1st world corona measures

In unse­rem Bei­trag vom 23.03.2020 zum Ein­satz von mobil­ge­rä­te­ba­sier­ter Gesund­heits­prä­ven­ti­on haben wir berich­tet, dass eine Coro­na App auch hier­zu­lan­de geplant ist, sowie über Aspek­te, die aus Daten­schutz­sicht sorg­fäl­tig zu prü­fen und zu pla­nen sind. 

Mitt­ler­wei­le wur­de kurz vor der geplan­ten Ver­öf­fent­li­chung eine lauf­fä­hi­ge Ver­si­on der Coro­na App von TÜVit geprüft und es gibt Nach­hol­be­darf.  Gegen­über hei​se​.de äußern die Prü­fer u.a. Kri­tik an dem kurz­fris­ti­gen Start­ter­min. Ins­ge­samt habe man laut TÜVit wie­der­holt die (sogar kos­ten­freie) Prü­fung ange­bo­ten und letzt­lich unter Zeit­druck durch­füh­ren müssen. 

Ange­sichts des­sen, dass inzwi­schen eine Locke­rung und Anti-„Maulkorb“-Demo die ande­re jagt und seit mehr als 7 Jah­ren die dro­hen­de SARS-Pan­de­mie und deren Bekämp­fungs­me­tho­dik bekannt ist (Bun­des­tags­druck­sa­che 17/​12051 aus 2012 /​ 2013, Sei­ten 5, 55 ff. ), kann man hier nicht unbe­dingt von einem agi­len Kri­sen­ma­nage­ment sprechen.

Sicher­heitsaspek­te der neu­en Coro­na App 

Die Prü­fung der Coro­na App erfolg­te im Auf­trag des BSI (Bun­des­amt für Sicher­heit in der Infor­ma­ti­ons­tech­nik) in Bezug auf Sicher­heits­maß­ga­ben und Ein­hal­tung der ange­kün­dig­ten Pri­vat­sphä­re­stan­dards wie z.B. der Standortermittlung. 

Eine Schwach­stel­le bestün­de laut TÜVit dar­in, dass Pati­en­ten zwar ver­schlüs­selt abspei­chern kön­nen, posi­tiv auf Coro­na getes­tet wor­den zu sein, um etwai­ge Kon­tak­te mit Infi­zier­ten zu prü­fen, die genutz­te Ver­schlüs­se­lungs­lo­gik jedoch feh­ler­haft ist. So bestehe die Mög­lich­keit, einen Teil der Logik ohne grö­ße­re Schwie­rig­kei­ten aus­zu­le­sen, um belie­big Falsch­mel­dun­gen infi­zier­ter Per­so­nen zu generieren. 

Damit könn­te die gesam­te Daten­hal­tung und somit auch der ange­dach­te Nut­zen der App ad absur­dum geführt wer­den und bewusst pro­vo­zier­te Fehl­alar­me noch grö­ße­re Ver­un­si­che­rung bei den Bür­gern ver­ur­sa­chen. Die­ser Angriffs­punkt ist in Fach­krei­sen seit gerau­mer Zeit bekannt. 

Dass man bei der­lei Umset­zun­gen gegen destruk­tiv moti­vier­te IT-Exper­ti­se nicht hin­rei­chend auf­rüs­tet, son­dern IT-Exper­ten wie etwa Daten­schutz­auf­sichts­be­hör­den als Brem­ser hin­stellt, wenn die­se begrün­de­te Sicher­heits­be­den­ken anmel­den, ist schwer nachvollziehbar. 

Bereits vor der TÜVit Prü­fung wur­de der Quell­code ver­öf­fent­licht. Hier besteht insb. bei einem Mul­ti­mil­lio­nen-Pro­jekt kei­ne Not­wen­dig­keit. Dafür kann sich die Hacker­sze­ne schon ein­mal im Vor­feld ein­le­sen. Ande­rer­seits woll­te man gera­de in Bezug auf die herr­schen­den Daten­schutz­be­den­ken mit größt­mög­li­cher Trans­pa­renz reagieren. 

Daten­schutz und Pri­vat­sphä­re 

In Bezug auf die Pri­vat­sphä­re lässt TÜVit Posi­ti­ves ver­lau­ten. Bei dem geprüf­ten Ent­wick­lungs­stand der Coro­na App sei von Leaks nicht aus­zu­ge­hen und uner­war­te­te Tracking­lo­gik habe man in der Ver­si­on nicht fest­stel­len können.

Die Ent­wick­lung und Sicher­heits­do­ku­men­ta­ti­on der Coro­na App wur­de vom BSI u.a. durch Pene­tra­ti­ons­tests (Pen­tests) und Über­prü­fun­gen von Pro­gramm­code beglei­tet. Dabei konn­ten Schwach­stel­len gesich­tet und sei­tens der Ent­wick­lung beho­ben wer­den. Die Sicher­heits­do­ku­men­ta­ti­on kommt zu dem Schluss, dass die Coro­na App “alle für die­se App zutref­fen­den Anfor­de­run­gen aus der tech­ni­schen Richt­li­nie TR 03161 – Sicher­heits­an­for­de­run­gen an Digi­ta­le Gesund­heits­an­wen­dun­gen” des BSI erfüllt. Und auch zukünf­tig wird die Wei­ter­ent­wick­lung der App vom BSI beglei­tet. Die zuge­hö­ri­ge Pres­se­mit­tei­lung fin­den Sie hier.

Wei­te­re Infor­ma­tio­nen zu Daten­schutz- /​ tech­ni­schen Aspek­ten lie­fert eine Stu­die aus die­ser Woche (09.06.2020) der Unis Darm­stadt, Mar­burg und Würzburg. 

Prüf­auf­trag der Coro­na App war limi­tiert 

Laut TÜVit wur­de der Auf­trag zur Durch­leuch­tung der Ent­wick­lung auf bestimm­te Berei­che begrenzt. Aus­ge­nom­men von der Prü­fung waren Sys­tem­fea­tures von Apple /​ Goog­le und das Backend des eigent­li­chen Daten­ser­vers. Fer­ner sei die Ver­schlüs­se­lungs­lo­gik für die auf dem Mobil­ge­rät gespei­cher­ten Daten nicht Gegen­stand der Prü­fung gewesen. 

Fazit zum aktu­el­len Stand der Coro­na App 

Das Vor­ge­hen bei der Sicher­heit der Coro­na App steht in Wider­spruch zu dem Bestre­ben, Ver­trau­en in die­sen Lösungs­an­satz zu stär­ken. Es stellt sich die Fra­ge, ob nicht die­je­ni­gen, wel­che die Coro­na App ger­ne instal­lie­ren, um sich und Mit­bür­ger zu schüt­zen, ohne­hin mit gesun­dem Men­schen­ver­stand an Prä­ven­ti­ons­maß­nah­men her­an­ge­hen, wäh­rend ande­ren Anwen­dern ein wei­te­rer Schritt in die Unmün­dig­keit vor­ge­legt wird, sich dann ggf. nur noch auf die App zu verlassen. 

Intrans­pa­ren­te tech­ni­sche Umset­zung in Kom­bi­na­ti­on mit dem Aspekt der Frei­wil­lig­keit und mäßi­gem Mar­ke­ting las­sen an einem posi­ti­ven Effekt auf Ver­ant­wor­tungs­ge­fühl und Infek­ti­ons­ra­te nach der­zei­ti­gem Kennt­nis­stand zur Zeit lei­der noch zweifeln. 

Intrans­pa­ren­te tech­ni­sche Umset­zung in Kom­bi­na­ti­on mit dem Aspekt der Frei­wil­lig­keit en Effekt auf Ver­ant­wor­tungs­ge­fühl und Infek­ti­ons­ra­te nach der­zei­ti­gem Kennt­nis­stand zur Zeit lei­der noch zweifeln. 

gesundheitsdaten gehen an die polizei

Nun auch Sach­sen-Anhalt — das Innen­mi­nis­te­ri­um wies die Gesund­heits­äm­ter an, per­so­nen­be­zo­ge­ne /​ Gesund­heits­da­ten aller Per­so­nen in Qua­ran­tä­ne den Poli­zei­be­hör­den zur Ver­fü­gung zu stel­len. Die Poli­zei erhielt somit per­so­nen­be­zo­ge­ne Daten über Coro­na-Infi­zier­te und Kontaktpersonen. 

Offen­le­gung durch par­la­men­ta­ri­sche Nach­fra­ge 

Aus den Rei­hen des Land­tags wur­de am 22.04.2020 die Ent­hül­lung bekannt, dass der Lan­des­in­nen­mi­nis­ter vom 27. bis 31.03.2020 eine Ver­pflich­tung zur Bereit­stel­lung der Daten für alle Per­so­nen in Qua­ran­tä­ne des Bun­des­lan­des ver­fügt habe. Seit­dem wür­den Gesund­heits­äm­ter „nach eige­nem Ermes­sen und im Ein­zel­fall“ Daten von Per­so­nen in Qua­ran­tä­ne an die Poli­zei über­mit­teln. Bis 09.04.2020 über 800 Fäl­le in Sach­sen-Anhalt — heißt es wei­ter in den zuge­hö­ri­gen Posts auf Twit­ter. Eine öffent­li­che Infor­ma­ti­on über die Maß­nah­me durch das Innen­mi­nis­te­ri­um zur Erfül­lung der DSGVO-gesetz­li­chen Trans­pa­renz­pflicht war lan­ge Zeit nicht erfolgt. Die kom­mu­ni­zier­ten Daten hät­ten Namen, Anschrif­ten, Geburts­da­ten, Wohn­or­te, Natio­na­li­tä­ten, Geschlech­ter sowie Beginn und Ende der behörd­lich defi­nier­ten Qua­ran­tä­ne umfasst. Die Über­mitt­lung, Ver­ar­bei­tung und Spei­che­rung auf Poli­zei­da­ten­ban­ken von Gesund­heits­da­ten sei „recht­lich pro­ble­ma­tisch“ und der Lan­des­be­auf­trag­te für den Daten­schutz sei the­ma­tisch zu invol­vie­ren. Wei­te­re ~130 sol­cher Über­mitt­lun­gen in Hal­le wur­den zunächst laut Anga­be der Stadt­ver­wal­tung wohl gar nicht erst gezählt. 

Recht­mä­ßig­keits­fra­ge bei der Ver­ar­bei­tung von Gesund­heits­da­ten 

Auf Anfra­ge hat­te das Lan­des­in­nen­mi­nis­te­ri­um gegen­über netz​po​li​tik​.org geleug­net, dass es der­lei Gesund­heits­da­ten­über­mitt­lun­gen an die Poli­zei gege­ben hat­te. Spä­ter wur­de bekannt, dass Gesund­heits- /​ per­so­nen­be­zo­ge­ne Daten auf der Fahn­dungs­da­ten­bank des Lan­des­kri­mi­nal­amts gespei­chert wur­den. Zu direk­ten Anfra­gen von netz​po​li​tik​.org sei sei­tens der Poli­zei nicht Stel­lung genom­men wor­den. Der Erlass sei dem Lan­des­da­ten­schutz­be­auf­trag­tes Sach­sen-Anhalts erst auf Nach­fra­ge zur Ver­fü­gung gestellt wor­den, den die­ser am 31.03.2020 für rechts­wid­rig erklärt habe. In sei­ner Haut möch­te man jetzt eher nicht ste­cken. Aus DSB-Sicht stellt sich aller­dings die Fra­ge, aus wel­chem Grund kei­ne Vor­ab­infor­ma­ti­on erfolg­te und kei­ne Daten­schutz­fol­ge­ab­schät­zung in fach­li­cher Abstim­mung mit dem Lan­des-DSB durch­ge­führt wor­den ist. l 

Pau­scha­le Über­mitt­lung von Gesund­heits­da­ten in diver­sen Bun­des­län­dern 

Auch in ande­ren Bun­des­län­dern wur­den Daten­über­mitt­lun­gen von Infi­zier­ten und Kon­takt­per­so­nen ein­ge­führt. Offi­zi­ell sei Ziel der Maß­nah­me die Über­wa­chung der Ein­hal­tung der Qua­ran­tä­ne und Schutz der Polizeibeamten. 

Nach uns vor­lie­gen­den Infor­ma­tio­nen erklär­te auch die nie­der­säch­si­sche Daten­schutz­be­auf­trag­te Bar­ba­ra Thiel die Maß­nah­me für ihr Bun­des­land als rechts­wid­rig. Aller­dings hielt die Lan­des­re­gie­rung an den Daten­über­mitt­lun­gen fest. 

Die umstrit­te­ne Pra­xis wur­de auch in wei­te­ren Bun­des­län­dern ein­ge­führt. In Fol­ge vehe­men­ter Pro­tes­te wur­de die­se in Bre­men auf­ge­ho­ben. In Baden-Würt­tem­berg wird eine DSGVO kon­for­me Ver­ord­nung zur Daten­über­mitt­lung posi­tiv erwar­tet. In Meck­len­burg-Vor­pom­mern wur­de das Pro­ce­de­re modi­fi­ziert. Hier wird bei der Über­mitt­lung der Gesund­heits­da­ten nun auf den Bedarfs­fall abge­stellt. Fer­ner soll nun die Vor­ga­be sein, die Daten anony­mi­siert und ver­schlüs­selt an einen defi­nier­ten Per­so­nen­kreis im Poli­zei­dienst zu über­mit­teln. Es ist begrü­ßens­wert, dass die tra­gen­den Stan­dards in der Infor­ma­ti­ons­si­cher­heit neben den Daten­schutz­an­for­de­run­gen auch bei die­sem The­ma suk­zes­si­ve Berück­sich­ti­gung finden. 

Coro­na Präven­ti­on und die Ver­ar­bei­tung von Gesund­heits­da­ten 

Es besteht ein gro­ßes Span­nungs­feld zwi­schen Daten­schutz /​ Grund­rech­ten und einer effek­ti­ven Pan­de­mie­be­kämp­fung. Dass Men­schen und Pfle­ge­per­so­nal, der öffent­li­che Dienst und ande­re Arbeits­kräf­te mit not­wen­di­gem Publi­kums­kon­takt des Schut­zes bedür­fen, steht völ­lig außer Fra­ge. Aller­dings kann als auf­fäl­lig bezeich­net wer­den, dass gera­de in sol­chen grenz­wer­ti­gen Maß­nah­men der Dia­log mit den Daten­schutz­be­hör­den und auch den behörd­li­chen Daten­schutz­be­auf­trag­ten aktiv ver­mie­den wird. Gera­de in sol­chen Zei­ten darf erwar­tet wer­den, dass man sich zwecks ganz­heit­li­cher Kri­sen­be­wäl­ti­gung bereichs­über­grei­fend abstimmt. So kann dafür Sor­ge getra­gen wer­den, dass die Ver­ar­bei­tun­gen und Über­mitt­lun­gen der Behör­den den zwin­gend erfor­der­li­chen, zeit­ge­mä­ßen Vor­ga­ben des Daten­schut­zes sowie der Infor­ma­ti­ons­si­cher­heit /​ IT-Sicher­heit genügen. 

corona app - flag europe

Vor allem ande­ren möch­ten wir Sie lie­be Leu­te, lie­be Leser, lie­be Kun­den herz­lich grü­ßen. Wir hof­fen, dass es Ihnen und den Ihri­gen gut geht und dass Ihr Ein­stieg in das Home-Office bzw. in die  Coro­na beding­ten Son­der­si­tua­tio­nen ok bis gut war. Abge­se­hen von den inter­na­tio­nal schwie­ri­gen Zustän­den in Pfle­ge und Logis­tik — wie etwa das kol­lek­ti­ve Mas­ken­bas­teln in Indus­trie­län­dern — kön­nen ins­be­son­de­re Unge­wiss­hei­ten, sub­jek­ti­ve Inter­pre­ta­tio­nen und Unge­nau­ig­kei­ten in Bericht­erstat­tun­gen die­ser Tage schon ziem­lich ner­ven. Wenn Sie also zu Coro­na, Coro­na App, Daten­schutz oder Home-Office im All­ge­mei­nen etwas schrei­ben möch­ten, nut­zen Sie ger­ne das Kom­men­tar­feld zu die­sem Post. 

Ihr Team von a.s.k. Datenschutz. 

P.S. Wir sind gesund und mun­ter und hal­ten unse­re Por­sche Design Pyja­mas mode­ge­mäß 😉 Wir freu­en uns, Sie bald wie­der zu sehen. Und wenn Sie sich zu Daten­schutz etc. kurz­fris­tig bespre­chen möch­ten, las­sen Sie uns ein­fach ger­ne per Video Call in Ver­bin­dung treten. 

App Lösun­gen gegen Coro­na 

Um der Coro­na Pan­de­mie bes­ser Herr zu wer­den, sind ver­schie­de­ne Ansät­ze für soft­ware­ba­sier­te Lösun­gen ent­wi­ckelt wor­den, wie zum Bei­spiel die Kon­zep­te DP-3T und PEPP-PT, die auf per­so­nen­be­zo­ge­ne Daten zurück­grei­fen. Eine der­zeit beson­ders pro­mi­nen­te Vari­an­te ist das Con­ta­ct Tra­cing, bei der man als Nut­zer der zuge­hö­ri­gen App gewarnt wird, wel­che ande­ren App Nut­zer im Umkreis x infi­ziert sein kön­nen. Die EU-Kom­mis­si­on befasst sich mit dem Thema. 

EU-Kom­mis­si­on zu der Ver­ar­bei­tung von sen­si­blen Daten und der Coro­na App 

Der Daten­schutz­aus­schuss der EU-Kom­mis­si­on (EDPB) ist bestrebt, den Ent­wick­lungs­pro­zess von Apps und Soft­ware zur Coro­na Bekämp­fung nach daten­schutz­ge­rech­ten Maß­ga­ben zu för­dern. In die­sem Kon­text hat der Aus­schuss am Diens­tag, den 21.04.2020 eine Richt­li­nie zum Ein­satz von Ortungs­da­ten und Soft­ware­lö­sun­gen /​ Apps, wie etwa zur per­so­nen­be­zo­ge­nen Kon­takt­nach­ver­fol­gung, her­aus­ge­ge­ben, wel­che die natio­na­len Behör­den und die Deve­lo­per Ein­rich­tun­gen adressiert. 

Inhaltli­che Anfor­de­run­gen 

Bei der Aus­wer­tung sen­si­bler Daten und dem Ein­satz von Coro­na Apps sei­en Zweck­bin­dung, Trans­pa­renz und Daten­spar­sam­keit uner­läss­lich — alles zen­tra­le Pos­tu­la­te der DSGVO. In der auf Mas­se ange­leg­ten Ana­ly­se von Bewe­gungs­da­ten sei ein erheb­li­cher Ein­griff in die Frei­heits­rech­te zu sehen, daher sei hier das Prin­zip der Frei­wil­lig­keit (Abschnitt zu 2020-02) zu wahren. 

Stand­ort­da­ten sei­en grund­sätz­lich nicht zu erfas­sen, da sie für Mit­tei­lun­gen über mög­li­che Infek­ti­ons­ket­ten nicht benö­tigt wür­den und fer­ner die Auf­he­bung der Anony­mi­sie­rung erleich­ter­ten. Fer­ner sei eine Daten­schutz­fol­ge­ab­schät­zung für den Ein­satz sol­cher Apps durch­zu­füh­ren und zu veröffentlichen. 

Emp­feh­lun­gen auch zu Gestal­tung einer Coro­na App  

Die App könn­te über ein zen­tra­les Ser­ver­sys­tem betrie­ben wer­den mit restrik­ti­ven Zugriffs­be­rech­ti­gun­gen und gerä­te­ori­en­tier­ten, nati­ven Sicher­heits­maß­ga­ben. Es bestand gro­ße Unei­nig­keit betref­fend die Fra­ge des zen­tra­len oder dezen­tra­len App-Betriebs. Der Schwer­punkt sol­le dar­auf gelegt wer­den, dass Daten eher lokal gespei­chert werden. 

Kri­sen­be­ding­ter Umgang mit sensi­blen per­so­nen­be­zo­ge­nen Daten  

Die Richt­li­nie defi­niert auch Aus­nah­men für den Ermes­sens­spiel­raum der natio­na­len Behör­den, im Rah­men der Gesetz­ge­bung Aus­nah­men von DSGVO-Grund­sät­zen zu machen. So kann etwa das Erfor­der­nis der Ein­wil­li­gung für die Ver­ar­bei­tung von Gesund­heits­da­ten ent­fal­len, bzw. die Rechts­grund­la­ge durch Wahr­neh­mung einer Auf­ga­be des öffent­li­chen Inter­es­ses oder die Aus­übung öffent­li­cher Gewalt gege­ben sein. 

Eine Coro­na App in der Pra­xis 

Bril­lan­te Ent­wick­lun­gen wie das Con­ta­ct Tra­cing und die KI-basier­te Aus­wer­tung von Daten zur intel­li­gen­ten Gesund­heits­vor­sor­ge sind als wah­rer Fort­schritt in der not­wen­di­gen Digi­ta­li­sie­rung zu sehen. Dass der kon­struk­ti­ve Erfolg indes mit der effek­ti­ven Aus­füh­rung in allen orga­ni­sa­to­ri­schen Ebe­nen steht und fällt, beschäf­tigt die Daten­schutz­ex­per­ten weltweit. 

Fach­leu­te wie die des EU-Aus­schus­ses und der Daten­schutz­be­hör­de Schles­wig-Hol­stein sehen den Erfolg die­ses kon­kre­ten Pro­jekts auch ins­be­son­de­re vom Ver­trau­en des Anwen­ders in die pro­fes­sio­nel­le Ver­ar­bei­tung sei­ner Daten abhängig 

Oft wird in die­sem Kon­text aus­drück­lich dar­auf hin­ge­wie­sen, dass der Daten­schutz weder der Pan­de­mie­be­kämp­fung noch der For­schung im Wege steht.