Corona-App: Apple und Google wollen RegierungswĂĽnschen nachkommen
Die beiden Konzerne sichern zu, den Datenschutz bei ihrer Kontakt-Tracing-Technik zu verbessern und möglichst viele konforme nationale Apps zu unterstützen.
(Bild: Elizaveta Galitckaia / Shutterstock.com)
Apple und Google haben am Freitag Updates für die Krypto- und Bluetooth-Spezifikationen für ihre geplante Mobiltechnologie für das Nachverfolgen von Coronavirus-Infektionsketten bekanntgegeben. Die beiden US-Konzerne wollen damit beim Datenschutz noch draufsatteln und es Entwicklern konkreter Apps zum Kontakt-Tracing erleichtern, die vorgesehenen Schnittstellen in Anspruch zu nehmen. Voraussetzung dafür ist, dass sie die Vorgaben zum Absichern der Privatsphäre der Nutzer berücksichtigen.
Ăśberarbeiteter Kryptographieansatz
Das Mitte April vorgestellte Konzept sieht prinzipiell vor, dass Smartphones unabhängig vom verwendeten Betriebssystem temporäre Identifikationsnummern austauschen können. Neu ist in dem überarbeiteten Kryptographieansatz, dass die sogenannten Tracing-Keys auf dem Gerät jeden Tag zufällig generiert werden sollen. Einen permanenten Schlüssel wird es so nicht mehr geben. Zudem werden auch die Bluetooth-Metadaten verschlüsselt, um die Risiken weiter zu verkleinern, dass jemand mithilfe von Bewegungsinformationen getrackt wird. Aufgezeichnet werden sollen maximal 30 Minuten der Kontakthistorie.
Mit der ergänzten Funkspezifikation wird unter anderem die Bluetooth-Übertragungsstärke berücksichtigt. Vorgesehen ist auch eine spezielle Schnittstelle, um die Signalstärke und die Zeitspannen einstellen zu können, was die Entfernungs- und Abstandsmessung verbessern dürfte. Die API soll zudem erkennen können, wie lange der letzte Kontakt her ist. Zudem setzen die beiden Unternehmen nun auf die AES-Verschlüsselung für bessere Performance und Effektivität.
Nur für Gesundheitsämter
Ziel des Projekts ist es, den öffentlichen Gesundheitsbehörden in ihren Bemühungen im Kampf gegen Covid-19 mit einer datenschutzkonformen Lösung für Hinweise auf Kontakte mit Coronavirus-Infizierten unter die Arme zu greifen. Zugang zu der Technik sollen nur die Gesundheitsämter erhalten, betonten Vertreter von Apple und Google. Deren Apps müssten die spezifischen Anforderungen rund um Privatsphäre, Sicherheit und Kontrolle der Daten erfüllen. Dazu gehört die Freiwilligkeit der Teilnahme. Standortinformationen dürfen nicht gesammelt werden.
Eine insofern zulässige Anwendung werde Zugriff auf eine Liste mit Bluetooth-Kennungen in Form sogenannter Beacons über Nutzer haben, die positiv auf Covid-19 getestet worden sind "und in den Datenaustausch eingewilligt haben", heißt es in einer Frage-Antwort-Liste. Das System sei so angelegt, dass die Unternehmen selbst keinen Zugriff auf Informationen über einzelne Anwender hätten. Zuvor hatte sich Bundesgesundheitsminister Jens Spahn (CDU) mokiert über einen weitverbreiteten "Grundglauben daran, dass Daten bei Apple und Google besser aufgehoben sind" als "auf staatlichen Servern in Deutschland".
Wenn eine Person sich für eine Teilnahme entscheidet, sollen die Messwerte zu Hinweisen auf einen gefährlichen Kontakt auf seinem Smartphone direkt gespeichert und verarbeitet werden. Jenseits der Beacons werden der Skizze nach keine Informationen aus dem System mit den Gesundheitsbehörden geteilt. Zwei Ausnahmen wird es geben: Wenn ein Nutzer einwilligt, werden die jüngsten Kontaktkennungen der Behördenliste mit den positiv Diagnostizierten hinzugefügt, damit andere Anwender, die mit diesen IDs in Kontakt kamen, gewarnt werden können.
Zudem wir das System laut dem Plan den Tag der erfolgten Begegnung, die Dauer und die Bluetooth-Signalstärke des Kontaktes freigeben, wenn die App einen Nutzer darüber informiert hat, dass eine gefährliche "Berührung" stattgefunden hat. Apple und Google unterstreichen, dass sie kein Geld verdienen mit den bei ihnen noch anfallenden Daten. Die eigentlichen Apps bauten die nationalen Behörden, man werde diese dann über die jeweiligen Stores verfügbar machen, wenn sie die Kriterien erfüllten.
Kompatible Technik
Viele Staaten hätten schon vor der Initiative Lösungen entworfen und gute Arbeit gemacht, hieß es von Seite der Unternehmen. Prinzipiell würden dem Konzept zufolge keine Daten auf einem Server gespeichert, sondern nur auf den individuellen Endgeräten. Ein Google-Experte versicherte aber, dass die Technik kompatibel sein solle "mit allen Anforderungen der Regierungen und Gesundheitsbehörden", die sich im Rahmen des Vorhabens bewegen. Von Apple war dazu nur zu hören, dass man sich noch in Gesprächen mit Vertretern der Exekutive aus mehreren Ländern befinde. Man bemühe sich, auf Rückmeldungen einzugehen.
Zunächst blieb so weiter unklar, ob auch der iPhone-Produzent seine Schnittstelle mit dem App-Rahmenwerk PEPP-PT (Pan-European Privacy-Preserving Proximity Tracing) kompatibel machen wird, das hierzulande Bund und Länder unterstützen. Eine Anwendung mit einer zentralen Serverlösung, wie sie das bei PEPP-PT führende Heinrich-Hertz-Institut der Fraunhofer-Gesellschaft momentan trotz massiver Kritik verfolgt, könnte sonst nicht kontinuierlich im Hintergrund auf dem iPhone laufen und wäre folglich kaum praxistauglich. Das Bundeskanzleramt soll dem Vernehmen nach Druck auf Apple machen, damit der Konzern die zentrale Speichervariante und PEPPT-PT unterstützt.
Zusammen mit dem Fortschrittsbericht unterstrichen Apple und Google, dass es Interoperabilität zwischen Android- und iOS-Geräten herstellen wolle, um eine möglichst breite Anwendung von Kontakt-Tracing zu erlauben. Die Lösung laufe auf dem Bluetooth-Chip von Handys und solle sich so auch bei einem 24-Stunden-Einsatz möglichst wenig auf den Speicher und die Akkulaufzeit auswirken. Am Zeitplan hat sich nichts groß geändert: Die API soll "im Mai" für Android ab Version 6 und über ein Update für iOS 13 verfügbar sein, eine zusätzliche Integration in die Betriebssysteme "in den kommenden Monaten" erfolgen. Allgemein blieben Tests und andere Maßnahmen wie Abstandhalten der Schlüssel im Kampf gegen die Pandemie, Mobiltelefone könnten eine zusätzliche Hilfe darstellen. (vbr)
