Hinweis: Dieser Artikel ist älter als 3 Jahre
Inhalte, Quelltexte oder Links können zwischenzeitlich überholt sein.

Teil III - in the meantime

Seit dem zweiten Teil ist einiges passiert. Erste Versionen der Android- und iOS-Apps sind erschienen, die Repositories der Server-Backends und auch die Website¹.

Ich kann es gar nicht so oft und deutlich hervorheben: Was das Projektteam - zwischenzeitlich ist auch ein Mädel hinzugekommen - hier macht ist für ein derart medienwirksames Public-Private-Projekt in Deutschland bislang einmalig, die Vorgehensweise mustergültig. Wenn Vorschläge, Fragen, selbst die eine oder andere qualifizierte Kritik über den dafür vorgesehenen Kanal Github kommen, dann ist das für eine Open Source Software als normal zu bezeichnen.

Es geht weiter mit dem letzten Teil meiner kurzen Serie. Viel Spaß beim Lesen!

App ist nur ein Baustein

Die Corona-Warning-App ist nur ein Baustein von mehreren. Wie im letzten Teil gesehen sind die Serverdienste und Schnittstellen im Backend, die Infrastruktur dahinter wichtiger. Sicherheitstechnisch spielt dort die Musik. Dort melden sich Mitarbeiter von Callcentern und Gesundheitamt an, dort besteht eine Kommunkation über Schnittstellen zu anderen Systemen (zu einem davon gleich noch ein paar Worte).

Positiv zu erwähnen ist, dass eine OpenID und 2-Faktor Authentifizierung in der Dokumentation vorgesehen sind. Client-Zertifikate sichern ihrerseits die Server-zu-Server Kommunikation ab².

Daher lehne ich mich aufgrund der Feststellungen und Beobachtungen in den ersten beiden Blogteilen beruhigt aus dem Fenster und behaupte, dass die App auf den Geräten unkritisch sein wird. Von vielleicht kleineren Fehlern abgesehen, passen Methodik und die eingesetzten Tools. Es wird offen und nativ für die jeweiligen Systemen programmiert und ich erwarte keine groben handwerklichen Schnitzer.

Was der ganzen Architektur jedoch fehlt ist der Nachweis, dass die Version auf den Servern auch den aus den Repos entspricht. Wer auditiert und garantiert einem, dass keine “Erweiterungen” installiert wurden? Diese Lücke ist kaum nachprüfbar.

Abnormale User-Stories

Kommen wir zu den abnormalen Dingen. Eine Gruppe von Aktivisten und Wissenschaftlern hat im Rahmen der P3P zahlreiche Beispiele gesammelt und auf Ihrer Website zusammengeführt³.

Beim Lesen wird offenbar, wie verwundbar wir trotz maximaler Sicherheit und Datenschutz bleiben. Alle nachfolgenden Beispiele kommen ohne Hacking der Geräte oder der Kommunikation aus und decken Schwächen “by Design”:

Ist jemand krank?

Jemand möchte wissen, ob und wann seine Mitbewohner erkranken. Dafür reicht ein altes Zweitgerät mit installierter App, das im Treppenhaus oder hinter dem Eingangsbereich als statischer Empfänger für eine gewisse Dauer alle RPI einsammelt. Meldet sich ein Nachbarn als infiziert, erfährt es zeitgleich auch ein Dritter. Es mag unkritisch klingen doch wie verhält es sich bei einem Paparazzo, einem Stalker, Vermieter oder Arbeitgeber?

Bewerbungsgespräch

Eine wichtige Stelle für ein zeitkritisches Projekt wird vergeben. Drei gleich gute Bewerber stellen sich vor. Für jeden wird jeweils ein extra Smartphone mit der App während des Vorstellungsgespräches positioniert. Nach 14 Tagen erfolgt die Entscheidung, wen man nimmt und wen nicht. Ein Blick auf die drei Geräte zeigt dem Arbeitgeber an, wer für die nächste Zeit besser nicht genommen werden sollte.

Die Verhinderung

Ein Fußballspieler ist wichtiger Akteur in einem anstehenden Champions-League Spiel. Um zu verhindern, dass dieser spielt, reicht es aus, sein eigenes Mobiltelefon in die Nähe zu bringen und sich anschliessend krank zu melden. Oder einem Erkrankten aber noch nicht gemeldeten sein Handy weiterzugeben. Der Spieler erhält eine Benachrichtigung und muss sich in Quarantäne begeben.

Der Systemgegner

Ein Systemgegner zeigt erste Symptome von COVID-19. Um möglichst großen Schaden anzurichten, befestigt er sein Smartphone am Halsband seines Hundes und lässt diesen beim Spaziergang frei herumlaufen. Oder er lässt eine Drohne mit dem Smartphone im Gepäck über die Häuser anderer hinreichend lange - in den Dokumenten ist von 10-15 Minuten Expositions-Dauer die Rede - schweben oder er wandert absichtlich an möglichst viele Orten, bevor er sich testen lässt. Solche Menschen könnten demächst im Darknet besonders gesucht werden und sich über zusätzliche Einnahmemöglichkeiten freuen.

Der Bart-Simpson-Typ

Eine Klausur steht an, die ein Schüler oder Student nicht schreiben will. Im Darknet erfährt er die gehandelten Kontaktdaten eines anderen Infizierten mit Symptomen, der noch nicht offiziell getestet wurde. Man vereinbart, die Telefone zu tauschen. Mit dem neuen Gerät geht der Schüler überall in seiner Schule umher. Wird der bislang ungeteste Fall (des Infizierten) offiziell, erhalten alle Mitschüler und Lehrer die Benachrichtigung, in Quarantäne zu gehen.

Bei einigen der gezeigten Beispielen wird der Einwand kommen, niemand habe die Absicht, eine Überwachungs-Infrastruktur aufzubauen. Niemand wird gezwungen, eine solche App zu laden. Benachrichtigungen können auch ignoriert werden, TEstergebnisse auf den bekannten manuellen Wegen verarbeitet werden. Ist das glaubhaft wenn gleichzeitig mit “Komfortfunktionen” Nudging betrieben wird? Politiker wie ein gewisser Axel Voss preschen bereits hervor und möchten Restaurantbesuche und Reisen von der App-Nutzung abhängig machen⁴?

Function Creeping

Mit diesem Begriff sind Maßnahmen gemeint, die vermeintlich planlos immer wieder etwas “dranflanschen”. Dabei erscheint jeder kleine Schritt, jede neue Funktion, allein betrachtet nicht schlimm. Wer bei einem kleinen Update, oder einer Optimierung gleich mit einer Grundsatz-Diskussion beginnt, riskiert sogar schräg angeschaut zu werden. Die viele kleine Trippelschritte bergauf enden irgendwann auf dem Berggipfel.

Eine aus guten Gründen eingeführte App, kann sich im Nachhinein als eine Büchse der Pandora erweisen. Gute Gründe sind immer relativ und können sich jederzeit ändern. Was passiert, wenn künftige Interpretationen heutiger Begriffe sich Bahn brechen? Heute ist es COVID-19, morgen vielleicht Sinti und Roma? Jemand möge sich einmal bitte die Aussagen des US-Bundesstaates Minnesota auf der Zunge zergehen lassen, aufgrund der aktuellen Unruhen in den USA die dortige Contact-Tracing App zur Verfolgung von Black-Lives-Matter Demonstranten einzusetzen⁵.

Wir brauchen aber gar nicht so weit zu gehen. Erinnern wir uns an das offenkundig krude Rechts- und Technikverständnis des BND. Bei der Frage, was denn eine “Maschine-Maschine” Kommunikation sei antwortete ein hochrangiger Beamte, dass dieses aus Sicht des BND das Einbuchen eines Smartphones an einen Funkmast sei. Sämtliche rechtliche oder datenschutzrechtiche Rahmen würden somit entfallen, da diese nur bei einer Kommunikation zwischen Menschen gelten würde⁶.

Daten vs. Selbstbelastungfreiheit

Es ist eine Errungenschaft unseres Rechtsstaats, dass sich ein Beschuldigter nicht selbst belasten muß. Selbst die Pflichtangaben zur Person wie Name, Adresse, Beruf, Nationalität etc. können mitunter verweigert oder intelligenter: Mit Pseudo- und Fake-Angaben beantwortet werden, da bereits mit Kenntnis dieser Daten mit einer gewissen Präjudiz einhergehen könnte. Einen schönen Blog dazu hat unlängst der Anwalt Hoenig aus Berlin geschrieben⁷.

Die Selbstbelastungfreiheit wird zur Farce, wenn wie unsere Daten nicht im Griff halten und einst freigegebene Daten nicht zurückrufen oder gar löschen können.

Jetzt mag jemand einwenden “ich bin kein Krimineller” oder es kommt der allseits bekannte Spruch “Ich habe nichts zu verbergen”. Eine sehr einfache Sicht der Dinge. Was passiert, wenn jemand zu Unrecht etwas bezichtigt wird? Wenn die heutige Frau oder Freundin sich morgen trennt und einem aus verfahrenstaktischen Gründen für due besseren “Argumente” unterschiebt? Bei einer Umgangs- und Sorgerechtregelung der gemeinsamen Kinder zum Beispiel?

Was ist ein Leben wert?

Diese Frage sollte jeder mit sich selbst ausmachen. Grundsätzlich trackt jedes Android-Gerät umfassender und sogar mit genauen GPS-Positionen seine Benutzer als es die Corona-Warning-App könnte. Die norwegische Behörde für Konsumschutz zeigt das in Ihrem kurzen Video sehr gut⁸. Und wie relativ die Produkte und Aussagen von Google oder Apple sind, kann man an diesem jüngsten Fall sehen, wo sich der “Inkognito-Modus” als etwas völlig anderes erweist, was dieser vorgibt⁹.

Wer bislang unbedarft seine Daten mit den Herstellern oder den sogenannten sozialen Medien geteilt hat, der hat aus meiner Sicht kein Argument, etwas gegen die Corona-Warning-App zu sagen.

Nun mag man aber auch einwenden, dass Google nunmal keine Polizei oder Ermittlungsbehörden hat, die einen morgens früh an der Haustür begrüssen.

Auf der anderen Seite rettet man mit der Nutzung der App möglicherweise wirklich Leben. In ganz Australien führte die App zu einer einzigen (!) Warnung¹⁰. Wie wertvoll ist nur ein Menschenleben? Diese Abwägung kann nur und muß auch jeder für sich treffen.

Ich weiß nur, dass es niemals dazu kommen darf - eine Organisation oder ein Behörde diese Entscheidung nie einem abnehmen dürfen.

Es gibt Wichtigeres als Apps

Vielleicht sollten wir beginnen den Erfolg einer App oder Projektes unter einem anderen Licht zu betrachten. Dazu bringe ich nur ein Vergleich ins Spiel. Betrachten wir uns die Fachanwendung mit dem Namen DEMIS, Deutsches Elektronisches Melde- und Informationssystem für den Infektionsschutz¹¹.

Seit 2016 sind bislang 5.7 Mio EUR als Projektsumme regelrecht verbrannt, denn diese Mittel wurden zum größten Teil zur Finanzierung von Planstellen eingesetzt¹².

Start der App? Unbekannt. Liegt überhaupt Code vor? Ebenfalls unbekannt. Ende 2020 soll es nach einigen Quellen so weit sein, andere Quellen sagen etwas von 2022. Es könnte aber auch noch viel später werden. Die Website verrät nur, dass es 2019 erst ein erstes Treffen des DEMIS Planungsrates statt fand. Leider handelt es sich dabei auch um den letzten Eintrag in der Rubrik “Aktuelles” auf der Projektwebsite¹³.

Betrachten wir uns den bisherigen Umgang der Meldezahlen und die Art und Weise wie diese teilweise per Fax oder Excel Tabellen verarbeitet werden. Fax und Excel! Das eine ist eine Entwicklung aus der Mitte des 19. Jahrhunderts, die andere aus den den 80er Jahren des 20. Jahrhunderts. Nur kurz zur Orientierung: Wir befinden uns aktuell im 21. Jahrhundert.

In aufwändigen Forecast-Modellen werden die ankommenden Daten beim RKI bereinigt, amendiert und rückwirkend “geglättet” damit zum Beispiel die Schwankungen zu Wochenenden heraus gerechnet werden können? Warum ist niemand in der Lage, stündlich bis hinunter auf die Landkreise und Städte eine Übersicht der wichtigsten Kennzahlen anzubieten? So wie es Pavel Meyer auf seiner Seite versucht¹⁴.

Und Nein, bitte jetzt kein Bashing auf unsere föderalen Strukturen. Diese sind sehr gut und möglicherweise mit ein Grund dafür, dass es uns im Vergleich zu anderen Ländern so gut geht. Dazu reicht nur ein Blick in jene Länder, wo es zentralisierte Gesundheitssysteme gibt. Meine englischen Freunde, obwohl so stolz auf Ihre NHS, blicken durchaus neidisch auf unsere dezentrale Strukturen.

Was ist erfolgreicher? Eine in kürzester Zeit als Open Source und in bestmöglicher Transparenz und Datenschutz hergestellte Corona-Warning-App mitsamt der Server-Infrastruktur dahinter oder ein dahinsiechendes, intransparentes Projekt, das von der Realität kalt erwischt und überholt wurde? Digitalisierung wurde bislang eher stiefmütterlich und wenn, dann komplett falsch behandelt. Private-Public Partnerschaften und Compliance als Feigenblätter für Vitamin-B und einem Abgreifen lukrativer und steuermittelfinanzierter Projekte.

Ich wünschte die FAZ hätte uns mit diesem Artikel “Wieder eine Chance vertan: Die deutsche Corona-Warn-App” verschont¹⁵.

Ein Wettrüsten beginnt

Wir stehen erst am Anfang von etwas, was unsere Zivilisation zuletzt mit der Pest im Mittelalter erlebt hat. Solange es keine wirksame Therapie oder ein Impfmittel gibt, wird Corona Bestandteil in unserem Leben bleiben¹⁶.

Bedroht COVID-19 Leben und Gesundheit, so bedroht eine Tracing-App unser Zusammenleben.

Das Wissen, ob jemand COVID-19 hat oder demnächst bekommen wird, wird zur wirtschaftlichen Existenzfrage. Am Beispiel des Coesfelder Schlachtbetriebes mit seinen mutmaßlich prekär Beschäftigen wird das sehr gut deutlich. Hätte das Unternehmen einen Wissensvorsprung von nur 1-2 Tagen wäre die Geschichte womöglich anders verlaufen. Welchen Aufwand und Maßnahmen hätte das Unternehmen ergriffen, nicht plötzlich derart prominent in den Medien zu stehen und eine ganze Region in den erneuten Lock-Down zu bringen?

Unternehmen werden Maßnahmen ergreifen, um an dieses Wissen zu gelangen. Legale, grenzwertige und grenzüberschreitende. Im Gegenzug werden Erkrankte mit beginnenden Symptomen aus Ihrer Lage Profit schlagen und einen Gang zum Arzt oder Gesundheitsamt möglichst lange hinauszögern, damit Ihre Smartphones gewinnbringend zur “Anwendung” an Mitbewerbern oder Mitmenschen kommen können.

Änderungsverzeichnis

Update 20.05.2020

Veröffentlichung des ersten Teils im Kuketz-Forum

Update 23.05.2020

Veröffentlichung des zweiten Teils im Kuketz-Forum

Update 30.05.2020

Veröffentlichung des dritten Teils im Kuketz-Forum

Update 13.08.2020

Überführung der Artikel-Serie in den eigenen Blog. Zahlreiche Formatierungen- und Rechtschreibkorrekturen. Erstellen einer englischen Übersetzung.

Update 26.04.2021

Vorbereitung für pandoc zur Automatischen PDF-Erzeugung. Überschriften eingerückt, kleinere TExtanpassungen, Unicode-Sonderzeichen entfernt und ein Änderungsverzeichnis am Ende des letzten Teiles hinzugefügt.