Apps auf Smartphones können helfen, Kontakte von Covid-19-Patienten zu identifizieren, und so die Verbreitung des Virus Sars-Cov-2 eindämmen. Doch Datenschützer warnen: Die Krise sei zwar beispiellos, und es brauche innovative Wege wie die digitale Kontaktnachverfolgung, um das Virus zu kontrollieren – aber es drohe eine noch nie da gewesene Überwachung der Gesellschaft als Ganzes. Ihre Bedenken und mögliche Lösungen haben nun mehr als 300 Wissenschaftlerinnen und Wissenschaftler aus den Bereichen IT-Sicherheit und Privatsphäre in einem offenen Brief veröffentlicht.

Die Autoren betonen, nicht grundsätzlich gegen das Sammeln von Kontaktdaten zu sein. Doch um die Privatsphäre der Bevölkerungen zu schützen, dürften Systeme zur digitalen Kontaktnachverfolgung nur die nötigsten Daten zusammentragen. Die Informationen sollten allein zur Eindämmung von Covid-19 verwendet werden. Zu diesem Zweck müsse wahrscheinlich ein dezentraler Ansatz zur Verwaltung der Daten verfolgt werden, heißt es weiter.

Ein weiterer Kritikpunkt: Auch Bluetooth-Systeme, wenn sie nicht richtig umgesetzt werden, können zu Überwachung sowie der Ansammlung von Daten führen, die die Privatsphäre verletzen. Genau diesen Ansatz aber verfolgt beispielsweise die Initiative PEPP-PT, die Wissenschaftler, Unternehmen und Institutionen, darunter das Robert Koch-Institut, Anfang April vorgestellt haben.

Um Nutzerinnen und Nutzer möglichst umfassend zu schützen, haben die Autorinnen und Autoren des offenen Briefs folgende Prinzipien formuliert:

• Kontaktverfolgung-Apps dürften nur verwendet werden, um Maßnahmen zur Eindämmung von Covid-19 zu unterstützen. Das System dürfe nicht in der Lage sein, Daten zu sammeln und zu verarbeiten oder mehr Daten zu übermitteln als für den Zweck notwendig.
• Jede in Betracht gezogene Lösung müsse vollständig transparent sein. Es sei eindeutig zu dokumentieren, ob, wie, wo und wofür die verarbeiteten Daten gelagert werden.
• Der Einsatz von Contact-Tracing-Apps und die Systeme, die sie unterstützen, müssen freiwillig sein. Die Nutzerinnen und Nutzer sollen in der Lage sein, ausdrücklich ihre Zustimmung zu geben.
• Alle Daten sollen sich löschen lassen, sobald die aktuelle Krise vorbei ist.

»Ich halte diesen Brief und sein Anliegen für sehr wichtig«, sagte Konrad Rieck von der Technischen Universität Carolo-Wilhelmina zu Braunschweig dem Science Media Center (SMC). »Tracing scheint ein sehr effektives Instrument gegen die Verbreitung von Covid-19 zu sein.« Aber: »Datenschutz und Privatheit sind elementare Grundrechte und dürfen hierbei nicht vergessen werden.« Es sei daher wichtig, sparsam mit Daten umzugehen und das Risiko mit geschickten Konzepten von Anfang an zu begrenzen. In diesem Punkt sind sich alle einig.

Was ist besser: Dezentral oder zentral speichern?

Diskutabel hingegen ist die Frage, ob die Daten besser zentral oder dezentral zu verwalten sind. »Ein zentraler Ansatz ist nicht generell von der Hand zu weisen, erfordert aber, je nachdem welche Daten zentral vorgehalten werden, generell ein gewisses Vertrauen in den Betreiber der Infrastruktur«, sagte beispielsweise Eric Bodden vom Heinz Nixdorf Institut dem SMC. In Deutschland sei das gut machbar.

Anders sieht es Thorsten Holz vom Horst-Görtz-Institut (HGI) für IT-Sicherheit. Eine zentrale Datenbank könne potenziell missbraucht werden, sagt er. »Sie stellt einen ›single point of failure‹ dar – wenn diese Datenbank ausfällt oder kompromittiert wird, dann sorgt dies für eine Beeinträchtigung des gesamten Systems.« Darüber hinaus berge ein zentraler Ansatz immer Probleme mit dem Datenschutz, da eine zentrale Korrelation und Analyse durchgeführt werden könne. Er hält für Deutschland einen dezentralen Ansatz für die deutlich bessere Wahl, »weil nur so unsere hohen Anforderungen an Datensicherheit und Datenschutz sichergestellt werden können«.

Eine dezentrale Speicherung sei die privatsphäreschonende Lösung, sagt auch Jörn Müller-Quade vom Karlsruher Institut für Technologie. Er fügt jedoch hinzu, dass der Datenschutz selbst bei diesem Ansatz nicht perfekt sei, »weil unter Umständen beobachtete Bluetooth-IDs, Signalstärken oder Zeitpunkte es doch erlauben, private Informationen zu erfahren.«

Stichwort »Bluetooth« – hier gibt es ebenfalls Kritik. Nicht nur besteht »bei allen Formen von Beobachtung immer das Risiko für Datenlecks und Missbrauch«, wie Rieck es formuliert. Auch ist derzeit fraglich, wie gut die Überwachung mit diesem System überhaupt funktioniert.

Erste Tests von PEPP-PT zeigen, dass die Anwendung zu optimieren ist. Sie würden auf 70 bis 90 Prozent Genauigkeit hindeuten, »das heißt, 10 bis 30 Prozent der Kontakte werden nicht oder fälschlicherweise erkannt«, sagen Mitarbeiter des HGI. »Hier müssen weitere Tests mit mehr Geräten in unterschiedlichen Szenarien durchgeführt werden, um die Fehlerrate besser bestimmen zu können.« Darüber hinaus sei unklar, wie viele Menschen die Technik nutzen müssen, damit sie bei der Eindämmung der Pandemie helfen kann. Viele Personen, insbesondere in den Risikogruppen, würden kein Smartphone besitzen oder ältere und günstigere Geräte, die notwendige Bluetooth-Low-Energy-Technik nicht unterstützen.

Offiziell haben sich derzeit bislang 141 672 Menschen in Deutschland mit dem Virus angesteckt. Das hat das RKI für den 20. April gemeldet. Eine detaillierte Darstellung der übermittelten Covid-19-Fälle nach Landkreis und Bundesland stellt das Dashboard des Instituts bereit. Weltweit gibt es nach Angaben der Johns Hopkins University 2 422 525 bestätigte Fälle.