Tracing App: Big Brother oder nützliches Instrument?

Mehrere Wissenschaftler und Wissenschaftlerinnen warnen vor Sicherheitsrisiken bei Tracing-Apps. Keystone / Francisco Seco

Nach dem Lockdown beginnt die Virenjagd per Handy-App. Einige sehen darin das Mittel für die Rückkehr zum normalen Leben. Die Sicherheit sei gross. Andere dagegen haben Bedenken. Für die Rückverfolgung von Ansteckungen per App brauche es eine gesetzliche Grundlage, sagt das Parlament.

Europa erwacht aus dem künstlichen Koma, in das es sich zur Eindämmung der Covid-19-Pandemie gelegt hat. Um die Lockerung des öffentlichen Lebens zu begleiten und eine zweite Ansteckungswelle zu vermeiden, werden in allen Ländern Apps zur Rückverfolgung des Virus entwickelt, sogenannte Contract Tracing Apps für jedes Smartphone. Diese werfen aber auch Fragen auf, sowohl in der Bevölkerung wie auch unter Wissenschaftlern und Wissenschaftlerinnen.

Die Schweizer Warn-App des Forschungskonsortiums DP-3T, entwickelt von den Eidgenössischen Technischen Hochschulen in Lausanne und Zürich, wird nächste Woche in einer Pilotphase gestartet. Sie nutzt die Bluetooth-Technologie, um die Entfernung zwischen Mobilgeräten zu messen. Sie kommt also ohne Geolokalisierung aus, und der gesamte Prozess basiert auf anonymen Zahlenreihen, die zwischen Handys ausgetauscht werden.

Wenn nun ein Anwender in engem Kontakt – weniger als zwei Meter entfernt für mindestens 15 Minuten – mit jemandem war, der positiv auf Covid-19 getestet wird, sendet die App eine Nachricht. Diese besagt, dass ein Kontakt stattgefunden hat – und dies kann Anlass sein, sich auf das Virus testen zu lassen. Das System arbeitet dezentral, die Daten werden also nicht auf einem Server gespeichert.

Contact-Tracing-Apps spielen also eine wichtige Rolle zum Aufdecken möglicher Übertragungswege des Coronavirus und zum Isolieren potenzieller erkrankter Personen. Voraussetzung dafür ist das freiwillige Installieren auf dem Smartphone. 60 Prozent der Befragten sagen in einer aktuellen Umfrage der SRG «Ja» oder «Eher ja» dazu. Sie wären also bereit, die Warn-App zu benutzen. Das sind etwas weniger als anfangs April, als die Fallzahlen in der Schweiz noch stärker anstiegen. Die Bereitschaft zur freiwilligen Installation der App auf dem eigenen Smartphone ist in der französischsprachigen Schweiz und vor allem in der italienischsprachigen Schweiz höher als in der weniger von COVID-19-Erkrankungen betroffenen Deutschschweiz.

Im Parlament äusserten einige Politiker und Politikerinnen dennoch Zweifel bezüglich Schutzes der Privatsphäre der Benutzer. In der Sondersession wurde beschlossen, eine Rechtsgrundlage zu schaffen, um die Risiken zu begrenzen. «Es gilt zu vermeiden, dass Unternehmen oder Betriebe von ihren Kunden oder Besuchern die Nutzung der Anwendung verlangen», sagte etwa Nationalrat Damien Cottier von der bürgerlichen FDP; Cottier ist Sprecher der Kommission, die sich damit auseinandergesetzt hat.

«Es gilt zu vermeiden, dass Unternehmen oder Betriebe von ihren Kunden oder Besuchern die Nutzung der Anwendung verlangen.»
Damien Cottier

Damit die App Wirksamkeit entfaltet, muss sie täglich von zahlreichen Menschen benutzt werden. Eine Rate von 60% wird oft erwähnt, ähnlich jener von WhatsApp, der populärsten Anwendung in der Schweiz. «Umso wichtiger ist es, eine solide Grundlage zu schaffen, auf der das Vertrauen der Öffentlichkeit aufgebaut werden kann», sagte Kommissionssprecher Damien Cottier hinzu. Laut Epidemiologe Marcel Salathé von der ETH Zürich würde allerdings auch eine Nutzungsrate der App von 20 % bis 30 % bereits sehr viel zur Eindämmung der Pandemie beitragen.

Die App wurde von der Schweizer Armee getestet. Keystone / Laurent Gillieron

In der Überzeugung, dass es notwendig sei, «so schnell wie möglich» vorzugehen, hatte die Regierung die Auffassung vertreten, das Projekt könne ohne spezifische Rechtsgrundlage starten. «Nur der behandelnde Arzt und die kantonale Kontaktfahndungsstelle kennen die Identität der infizierten Person. Nur sie können zudem einer infizierten Person die Übermittlung eines Autorisierungscodes erlauben, um die Infektion anonym an das System zu melden», so der Bundesrat. 

Die Argumente des Bundesrats überzeugen aber nicht alle Experten und Expertinnen auf dem Gebiet. Solange Ghernaouti, Professorin an der Universität Lausanne und Expertin für Cybersicherheit, gehört zu den Skeptikern. Sie begrüsst die Entscheidung des Parlaments, eine rechtliche Grundlage zu schaffen, um «einen Schutz gegen Missbrauch der App zu schaffen». «Der Entwurf eines Gesetzes wird uns erlauben, eine Bürgerdebatte darüber zu eröffnen, welchen Platz digitale Technologien bei der Suche nach Lösungen für konkrete Probleme einnehmen sollen», hofft sie.

Solange Ghernaouti an einer Pressekonferenz in Genf im Jahr 2017. © Keystone / Martial Trezzini

Für Ghernaouti ist jedoch auch eine gesetzliche Grundlage nicht unbedingt ein Allheilmittel. «Es gibt keine Garantie, dass das System nicht gehackt wird. Der Anreiz ist da, denn gesundheitsbezogene Daten sind Gold wert», sagt sie. Das System zu hacken erfordere zwar gewisse Fähigkeiten, aber unmöglich sei es nicht. Selbst ein «Swiss made»-System sei keine Sicherheitsgarantie, sagt sie, denn auch dieses Schweizer System sei von einem internationalen Konsortium entwickelt worden. «Bisher hat kein Land die Wunder-App gefunden oder ihre Wirksamkeit bewiesen. So gesehen verzichtet man besser darauf», fügt sie an.

«Bisher hat kein Land die Wunder-App gefunden oder ihre Wirksamkeit bewiesen. So gesehen verzichtet man besser darauf.»
Solange Ghernaouti

Es ist auch das Tempo des Projekts, das die Expertin auf den Plan ruft. «Es fehlt die Zeit, um ordnungsgemäss zu testen, und doch wird man der App enormes Vertrauen entgegenbringen müssen», sagt sie. «Hilfe für Epidemiologen bei der Kontrolle von Pandemien? Natürlich, aber nicht um jeden Preis.»

Solche Kritik wird von anderen Wissenschaftlern und Wissenschaftlerinnen geteilt. Innerhalb der EPFL gibt es sogar Stimmen, welche die Gefahren der Nachverfolgung von Anwendungen anprangern, wie diese RisikoanalyseExterner Link zeigt.

«Man muss sich Zeit nehmen, um etwas zu bekommen, das verantwortungsvoll und nachhaltig ist», sagte Jean-Henry Morin, Professor für Informationssysteme, kürzlich dem Westschweizer Fernsehen RTS.

Anonymität ist garantiert

Seit Wochen arbeiten die Forscher an der EPFL täglich 15 Stunden, um die Entwicklung der Anwendung abzuschliessen. «Technisch gesehen sind wir am Ende der Fahnenstange angelangt. Wir sind jetzt bereit zur Lancierung der App «, erklärt Emmanuel Barraud, Sprecher der Institution. Bedenken versteht er, beruhigt aber: «Die App wurde entwickelt, um Anonymität zu garantieren». Der Schlüssel zur Sicherheit liege in ihrer dezentralen Funktionsweise: «Alles erfolgt auf den Handys der Benutzer, nicht auf einem zentralen Server, der Ziel eines Hacking-Versuchs sein könnte».

Und selbst wenn jemand mit böser Absicht in das System gelangen könnte, würde diese Person nur verschlüsselte Informationen erhalten, sagt Barraud. «Man erhielte lediglich eine Liste von Codes, die auf niemanden verweisen. Zahlen, das ist die einzige Information, die zwischen zwei Telefonen zirkuliert.»

Ist es eine Frage der Erwartungen, die unsere Gesellschaft an die Technologie stellt? Carmela Troncoso, die für die IT-Seite des Projekts verantwortlich ist, sagt im Interview mit der Zeitschrift l’Illustré, dass diese wohl zu gross sind. «Die verwendete Bluetooth-Technologie ist nicht perfekt, sie wird bei einigen nicht funktionieren. Und nur weil man über den Kontakt mit einer infizierten Person informiert wird, heisst das nicht, dass diese Sie infiziert hat», sagte die Forscherin. Troncoso sieht die Anwendung nicht als die Lösung, sondern als «Ergänzung zur manuellen Rückverfolgung».

(Übertragung aus dem Französischen: Balz Rigendinger)