PressemitteilungSYSTEM

Digitale Kontaktnach­verfolgung im Licht von IT-Sicherheit

By April 30, 2021Juni 25th, 2021No Comments

 

Am 29. April 2021 haben mehrere IT-Forscher:innen an die Anforderungen von Corona Kontaktnachverfolungssystemen erinnert: Zweckbindung, Offenheit und Transparenz, Freiwilligkeit und Risikoabwägung. Culture4life als Betreiber des luca Systems unterstützt diese vier Prinzipien, bewertet luca im Kontext dieser Prinzipien aber anders.

 

Darüber hinaus unterstützt Culture4life die Forderungen der Wissenschaftler:innen rund um Fuest et al (1) vom 10.2.2021 nach einer Niedriginzidenzstrategie, die Testen, Kontaktnachverfolgung und Isolieren als zentrale Elemente neben der Impfung sieht, um öffentliches Leben wieder zu ermöglichen. Voraussetzung hierfür sind niedrige Inzidenzzahlen (2) (Stand 2. März 2021). Die Reduzierung der Inzidenzwerte ist Aufgabe der gesamten Gesellschaft und jedes einzelnen Bürgers. Diese muss nun konsequent wahrgenommen werden, um gesellschaftliches, öffentliches und wirtschaftliches Leben wieder möglich zu machen. Hierbei können Systeme wie luca in bestimmten Bereichen einen Beitrag leisten.

 

In diesem Kontext möchten wir hier auf die einzelnen Prinzipien eingehen:

Risikoabwägung

 

Die Beurteilung des Nutzens und der Risiken einer solchen Lösung müssen abgewogen und geprüft werden können. Hier steht der Nutzen einer effizienten, digitalen Kontaktnachverfolgung dem Risiko einer zentralen Datenhaltung gegenüber.

 

In Bezug auf den Nutzen sind Gesundheitsämter das effektivste Mittel zur Kontaktnachverfolgung. Dazu sagt Dirk Brockmann, Physiker und Professor am Institut für Biologie der Humboldt-Universität Berlin:

„Die Vernetzung von Testen und Nachverfolgen durch die Gesundheitsämter kann dafür sorgen, die Pandemie besser einzudämmen. Eine sichere, datenschutzkonforme, digitale Lösung, die hier ansetzt, ist mehr als hilfreich.“

 

 

Die Wichtigkeit der Nutzung unterstreicht Melanie Brinkmann, Professorin an der Technischen Universität Braunschweig:

„Wenn eine Niedriginzidenz erreicht ist, muss sie nachhaltig gehalten werden – dafür ist neben einer intelligenten Teststrategie eine effiziente digitale Kontaktnachverfolgung ein wichtiger Schlüssel.”

 

Dr. Kay Ruge, Stellvertreter des Hauptgeschäftsführers des Deutschen Landkreistages:

„Aus unserer Sicht bietet das lucaSystem ein gutes und effizientes Werkzeug im Rahmen der Kontaktnachverfolgung und digitalen Erhebung von Kontaktdaten. Es erleichtert die Arbeit in den Gesundheitsämtern und hat damit einen hohen praktischen Wert für die Landkreise. Dabei sind Datenschutz und IT-Sicherheit mit Blick auf das Vertrauen der Menschen selbstverständlich. Wir haben hier aber keinen Anlass zu Zweifeln. Solche digitalen Lösungen sind unserer Auffassung nach zur Krisenbewältigung und zur Rückkehr in die Normalität nötig und möglich. Der bisherige breite Einsatz in der Praxis der Gesundheitsämter bestätigt dies.“

 

Ein Beispiel dazu nennt Boris Schumacher aus dem Contact Tracing Team im Gesundheitsamt Fürth:

„Vor dem Einsatz von luca hat es häufig bis zu 3 Tagen gedauert, bis wir die Kontakthistorie eines Infektionsfalles überhaupt vollständig vorliegen hatten und mit der Nachverfolgung starten konnten. Mit Einsatz des luca Systems erfolgt schon im Erstkontakt mit einem Infektionsfall die schnelle Übertragung der Kontakthistorie mit einem Klick. Die händische Aufnahme der Kontakthistorie und teilweise mehrere Telefonate, um die gesamte Historie zu erhalten, entfallen.“

 

Entsprechende Lösungen müssen möglichst datensparsam umgesetzt werden. Insbesondere Systeme bei denen Daten erfasst werden, müssen ein besonderen Aufwand betreiben, um personenbezogene Daten zu schützen.

Hierzu gehört die Pflege eines übergeordneten Sicherheitskonzepts mit dediziertem Kryptokonzept, die Durchführung einer Datenschutz-Folgenabschätzung (DSFA) und die Untersuchung des Systems durch unabhängige Experten.

 

Daher hat Culture4life einen besonders hohen Aufwand in die Umsetzung und Konzeption eines umfassenden Krypto- und Sicherheitskonzeptes gesteckt. Das Kryptokonzept hinter dem luca System wurde und wird von der neXenio GmbH gemeinsam mit Prof. Marian Margraf, von Fraunhofer AISEC konzipiert und entwickelt, die Penetration Tests wurden von ERNW durchgeführt.

Alle wichtigen Dokumente wie z.B. IT-Sicherheitskonzept, DSFA und Löschkonzept liegen der zuständigen Datenschutzaufsicht in Berlin sowie den Landesdatenschutzbehörden der Länder vor. Culture4life arbeitet intensiv und eng mit den Aufsichten zusammen. Im Rahmen dieses Austauschs werden inhaltliche Aspekte aber auch Fragen der Verantwortlichkeiten diskutiert. Die DSFA wird nach Durchsprache mit der Berliner Datenschutzbehörde in einer geeigneten Version von uns entsprechend veröffentlicht.

 

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg Stefan Brink dazu:

“luca erfasst die Daten zentral, aber mit dem hohen Sicherheitsstandard der dezentralen Verschlüsselung. Dies schützt die Daten der Bürger:innen und soll die Gesundheitsämter in der Kontaktnachverfolgung entlasten. Das System ist von uns auf Datenschutzkonformität geprüft und kann von allen Bürger:innen und Betreiber:innen genutzt werden.“

Zweckbindung gemäß Infektionsschutz-
­­­­­­gesetz/DSGVO und das luca Geschäftsmodell

 

Für die Kontaktnachverfolgung durch das Gesundheitsamt nach §28a Infektionsschutzgesetz sind die Erfassung und Übermittlung personenbezogener Daten erforderlich. Nach Art 5 DSGVO dürfen personenbezogene Daten nur für festgelegte eindeutige und legitime Zwecke erhoben werden. Näheres regeln die Schutzverordnungen der Länder. Betreiber:innen unterliegen laut diesen Verordnung einer Dokumentationspflicht, damit die Aufgabe der Kontaktnachverfolgung der Gesundheitsämter erfüllt werden kann. Das luca System übernimmt hierbei die Rolle des zentralen Vermittlers zwischen unabhängig agierenden Instanzen: Gast, Betreiber:innen und Gesundheitsamt. Dieses Ökosystem erfordert zentrale Strukturen, die Culture4Life GmbH mit dezentraler Verschlüsselung absichert.
Die Zweckbindung der Daten ist in der DSGVO gesetzlich verpflichtend geregelt. Die im luca System erhobenen Daten dienen alleine der Kontaktnachverfolgung der Gesundheitsämter.

Das luca System ist eine Fachanwendung, die die Gesundheitsämter bei ihrer Arbeit unterstützt. Darauf basiert auch das Geschäftsmodell der luca Betreiber. Viele Kostenfaktoren sind dabei reglementiert und abhängig von Dritten, wie z.B: die SMS Zertifizierung oder Kosten für Serverstrukturen in der Telekom Cloud. Die luca Betreiber finanzieren sich über Lizenzgebühren für die Software, die nur einen Teil der insgesamt entstehenden Kosten betreffen.

 

Die in der Stellungnahme erwähnte Anbindung von Schnelltestzentren und optional auch Ticketingsystemen an das luca System erfolgt kostenfrei und stellt ausdrücklich kein Geschäftsmodell oder Monetarisierungskanal für Culture4life dar. Dies hätte eine einfache Anfrage bei den entsprechenden Anbietern so auch bestätigt. Vielmehr handelt es sich um einen Service für Bürger:innen, Betreiber:innen und Kommunen, die entsprechende Öffnungsstrategien in Zukunft umsetzen wollen.

Transparenz: luca ist Open Source und offener Standard

 

Der Source Code des luca Systems wurde mit allen Komponenten unter einer Open Source-Lizenz veröffentlicht. Die Code Repository sind auf GitLab unter https://gitlab.com/lucaapp für jeden einsehbar. Damit ermöglicht Culture4life GmbH, das Unternehmen hinter dem luca System, eine transparente Analyse und Weiterentwicklung der Software und die Entwicklung und Einbindung unabhängiger Apps.

Zusätzlich existiert für das Gesamtsystem ein “Bug Bounty Programm”, in dem mögliche Sicherheitslücken an den Betreiber gemeldet werden können. Die dort eingehenden Themen werden verantwortungsvoll, schnell und transparent bearbeitet.

luca App und Corona-Warn App

 

Zu der Entweder-oder-Diskussion in Bezug zur Corona-Warn-App möchten wir herausstellen, dass sich die beiden unterschiedlichen Anwendungen ergänzen und wir die Nutzung der Corona-Warn-App ausdrücklich empfehlen. 
Das luca System unterstützt die Gesundheitsämter bei der digitalen Kontaktnachverfolgung.

 

Die Arbeit der Gesundheitsämter trifft auf breite Befürwortung der Bevölkerung: 78% der Befragten halten die Arbeit der Gesundheitsämter für wichtig in der Pandemie (Umfrage des Meinungsforschungsinstut Civey im Zeitraum von 27. – 28.4.2021 unter 10.000 Befragten) 

 

Die Corona-Warn-App ist ein dezentrales peer-to-peer Warnsystem. 
Das bedeutet, in der Corona-Warn-App startet der positiv getestete Bürger den Warnprozess. Warnungen sind nicht automatisch garantiert, Voraussetzung dafür ist, das Bürger:innen ihr positives Testergebnis in der Corona-Warn App mit anderen Nutzer:innen teilt.

 

Laut des Bundesgesundheitsministeriums ist die Corona-Warn-App vor allem für private Treffen geeignet und luca für Bereiche des öffentlichen Raums in denen laut Corona Schutzverordnung eine Dokumentationspflicht existiert. (Quelle: https://www.sueddeutsche.de/digital/corona-app-luca-cwa-1.5243729)

Freiwilligkeit

 

Der Bereich für Betreiber:innen “luca locations” ist ein kostenloses Angebot für Betreiber:innen. Die Nutzung ist freiwillig. Es obliegt der Entscheidung der Betreiber:innen, mit welchen Methoden sie ihrer Dokumentationspflicht nachkommen.
Auch die Nutzung der luca App für Bürger:innen ist freiwillig und kostenlos. Sie alleine entscheiden, ob sie die App nutzen möchten. Bereits jetzt wollen mehr als 49,7 % der Bundesbürger:innen die App freiwillig nutzen, 41,7 % halten sie für wirkungsvoll in der Pandemiebekämpfung. (Umfrage Meinungsforschungsinstitut Civey (30.3. – 1.4.2021))

 

Die klassischen Mittel wie Zettel und Stift werden mit Sicherheit weiter Anwendung finden. Nur wenn ein Konzept wie luca freiwillig ist, kann am Ende ein gemeinsamer Erfolg erzielt werden.

Fazit

 

Culture4life sieht das luca System als freiwillige Mitwirkungsmöglichkeit für Bürger:innen und Betreiber:innen im Rahmen der Pandemieeindämmung. Um gesellschaftliches Leben wieder zu ermöglichen, sind niedrige Inzidenzwerte und verantwortungsvolles gesellschaftliches wie auch politisches Handeln erforderlich. Mit der Entscheidung für die Einführung des luca Systems haben 13 Bundesländer einen Grundstein für die Digitalisierung der Kontaktnachverfolgung und die wichtige Entlastung der Gesundheitsämter gelegt.
Wir sind uns der Verantwortung für die Datensicherheit der Bürger:innen und Betreiber:innen bewusst. Dieser werden wir auch zukünftig durch die mit den Aufsichtsbehörden abgestimmte Weiterentwicklung des Systems nachkommen.
Eine Risikoabwägung muss aus unserer Sicht Nutzen und Risiken des Systems – auch gegenüber analogen und anderen technischen Hilfsmitteln – als auch den pandemischen Nutzen berücksichtigen.
Diese Risikoabschätzung geschieht durch Datenschützer:innen, IT-Sicherheitsexpert:innen, Virolog:innen, Epidemiolog:innen, Regierung und Gesellschaft. Dem Austausch mit den entsprechenden Vertreter:innen auf einer sachlich-kritischen Ebene stehen wir ausdrücklich offen gegenüber.

 

(1) https://www.ifo.de/DocDL/Fuest_etal_2021_proaktive_Bekaempfung_SARS-CoV-2_Handlungsoptionen.pdf
(2) https://www.ifo.de/DocDL/Fuest_etal_2021_proaktive_Bekaempfung_SARS-CoV-2_Intelligente_Teststrategien.pdf