Stopp-Corona-App: Experten-Analyse zeigt Verbesserungspotenzial auf

Bei der umstrittenen Stopp-Corona-App, die vom Roten Kreuz (RK) in Kooperation mit Accenture erstellt worden ist, gab es heute prinzipiell Entwarnung - wenn auch nicht ganz. [...]

Analyse Stopp-Corona-App
Thomas Lohninger (epicenter.works), Max Schrems (noyb) und Christian Kudera (SBA-Research) präsentierten heute die Analyse der Stopp-Corona-App. (c) Wahlmüller

Eine Analyse, die in knapp 1,5 Wochen von elf Experten von epicenter.works, noyb.eu und SBA Research, erarbeitet worden war, ergab 25 Empfehlungen für Veränderungen – 16 davon werden bereits heute per „Hotfix“ vom RK/Accenture-Team umgesetzt. Die Experten evaluierten die Stopp Corona-App des Roten Kreuzes auf Datensicherheit und Datenschutz. Es wurden keine kritischen Sicherheitslücken gefunden, jedoch einiges Verbesserungspotenzial bei der Umsetzung des Datenschutzes identifiziert.
Die Prüfung wurde möglich, da das RK und Accenture den Quellcode der Stopp Corona-App (Version 1.1) epicenter.works, noyb.eu und SBA für eine Analyse zur Verfügung gestellt hatten, um die Software im Hinblick auf IT-Security, Datenschutz und rechtliche Aspekte zu analysieren. Die Analyse erfolgte ehrenamtlich und unentgeltlich.

25 Empfehlungen: Großteil heute schon behoben

Die App wurde sicherheitstechnisch und im Hinblick auf Datenschutz überprüft. 16 der Empfehlungen werden mit einem “Hotfix” heute, drei der Empfehlungen mit der nächsten Version der App und vier Empfehlung in etwa vier Wochen umgesetzt. Die restlichen Dinge seien nur „langfristig zu lösen“ bzw. liegen etwa bei Google oder Apple. Die Ergebnisse haben Thomas Lohninger (epicenter.works), Max Schrems (noyb) und Christian Kudera (SBA Research) heute bei einer Pressekonferenz präsentiert, der vollständige Bericht ist auf den jeweiligen Webseiten der Organisationen abrufbar, etwa hier bei epicenter.works

App muss freiwillig bleiben

Das Konzept der App ist auch nach dem europäischen Datenschutzrecht zulässig. Max Schrems, Datenschutzjurist, noyb.eu: “Das Konzept des Roten Kreuz ist jedenfalls datenschutzkonform. In der doch extrem schnellen Umsetzung kann man aber noch in Details nachbessern.“ Schrems selbst sagte heute bei der Pressekonferenz: „Ich halte die App für sinnvoll und habe sie selbst installiert“. Rechtlich sei der Einsatz aber nur dann gesichert, „wenn die Installation der App freiwillig bleibt“, stellte Schrems klar.

Technisches Konzept: es geht noch datenschutzfreundlicher

Die App basiert zwar auf einer dezentralen Speicherung der Daten auf dem eigenen Handy – die Kommunikation zwischen den Telefonen passiert aber noch weitestgehend über zentrale Server, da das relevante Bluetooth-Protokoll zu wenig Daten zwischen den Mobiltelefonen übertragen kann.
Thomas Lohninger, Geschäftsführer epicenter.works: “Inzwischen gibt es mit Konzepten wie DP-3T oder Co-Epi Lösungen, die auch den Großteil der Kommunikation direkt von Handy zu Handy ermöglichen und damit noch datenschutzfreundlicher sind. Wir empfehlen dem RK, sobald das technisch möglich ist, auf dieses Konzept zu wechseln.” Hierzu ist aber auch eine angekündigte technische Umstellung von Apple und Google notwendig, damit die App auch auf iPhones reibungslos funktioniert.

Statistikfunktion entfernt, Problem Offline-Tracking

Grundsätzlich bescheinigten die Fachleute der App im Hinblick auf sicherheitstechnische Aspekte und Fragen des Datenschutzes ein gutes Ausgangsniveau, empfehlen jedoch eine Reihe von Nachbesserungen. Als dezidierte Beispiele wurden von den Experten heute die Statistikfunktion und das Offline-Tracking näher erläutert. “In der App war eine Statistikfunktion eingebaut, die den Kontaktaustausch über Bluetooth und den Empfang von Infektionsnachrichten an das Rote Kreuz übermittelt hat. Die Statistikfunktion wurde aufgrund unserer dringenden Empfehlung umgehend entfernt“, schilderte Christian Kudera, IT-Sicherheitsexperte SBA Research einen unmittelbaren Erfolg der Analyse. Ein weiteres Problem ist das Offline-Tracking von Geräten. Christian Kudera, IT-Sicherheitsexperte SBA Research sagte dazu: “Es ist für Angreifer möglich, Smartphones über längere Zeiträume an bestimmten Orten wiederzuerkennen und im Extremfall Bewegungsprofile zu erstellen. Uns wurde zugesagt, dass dieses Problem mit einer neuen Version Ende nächster Woche behoben wird.” Damit können Angreifer z.B. festellen, wann genau und wie lange welches Smartphone etwa in welchem Supermarkt gewesen ist. Nutzer können als Zwischenlösung den automatischen Handshake deaktivieren, so der Rat.

Österreichische Pionier-Leistung

Contact-Tracing-Apps können im Idealfall Leben retten. Die österreichische “Stopp Corona”-App ist, aktuell mit rund 400.000 Installationen, bisher Vorreiter in Europa. Max Schrems abschließend: “In Europa sind wir jetzt sicher Vorreiter, aber der Stand der Technik ändert sich aktuell fast täglich und das Rote Kreuz muss da sicher weiter dran bleiben.”


Mehr Artikel

Peter Körner ist Business Development Manager Open Hybrid Cloud SAP Solutions bei Red Hat. (c) Red Hat
News

Auch in der SAP-Welt: Die Zukunft heißt Hybrid

Zwei fundamentale Änderungen werden SAP-Anwender in den nächsten Jahren beschäftigen: zum einen die gerade erst verlängerte Frist für die Migration bisheriger Datenbanken zu SAP HANA und bestehender Applikationen auf SAP S/4HANA bis spätestens 2027, zum anderen die anstehenden Innovationsprojekte im Rahmen der Digitalen Transformation, etwa in Themenfeldern wie IoT, Data Analytics sowie KI und Machine Learning. […]

Dipl-Ing. Alexander Penev, Managing Director der ByteSource Technology Consulting GmbH, und Dipl.-Ing. Margarita Penev, Business Development Manager bei ByteSource. (c) ByteSource
News

ByteSource Technology Consulting ist Österreichs erster AWS Advanced Consulting Partner

Schon vor der Corona-Krise hat das Thema Public Cloud auch im Business-Umfeld rasant an Fahrt aufgenommen. Mit COVID-19 sind die Vorteile, die etwa IaaS und PaaS bieten, noch deutlicher in den Vordergrund gerückt. Das Wiener Unternehmen ByteSource ist als erster AWS Advanced Consulting Partner Österreichs angetreten, heimische Unternehmen bei ihrer Reise in die Public Cloud zu unterstützen. […]

News

Wiener Firma Cantat bietet Tool für virtuelle Museumstouren

In Zeiten des Lock-Downs sind viele Kulturinstitutionen auf virtuelle Präsentationsmöglichkeiten ausgewichen. Theater, Opern- und Konzerthäuser bieten Streaming von Vorstellungen an und Museen suchen den Kontakt mir ihren Besuchern durch virtuelle Touren aufrecht zu erhalten. Das Wiener Unternehmen Cantat Heritage & Innovation hat ein Tool für einen virtuellen Museumsbesuch entwickelt. […]

News

AR-Tool „Sodar“ zeigt Social-Distancing-Radius

Googles neues Augmented-Reality-Tool (AR) „Sodar“ hilft Anwendern beim Social Distancing. Die Anwendung zeigt Android-Nutzern über ihre Smartphone-Kamera einen virtuellen Radius. Dadurch können sie während der Coronavirus-Pandemie den nötigen Sicherheitsabstand zu anderen Menschen einhalten. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*


Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahren Sie mehr darüber, wie Ihre Kommentardaten verarbeitet werden .