Luca App: Sicherheitsforscher warnen vor hohen Risiken der App

77 Sicherheitsforscher und 365 weitere Unterzeichner warnen in einer gemeinsamen Stellungnahme vor den „unverhältnismäßig hohen Risiken“ der Luca App, einem nicht dezentralisierten Service, welcher im Rahmen der COVID-19-Pandemie zur Datenbereitstellung für die Kontaktpersonennachverfolgung genutzt wird.

Die Luca App erfüllt keines der essentiellen Prinzipien

Die Kontaktverfolgung zur Bekämpfung von Pandemien sei „als solches“ generell zu befürworten, so die Unterzeichner der Stellungnahme. Die folgenden vier Prinzipien seien den Sicherheitsforschern zufolge aber essentiell für digitale Werkzeuge zur Kontaktpersonennachverfolgung und Risikokontaktbenachrichtigung:

• Zweckbindung: Das einzige Ziel muss die Pandemiebekämpfung sein. Eine Verknüpfung mit anderen Geschäftsmodellen, Anwendungsmöglichkeiten und Profitinteressen muss ausgeschlossen, idealerweise technisch unmöglich sein.
• Offenheit und Transparenz: Fachleuten, IT-Sicherheits- und Datenschutzexpert:innen muss frühzeitig die Möglichkeit gegeben werden, sich konstruktiv am Entwicklungsprozess zu beteiligen oder diesen unabhängig zu begutachten.
• Freiwilligkeit: Die Nutzung bestimmter Werkzeuge zur digitalen Kontaktverfolgung muss freiwillig sein. Bürger:innen, die das Werkzeug nicht benutzen möchten, dürfen nicht von sozialen Aktivitäten, dem Zutritt zu öffentlichen Gebäuden, Geschäften, usw. ausgeschlossen werden.
• Risikoabwägung: Die Beurteilung des Nutzens und der Risiken einer solchen Lösung muss im Vorfeld unabhängig und öffentlich geprüft werden können. Dies gilt ganz besonders dann, wenn der Effekt der technischen Lösung in wesentlichem Umfang auf dem Vertrauen der Bürger:innen basiert.

Gemeinsame Stellungnahme zur digitalen Kontaktnachverfolgung

Anders als die offizielle Corona-Warn-App, die auf dem von Wissenschaftlern und Forschern empfohlenen dezentralen Ansatz basiert, erfülle die umstrittene Luca App aber „keine der geforderten Prinzipien“, so die Unterzeichner in einer gemeinsamen Stellungnahme.

Kontaktverfolgung als mögliches Geschäftsmodell

An Stelle einer festen Zweckbindung seien stattdessen bereits „weitere Geschäftsmodelle“ diskutiert worden, da es sich beim Betreiber der von neXenio entwickelten App, der culture4life GmbH aus Berlin, um ein Unternehmen aus der Privatwirtschaft mit „Gewinnerzielungsabsichten“ handle.

Der Betreiber wirkt mit der Aufgabe überfordert

Zudem bezweifeln die Sicherheitsforscher, dass das Start-Up einer so großen Aufgabe und der damit verbundenen Verantwortung gerecht werden kann, da die Luca App bereits im Vorfeld mehrfach durch Sicherheitslücken und Mängel beim Datenschutz von sich Reden machte und „gemeinhin als problematisch angesehen wird“.

Auch große Unternehmen hätten in diesem Bereich nicht selten Probleme, weshalb die Aufgabe für ein Start-Up mehr als nur eine Nummer zu groß sei.

Es ist nicht zu erwarten, dass dies einem Start-Up, das bereits durch zahlreiche konzeptionelle Sicherheitslücken, Datenleaks und fehlendem Verständnis von fundamentalen Sicherheitsprinzipien aufgefallen ist, besser gelingen sollte.

Gemeinsame Stellungnahme zur digitalen Kontaktnachverfolgung

Eine solche umfassende Datensammlung an einer zentralen Stelle würde ein „massives Missbrauchspotential und das Risiko von gravierenden Datenleaks“ bieten, so die Sicherheitsforscher weiter.

Zudem seien einzelne Systeme, die als zentrale Speicher für so sensible Daten fungieren, „attraktive und kaum vor Angriffen zu schützende Ziele“, heißt es.

Wird die App Voraussetzung, um am öffentlichen Leben teilnehmen zu können oder gar von Schutzverordnungen vorgegeben, ist die Freiwilligkeit nicht gegeben, da ein de facto Nutzungszwang entsteht.

Gemeinsame Stellungnahme zur digitalen Kontaktnachverfolgung

Bundesländer investieren 20 Millionen Euro in die Luca App

In der Politik scheint die Kritik an der Luca App noch nicht angekommen zu sein, mehrere Bundesländer investierten bereits insgesamt rund 20 Millionen Euro für die Nutzung der App und versprechen sich davon eine bessere Kontaktnachverfolgung und damit einhergehend mehr und schnellere Möglichkeiten zur Öffnung von Restaurants, Theatern und Geschäften.