Ganz Deutschland wartet gespannt auf die von der Regierung und dem Robert-Koch-Institut (RKI) angekündigte Corona App. In der Öffentlichkeit wird bereits heiß über Sicherheit und Datenschutz der Anwendung diskutiert. Im Vorfeld der Veröffentlichung hat das RKI nun eine App zur Corona-Datenspende in Verbindung mit Fitness-Trackern auf den Markt gebracht, die in den App-Stores sofort auf Platz 1 der meistgeladenen Apps geschossen ist. Deutschlands führender App-Security Anbieter mediaTest digital aus Hannover hat sich die Android- und iOS-Versionen der App angeschaut.
Wir haben uns mit dem CEO von mediatest Digital, Sebastian Wolters, kurz über die Datenspende App ausgetauscht. Das Video gibt es hier:
Mit dem Laden des Videos akzeptieren Sie die Datenschutzerklärung von YouTube.
Mehr erfahren
Die App kann vorerst bedenkenlos genutzt werden
Die Analyse fand mit Hilfe der Testverfahren „Appscan“ (vollautomatisierte statische Analyse) und „PrePentest“ (manuelle, dynamische Prüfung durch Security-Analysten) statt. Das Ergebnis: Die App kann aus technischer Sicht bedenkenlos eingesetzt wereden. Die Verschlüsselungsmechanismen sind sauber integriert und es werden keine sensiblen Daten unverschlüsselt und außerhalb von Deutschland übertragen. Der „Man-in-the-Middle“ Angriff war dem Testlabor nur mit erheblichem Aufwand möglich, da seitens der Programmierer mit Certificate Pinning und TLS 1.3-Verschlüsselung für alle wichtigen Verbindungen der richtige Ansatz gewählt wurde.
App verwendet Psydonomisierung statt Anonymisierung
Zum Schutz der Daten wird beim ersten Start der App ein Pseudonym bestehend aus User-ID und Postleitzahl generiert, das für den Nutzer sichtbar ist. Wie aus diversen anderen Fällen bekannt ist, können solche Pseudonyme recht einfach wieder realen Personen zugeordnet werden. Daher wäre an dieser Stelle eine Anonymisierung aus Datenschutzgesichtspunkten wünschenswert. Darüber hinaus betont mediaTest digital, dass eine App, die mit solch sensiblen und vertrauenswürdigen Daten hantiert, Open Source entwickelt werden sollte, wie es diverse Apps bereits tun (z.B. Firefox oder Signal). Die Closed Source Entwicklung führt dazu, dass mit jedem Update der App ein erneuter Sicherheitstest stattfinden muss, um das Vertrauen aufrecht zu erhalten und Datenpannen auszuschließen. Hierzu empfiehlt mediaTest digital, die kürzlich vom Chaos Computer Club (CCC) in Bezug auf die Corona-Pandemie bekanntgegeben 10 Prüfsteine zur Beurteilung von „Contact Tracing“-Apps einzuhalten, was bei einer Closed Source App wie der „Corona-Datenspende“ nicht möglich ist.
In der aktuellen Version werden die Gesundheitsdaten aus den Fitness-Trackern nicht in der App verarbeitet. Dies könnte sich jedoch in zukünftigen Versionen ggfs. ohne Wissen der Nutzer ändern, was ebenfalls das notwendige erneute Testen der App bei jedem Update unterstreicht. „Da die App nicht Open-Source ist und jedes Update das Verhalten der Applikation vollumfänglich ändern kann, ist dieses Ergebnis nur als Momentaufnahme zu verstehen und kann nicht als generelle und immer gültige Aussage zum Sicherheitsniveau der App verstanden werden. Es ist denkbar, dass durch zukünftige Änderungen der App die ohnehin diskussionswürdige Pseudonymisierung aufgeweicht wird und zusätzliche eindeutige Geräte-Identifier zur genaueren Personenbestimmung ohne Wissen der Bürger mit übertragen werden“, betont Sebastian Wolters, CEO bei mediaTest digital in unserem Gespräch.
Die App ist eine Closed Source Entwicklung für Android und iOS
Dem Nutzer sollte darüber hinaus zumindest bewusst sein, dass die für die App verantwortliche Entwicklerfirma ein Berliner Startup namens „mHealth Pioneers GmbH“ ist, das sich mit seinem Produkt „Thrive“ das Verwerten von Medizin- und Gesundheitsdaten auf die Fahne geschrieben hat. „Hieraus wird deutlich, dass mit den generierten Daten durchaus auf anderen Wegen Geld verdient werden kann. Es ist zumindest fragwürdig, einen Datenverwerter mit einer hochsensiblen Datenerfassungs-App dieser Art zu beauftragen. Da es sich um eine Datenspende handelt, ist im Falle des Verkaufs der Firma unklar, was mit den erhobenen Daten passiert. Sinnvoller und transparenter für den Bürger wäre eine echte Anonymisierung der erfassten Daten und die Veröffentlichung mittels OpenData“ gibt Wolters zu Bedenken. Des Weiteren ist anzumerken, dass die Analyse von mediaTest digital sich auf das Datensendungsverhalten der App beschränkt, so dass keine Rückschlüsse auf die Sicherheit und Lokalisation der involvierten Server seitens der Fitness-Tracker wie Fitbit & Co gezogen werden können.
