Märkischer Kreis Modellregion bei Luca-App für digitale Kontaktnachverfolgung – Chaos Computer Club fordert Bundesnotbremse für genau diese App

Märkischer Kreis. Das Kreisgesundheitsamt kann ab sofort auf die Daten der vielfach kritisierten Luca-App zugreifen und sie für die Kontaktnachverfolgung bei Corona-Fällen im Märkischen Kreis nutzen. Die Kreisverwaltung will aber auch weiter “anbieteroffen” für andere Apps bleiben. Das teilt die Kreisverwaltung am Mittwochabend (14. April) mit.

Der Märkische Kreis hatte bereits am 11. März angekündigt, auf Apps zur Kontaktnachverfolgung zu setzen und die Einführung der Luca-App auf den Weg zu bringen. “Das Gesundheitsamt kann ab sofort auf die Daten zugreifen und sie entsprechend in der Kontaktnachverfolgung nutzen”, heißt es in der Mitteilung von Mittwoch, die Landrat Marco Voge so zitiert: “Die digitale Kontaktnachverfolgung muss auch im Märkischen Kreis zum Einsatz kommen. Die Kreisverwaltung hat mit Nachdruck an der Anbindung der Luca-App an das Gesundheitsamt gearbeitet und frühzeitig signalisiert, dass sie die entsprechenden Voraussetzungen schaffen wird, damit die App vor Ort genutzt werden kann.”

Anzeige:

Zwischen dem Märkischen Kreis und dem Betreiber und Entwickler der Luca-App, der Culture4life GmbH, wurde ein Kooperationsvertrag unterzeichnet, der dem Märkischen Kreis die Nutzung der App als Modellregion zusichert. “Kosten entstehen dem Kreis dadurch nicht”, heißt es in der Mitteilung. Als Modellregion stünden ihm und den 15 Städten und Gemeinden, Bürgerinnen und Bürgern, Unternehmen, Verbänden und Kultureinrichtungen die App kostenlos zur Verfügung.

Der Märkische Kreis begrüßt die Nutzung beispielsweise durch Wirtschafts- und Kulturverbände, Unternehmen (unter anderem der Gastronomie) sowie Trägern von Pflegeeinrichtungen. Darüber hinaus bleibe die Kreisverwaltung anbieteroffen – auch im Hinblick auf eine eventuell landesweit einheitliche Schnittstelle bzw. App-Lösung. Auch die Anbindung der Initiative “Wir für Digitalisierung” werde derzeit geprüft. Zudem stellt die Erweiterung der Corona-Warn-App eine Möglichkeit dar, die der Kreis ebenfalls intensiv ins Auge fasst.

Ziel sei es, frühzeitig ein “klares Signal für Gastronomie, Handel oder Kultureinrichtungen zu setzen, um ihnen Planungssicherheit zu bieten”. Viele Einrichtungen, Betriebe und Unternehmen hätten schon an der Einrichtung gearbeitet und vor Ort die Voraussetzungen geschaffen. Somit sei der Märkische Kreis im Hinblick auf die Möglichkeiten der digitalen Kontaktnachverfolgung “frühzeitig gut aufgestellt”.

Trotz des aktuell hohen Infektionsgeschehens im Märkischen Kreis ist die erfolgreiche Anbindung der App eine wichtige Säule hin zu einer Öffnungsperspektive. Die App soll dazu beitragen, bei zukünftigen Öffnungsschritten die Lage mit einer guten Kontaktnachverfolgung unter Kontrolle zu behalten.

„Die digitale Kontaktnachverfolgung muss auch im Märkischen Kreis zum Einsatz kommen”, sagt Landrat Marco Voge. Foto: Alexander Bange / Märkischer Kreis

Anmerkung der Redaktion:

Die Luca-App zur Kontaktnachverfolgung steht unter anderem wegen Datenschutzgründen massiv in der Kritik. Der Chaos Computer Club (CCC) forderte erst heute einen Bundesnotbremse für die Luca-App. Lesen Sie dazu auch die Pressemitteilung des CCC im Wortlaut:

Luca-App: CCC fordert Bundesnotbremse

Zweifelhaftes Geschäftsmodell, mangelhafte Software, Unregelmäßigkeiten bei der Auftragsvergabe: Der Chaos Computer Club (CCC) fordert das sofortige Ende der staatlichen Alimentierung von Smudos Steuer-Millionengrab “Luca-App”.

In den vergangenen Wochen wurden eklatante Mängel in Spezifikation, Implementierung und korrekter Lizenzierung der Luca-App aufgedeckt. Die nicht abreißende Serie von Sicherheitsproblemen und die unbeholfenen Reaktionen des Herstellers zeugen von einem grundlegenden Mangel an Kompetenz und Sorgfalt.

Dennoch verschwenden immer mehr Länder ohne korrektes Ausschreibungsverfahren Steuergelder auf das digitale Heilsversprechen. Mecklenburg-Vorpommern will die Installation sogar zur Voraussetzung der Teilhabe am öffentlichen Leben machen.

Der CCC fordert ein umgehendes Moratorium, eine Überprüfung der Vergabepraktiken durch den Bundesrechnungshof und ein sofortiges Ende des App-Zwangs. Für den Umgang mit hochsensiblen Gesundheits- und Bewegungsdaten verbietet sich der ländersubventionierte Roll-Out ungeprüfter Software von selbst.

Investor Smudo auf Talkshow-Tour
Eine mehrmonatige Marketing-Kampagne des Rappers Smudo hat es ermöglicht: Trotz eklatanter Mängel haben verschiedene Bundesländer bisher mehr als 20 Millionen Euro an Steuergeldern für Lizenzen zur Nutzung der Luca-App investiert. Dabei erfüllt die App keinen einzigen der zehn Prüfsteine des CCCs zur Beurteilung von „Contact Tracing”-Apps.

Staatlich subventioniertes Geschäftsmodell
Obwohl Steuergelder großzügig eingesetzt werden, verbleiben Daten, App und Infrastruktur selbstverständlich in den Händen der privatwirtschaftlichen Betreiber. Dabei gelten die teuren Lizenzen nur für ein Jahr – genug Zeit, um die Luca-App zum de-facto-Standard für Einlass-Systeme zu machen. Mecklenburg-Vorpommern hat die Nutzung bereits offiziell im Rahmen der Infektionsschutzverordnung verpflichtend angeordnet.

Für die Zeit nach dem steuerlichen Geldregen haben die Eigentümer schon heute ungenierte Pläne zur weiteren Kommerzialisierung der Kontaktverfolgung: Neben der Anbindung in Ticketing-Systeme hofft man auf breite Verbindung mit unterschiedlichen Geschäftsmodellen. Die Marke „luca” wurde mit unternehmerischer Weitsicht unter anderem für „Zutrittskontrolle, Besuchermanagement, gedruckte Eintrittskarten, sowie für die Reservierung von Tickets für Veranstaltungen, insbesondere für Kultur- und Sportveranstaltungen, politische Veranstaltungen, Veranstaltungen für Bildungs- und Fortbildungszwecke und für wissenschaftliche Tagungen” eingetragen.

Fragwürdige Vergabepraxis
Als Spitzenreiter hat das Bundesland Bayern allein 5,5 Mio. Euro für eine Einjahreslizenz ausgegeben. Andere Länder wie Baden-Württemberg (3,7 Mio. Euro), Niedersachsen (3,0 Mio. Euro) und Berlin (1,2 Mio. Euro) haben die Lizenzen unter Umgehung der Ausschreibungspflicht erstanden. Der regierende Oberbürgermeister von Berlin Müller rühmt sich sogar damit, die Lizenz ohne technische Prüfung erstanden zu haben. Er habe noch nicht einmal mit Smudo gesprochen und offenbarte damit wohl unbewusst den Hauptgrund seiner Spendierlaune. Kurz nach dem Spontankauf warnte die Berliner Datenschutzbeauftragte vor „beträchtlichen Risiken” bei der Luca-App.

Alternativen geflissentlich ignoriert
Dabei ist Luca nicht alternativlos: Mehr als dreißig Konkurrentinnen lobbyieren im Bündnis „Wir für Digitalisierung” seit Wochen erfolglos gegen die Werbemacht des Stuttgarter Rappers Smudo an. „Der Luca-App mangelt es nicht an Konkurrenzprodukten, die mindestens genauso schlecht sind”, stellte Linus Neumann, Sprecher des Chaos Computer Clubs, fest.

Die großzügige Verschwendung von Steuergeldern wird umso unverständlicher, weil die Landesregierungen damit in Konkurrenz zur dezentralen, datensparsamen und quelloffenen Corona-Warn-App gehen, die mit dem nächsten Update eine vergleichbare Funktionalität erhalten soll. Die vom Bund finanzierte Corona-Warn-App hat bereits eine breite Nutzungsbasis, wurde aber nach einem erfolgreichen Start mehrere Monate lang nur stiefmütterlich weiterentwickelt. Dieses Versäumnis soll nun die privatwirtschaftliche Luca-App monetarisieren.

Zweifelhafter Nutzen
Der Nutzen der App bleibt dabei fragwürdig und ihre Anwendungsmöglichkeiten begrenzt. Beispiele im 20 Hektar großen Osnabrücker Zoo und verschiedenen IKEA-Filialen erheitern seit Tagen das Netz: Ein sinnvoller Beitrag zur Pandemie-Bekämpfung lässt sich auch mit viel Kreativität nicht konstruieren.

Als besonderes Leistungsmerkmal wird die Anbindung an Gesundheitsämter betont. Die Gesundheitsämter sind bisher jedoch weder durch besonders schnelle Kontaktverfolgung noch durch besonderes Interesse an Besuchslisten aufgefallen: Regelmäßig sind diese zu umfangreich und zu ungenau, um relevante Kontakte zu identifizieren.

„Impfungen und effektive Seuchenschutzmaßnahmen sind die einzige sinnvolle Möglichkeit, der Pandemie Einhalt zu gebieten. Es würde mich nicht wundern, wenn das digitale Heilsversprechen Luca-App bald zum Sündenbock für das fortwährende Versagen der Bundes- und Landesregierungen wird”, spekulierte Neumann.

Betreiber greifen in zentralen Datenbestand ein
Ein Team aus international renommierten Privacy- und Security-Forscherinnen warnte schon früh in einer achtzehnseitigen „vorläufigen Analyse” vor verschiedensten Missbrauchspotenzialen des zentralen Ansatzes.

Das zentralisierte Luca-System speichert alle Daten bei den Betreibern und ermöglicht dadurch ein Monitoring sämtlicher Check-in-Vorgänge in Echtzeit. Das gilt auch für jene Check-ins, die in der App als „privat” gekennzeichnet sind. Die Betreiber scheuen auch nicht davor zurück, in diese Treffen aktiv einzugreifen und sie beispielsweise zu löschen.

Handwerkliche Mängel und Schwachstellen
Die bisher gefundenen Schwachstellen und Peinlichkeiten der Luca-App sind ein bunter Strauß der Inkompetenz:

Bei der Registrierung soll die Telefonnummer per SMS „validiert” werden. Millionen Euro müssen verschiedene Bundesländer für den Versand aufbringen. Eine handwerklich fehlerhafte Implementierung macht die Validierung jedoch unwirksam. Die Folge: Das massenhafte Erstellen von Fake-Accounts ist ebenso einfach wie deren Check-in an beliebigen Orten. Es droht nicht weniger als der Kollaps des kompletten Luca-Systems.

Die für Menschen ohne Smartphone zu hunderttausenden angeschafften Luca-Schlüsselanhänger verraten bei jedem Scan die vollständige zentral gespeicherte Location-Historie. „Wer den QR-Code scannt, kann nicht nur künftig unter Ihrem Namen einchecken, sondern auch einsehen, wo Sie bisher so waren”, bestätigte Linus Neumann die heute von Bianca Kastl und Tobias Ravenstein veröffentlichte Schwachstelle „Lucatrack”. „Die Schwachstelle ist offensichtlich und unnötig. Sie zeugt von einem fundamentalen Unverständnis grundlegender Prinzipien der IT-Sicherheit. Hier wurde – mal wieder – mit der heißen Nadel gestrickt, statt eine wohlüberlegte Lösung zu bauen”, so Neumann weiter.

Entgegen den Versprechungen des Sicherheitskonzepts ist das Luca-Backend potenziell jederzeit in der Lage, einzelne Geräte eindeutig zu identifizieren und ihnen alle Check-ins zuzuordnen.

Als Musikant schimpft Smudo gern auf die „Umsonst-Gesellschaft” und die Verletzung von Urheberrechten. Für die Luca-App wurden jedoch fremde Software-Komponenten unter dreister Missachtung der Lizenzbedingungen verwendet. Ein „bedauerlicher Fehler”, der professionellen Programmierern einfach nicht passiert.

Bis heute ist nur ein Teil des Quellcodes des Gesamtsystems öffentlich. Inwieweit dieser Teil überhaupt noch mit der produktiven Umgebung übereinstimmt, ist unklar.

Die App erfüllt Mindeststandards der Barrierefreiheit nicht. Der App-Zwang stellt eine besonders schwere Form der Diskriminierung dar.

CCC fordert sofortigen Stopp und lückenlose Aufklärung
Die zwielichtige Vergabepraxis zeugt bestenfalls von der Strahlkraft des Rappers Smudo, der bisher nicht als Programmierer oder Datenschützer aufgefallen war: Dem Investor der culture4life GmbH, die die Luca-App in Windeseile aus dem Boden gestampft hat, ist es binnen Monaten gelungen, Millionen für ein unreifes und untaugliches Produkt einzuwerben. Dabei vergisst Investor Smudo gern zu erwähnen, dass er mit über 22% am Unternehmen beteiligt ist, also nicht ohne beträchtlichen Eigennutz für die Luca-App wirbt.

„Die Luca-App ist nicht der einzige Fall, bei dem COVID-Glücksritter weit über ein angemessenes Niveau hinaus Kapital aus der Pandemie schlagen”, sagte Linus Neumann. „Die Maskenaffäre wurde gerade erst erfolgreich unter den Teppich gekehrt. Um einem weiteren Vertrauensverlust in die Politik Einhalt zu gebieten, muss nun lückenlos aufgeklärt werden, wie es zu der zweifelhaften Vergabe kam”, so Neumann weiter.