Datenschutzexperten, der Chaos Computer Club und selbst das Bundesamt für Sicherheit in der Informationstechnik (BSI)  kritisieren Schwachstellen der Luca-App offen. Die App soll Gesundheitsämtern die Rückverfolgung von Kontaktpersonen Infizierter erleichtern. Um Kontaktlisten aus Papier zu ersetzen, können Gastgeber von Veranstaltungen, privaten Treffen oder Gastronomen ihre Gäste über einen QR-Code mit der App einchecken lassen. Gab es eine infizierte Person, sollen Gesundheitsämter auf die Daten zugreifen können, um mögliche Kontaktpersonen zu informieren.

Die Macher der Luca-App werben mit hohen Sicherheitsstandards und doppelter Verschlüsselung der Daten. Diese wurden allerdings vielfach kritisiert und Schwachstellen im Quellcode der Anwendung entdeckt. Doch Luca ist nicht die einzige App, die Kontaktnachverfolgungen ermöglicht.

Verschiedene Apps, gleiches Gateway: Einige Apps zum Contact-Tracing nutzen die Iris-Schnittstelle zur Übermittlung der Daten an die Gesundheitsämter. Den Behörden soll ein einheitliches Gateway die Arbeit erleichtern, da sie die Daten verschiedener App-Anbieter nicht einzeln anfragen müssen. Dezentral werden die Daten auf dem Smartphone des Anwenders verschlüsselt, bevor sie an die zuständige Behörde weitergeleitet werden. Das soll Iris im Vergleich zur Luca-App sicherer machen.

Iris ist eine Open-Source-Anwendung und somit transparent und potentiell sehr sicher. Davon gehen auch die Gesundheitsämter in Nordrhein-Westfalen aus. Sie haben sich dazu entschieden, eine Vielfalt an Apps zur Kontaktverfolgung zuzulassen, wenn sie mit dem Iris-Gateway arbeiten. Hinter der quelloffenen Schnittstelle steht die Startup-Initiative „WirfürDigitalisierung“, die Iris im Auftrag der Björn Steiger Stiftung mitentwickelt hat.

Die offizielle Corona-Warn-App (CWA) der Bundesregierung vereint viele Funktionen: Warnung nach Risikobegegnungen, Einspeisen von Testergebnisse, Kontakt-Tagebuch und seit der Version 2.0 vom 21. April auch eine Check-in-Funktion. Gastgeber können damit QR-Codes erstellen. Per Scan können damit Gäste in Restaurants und Bars, Einkaufsläden oder von Veranstaltungen und privaten Feiern ihre Teilnahme registrieren lassen. Die Besuche werden anschließend im Kontakttagebuch der App-Nutzer aufgeführt. Bei einer Risikobenachrichtigung sollen damit Rückschlüsse auf den Begegnungsort gezogen werden.

Punkten kann die CWA beim Datenschutz: Die App ist weiterhin pseudonym aufgebaut, agiert also nicht mit Klarnamen und sammelt keine personenbezogenen Daten. Das ist allerdings auch ihr Schwachpunkt bei der Kontaktnachverfolgung. Benutzer der CWA müssen selbst aktiv werden und sich mit ihrem Arzt oder dem Gesundheitsamt in Verbindung setzen.
Hinzu kommt, dass die CWA über ein erhöhtes Risiko nur informieren kann, falls infizierte Personen die App ebenfalls und mit eingeschaltetem Bluetooth verwenden und ein positives Testergebnis eingetragen haben. Die Luca-App hingegen informiert das zuständige Gesundheitsamt ohne Zutun des Anwenders.

Hier geht’s zur Corona-Warn-App.

Eine Alternative zur Kontaktdatenerfassung mit der Luca-App ist gerade in Bremen im Einsatz: Viele Gastronome, Veranstalter, Friseure oder Betreiber von Einkaufszentren setzen auf „Gast-Bremen“. Das Tool für Smartphone und Browser ist Teil der Gateway-Lösung Iris und könnte als Blaupause für den bundesweiten Einsatz dienen.

Die Anwendung zur Erfassung von Kontaktdaten soll sich kostengünstig an neue oder andere regional-spezifische Anforderungen anpassen oder erweitern lassen. So könnte man zum Beispiel digitale Impfpässe oder Schnelltestbestätigungen integrieren, sagen die Entwickler von abat+. Auch einen Nachrichtenbereich mit Informationen zu aktuellen Verordnungen und Regeln soll es bald geben. Zukunftsgerichtet denken die Entwickler des Bremer Modells schon an eine Zeit nach der Pandemie und haben die App mit einem Gastronomieführer ausgestattet.

Hier geht’s zu Gast-Bremen.

E-Guest richtet sich vor allem an Betriebe, die Daten ihrer Gäste erfassen müssen. Die App erfasst die Daten pseudonomysiert und verschlüsselt sie DSGVO-konform auf Servern, die in Deutschland stehen. Außerdem können Gastronome ihr Menü in der App online stellen, ein Reservierungssystem bereitstellen und weitere Features nutzen.

Neben E-Guest gibt es auch Epassgo, eine Softwarelösung für Testcenter und Städte. Getestete Personen können damit ihre Testergebnisse per QR-Code einfach für Gastronomen oder Ladenbesitzer verfügbar machen.

Hier geht es zu E-Guest!

Einen Zugang zu Kultur in der Pandemie schaffen: Dieses Ziel hat den Software-Entwickler und Hobby-Musiker Florian Ziemann aus München bei der Entwicklung seiner App Hello Q angetrieben. Die kostenlose Anwendung zur Kontaktdatenerfassung steht seit September zum Download bereit. Teilnehmerdaten von Veranstaltungen werden hier andersherum erfasst, als bei den meisten Konkurrenten: Der Gast erstellt einen QR-Code, der vom Gastgeber zum Check-in gescannt wird. Die Liste mit den Daten der Besucher wird dezentral verschlüsselt an die Gesundheitsämter übertragen. Außerdem enthält die App eine Chatfunktion, in der die Teilnehmer eines Events untereinander kommunizieren können.

Hier geht’s zu Hello Q!

Die App Notify Me dient nicht der Erhebung von Kontaktdaten, soll aber eine schnellere Benachrichtigung der betroffenen Personen im Fall einer Risikobegegnung ermöglichen. Das Open-Source-Projekt Notify Me setzt auf Dezentralisierung, um einen hohen Schutz der Daten zu gewährleisten. Beim Check-in für eine Veranstaltung wird lediglich eine verschlüsselte ID auf dem Smartphone des Gastes gespeichert. Auch die Angabe persönlicher Daten wie Name, Anschrift oder Telefonnummer ist nicht nötig. In einem lokalen Tagebuch auf dem Smartphone werden die besuchten Veranstaltungen, bei denen mit Notify Me eingecheckt wurde, 14 Tage lang aufgeführt. Danach werden die Einträge gelöscht.
Sollte es zu einer Risikobegegnung gekommen sein, wird der Nutzer der App darüber informiert. Das funktioniert, indem die App regelmäßig die auf dem Smartphone gespeicherten ID mit von anderen Nutzern gemeldeten Risikozeiträumen abgleicht.

Hier geht’s zu Notify Me!