Corona-Datenspende: CCC entdeckt Schwachstellen in App des RKI

Der Chaos Computer Club (CCC) hat die Datenspende-App des Robert Koch-Instituts analysiert, die in der Woche vor Ostern veröffentlicht wurde. Insgesamt bemängeln die Sicherheitsforscher acht technische und organisatorische Aspekte. Erste Verbesserungen sollen die Entwickler bereits umgesetzt haben.

Bei der Datenspende-App geht es nicht um die heiß diskutierte Tracing-Lösungen, an denen etwa die europäische Initiative Pepp-PT oder Apple und Google arbeiten. Stattdessen will das Robert Koch-Institut (RKI) die Gesundheitsdaten von Smartwatches und Fitness-Armbändern auswerten, die Wearable-Nutzer freiwillig spenden. So sammelt die App Informationen über das Schlafverhalten, den Ruhepuls und das Aktivitätsniveau. Ein Algorithmus soll anhand der Daten prüfen, ob Symptome vorliegen, die Rückschlüsse auf eine akute Atemwegserkrankung wie Covid-19 zulassen.

Das Ziel ist: Erkenntnisse über die Ausbreitung von Covid-19 erhalten. Mit Informationen aus weiteren Datenquellen lassen sich etwa regionale Infektionsherde ermitteln, die auch auf Karten visualisiert werden können – ein Beispiel dafür ist etwa die Health Weather Map aus den USA. Mittlerweile hat die App laut dem RKI bereits mehr als 400.000 Nutzer. Wichtig ist indes: Die Datenspende ist kein Corona-Test, über eine mögliche Infektion werden die Nutzer nicht informiert. Stattdessen unterstützen diese ausschließlich die Forschung des RKI.

Probleme bei Pseudonymisierung und Cloud-Sicherheit

Was die App aber von Anfang an begleitete, war die Kritik von Datenschützern. So bemängelte etwa die Gesellschaft für Informatik (GI), dass der Code der Anwendung proprietär ist und damit nicht öffentlich und überprüfbar. Das weckte auch Argwohn beim Chaos Computer Club. Anhand einer Black-Box-Analyse wurden einige Schwachstellen und Sicherheitslücken festgestellt.

Ein zentrales Problem ist demnach die Pseudonymisierung. So würden die Gesundheitsdaten nicht direkt vom Smartphone oder Wearable des Datenspenders übertragen, stattdessen hole das RKI die Daten beim Anbieter des Fitness-Trackers und pseudonymisiere diese erst im Anschluss. Über einen Zugangscode bestehe potentiell ein Zugriff sowohl auf Klarnamen der Spender als auch deren Fitnessdaten vor Beginn der Spende. Bei einer einfachen Deinstallation der App bleibe dieser Zugriff auch weiterhin bestehen. Ändern lässt sich das, wenn man die Datenspende bei Apple Health oder Google Fit aus den verbundene Apps entfernt.

Ein weiterer Kritikpunkt ist der unzureichende Schutz der Zugangsdaten. Wenn die App mit einem Fitnesstracker verknüpft werden, müssen Nutzer die Zugangsdaten eingeben. Das ermögliche in der Mehrzahl der Fälle einen Man-in-the-Middle-Angriff. Organisatorisch existiere zudem das Defizit, dass das Robert Koch-Institut nicht wisse, ob ein Spender überhaupt existiert und wer Daten spende. Damit könne auch nicht sichergestellt werden, dass der Betroffene tatsächlich in die Datenverarbeitung eingewilligt hat.

Robert Koch-Institut hat bereits reagiert

Weniger schmeichelhaft ist die Analyse also für das RKI – vor allem, weil die Forscher stets betonten, wie wichtig der Schutz der Nutzerdaten sei. „Wir sehen für jede Person, die Daten gespendet hat, die Postleitzahl und den Puls, versehen mit einer individuellen Nutzer-ID, dem Pseudonym. Dabei achten wir darauf, die Daten so zu aggregieren, dass einzelne Signale anonym sind“, sagte etwa der RKI-Forscher Dirk Brockmann im Interview mit Netzpolitik.org.

Für den CCC hat die Datenspende-App aber gegen einige „best practices“ verstoßen. „Zwar gelang zum jetzigen Zeitpunkt kein unmittelbarer direkter Zugriff auf die gesammelten Daten, aber die Risiken sind auf Dauer nicht tragbar“, heißt es im Fazit.

Erste Schwachstellen wurden mittlerweile bereits behoben. Die Analyse hat der CCC vorab an das Robert Koch-Institut sowie den Dienstleister für die App-Entwicklung übermittelt. Nun bestehe ein Austausch, erste technische Implementierungen wurden sofort umgesetzt.

Manche Schwachstellen sowie die organisatorischen Defizite würden sich aber nur mit großem Aufwand beheben lassen. „Hier zeigt sich, dass die in den letzten fünfzehn Jahren versäumte Digitalisierung des Gesundheitswesens einen zügigen und zielgerichteten Einsatz solcher Apps erheblich erschwert“, so der CCC.

Spahn kündigte weitere Corona-App an

Ob die Entwicklung von Apps künftig besser läuft, kann das RKI bereits bald zeigen. Bundesgesundheitsminister Jens Spahn (CDU) hat gestern in einem Statement eine weitere Corona-App angekündigt. Dabei handelt es sich um eine Quarantäne-App, die im Falle einer potentiellen Infektion den Austausch mit den Gesundheitsämtern erleichtern soll. Die App ist ebenfalls als freiwillige Option für Betroffene geplant.