begrenzten Ressourcen viele Kontaktpersonen schnell genug persönlich erreichen können.

Sowohl Datenschützerinnen als auch die App-Entwickler von Luca und recover würden eine anonyme Lösung eigentlich vorziehen, erklärten sie Mitte März bei einer Online-Konferenz. Auch von der Berliner Datenschutzaufsicht heißt es, dass eine rein pseudonyme Clusterkennung ohne Kontaktdaten aus Datenschutzsicht "deutlich zu bevorzugen" sei - aber nur, wenn dieses System gleich effektiv sei wie die bisherige Praxis der Gesundheitsämter.

Doch dafür müsste die Rechtslage in allen Bundesländern geändert werden. Im Moment ist eine rein anonyme Kontaktverfolgung in keiner Landesverordnung vorgesehen. Auch wenn nun die CWA eine solche anonymisierte Funktion erhalten soll, hält das Bundesgesundheitsministerium bisher keine rechtlichen Anpassungen für nötig – es handele sich lediglich um ein freiwilliges Zusatzangebot und "ersetzt daher auch nicht entsprechende landesrechtliche Vorgaben".

(anw)