Experten des Security Labs von Amnesty International haben Tracing-Apps in elf Ländern im Nahen Osten, in Nordafrika und Europa analysiert. Das Ergebnis: Einige Apps führen zu gravierenden Verstößen gegen Menschenrechte. Bahrain, Kuwait and Norwegen nutzen die invasivsten Anwendungen, die die Privatsphäre, den Datenschutz und die Sicherheit von Hunderttausenden Menschen gefährden. Norwegen hat inzwischen auf Kritik reagiert und seine App „Smittestopp“ gestoppt. Das deutsche Modell, das an diesem Dienstag vorgestellt werden soll, könnte die Privatsphäre deutlich besser schützen als dieser und andere Vorgänger.

„Wir sehen in vielen Ländern, wie wichtig es ist, dass bei Programmierung und Einsatz von Tracing-Apps wichtige Grundsätze eingehalten werden – sonst sind dem Missbrauch durch Behörden, aber auch durch Hacker, Tür und Tor geöffnet“, sagt Markus N. Beeko, Generalsekretär von Amnesty International in Deutschland. "Es ist gut, dass nach einer offenen Diskussion die deutsche App eine dezentrale Datenspeicherung, Freiwilligkeit und Transparenz vorsieht. Das ist einem demokratischen Rechtstaat angemessen und ist Grundlage für das notwendige Vertrauen in die Nutzung der Technologie", so Beeko.

Nach Ansicht von Amnesty International könnte eine entsprechende noch zu verabschiedende Gesetzesgrundlage verhindern helfen, dass die Funktionen der App in Zukunft schleichend ausgeweitet werden oder die Freiwilligkeit – auch durch private Akteure wie etwa Arbeitgeber – eingeschränkt wird. „Mit einer dezentralen, Bluetooth-basierten App und einer die Menschenrechte schützenden gesetzlichen Grundlage könnte Deutschland weltweit mit gutem Vorbild vorangehen“, erklärt Beeko.

Elf Apps zur Kontaktverfolgung erwiesen sich als problematisch bis gefährlich

Das Security Lab von Amnesty International hat in den vergangenen Wochen Apps zur Kontaktverfolgung aus Algerien, Bahrain, Frankreich, Island, Israel, Katar, Kuwait, dem Libanon, Norwegen, Tunesien und den Vereinigten Arabischen Emiraten einer detaillierten technischen Analyse unterzogen. Die Apps erwiesen sich als menschenrechtlich problematisch bis gefährlich in Bezug auf willkürliche Überwachung und Verletzungen von Privatsphäre sowie Datenschutz. Die Apps „BeAware Bahrain“ aus Bahrain, „Shlonik“ aus Kuwait und „Smittestopp“ aus Norwegen offenbarten sich gar auf alarmierende Weise als potentielle Massenüberwachungsinstrumente.

“Die norwegische App war im höchsten Maße invasiv und die Entscheidung, zurück an das Reißbrett zu gehen, die richtige. Wir fordern die Regierungen von Bahrain und Kuwait dazu auf, ebenfalls ihre aktuell übergriffigen Apps zu stoppen. Sie übermitteln die Standorte der Nutzer in Echtzeit an eine zentrale staatliche Datenbank – ein Vorgehen, das im Rahmen von Maßnahmen des öffentlichen Gesundheitswesens kaum notwendig oder gar angemessen sein dürfte“, sagt Claudio Guarnieri, Leiter des Security Lab von Amnesty International.
 
„Technologie kann äußerst hilfreich sein, um Kontakte zwischen Personen zur Eindämmung von COVID-19 abzubilden, aber die Privatsphäre darf nicht dem Bemühen der Regierungen zum Opfer fallen, möglichst schnell eine App einzuführen“, so Guarnieri.
 
Corona-Apps in Bahrain, Kuwait und Norwegen beruhen auf einem aggressiven zentralisierten Ansatz und stellen eine große Gefahr für die Privatsphäre dar. Diese Systeme erfassen Standortdaten per GPS und laden diese in eine zentrale Datenbank hoch. Damit werden die Bewegungsprofile der Nutzer in Echtzeit erfasst. Die App „EHTERAZ“ von Katar kann optional die Standorte aller oder auch nur bestimmter Nutzer in Echtzeit orten. (Zum Zeitpunkt der Untersuchung war diese Funktion deaktiviert).
 
Die Behörden all dieser Länder können diese vertraulichen persönlichen Daten leicht einer Person zuordnen, da sich die Nutzer in Katar, Bahrain und Kuwait mit einer nationalen ID-Nummer registrieren lassen müssen, während in Norwegen eine Registrierung mit einer gültigen Telefonnummer erforderlich war – das Norwegische Institut für öffentliche Gesundheit (NIPH) kündigte am Montag an, seine Tracing-App zu stoppen und alle bislang gesammelten Daten zu löschen.
 
Sicherheitslücke in Katars App

Katars „EHTERAZ“ erfasst neben den GPS-Koordinaten Bluetooth-Kontakte zwischen den Geräten der Nutzer und lädt diese hoch. In dieser App hatte das Security Lab eine große Sicherheitslücke gefunden. Angreifer hätten auf die vertraulichen persönlichen Informationen von mehr als einer Million Menschen Zugriff erlangen können. Dies gab vor allem deswegen Anlass zur Sorge, weil die Nutzung der App ab dem 22. Mai verpflichtend wurde. Die Sicherheitslücke wurde behoben, nachdem Amnesty die Behörden Ende Mai über die Entdeckung in Kenntnis gesetzt hatte.
 
Corona-Apps aus Ländern wie Frankreich, Island und den Vereinigten Arabischen Emiraten verwenden ein zentralisiertes Modell, wobei Informationen über Kontakte zwischen den Geräten nur dann hochgeladen werden, wenn Nutzer freiwillig oder auf Anfrage der Gesundheitsbehörden melden, dass sie unter Symptomen leiden. Solche freiwilligen und einvernehmlichen Uploads verringern zumindest das Risiko einer Massenüberwachung, da die Daten nicht automatisch hochgeladen werden. Das zentralisierte Modell der französischen App zur Kontaktverfolgung wirft in Verbindung mit der mangelnden Transparenz darüber, wie die Daten gespeichert werden, allerdings die Frage auf, ob es möglich wäre, die Anonymisierung der Nutzerdaten im Nachhinein aufzuheben.
 
„Regierungen weltweit müssen bei der Einführung fehlerhafter oder in die Privatsphäre eindringender Apps zur Erfassung von Personenkontakten auf die Pause-Taste drücken. Wenn Apps zur Rückverfolgung von Kontakten eine wirksame Rolle bei der Bekämpfung von COVID-19 spielen sollen, müssen die Menschen darauf vertrauen können, dass ihre Privatsphäre geschützt ist“, so Claudio Guarnieri.
 
Berücksichtigung von Privatsphäre und Menschenrechten bei der App-Entwicklung
Die Erfassung von Personenkontakten ist ein wichtiger Teil einer wirksamen Pandemiebekämpfung und Apps zur Ermittlung von Kontaktpersonen können helfen, dieses Ziel zu erreichen. Damit sie menschenrechtskonform sind, müssen bei Apps zur Erfassung von Personenkontakten unter anderem Privatsphäre und Datenschutz schon bei ihrer Entwicklung Berücksichtigung finden, das heißt die gesammelten Daten müssen auf das notwendige Minimum begrenzt und sicher gespeichert werden. Jegliche Datenerhebung muss auf die Eindämmung von COVID-19 beschränkt sein und sollte nicht für andere Zwecke – wie Strafverfolgung, nationale Sicherheit oder Einwanderungskontrolle – verwendet werden. Auch dürfen Daten nicht an Dritte weitergegeben oder für kommerzielle Zwecke genutzt werden.
 
Die Entscheidung, eine App zur Ermittlung von Personenkontakten herunterzuladen und zu verwenden, muss individuell und absolut freiwillig erfolgen. Alle erfassten Daten müssen anonym bleiben, auch dann, wenn sie mit anderen Datensätzen kombiniert werden.

„Regierungen, die zentralisierte Apps zur Ermittlung von Personenkontakten mit Echtzeit-Ortung einführen, müssen mit der Entwicklung noch einmal von vorn beginnen. Es gibt bessere Optionen, die es ermöglichen, die Ausbreitung der Krankheit zu verfolgen, ohne auf die sensiblen persönlichen Daten von Millionen Menschen zuzugreifen“, so Claudio Guarnieri.
 
Amnesty International hat in erster Linie Apps aus Europa, dem Nahen Osten und Nordafrika untersucht. Wie Untersuchungen anderer NGOs und Medien zeigen, gibt es weitere Apps und digitale Plattformen in anderen Regionen, die erhebliche Gefahren für die Menschenrechte darstellen, unter anderem in China, Äthiopien und Guatemala.