Corona-Kontakttracking: Luca-Konkurrenten setzen auf gemeinsame Schnittstelle

Inhaltsverzeichnis

Die hitzige Debatte über die Kontaktverfolgungsapp "Luca" erweckte in den vergangenen Wochen zuweilen den Eindruck, das Projekt mit Smudo als prominentem Fürsprecher sei das erste seiner Art. Mit Mecklenburg-Vorpommern empfiehlt inzwischen ein ganzes Bundesland Luca als einheitliches Check-In für Restaurants und Geschäfte. Doch das Konzept ist nicht neu.

Die Initiative "Wir für Digitalisierung" aus inzwischen knapp 50 Luca-Konkurrenten betont, dass viele solcher Systeme bereits seit den ersten Lockerungen im Frühsommer 2020 im Einsatz seien. Ein Blick auf die verschiedenen Apps und Systeme fördert einen Wildwuchs verschiedener Konzepte zutage, aber auch ähnliche Probleme. Wenn es nach der Initiative geht, sollen sie trotzdem alle an eine gemeinsame Schnittstelle zu den Gesundheitsämtern angeschlossen werden.

Das Grundprinzip: Papierlisten ersetzen

Im Grunde dienen alle digitalen Check-In-Ansätze demselben Zweck: Sie sollen Listen und Zettel ersetzen, auf denen Besucherinnen und Besucher vielerorts ihre Kontaktdaten hinterlassen müssen – für eine mögliche Corona-Kontaktverfolgung. Jan Kus von "Wir für Digitalisierung" sah bereits im Frühjahr 2020 die Möglichkeit, dies zum Beispiel für Gastronomen digital zu vereinfachen und entwickelte mit seiner Firma die App recover. Systeme wie DarfIchRein aus Bayern entstanden auf dem Hackathon WirVsVirus der Bundesregierung im März 2020.

Kus betont: "Ich will eigentlich keine Kontaktdatenerfassung." Anonymisierende Systeme seien immer besser. Doch bisher steht die Datensammelpflicht in den Corona-Verordnungen der Länder, und so bieten zahlreiche Firmen und Initiativen digitale Listen an. Alle Systeme eint, dass Gäste in Restaurants, Geschäften oder beim Friseur einen QR-Code scannen. Manchmal in nativen Apps mit Registrierung, oft öffnet der QR-Code jedoch schlicht eine Webseite mit Kontaktformular.

Die Bandbreite der Systeme ist groß. Sie reicht von Anbietern mit tausenden von Standorten, zum Beispiel e-guest, die nach Angaben der Betreiber auch Sportvereine und zahlreiche Fast-Food-Restaurants an großen Flughäfen und Bahnhöfen zu ihren Kunden zählen, über spezialisierte Angebote wie bomocha, das Check-In-Terminals an Krankenhäuser und Pflegeheime liefert, bis hin zu lokalen Systemen wie der App "Ich war da" einer Stuttgarter Firma, die sie mehreren kleinen Städten für den lokalen Einsatz zur Verfügung stellt.

Einige Anbieter lassen sich den Dienst bezahlen, viele sind jedoch kostenlos. Manche Firmen hoffen so auf einen Werbeeffekt. Kus ist sich jedoch sicher: "Reich wird mit Kontaktverfolgung niemand." Hotel- und Gaststättenverbände empfehlen ihren Mitgliedern je nach Bundesland unterschiedliche Systeme, e-guest bietet zum reinen Check-In auch noch Funktionen wie Tischreservierungen und will künftig E-Tickets für Veranstaltungen integrieren.

Was passiert mit den Daten?

Die Kontaktdaten der erfassten Gäste landen bei fast allen Systemen auf einem zentralen Server – datenschutzkonform verschlüsselt und mit automatischer Löschfrist, wie die Anbieter übereinstimmend betonen. Einig sind sie sich auch, dass die digitalen Gästelisten nur im Infektionsfall an Gesundheitsämter gehen sollen, doch in der Frage, wer die Daten wann und wie einsehen kann, gibt es große Unterschiede.

In Systemen wie HygieneRanger oder GastIdent können Gastgeber laut den Herstellern zumindest zeitweise die Daten der eingecheckten Kunden einsehen. Das sei nötig, erklären die Betreiber von GastIdent: "Die Unternehmen werden zum Teil durch die Ordnungsbehörden angehalten, zu überprüfen, ob die Kunden Phantasienamen bei der Erfassung angeben." Recover hingegen setzt bei dieser Plausibilitätsprüfung darauf, dass sich Gastgeber das Check-In-Ticket jeder Person auf deren Smartphonebildschirm zeigen lassen. "Ich war da" wiederum verifiziert bei der Registrierung die angegebene E-Mail-Adresse – ähnlich wie die Luca-App, die die Mobilnummer via SMS überprüft.

Die Schlüssel, mit denen die Gästelisten für das Gesundheitsamt entschlüsselt werden können, liegen je nach System an unterschiedlichen Stellen. Im Fall von DarfIchRein verfügt allein der Gastgeber über den nötigen privaten Schlüssel – nach Angaben von Geschäftsführer Dominik Wörner ebenfalls, weil der Betrieb im Zweifelsfall dafür verantwortlich sei, dass die Daten stimmen. Wecken die Listen beispielsweise Begehrlichkeiten der Polizei, liegt die Entscheidung also nicht beim App-Betreiber. Unternehmen, die recover oder die Dehoga-App BarCov nutzen, müssen für die Entschlüsselung nach einer Behördenanfrage zumindest erst die Betreiber kontaktieren. In anderen Fällen, beispielsweise e-guest, gibt nur der App-Betreiber im Infektionsfall einen eigenen Schlüssel direkt an das Gesundheitsamt weiter.