Corona: Datenspende-App des RKI

Inhaltsverzeichnis

Der Ansatz klingt plausibel: Mit der Datenspende-App sollten Nutzer von Smartwatches und Fitness-Armbändern freiwillig bestimmte Vitaldaten „spenden“, damit sie das RKI zur Forschung nutzen kann. Zur Eigendiagnose eignet sich die App dagegen nicht, worauf die Website des Institutes ausdrücklich hinweist.

So funktioniert sie: Bei Apple Health erteilt man der RKI-App den Zugriff auf die ausschließlich im iPhone gespeicherten Health-Daten. Die ermittelt man etwa mit einer Apple Watch. Andere Fitnessbänder speichern Daten nicht im Smartphone, sondern auf den Servern ihrer Anbieter. Die RKI-App sammelt sie von dort ein, liest also nicht die Daten der Wearables selbst. Derzeit kann die RKI-App nur Konten von Fitbit, Garmin, Polar, Withings und Google Fit abfragen. Wer ein Wearable eines anderen Herstellers hat, kann aber womöglich diese Daten an Google Fit weiterreichen und sie somit „über Bande“ dem RKI zuleiten.

Die App fragt zusätzliche Daten von Nutzern ab: die Postleitzahl des Lebensmittelpunktes, das Geschlecht, das Alter auf fünf Jahre genau, das Gewicht in 5-Kilogramm- und die Körpergröße in 5-Zentimeter-Schritten. Diese grobe Clusterung soll die individuelle Zuordnung der Daten zu Personen erschweren, dennoch aber einige (!) Covid-19-Systematiken erkennen lassen. Ein wichtiges Symptom, nämlich die Körpertemperatur, fehlt allerdings, denn sie wird nur von wenigen Trackern erfasst.

Datenübertragung im Angesicht des Datenschutzes

Die Datenschutzerklärung des RKI macht auf dem Papier vieles besser, was Wearable-Hersteller vernachlässigen. Beim RKI sollen die abgefragten Nutzerdaten auf ISO-zertifizierten deutschen Servern verbleiben – was natürlich nicht für die weiterhin bei den Wearable-Herstellern gespeicherten Daten gilt. Das RKI speichert die Vitaldaten allerdings für den ungewöhnlich langen Zeitraum von zehn Jahren, es sei denn, der nur pseudonymisierte, aber nicht vollständig anonymisierte Nutzer löscht sie vorher – dann sollen sie binnen eines Monats aus der Datenbank und den Backups verschwinden.

In der Tat konnten wir nur verschlüsselte Datenübertragungen zum Server ­datenspende.und-gesund.de feststellen, der von der KDDI Deutschland GmbH in Düsseldorf gehostet wird. Was fehlt, ist eine Logdatei für die Nutzer, welche die tatsächlich abgerufenen Daten dokumentiert. Nutzer sehen stattdessen nur einen Zähler für die gespendeten Datentage. Wenig vertrauenerweckend ist auch, dass der Programmcode der App nicht frei zugänglich ist und es somit nur schwer möglich ist, die App beziehungsweise den Server auf Schwachstellen oder Übergriffigkeiten zu prüfen.

Besonders anfänglich irritierten anfängerhafte Patzer bei der Benutzerführung. Zahlreiche Nutzer beschwerten sich, dass ein Verbinden der App mit bestimmten Diensten nicht möglich ist. Auch in der Redaktion ließen sich Anmeldeprobleme mit Android-Geräten nachvollziehen, besonders solchen, die die verbreitete Microsoft-Tastatur „SwiftKey“ verwendeten. Auch Fehlermeldungen, dass das Anmeldelimit für Google-Fit-Nutzer überschritten war, verschwanden erst nach Tagen.

Patient unter Langzeitbeobachtung

Die App wurde vom RKI und der Firma Thryve (mHealth Pioneers GmbH) entwickelt, die 2016 aus dem Fraunhofer­-Institut für Graphische Datenverarbeitung ausgegründet wurde und an der unter anderem die Beteiligungsgesellschaft „Seed + Speed“ des Kapitalanlegers Carsten Maschmeyer beteiligt ist. Sie beschäftigte sich schon länger mit der Aggregierung von Daten aus Fitnessbändern mithilfe von APIs.

Ziel des RKI ist es, anhand der Daten Berechnungsmodelle zu verbessern, die die Ausbreitung von Covid-19 und anderen grippeähnlichen Krankheiten schneller simulieren ließen als bislang. Als Fürsprecher für die Idee verweist das RKI auf eine Anfang Januar veröffentlichte Studie, in der man durch Auswertung von Fitbit-Daten zum Ruhepuls und zur Schlafdauer die Ausbreitung von Grippe-Infektionen teils schon in derselben Woche nachvollziehen konnte – allerdings nur durch einen Vergleich mit Daten, die rund 200.000 Probanden in den USA schon zwei Jahre lang gesammelt hatten. Aus dem Datenpool wurden Messungen von Kindern sowie von Personen ausgeschlossen, die ihr Armband kürzer als 16 Stunden pro Tag und weniger als zwei Monate trugen – rund 30 Prozent von insgesamt 65 Millionen übertragenen Messungen blieben somit außen vor.

Bis die Datenspende-App dem RKI helfen kann, müssen die Nutzer ihre Daten also über Monate täglich mitteilen. Das könnte erklären, weshalb man auch zum Redaktionsschluss noch nicht die auf der RKI-Website angekündigte Karte der Entwicklung der Covid-19-Verbreitung sieht.

In Summe

Das RKI verspricht, dass diese App helfen kann, das Infektionsgeschehen umfassender darzustellen. Für Bürger, die so großzügig Datenspenden leisten und sich dabei auf die beschriebenen Unwägbarkeiten einlassen, lässt sich zurzeit aber nicht erkennen, dass ihnen das nützt. Hier hätte das RKI besser kommunizieren können, in welcher Weise sich mit diesem Instrument Lockdowns und Kontaktsperren gezielter einsetzen lassen.

Dieser Artikel stammt aus c't 10/2020. (mil)