Corona-Tracing-App: Absetzbewegungen beim multinationalen Projekt PEPP-PT
Beim Projekt PEPP-PT für eine Coronavirus-Tracing-App gibt es offenen Streit. Ein Experte kritisiert mangelnde Offenheit und wechselt zur Konkurrenz.
(Bild: ra2studio/creativeneko/Shutterstock.com)
Der Experte für "Digitale Epidemiologie" Marcel Salathé, Professor an der Eidgenössischen Technischen Hochschule Lausanne (ETHL/EPFL) verließ am Freitag das PEPP-PT-Projekt. Das 'Pan-European Privacy-Preserving Proximity Tracing' ist ein multinational entwickeltes Softwaresystem (Contact-Tracing-App), auf dem große Hoffnungen ruhen, da es dabei helfen soll, die Covid-19-Pandemie einzudämmen.
Kritik an PEPP-PT: mangelnde Transparenz
Der Hauptgrund für die derzeit wachsende Kritik an dem PEPP-PT-Projekt und die Absetzbewegungen sind laut verschiedenen Medienberichten und Twitter-Threads eine vermutete Ausrichtung von PEPP-PT hin zu einer zentralen Lösung sowie eine bemängelte intransparente Kommunikation und Projektunterlagen. Salathé machte seinen Entschluss ebenfalls per Twitter öffentlich: "Da ich fest an die Kernideen wie Internationalität und Schutz der Privatsphäre glaube, kann ich mich nicht hinter etwas stellen, wo ich nicht weiss, für was es steht. Im Moment ist PEPP-PT nicht offen genug, und es ist nicht transparent genug.“
Salathé ist neben dem Project Lead, der EPFL-Professorin und Leiterin des Security and Privacy Engineering Laboratory Carmela Troncoso, eine der Galionsfiguren für das ebenfalls internationale Projekt DP3T, dessen Team neben Experten aus der Schweiz rund 25 Forscher aus Belgien, Deutschland, Großbritannien, Italien, der Niederlande und Spanien angehören.
Richtungsstreit über Privatsphären-Modell
DP3T (Decentralized Privacy-Preserving Proximity Tracing) startete ursprünglich an der EPFL und der ETH Zürich und ist ein offenes Protokoll für Open-Source-Apps und Server, die auf Bluetooth-Basis 'COVID-19 Proximity Tracing' zur Verfügung stellen wollen. DP3T ist (vermutlich muss man inzwischen sagen: war) laut seinem Projektteam ursprünglich eines der Protokolle "unter dem weiten Schirm" von PEPP-PT "und nicht das einzige“, so die Verfasser eines DP3T-Projektdokuments.
Doch offenbar ist mittlerweile nicht nur hinter den Kulissen der App-Entwicklung ein grundsätzlicher Richtungsstreit darüber ausgebrochen, welches "Privatsphären-Modell" bei der Realisierung einer PEPP-PT-Anwendung letztendlich favorisiert werden solle. Das DP3T-Projekt für ein digitales Contact Tracing arbeitet strikt unter den Vorgaben von Dezentralität, Anonymität, Wahrung der Privatsphäre, Verschlüsselung von Daten und Open Source. PEPP-PT hingegen unterstützt sowohl einen zentralisierten als auch einen dezentralisierten Ansatz, je nachdem, welche Implementation die jeweiligen Anwender-Länder wünschen, heißt es auf der Website von PEPP-PT.
Dezentrales Protokoll verworfen?
Direkt an diesen Satz anschließend wurde aber – bis vor wenigen Tagen – explizit das DP3T-Protokoll als die Implementation einer dezentralisierten kryptologischen Umsetzung bezeichnet, welche derzeit vom PEPP-PT-Team begutachtet werde. Auf einmal aber fehlt diese Aussage im Text auf der PEPP-PT-Website. Die Formulierung wurde angeblich entfernt, ohne Rücksprache mit den Verantwortlichen des DP3T-Teams zu nehmen, so ein Vorwurf von Seiten DP3T.
Verschiedene weitere Vorhaltungen via Twitter, etwa vom DP3T-Entwickler Kenneth Paterson, Professor und Leiter der "Applied Cryptography Group" an der ETH Zürich, lauten: "Ihr System [d.i. PEPP-PT] ist geschlossen und kann von externen Experten nicht begutachtet werden. Wir können uns keine Spezifikation anschauen, keinen Code. Das System könnte also auch voller Bugs sein. Es könnte eine Hintertür für Geheimdienste haben. Niemand ausserhalb ihres geschlossenen Projekts kann das beurteilen."
Debatte um dezentrale offene Lösung
Die Gerüchteküche brodelt: Es gibt Stimmen unter den Projektmitarbeitern von DP3T und externen Beobachtern, die davon ausgehen, dass PEPP-PT einen "undurchsichtigen, zentralisierten Ansatz bezüglich Contact Tracing verfolge". So twitterte der EPFL-Forscher Mathias Payer, Teammitglied bei DP3T, am Freitag, es gebe Gerüchte, dass PEPP-PT-Mitglieder für ein nicht-öffentliches Design lobbyierten, für das deutlich mehr Vertrauen in die Regierungen erforderlich sei.
Dabei betont aktuell selbst das EU-Parlament in einer Entschließung vom 17. April (PDF-Datei) seine Festlegung für eine dezentrale offene Lösung: "Das Europäische Parlament, (...) fordert, dass die gesamte Datenspeicherung dezentralisiert erfolgt, dass für vollständige Transparenz in Bezug auf die (nicht in der EU zu verortenden) kommerziellen Interessen der Entwickler dieser Anwendungen gesorgt wird und dass klare Prognosen darüber vorgelegt werden, wie die Verwendung von Apps zur Ermittlung von Kontaktpersonen durch einen Teil der Bevölkerung in Verbindung mit spezifischen anderen Maßnahmen zu einer deutlich geringeren Zahl infizierter Personen führen wird; fordert, dass die Kommission und die Mitgliedstaaten hinsichtlich der Funktionsweise von Apps für die Ermittlung von Kontakten uneingeschränkt transparent sind, damit die Anwender sowohl das zugrunde liegende Protokoll für Sicherheit und Schutz der Privatsphäre als auch den Programmcode selbst überprüfen können, um festzustellen, ob die Anwendung so wie von den Behörden behauptet funktioniert (...)“.
Marcel Salathé will nun seine "gesamte Energie" in das DP3T-Projekt geben. Dort sollen Daten dezentral und anonym gespeichert, Ideen könnten offen diskutiert werden, schreibt Salathé. Die Entwicklergruppe von DP3T hat am Freitag auf Github weitere Testversionen ihrer Contact-Tracing-App zur Erprobung veröffentlicht. Währenddessen von PEPP-PT bislang noch eher wenig zu finden ist – zumindest gibt es inzwischen bei Github eine erste Dokumentation.
Empfohlener redaktioneller Inhalt
Mit Ihrer Zustimmmung wird hier ein externes Video (Kaltura Inc.) geladen.
Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Kaltura Inc.) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.
Salathé: Eine Lobby gegen Google und Apple
Die wiederum am Karfreitag von Apple und Google bekanntgegebene gemeinsame Contact-Tracing-Strategie helfen dem dezentralen Ansatz von DP3T, glaubt Marcel Salathé. "Aus meiner Perspektive begrüsse ich das sehr. Es gibt uns Unterstützung für den dezentralen Ansatz, den wir als DP3T-Gruppe vorgeschlagen haben. Und es wird sicher einfacher, mit einem Standard zu arbeiten", sagte der EPFL-Epidemiologe gegenüber dem Schweizer Online-Medium Watson. Davon abgesehen wiesen Google und Apple darauf hin, dass bei heutigem Stand der technischen Dinge ausschließlich echte dezentralisierte Contact-Tracing-Apps Bluetooth im Hintergrund geöffnet haben können.
Gegenüber der Neuen Zürcher Zeitung äußerte sich Salathé, dass seit der gemeinsamen Ankündigung von Google und Apple und ihrer Unterstützung für einen dezentralen Ansatz "ich das Gefühl habe, dass für den zentralen Ansatz viel Lobbying betrieben wird. So nach dem Motto: Wir lassen uns von Google und Apple nicht vorschreiben, welchen Ansatz wir zu nutzen haben."
[Update 19.4.2020 16:39 Uhr:] Hinweis zur Dokumentation von PEPP-PT bei Github ergänzt. (tiw)
