© 2020 Deutscher Bundestag WD 8 - 3000 - 025/20 Technische und informationstechnische Aspekte zum Tracking bzw. Tracing von Kontaktpersonen im Rahmen der Epidemie-Eindämmung Sachstand Wissenschaftliche Dienste Die Wissenschaftlichen Dienste des Deutschen Bundestages unterstützen die Mitglieder des Deutschen Bundestages bei ihrer mandatsbezogenen Tätigkeit. Ihre Arbeiten geben nicht die Auffassung des Deutschen Bundestages, eines seiner Organe oder der Bundestagsverwaltung wieder. Vielmehr liegen sie in der fachlichen Verantwortung der Verfasserinnen und Verfasser sowie der Fachbereichsleitung. Arbeiten der Wissenschaftlichen Dienste geben nur den zum Zeitpunkt der Erstellung des Textes aktuellen Stand wieder und stellen eine individuelle Auftragsarbeit für einen Abgeordneten des Bundestages dar. Die Arbeiten können der Geheimschutzordnung des Bundestages unterliegende, geschützte oder andere nicht zur Veröffentlichung geeignete Informationen enthalten. Eine beabsichtigte Weitergabe oder Veröffentlichung ist vorab dem jeweiligen Fachbereich anzuzeigen und nur mit Angabe der Quelle zulässig. Der Fachbereich berät über die dabei zu berücksichtigenden Fragen. Wissenschaftliche Dienste Sachstand WD 8 - 3000 - 025/20 Seite 2 Technische und informationstechnische Aspekte zum Tracking bzw. Tracing von Kontaktpersonen im Rahmen der Epidemie-Eindämmung Aktenzeichen: WD 8 - 3000 - 025/20 Abschluss der Arbeit: 20. April 2020 Fachbereich: WD 8: Umwelt, Naturschutz, Reaktorsicherheit, Bildung und Forschung Wissenschaftliche Dienste Sachstand WD 8 - 3000 - 025/20 Seite 3 Inhaltsverzeichnis 1. Einleitung 4 2. Tracing-App am Beispiel der PEPP-PT-Empfehlungen 5 3. Technische Aspekte des Bluetooth-Technik 7 4. Sicherheitsaspekte der Bluetooth-Technik 8 5. Mögliche Funktionsweise einer nationalen Tracing-App 10 6. Fazit 12 7. Quellenverzeichnis 14 Wissenschaftliche Dienste Sachstand WD 8 - 3000 - 025/20 Seite 4 1. Einleitung Tracking- bzw. Tracing1-Apps sollen helfen, neue Infektionsherde frühzeitig einzudämmen. Mit Hilfe dieser Apps soll sich die Zahl der Neuinfektionen mit z.B. dem Coronavirus schneller zurückverfolgen und damit die Infektionskette schneller unterbrechen lassen. Für die Umsetzung gibt es verschiedene Ansätze und Methoden2. Die aktuell diskutierten Methoden basieren auf zwei technische Lösungen zur drahtlosen Kommunikation: Die Apps verwenden das Geo-Tracking mit Hilfe des Satellitennavigationssystems GPS (Global Positioning System) oder den Kurzstreckenfunk Bluetooth3. Beide Lösungen haben Vor- und Nachteile. Je nachdem welche Daten erfasst, verarbeitet und weitergegeben werden, müssen bei beiden datenschutzrechtliche Anforderungen beachtet werden. Mit Hilfe des GPS können Nutzer weltweit ihre eigene Position mit Hilfe von Satelliten bestimmen . Das GPS-System wird vom US-Verteidigungsministerium betrieben. Nachdem die künstliche Verschlechterung abgeschaltet wurde, ist eine Ortungsgenauigkeit von unter 10 m erreichbar. „Der ungestörte GPS-Empfang [ist aber nicht immer möglich]. Gebäude, Bäume und der natürlichen Geländeverlauf können das Signal abschatten oder auch reflektieren.“4 Durch eine Aufzeichnung der Positionsänderungen eines Nutzers kann beispielsweise sein Bewegungsprofil erstellt werden. Kritiker meinen auch, dass die Genauigkeit des GPS nicht ausreichend und der Empfang nicht immer gegeben wäre.5 1 Tracking und Tracing sind u.a. Begriffe aus der Logistik. „Tracking & Tracing“ ist ein System zur Sendungsverfolgung . Tracking bezeichnet die Ermittlung des aktuellen Status (Zustand, Ort) und Tracing die Rückverfolgung bzw. die genaue Kenntnis des Sendungsverlaufs. Tracking bezieht sich eher auf die Speicherung der einzelnen Koordinatendaten im Kontaktverlauf; wie bei der Speicherung der Route (Tracks) bei Outdoor-Aktivitäten. Tracing würde eher die Rückverfolgbarkeit des Kontaktverlaufs bezeichnen. Die Begriffe werden im Rahmen der Diskussion zur „Corona-App“ teilweise synonym verwendet. CIM GmbH (2020). „Logistiklexikon“, https://www.cim.de/logistiklexikon-deutsch/t/tracking-tracing Fraunhofer IML (2020). „Tracking & Tracing“, https://www.iml.fraunhofer.de/de/abteilungen/b1/verpackungs _und_handelslogistik/autoid/DL_AutoID/tracking_tracing.html 2 Es gibt grundsätzlich drei Möglichkeiten der Ortung von Objekten: Ortung mit GSM (Zellortung, Handyortung), Satellitenortung (GPS, Galileo, GLONASS) und Nahfeldortung (WLAN, Bluetooth, Peilung). 3 Bei der Bluetooth-Technologie tauschen die Geräte Informationen zum gegenseitigen Kontakt aus. Dies erfolgt nach einem sogenannten „Handshake“, der von der Bluetooth-Software durchgeführt wird. S.a. Kapitel „Bluetooth “. 4 Conrad (2020). „GPS » Global Positioning System, Satellitennavigation erklärt“, https://www.conrad.de/de/ratgeber /technik-einfach-erklaert/gps.html, verfügbar am 6. April 2020 5 Frankfurter Allgemeine Zeitung (FAZ) (2020). „Die Arbeit an der Corona-App geht voran“, Nr. 81 vom 4. April 2020, Seite 23, https://www.faz.net/aktuell/wirtschaft/die-arbeit-an-der-corona-app-geht-voran-16710878.html Wissenschaftliche Dienste Sachstand WD 8 - 3000 - 025/20 Seite 5 Ein Tracking mit Hilfe von Funkzellen (GSM-Zellortung) ist aufgrund der zu geringen Genauigkeit keine sinnvolle Lösung. Typische Funkzellengrößen für UMTS- oder LTE-Funkzellen reichen von bis einige hundert Meter bis zehn oder 20 Kilometer.6 „Je kleiner eine Funkzelle, umso größer ist die Genauigkeit der Positionierung. Es können Werte von bis zu 50 m erreicht werden .“7 Das wäre für ein Tracking im Rahmen der Epidemie-Eindämmung, in der Auflösungen bis zu zwei Meter diskutiert werden, nicht zielführend. Kritiker der Bluetooth-Technik geben Schwachstellen in der Sicherheit zu bedenken, denn das Bluetooth-Verfahren war ursprünglich nicht für die Übertragung von sensiblen Daten über größere Entfernungen gedacht, sondern für den Austausch in einem persönlichen Netzwerk zwischen den eigenen Geräten des Nutzers innerhalb einer Reichweite von ursprünglich 5 bis 10 Metern .8 Von allen drei Ortungsmethoden liefert Bluetooth aber als einzige eine ausreichende Auflösung für das Tracking zur Eindämmung im Rahmen von Epidemien. Die vorliegende Arbeit befasst sich mit den funktionalen, technischen und sicherheitsrelevanten Aspekten einer Tracking- bzw. Tracing-App. 2. Tracing-App am Beispiel der PEPP-PT-Empfehlungen Die internationale Forscherinitiative „Pan-European Privacy-Preserving Proximity Tracing“ (PEPP-PT) hat für Europa die technischen Grundlagen für ein Tracing-System erarbeitet und Codes für die Softwareentwicklung zur Verfügung gestellt. An der deutschen App arbeiten zurzeit u.a. das Robert-Koch-Institut (RKI) und das Heinrich-Hertz-Institut (HHI).9 Die App soll ermöglichen , epidemisch relevante Kontakte von Infizierten zu sammeln und nachverfolgen zu können. „Dieses pan-europäisches System soll eine anonyme, länderübergreifende Ermittlung von Infektionsrisiken per Smartphone ermöglichen und zugleich die Privatsphäre schützen.“10 6 IP-insider (2019). „Was ist eine Funkzelle?“, https://www.ip-insider.de/was-ist-eine-funkzelle-a-830725/ 7 ubinam track&act GmbH, Tracking Live (2019). „Häufige Fragen“, https://www.tracking-live.com/de/faq#1 8 Eckert, C. (2012). „IT-Sicherheit“, Kapitel 14.5., Seite 921 ff, Bluetooth, Oldenbourg Verlag München 9 Frankfurter Allgemeine Zeitung (FAZ) (2020). „Die Arbeit an der Corona-App geht voran“, Nr. 81 vom 4. April 2020, Seite 23, https://www.faz.net/aktuell/wirtschaft/die-arbeit-an-der-corona-app-geht-voran-16710878.html 10 Schulzki-Haddouti, Ch., heise online (2020). „Heinrich-Hertz-Institut: Europäische Corona-Tracking-App in Entwicklung“, https://www.heise.de/newsticker/meldung/Heinrich-Hertz-Institut-Europaeische-Corona-Tracking -App-in-Entwicklung-4694736.html Schaar, P., heise online (2020). „Peter Schaar - Mit heißer Nadel gegen das Virus“, https://www.heise.de/newsticker /meldung/Peter-Schaar-Mit-heisser-Nadel-gegen-das-Virus-4693535.html Deutsche Welle (dw) (2020). „Die Suche nach der Corona-App“, https://www.dw.com/de/die-suche-nach-dercorona -app/a-52998288 Wissenschaftliche Dienste Sachstand WD 8 - 3000 - 025/20 Seite 6 Die technische Umsetzung der Tracing-App soll mit Hilfe der Bluetooth-Low-Energy-Technologie 11 durchgeführt werden. Es scheint aber, dass noch viele Detailfragen zu klären wären. „Offenbar wird jedem Nutzer eine Identifikationsnummer [ID] zugewiesen, die per Bluetooth an andere Smartphones übermittelt werden soll, auf denen die App installiert ist. Während GPS-Daten keine exakte Bestimmung der Nähe von Personen zulassen, die sich in einem Hochhaus in unterschiedlichen Stockwerken aufhalten, erfasst eine Bluetooth-Lösung nur Personen, die sich in der unmittelbaren Umgebung aufhalten. Allerdings setzt sie voraus, dass die Bluetooth-Funktion im Gerät aktiviert ist.“12 Mit Bluetooth misst die App auch den Abstand von Personen, die sich begegnen. Allerdings ist die Abstandsmessung mit Bluetooth, zumindest mit älteren Versionen, nicht sehr genau. Auch hängt die Signalstärke vom Mobiltelefon bzw. vom Hersteller ab. Der vom System bestimmte Abstand ist entscheidend dafür, ob eine Warnung, die eine Kontaktperson erhält, auch wirklich berechtigt ist.13 „Die Identifikationsnummer soll keiner Person zugeordnet werden können. RKI-Präsident Lothar Wieler hatte am Dienstag erklärt, dass keine ‚Ort-Zeit-Messung‘ möglich sein soll. Das PEPP-PT- System kann als Kontaktverfolgungsfunktion in nationale Corona-Handy-Apps eingebunden werden . Außerdem ermöglicht es die Integration in die Prozesse der nationalen Gesundheitsdienste. Beispielsweise könnte ein Arzt die Weitergabe der App-Daten an das Robert-Koch-Institut freischalten .“14 Das Procedere soll wie folgt ablaufen: Personen, die die Diagnose erhalten, infiziert zu sein, können die Information mit Hilfe einer Tan-Nummer in der App angeben. Dann erst werden die Werte aller Kontaktpersonen bzw. die Liste aller Kontakte auf einen gesicherten Server geladen, auf den das Robert-Koch-Institut Zugriff hat. Die App warnt die Kontaktpersonen per Push-up- Nachricht und fordert diese auf, sich testen zu lassen. „Auch auf dem Server bleiben die Daten anonymisiert. Wer eine Warnung per App erhält, erfährt nur, dass er sich in der Nähe einer infizierten Person aufgehalten hat, aber nicht, wie diese Person heißt oder wo sie wohnt. Das ist der 11 Köver, Chris, Netzpolitik.org (2020). „Diese Handy-Technologie soll Covid-19 ausbremsen“, https://netzpolitik .org/2020/diese-handy-technologie-soll-covid-19-ausbremsen/ 12 Schulzki-Haddouti, Ch., heise online (2020). „Heinrich-Hertz-Institut: Europäische Corona-Tracking-App in Entwicklung“, https://www.heise.de/newsticker/meldung/Heinrich-Hertz-Institut-Europaeische-Corona-Tracking -App-in-Entwicklung-4694736.html 13 FAZ-Sonntagszeitung (2020). „Mit Technik gegen die Seuche“, vom 5. April 2020, Seite 3 Mit der neuen Version 5.1 der Bluetooth-Core-Spezifikation soll eine zentimetergenaue Positionsbestimmung möglich sein. Aus: Markt&Technik (2019). „Einfach Bluetooth 5.1 nutzen!“, https://www.elektroniknet .de/markt-technik/industrie-40-iot/einfach-bluetooth-5-1-nutzen-166247.html 14 Schulzki-Haddouti, Ch., heise online (2020). „Heinrich-Hertz-Institut: Europäische Corona-Tracking-App in Entwicklung“, https://www.heise.de/newsticker/meldung/Heinrich-Hertz-Institut-Europaeische-Corona-Tracking -App-in-Entwicklung-4694736.html Wissenschaftliche Dienste Sachstand WD 8 - 3000 - 025/20 Seite 7 fundamentale Unterschied zu den Apps aus Asien, die gleichzeitig auch den Standort eines Nutzers aufzeichnen und das ganze Datenpaket an staatliche Stellen funken.“15 „Auch bei Reisen zwischen Ländern soll ein anonymer, länderübergreifender Austauschmechanismus verwendet werden. ‚Dabei werden keine persönlichen Daten, kein Standort, keine MAC- Adresse der Nutzerin oder des Nutzers gespeichert oder übertragen‘, betont das Heinrich-Hertz- Institut in einer ersten Stellungnahme. Entsprechend werden keine Funkzellen-, GPS- oder WLAN-Daten erfasst.“16 3. Technische Aspekte des Bluetooth-Technik Die technischen Grundlagen der Sicherheitsarchitektur von Bluetooth sprengen den Rahmen dieser Arbeit, sind aber in folgender Fachliteratur ausführlich beschrieben.17 Der technische Ratgeber des Onlineanbieters „Conrad Electronic“ erklärt die technischen Grundlagen des Kommunikationsstandards: „Bluetooth ist ein Funkstandard, um auf kurze Distanzen Daten, Musik, Videos oder Bilder zu übertragen. Somit können zwei gekoppelte Geräte miteinander kommunizieren, ohne dass zwischen ihnen eine Kabelverbindung besteht. […] Um z.B. mit zwei Bluetooth-fähigen Smartphones eine drahtlose Verbindung aufbauen zu können, muss zunächst an beiden Handys unter dem Menü ‚Einstellungen‘ die Bluetooth- Funktion aktiviert werden. Damit die Smartphones sich gegenseitig erkennen, muss bei beiden Handys die Sichtbarkeit für andere Bluetooth-Geräte eingeschaltet sein. Wenn der gewünschte Teilnehmer in der Liste der sichtbaren Geräte erscheint, kann die Kopplung (Pairing) von einem der beiden Geräte durchgeführt werden. 15 Frankfurter Allgemeine Zeitung (FAZ) (2020). „Wenn das Handy zum Corona-Schutz wird“, Nr. 80 vom 3. April 2020, Seite 22, http://prarchiv.bundestag.btg/PressDok/docview.html;sessionid =A2DF4B03B8E535B54330AC92?mode=pressarchive&doclist=DBT:PressArchiveResultServlet:result_doclist &n=0&pdf=0 FAZ-Sonntagszeitung (2020). „Mit Technik gegen die Seuche“, vom 5. April 2020, Seite 3 16 Schulzki-Haddouti, Ch., heise online (2020). „Heinrich-Hertz-Institut: Europäische Corona-Tracking-App in Entwicklung“, https://www.heise.de/newsticker/meldung/Heinrich-Hertz-Institut-Europaeische-Corona-Tracking -App-in-Entwicklung-4694736.html 17 Eckert, C. (2012). „IT-Sicherheit“, Kapitel 14.5.2 Seite 925 ff, Bluetooth, Oldenbourg Verlag München Wissenschaftliche Dienste Sachstand WD 8 - 3000 - 025/20 Seite 8 Dabei wird zunächst ein Sicherheitscode ausgetauscht, der entweder nur bestätigt oder eingegeben werden muss. Anschließend startet der Pairing-Vorgang. Nach erfolgter Kopplung können z.B. Bilder, Musik oder Videos von einem Telefon zum anderen übertragen werden.“18 Es gibt verschiedene Bluetooth-Versionen, die unterschiedliche Reichweiten, Auflösung und Datenraten besitzen.19 4. Sicherheitsaspekte der Bluetooth-Technik Um die IT-Sicherheit der Anwendung zu gewährleisten, ist Voraussetzung, dass die verwendeten Geräte ausreichend gesichert sind. Insbesondere sollten die Betreiber der Betriebssysteme, wie Google (Android) bzw. Apple (iOS), aktuelle Patches zur Verfügung stellen, um mögliche bekannte Sicherheitslücken schnellstmöglich zu schließen. Die Nutzer sind ihrerseits gefordert, ihre Geräte mit entsprechenden Schutzmechanismen, wie Viren- bzw. Zugangsschutz, zu versehen .20 Die Betreiber Apple und Google21 stellten vor kurzem gemeinsam eine Technik zur Kontaktverfolgung vor, „die in den kommenden Monaten zudem auf Betriebssystemebene in iOS und Android integriert werden soll, so dass Nutzer dafür nicht erst eine App herunterladen müssen .“22 Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schreibt zur grundlegenden Angreifbarkeit dieses Kommunikationsweges: „Mobile Endgeräte wie Notebooks, Smartphones, Tablets oder PDAs sind größtenteils darauf ausgelegt, einfach Daten mit anderen IT-Systemen austauschen zu können. Dies kann über ein Verbindungskabel oder auch drahtlos erfolgen, z.B. über WLAN, Bluetooth oder eine Mobilfunkverbindung. Wenn auf Reisen im Ausland ein offener Zugang zu IT-Systemen möglich ist, können Angreifer unter Umständen Informationen von mobilen Endgeräten unauffällig abfragen oder verändern. Eine nachträgliche Überprüfung oder gar ein 18 Conrad (2020). „Bluetooth“, https://www.conrad.de/de/ratgeber/technik-einfach-erklaert/bluetooth.html, verfügbar am 6. April 2020 Eine tiefer gehende Beschreibung des Standards findet sich in: Eckert, C. (2012). „IT-Sicherheit“, Kapitel 14.5. Seite 921 ff, Bluetooth, Oldenbourg Verlag München 19 Markt&Technik (2019). „Einfach Bluetooth 5.1 nutzen!“, https://www.elektroniknet.de/markt-technik/industrie- 40-iot/einfach-bluetooth-5-1-nutzen-166247.html 20 Bundesamt für Sicherheit in der Informationstechnik (BSI) (2017). „Bluetooth-Schwachstellen - BSI empfiehlt Update oder Abschaltung“, https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2017/Bluetooth _Blueborn_13092017.html Chaos Computer Club (CCC) (2020). „10 Prüfsteine für die Beurteilung von „Contact Tracing“-Apps“, https://www.ccc.de/de/updates/2020/contact-tracing-requirements 21 Apple, Google (2020). „Privacy-Preserving Contact Tracing“, https://www.apple.com/covid19/contacttracing 22 Becker, L., heise online (2020). „Coronavirus: Kontaktverfolgung wird Teil von Android und iOS“, https://www.heise.de/newsticker/meldung/Coronavirus-Kontaktverfolgung-wird-Teil-von-Android-und-iOS- 4702166.html Wissenschaftliche Dienste Sachstand WD 8 - 3000 - 025/20 Seite 9 Nachweis sind nicht immer möglich, da häufig die Zugriffe nicht entsprechend protokolliert werden .“23 „Eingebettete Systeme24 sind oft hinsichtlich Codegröße, Zeitverhalten, Energieverbrauch, Kosten sowie Größe und Gewicht eingeschränkt. Sie sind daher häufig nicht mit ausreichenden Sicherheitsfunktionen , wie z. B. starker Kryptografie, ausgestattet.25 Allerdings sind moderne eingebettete Systeme zunehmend durch weitverbreitete Techniken und Protokolle vernetzt und somit potenziell angreifbar. Angreifer könnten versuchen, Daten oder Software auf einem eingebetteten System zu manipulieren, indem sie die standardmäßig vorgesehenen Kommunikationsschnittstellen und -protokolle für ihre Zwecke missbrauchen. Sind z. B. die IP-Kommunikation oder Ethernet-, WLAN-, Bluetooth- und Mobil- bzw. Digitalfunk-Schnittstellen nicht ausreichend gesichert , kann ein Angreifer Verbindungen übernehmen, Nachrichten fälschen oder in ein System eindringen und Folgeangriffe durchführen. Weiterhin kann ein Angreifer auch versuchen, mittels anderer verfügbarer Kommunikationsschnittstellen, z. B. USB-Ports, in das System einzudringen .“26 Das Bundesamt empfiehlt: „Drahtlose Schnittstellen von Mobiltelefonen, wie IrDA, WLAN oder Bluetooth sollten deaktiviert werden, solange sie nicht benötigt werden.“27 Das BSI hat in seinem 23 Bundesamt für Sicherheit in der Informationstechnik (BSI) (2020). „IT-Grundschutz Kompendium“, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/IT_Grundschutz_Kompendium _Edition2020.pdf?__blob=publicationFile&v=6, Kapitel 3 „Anforderungen“, Seite 4 24 Ein eingebettetes System (englisch embedded system) ist ein Computersystem, das in ein umgebendes technisches System integriert ist und mit diesem in Wechselwirkung steht. Das technische System übernimmt dabei meistens u.a. Funktionen der Überwachung, Steuerung oder Daten- bzw. Signalverarbeitung. Siemers, Ch., Embedded-Software Engineering (2017). „Was ist ein Embedded System?“, https://www.embedded -software-engineering.de/was-ist-ein-embedded-system-a-665424/ 25 Dies bezieht sich auf Bluetooth-Geräte, wie beispielsweise sogenannte Bluetooth-Beacons. Adarsh, M., Beaconstac (2019). „BLE beacon technology made simple: A complete guide to Bluetooth Low Energy Beacons“, https://blog.beaconstac.com/2018/08/ble-made-simple-a-complete-guide-to-ble-bluetoothbeacons / RYTE Wiki (2019). „Beacon“, https://de.ryte.com/wiki/Beacon 26 Bundesamt für Sicherheit in der Informationstechnik (BSI) (2020). „IT-Grundschutz Kompendium“, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/IT_Grundschutz_Kompendium _Edition2020.pdf?__blob=publicationFile&v=6, Seite 607 27 SYS.3.3. A8 Nutzung drahtloser Schnittstellen von Mobiltelefonen. Aus: Bundesamt für Sicherheit in der Informationstechnik (BSI) (2020). „IT-Grundschutz Kompendium“, https://www.bsi.bund.de/SharedDocs/Downloads /DE/BSI/Grundschutz/Kompendium/IT_Grundschutz_Kompendium_Edition2020.pdf?__blob=publication- File&v=6, Kapitel 2 „Gefährdungslage“, Seite 3 Wissenschaftliche Dienste Sachstand WD 8 - 3000 - 025/20 Seite 10 IT-Grundschutzkatalog im Baustein 4.8 „Bluetooth“ ausführlich einen systematischen Weg aufgezeigt , wie Bluetooth-fähige Endgeräte sicher verwendet werden können. Dabei wurden neben der Gefährdungslage auch Maßnahmenempfehlungen beschrieben.28 Die Sorge vor Hacking durch Bluetooth ist, so die Meinung von Experten, nicht unbegründet. Insbesondere auf älteren Android-Geräten kann es möglicherweise ungepatchte Angriffsstellen geben . Dabei wäre es Aufgabe der Hersteller bzw. Betreiber der Betriebssysteme und App-Stores, diese Sicherheitslöcher zu schließen und nicht die der Entwickler der Tracking-Apps.29 Der Chaos Computer Club (CCC) hat in diesem Zusammenhang zehn Prüfsteine für die Beurteilung von „Contact Tracing“-Apps aus technischer und gesellschaftspolitischer Perspektive veröffentlicht . Neben der Sicherstellung der Privatsphäre soll auch eine Diskriminierung ausgeschlossen und Transparenz und Prüfbarkeit gewährleistet sein.30 Mit der Veröffentlichung des Quellcodes der App bzw. des gesamten Tracing-Systems kann nachverfolgt werden kann, welche Daten wie erhoben, gespeichert und ausgewertet werden. 5. Mögliche Funktionsweise einer nationalen Tracing-App Die Diskussion zur Umsetzung einer nationalen Tracing-App findet auf Basis des PEPP-PT-Entwurfs statt und enthält schon sehr detaillierte Aspekte: Ist die App auf den Smartphones installiert und die Bluetooth-Kommunikation auf den Smartphones eingeschaltet, kann ein Smartphone einen Code, ein Signal, senden, den ein anderes Smartphone empfängt. Die Signalstärke des eintreffenden Signals wird gemessen. Da die Signalstärke mit dem Abstand von Sender und Empfänger abnimmt, kann der Abstand zwischen beiden geschätzt werden. Es ist nur eine Schätzung, weil eine Messung der Signalstärke gestört werden kann. Beispielsweise kann sich ein „Medium“ zwischen Sender und Empfänger befinden und das gesendete Funksignal in unterschiedlicher Qualität abschirmen. Deshalb könnte eine 28 Bundesamt für Sicherheit in der Informationstechnik (BSI) (2016). „IT-Grundschutzkataloge“, B 4.8 Bluetooth, Seite 347f, https://download.gsb.bund.de/BSI/ITGSK/IT-Grundschutz-Kataloge_2016_EL15_DE.pdf kk Bundesamt für Sicherheit in der Informationstechnik (BSI) (2009). „Drahtlose Kommunikationssysteme und ihre Sicherheitsaspekte“, Abschnitt B „Bluetooth“, https://www.bsi.bund.de/SharedDocs/Downloads /DE/BSI/Publikationen/Broschueren/Drahtlose-Komsysteme.pdf;jsessionid =6CAC71D115E84EC6898549FFEBE5B438.2_cid341?__blob=publicationFile&v=2 29 Wittenhorst, T., heise online (2020). „Justizministerin: Kontaktverfolgungs-App nur auf freiwilliger Basis“, https://www.heise.de/newsticker/meldung/Justizministerin-Kontaktverfolgungs-App-nur-auf-freiwilliger-Basis- 4701669.html Becker, L., heise online (2020). Coronavirus: Kontaktverfolgung wird Teil von Android und iOS“, https://www.heise.de/newsticker/meldung/Coronavirus-Kontaktverfolgung-wird-Teil-von-Android-und-iOS- 4702166.html 30 Chaos Computer Club (CCC) (2020). „10 Prüfsteine für die Beurteilung von „Contact Tracing“-Apps“, https://www.ccc.de/de/updates/2020/contact-tracing-requirements Wissenschaftliche Dienste Sachstand WD 8 - 3000 - 025/20 Seite 11 App auch erkennen, ob sich beispielsweise Wände zwischen Kontaktpersonen wie in Mietshäusern befinden.31 Kriterien für die Speicherung der Messung sollen ein Abstand von bis zu zwei Metern bei einer zeitlichen Länge des Kontakts von etwa 15 Minuten sein. Verschlüsselt gespeichert werden die Kontakte der Geräte, die sich in der Nähe befinden, aber nicht die Länge des Kontakts. Die Daten werden zunächst auf den Geräten gespeichert. Daten, wie die Uhrzeit des Kontakts und der Ort könnten gelöscht werden. Die Entwickler diskutieren derzeit inwieweit eine Anonymität oder eine starke Pseudonymität gewährleistet werden kann. Dabei soll beiden Kontakten - und ebenso Dritten - so wenig wie möglich über die Identität und das Kontaktnetzwerk von Sender und Empfänger bekannt werden. „Nach dem Konzept des paneuropäischen PEPP-PT würden die Daten nach 21 Tagen automatisch gelöscht.“32 Die ID des Senders soll sich regelmäßig ändern, um ein mögliches Aufnehmen eines Tracking- Profils zu verhindern. Wie diese IDs generiert werden, zufällig oder pseudo-zufällig, ist nicht ganz geklärt. Zur Auswertung der Kontaktdaten sind wahrscheinlich zwei verschiedene Datensätze nötig; der des Infizierten und der des möglicherweise Infizierten. Die Entwickler arbeiten noch an der Art der Zusammenführung der Daten, wie beispielsweise die Verwendung eines zentralen Servers.33 Ebenso ist die Frage offen, auf welchem Weg die möglicherweise infizierte Kontaktperson von der Begegnung mit dem Infizierten informiert wird. Eine Lösung wäre, dass der infizierte Nutzer alle Kontakte sendet, mit denen er als infizierter Kontakt hatte. Eine andere Variante wäre, dass 31 Wittenhorst, T., heise online (2020). „Justizministerin: Kontaktverfolgungs-App nur auf freiwilliger Basis“, https://www.heise.de/newsticker/meldung/Justizministerin-Kontaktverfolgungs-App-nur-auf-freiwilliger-Basis- 4701669.html Laaf, M., Zeit online (2020). „Wann kommt die App, die hilft“, https://www.zeit.de/digital/datenschutz/2020- 04/corona-app-tracking-handydaten-bluetooth-datenschutz#kommt-jetzt-auch-eine-tracing-app 32 Laaf, M., Zeit online (2020). „Wann kommt die App, die hilft“, https://www.zeit.de/digital/datenschutz/2020- 04/corona-app-tracking-handydaten-bluetooth-datenschutz#kommt-jetzt-auch-eine-tracing-app Wittenhorst, T., heise online (2020). „Justizministerin: Kontaktverfolgungs-App nur auf freiwilliger Basis“, https://www.heise.de/newsticker/meldung/Justizministerin-Kontaktverfolgungs-App-nur-auf-freiwilliger-Basis- 4701669.html Becker, L., heise online (2020). Coronavirus: Kontaktverfolgung wird Teil von Android und iOS“, https://www.heise.de/newsticker/meldung/Coronavirus-Kontaktverfolgung-wird-Teil-von-Android-und-iOS- 4702166.html 33 Netzpolitik.org (2020). „Corona-Tracking & Datenschutz: kein notwendiger Widerspruch“, https://netzpolitik .org/2020/corona-tracking-datenschutz-kein-notwendiger-widerspruch/ Wittenhorst, T., heise online (2020). „Justizministerin: Kontaktverfolgungs-App nur auf freiwilliger Basis“, https://www.heise.de/newsticker/meldung/Justizministerin-Kontaktverfolgungs-App-nur-auf-freiwilliger-Basis- 4701669.html Wissenschaftliche Dienste Sachstand WD 8 - 3000 - 025/20 Seite 12 der Nutzer Kontakte von Infizierten, mit denen er über einen definierten Zeitraum in Kontakt war, erhält.34 Bei der Alarmierung der Kontaktpersonen müsste auch berücksichtigt werden, dass kein Missbrauch möglich ist. Zum Beispiel, dass sich Nutzer selbst für ein paar Tage in Quarantäne oder ungeliebte Kollegen ins Homeoffice schicken. Eine unabhängige Instanz sollte daher, autorisiert und signiert, Warnungen aussprechen können. Entsprechende Prozesse, die einen Austausch von Kommunikation auf zertifizierter/signierter Basis zwischen Nutzern und Gesundheitsämtern bzw. Ärzten ermöglichen, wären möglicherweise zu implementieren.35 Mindestanforderungen an eine Corona-Tracking-App hinsichtlich der Zweckgebundenheit und der Datenschutz bzw. sicherheitstechnischen Aspekte hat die Organisation „Reporter ohne Grenzen “ (RSF) zusammengestellt. Die Organisation fordert u.a. die Entwicklung und Pflege der Anwendung als Open-Source-Software, die Transparenz der Daten und den Ausschluss der Möglichkeit , die App zur Kontrolle oder Überprüfung von Ausgangs- und Kontaktbeschränkungen zu verwenden.36 6. Fazit Entwicklung, Einführung und Betrieb einer Tracing-App haben neben technischen Fragestellungen auch Aspekte des Datenschutzes und der Mitarbeit der Bürger zu berücksichtigen. Trotz des zeitlichen Drucks, die App einzuführen, sollten grundlegende Sicherheitsaspekte verlässlich funktionieren, damit es nach Lockerung der Maßnahmen aufgrund der Einführung der App nicht zu einer Ablehnung durch den Nutzer oder einem erneuten Lockdown kommen kann. Mit Offenlegung des Quellcodes wäre die Funktionsweise der Tracing-App transparent und die Einhaltung der Vorgaben zum Datenschutz und zur IT-Sicherheit überprüfbar. Hinzu kommt die Notwendigkeit der Überprüfbarkeit der Betriebssysteme hinsichtlich der Datenspeicherung und Verarbeitung im Rahmen des Corona-Tracings. 34 Wittenhorst, T., heise online (2020). „Justizministerin: Kontaktverfolgungs-App nur auf freiwilliger Basis“, https://www.heise.de/newsticker/meldung/Justizministerin-Kontaktverfolgungs-App-nur-auf-freiwilliger-Basis- 4701669.html 35 Wittenhorst, T., heise online (2020). „Justizministerin: Kontaktverfolgungs-App nur auf freiwilliger Basis“, https://www.heise.de/newsticker/meldung/Justizministerin-Kontaktverfolgungs-App-nur-auf-freiwilliger-Basis- 4701669.html Becker, L., heise online (2020). Coronavirus: Kontaktverfolgung wird Teil von Android und iOS“, https://www.heise.de/newsticker/meldung/Coronavirus-Kontaktverfolgung-wird-Teil-von-Android-und-iOS- 4702166.html 36 Reporter ohne Grenzen (RSF) (2020). „Anonymität und Quellenschutz gewährleisten“, https://www.reporterohne -grenzen.de/pressemitteilungen/meldung/anonymitaet-und-quellenschutz-gewaehrleisten/ Wissenschaftliche Dienste Sachstand WD 8 - 3000 - 025/20 Seite 13 Erfolg und Nichterfolg einer freiwilligen Tracing-App hängen nicht nur von der technischen Ausgestaltung , sondern auch von der verantwortungsvollen Nutzung einer ausreichenden Zahl von Nutzern und von verschiedenen Nutzertypen ab.37 *** 37 Brink, S., Henning, C., Netzpolitik.org (2020). „Warum freiwilliges Handy-Tracking nicht funktioniert“, https://netzpolitik.org/2020/warum-freiwilliges-handy-tracking-nicht-funktioniert/ Wissenschaftliche Dienste Sachstand WD 8 - 3000 - 025/20 Seite 14 7. Quellenverzeichnis Adarsh, M., Beaconstac (2019). „BLE beacon technology made simple: A complete guide to Bluetooth Low Energy Beacons“, https://blog.beaconstac.com/2018/08/ble-made-simple-a-completeguide -to-ble-bluetooth-beacons/ Apple, Google (2020). „Privacy-Preserving Contact Tracing“, https://www.apple.com/covid 19/contacttracing Becker, L., heise online (2020). „Coronavirus: Kontaktverfolgung wird Teil von Android und iOS“, https://www.heise.de/newsticker/meldung/Coronavirus-Kontaktverfolgung-wird-Teil-von- Android-und-iOS-4702166.html Becker, L., heise online (2020). Coronavirus: Kontaktverfolgung wird Teil von Android und iOS“, https://www.heise.de/newsticker/meldung/Coronavirus-Kontaktverfolgung-wird-Teil-von-Android -und-iOS-4702166.html Brink, S., Henning, C., Netzpolitik.org (2020). „Warum freiwilliges Handy-Tracking nicht funktioniert “, https://netzpolitik.org/2020/warum-freiwilliges-handy-tracking-nicht-funktioniert/ Bundesamt für Sicherheit in der Informationstechnik (BSI) (2009). „Drahtlose Kommunikationssysteme und ihre Sicherheitsaspekte“, Abschnitt B „Bluetooth“, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Drahtlose- Komsysteme.pdf;jsessionid=6CAC71D115E84EC6898549FFEBE5B438.2_cid341?__blob=publication File&v=2 Bundesamt für Sicherheit in der Informationstechnik (BSI) (2016). „IT-Grundschutzkataloge“, B 4.8 Bluetooth, Seite 347f, https://download.gsb.bund.de/BSI/ITGSK/IT-Grundschutz-Kataloge _2016_EL15_DE.pdf Bundesamt für Sicherheit in der Informationstechnik (BSI) (2017). „Bluetooth-Schwachstellen - BSI empfiehlt Update oder Abschaltung“, https://www.bsi.bund.de/DE/Presse/Pressemitteilungen /Presse2017/Bluetooth_Blueborn_13092017.html Bundesamt für Sicherheit in der Informationstechnik (BSI) (2020). „IT-Grundschutz Kompendium “, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium /IT_Grundschutz_Kompendium_Edition2020.pdf?__blob=publicationFile&v=6 Chaos Computer Club (CCC) (2020). „10 Prüfsteine für die Beurteilung von „Contact Tracing“- Apps“, https://www.ccc.de/de/updates/2020/contact-tracing-requirements CIM GmbH (2020). „Logistiklexikon“, https://www.cim.de/logistiklexikon-deutsch/t/trackingtracing Conrad (2020). „Bluetooth“, https://www.conrad.de/de/ratgeber/technik-einfach-erklaert/bluetooth .html, verfügbar am 6. April 2020 Conrad (2020). „GPS » Global Positioning System, Satellitennavigation erklärt“, https://www.conrad.de/de/ratgeber/technik-einfach-erklaert/gps.html, verfügbar am 6. April 2020 Wissenschaftliche Dienste Sachstand WD 8 - 3000 - 025/20 Seite 15 Deutsche Welle (DW) (2020). „Die Suche nach der Corona-App“, https://www.dw.com/de/diesuche -nach-der-corona-app/a-52998288 Eckert, C. (2012). „IT-Sicherheit“, Kapitel 14.5.2, Seite 925 ff, Bluetooth, Oldenbourg Verlag München FAZ-Sonntagszeitung (2020). „Mit Technik gegen die Seuche“, vom 5. April 2020, Seite 3 Frankfurter Allgemeine Zeitung (FAZ) (2020). „Die Arbeit an der Corona-App geht voran“, Nr. 81 vom 4. April 2020, Seite 23, https://www.faz.net/aktuell/wirtschaft/die-arbeit-an-der-corona-appgeht -voran-16710878.html Frankfurter Allgemeine Zeitung (FAZ) (2020). „Wenn das Handy zum Corona-Schutz wird“, Nr. 80 vom 3. April 2020, Seite 22, http://prarchiv.bundestag.btg/PressDok/docview.html;sessionid =A2DF4B03B8E535B54330AC92?mode=pressarchive&doclist=DBT:PressArchiveResultServlet :result_doclist&n=0&pdf=0 Fraunhofer IML (2020). „Tracking & Tracing“, https://www.iml.fraunhofer.de/de/abteilungen /b1/verpackungs_und_handelslogistik/autoid/DL_AutoID/tracking_tracing.html IP-insider (2019). „Was ist eine Funkzelle?“, https://www.ip-insider.de/was-ist-eine-funkzelle-a- 830725/ Köver, Chris, Netzpolitik.org (2020). „Diese Handy-Technologie soll Covid-19 ausbremsen“, https://netzpolitik.org/2020/diese-handy-technologie-soll-covid-19-ausbremsen/ Laaf, M., Zeit Online (2020). „Wann kommt die App, die hilft“, https://www.zeit.de/digital/datenschutz /2020-04/corona-app-tracking-handydaten-bluetooth-datenschutz#kommt-jetzt-aucheine -tracing-app Markt&Technik (2019). „Einfach Bluetooth 5.1 nutzen!“, https://www.elektroniknet.de/markttechnik /industrie-40-iot/einfach-bluetooth-5-1-nutzen-166247.html Netzpolitik (2020). „Corona-Tracking & Datenschutz: kein notwendiger Widerspruch“, https://netzpolitik.org/2020/corona-tracking-datenschutz-kein-notwendiger-widerspruch/ Reporter ohne Grenzen (RSF) (2020). „Anonymität und Quellenschutz gewährleisten“, https://www.reporter-ohne-grenzen.de/pressemitteilungen/meldung/anonymitaet-und-quellenschutz -gewaehrleisten/ RYTE Wiki (2019). „Beacon“, https://de.ryte.com/wiki/Beacon Schaar, P., heise online (2020). „Peter Schaar - Mit heißer Nadel gegen das Virus“, https://www.heise.de/newsticker/meldung/Peter-Schaar-Mit-heisser-Nadel-gegen-das-Virus- 4693535.html Schulzki-Haddouti, Ch. Heise online (2020). „Heinrich-Hertz-Institut: Europäische Corona-Tracking -App in Entwicklung“, https://www.heise.de/newsticker/meldung/Heinrich-Hertz-Institut- Europaeische-Corona-Tracking-App-in-Entwicklung-4694736.html Wissenschaftliche Dienste Sachstand WD 8 - 3000 - 025/20 Seite 16 ubinam track&act GmbH, Tracking Live (2019). „Häufige Fragen“, https://www.trackinglive .com/de/faq#1 Wittenhorst, T. heise online (2020). „Justizministerin: Kontaktverfolgungs-App nur auf freiwilliger Basis“, https://www.heise.de/newsticker/meldung/Justizministerin-Kontaktverfolgungs-Appnur -auf-freiwilliger-Basis-4701669.html