Experten streiten sich über Sicherheit der Luca-App

Die Sicherheit der Luca-App wird von immer mehr Experten kritisiert. Die App soll das Einchecken in Restaurants oder bei Veranstaltungen ermöglichen und dafür sorgen, dass Papierlisten der Vergangenheit angehören. Nutzer können ihren Barcode vom Wirt oder Veranstalter scannen lassen und ihre Kontaktdaten verschlüsselt hinterlegen. Stellt sich heraus, dass eine infizierte Person vor Ort war, können Gesundheitsämter den Betrieb kontaktieren, der daraufhin die Kontaktdaten der zu diesem Zeitpunkt anwesenden Gäste herausgeben kann.

Ende März veröffentlichte ein Schweizer Forscherteam der EPFL-Universität Lausanne eine Analyse, in der Bedenken gegen die Luca-App laut wurden. Dass die App und ihre Funktionen über einen zentralen Server abgewickelt werden, stelle ein potenzielles Sicherheitsrisiko dar. Der Server verarbeite Informationen darüber, wer gerade in welchem Restaurant oder bei einer Veranstaltung eingecheckt ist, wie lange Personen sich dort aufhalten und wann sie gehen.

Es sei möglich, herauszufinden, wo sich Menschen befinden, die sich als infiziert gemeldet haben. Die Forscher warnen: "Wenn diese zentrale Einheit böswillig handelt oder manipuliert wird (...), hat der Server vollen Zugriff auf alle Kontaktdaten der Nutzer und deren Bewegungshistorie."

Wer den Schlüsselbund nutzte, konnte überwacht werden

Eine andere Sicherheitslücke entdeckte die Gruppe "LucaTrack". Für Menschen ohne Smartphone funktioniert Luca über einen Schlüsselanhänger, auf dem ein persönlicher Barcode aufgedruckt ist. Die Gruppe deckte auf, dass ein Foto des Codes ausreicht, um die Bewegungshistorie des Nutzers auszulesen. "Darüber hinaus ist es möglich, Nutzer in Zukunft bei jedem weiteren Check-in praktisch in Echtzeit zu überwachen", heißt es in dem Bericht. Die Betreiber haben die Sicherheitslücke inzwischen geschlossen.

Nachdem die Luca-Betreiber den Programmcode der App veröffentlichten, kam der nächste Schlag. Nutzer analysierten den Datenaustausch und stellten fest: Die Luca-Betreiber sind in der Lage, Check-ins an bestimmten Orten einzelnen Geräten und Nutzern zuzuordnen. Laut Betreibern sollte das nur möglich sein, wenn Gesundheitsämter diese Daten anfragen.

Chaos-Computer-Club fordert Stopp für Luca-App

Der Chaos-Computer-Club (CCC) fordert deshalb, den Einsatz der App umgehend zu stoppen. "Die nicht abreißende Serie von Sicherheitsproblemen und die unbeholfenen Reaktionen des Herstellers zeugen von einem grundlegenden Mangel an Kompetenz und Sorgfalt", erklärt CCC-Sprecher Linus Neumann. Deutliche Kritik übt der CCC daran, dass mehrere Bundesländer Lizenzen für die Nutzung der Luca-App gekauft haben.

Mehr als 20 Millionen Euro seien inzwischen an die Betreiber geflossen, die Bundesländer und deren Gesundheitsämter dürfen die App zunächst für ein Jahr nutzen. Die App selbst bleibt aber im Eigentum der Firma Nexenio und Culture4life, die hinter Luca stehen.

Auch Baden-Württemberg hat 3,7 Millionen Euro für den Einsatz der Luca-App bezahlt. Sozialminister Manne Lucha (Grüne) empfiehlt trotz der Kritik, sie einzusetzen. "Sie läuft auf allen gängigen Smartphones, ist einfach zu bedienen und erfüllt insbesondere die Anforderungen an den Datenschutz", teilt ein Sprecher seines Sozialministeriums mit. Bisher seien 26 von 38 Gesundheitsämtern im Land an die App angeschlossen, alle weiteren stünden bereits in Kontakt mit dem Anbieter.

Stadt Heilbronn sieht Luca als freiwillige Alternative

Die Stadt Heilbronn hatte Mitte März verkündet, dass Restaurants, Kulturschaffende und andere Betriebe die Luca-App nutzen können, um Gäste einzuchecken. Eine Lizenz habe die Stadt selbst nicht erworben, sondern das Land. "Die Nutzung der Luca-App ist freiwillig, die Corona-Verordnung des Landes lässt auch weiterhin die papiergebundene Erfassung zu", betont Pressesprecherin Suse Bucher-Pinell. Für die Nutzung der App habe man den Datenaustausch und die Arbeitsprozesse getestet. "Wir verfolgen die Entwicklungen aufmerksam und tauschen uns im Team mit anderen Kommunen und Landkreisen aus", erklärt Bucher-Pinell zur Diskussion über Sicherheitsbedenken.

Auch Landkreis und Hohenlohekreis bereiten sich für Luca-App vor

Im Landkreis Heilbronn liefen derzeit die technischen Vorbereitungen für den Einsatz der App, erklärt Landratsamtssprecher Manfred Körner. Auch das Landratsamt des Hohenlohekreises bereitet sich auf den Einsatz von Luca vor, derzeit würden Mitarbeiter geschult, erklärt Sprecherin Mathea Weinstock. Bei der Sicherheit schließe man sich der Einschätzung des Landkreistages an. Dieser sieht in der App einen wichtigen Baustein, um "Öffnungen in Handel, Kultur und Gastronomie abzusichern".

Der Landesdatenschutzbeauftragte Stefan Brink kann die harsche Kritik an der Luca-App nicht nachvollziehen. "Auch bei einer zentralen Struktur wie der Luca-App kann man durch entsprechende Verschlüsselung für ausreichende Sicherheit sorgen", erklärt er im Gespräch mit unserer Redaktion. Eine dezentrale Speicherung von Daten sei zwar generell besser, betont Brink, es gebe jedoch bisher keinen Anbieter, der die Vorgabe der Corona-Verordnung erfüllt, Kontaktdaten dezentral zu speichern. "Deshalb ist es wichtig, kein Wunschdenken zu propagieren."

Einchecken mit der Corona-Warn-App ist rechtlich nicht möglich

Es sei eine politische Entscheidung, dass Kontaktdaten hinterlegt werden müssen, um potenziell Infizierte kontaktieren zu können. Die Corona-Warn-App von Robert-Koch-Institut, SAP und Telekom soll bald eine Check-In-Funktion erhalten, die jedoch anonym sein wird. "Rechtlich ist es aktuell so, dass man sich mit der anonymen Corona-Warn-App nirgendwo korrekt anmelden könnte", meint Brink. Die Luca-App sei datenschutzkonform und zweckmäßig.

Dem schließt sich der Heilbronner FDP-Landtagsabgeordnete Nico Weinmann an. "Die Luca-App ist nicht perfekt. Aber wir müssen es endlich schaffen, die digitalen Kontakt-Nachverfolgungsmöglichkeiten als einen Baustein der Pandemiebekämpfung zu nutzen." Die Bedenken müsse man ernst nehmen und ausräumen.

Weinmann fordert, Luca-App nicht zu zerreden und fortlaufend weiterzuentwickeln

Dass die Anbieter den Quellcode veröffentlicht haben und die Nutzung der App freiwillig ist, sei richtig. "Die Luca-App muss kontinuierlich verbessert und weiterentwickelt werden", fordert Weinmann. "Nach dem Flop der ersten Corona-App können wir alle Bemühungen, Menschen für eine freiwillige Nachverfolgung zu gewinnen, vergessen, wenn nun auch die zweite App zerredet wird. So schlecht, wie sie jetzt von manchen gemacht wird, ist die Luca-App ganz gewiss nicht."

Auch Lösungen wie sogenannte Bluetooth-Beacons seien im Einsatz, sagt Weinmann. Diese funktionieren ähnlich wie die Corona-Warn-App, jedoch sendet das Signal kein Handy, sondern ein Schlüsselanhänger. Wer infiziert ist, kann seinen Status entsprechend setzen, sodass andere gewarnt werden - ohne weitere Daten.