path: root/updates/2020/contact-tracing-requirements.md

title: 10 Prüfsteine für die Beurteilung von „Contact Tracing“-Apps
date: 2020-04-06 15:19:28 
updated: 2020-04-10 14:56:26 
author: linus
tags: update, pressemitteilung, anonymisierung

Als Möglichkeit zur Eindämmung der SARS-CoV-2-Epidemie sind „Corona-Apps“ in aller Munde. Der CCC veröffentlicht zehn Prüfsteine zu deren Beurteilung aus technischer und gesellschaftlicher Perspektive.

<!-- TEASER_END -->

Politik und Epidemiologie ziehen aktuell gestütztes "Contact Tracing"
als Maßnahme in Erwägung, systematisch einer Ausbreitung von
SARS-CoV-2-Infektionen entgegen zu wirken. Dies soll der Gesellschaft
eine größere Freizügigkeit zurückgeben, indem Infektionsketten schneller
zurückverfolgt und unterbrochen werden können. Durch eine solche Lösung
sollen Kontakte von Infizierten schneller alarmiert werden und sich
dadurch schneller in Quarantäne begeben können. Dadurch wiederum sollen
weitere Infektionen ihrerseits verhindert werden. Eine "Corona-App" soll
also weder uns selbst, noch unsere Kontakte schützen: Sie soll
Infektionsketten unterbrechen, indem die Kontakte unserer Kontakte
geschützt werden.

## „Contact Tracing“ als Risikotechnologie

Für die technische Implementierung dieses Konzepts gibt es eine Reihe an
Vorschlägen. Diese Empfehlungen reichen von dystopischen Vorschlägen für
Vollüberwachung bis hin zu zielgenauen, vollständig anonymisierten
Methoden der Alarmierung von potentiell Infizierten ohne Kenntnis der
konkreten Person.

Grundsätzlich wohnt dem Konzept einer „Corona App„“ aufgrund der
möglicherweise erfassten Kontakt- und Gesundheitsdaten ein enormes
Risiko inne. Gleichzeitig gibt es breite Anwendungsmöglichkeiten für
„Privacy-by-Design“-Konzepte und -Technologien, die in den letzten
Jahrzehnten von der Crypto- und Privacy-Community entwickelt wurden. Mit
Hilfe dieser Technologien ist es möglich, die Potenziale des „Contact
Tracing“ zu entfalten, ohne eine Privatsphäre-Katastrophe zu schaffen.
Allein deshalb sind sämtliche Konzepte strikt abzulehnen, die die
Privatsphäre verletzen oder auch nur gefährden. Die auch bei
konzeptionell und technisch sinnvollen Konzepten verbleibenden
Restrisiken müssen fortlaufend beobachtet, offen debattiert und so weit
wie möglich minimiert werden.

Im Folgenden skizzieren wir gesellschaftliche und technische
Minimalanforderungen für die Wahrung der Privatsphäre bei der
Implementierung derartiger Technologien. Der CCC sieht sich in dieser
Debatte in beratender und kontrollierender Rolle. Wir werden aus
grundsätzlichen Erwägungen keine konkreten Apps, Konzepte oder Verfahren
*empfehlen*. Wir raten jedoch von Apps *ab*, die diese Anforderungen
nicht erfüllen.

## I. Gesellschaftliche Anforderungen

### 1. Epidemiologischer Sinn & Zweckgebundenheit

Grundvoraussetzung ist, dass „Contact Tracing“ tatsächlich realistisch
dabei helfen kann, die Infektionszahlen signifikant und nachweisbar zu
senken. Diese Beurteilung obliegt der Epidemiologie. Sollte sich
herausstellen, dass „Contact Tracing“ per App nicht sinnvoll und
zielführend ist, muss das Experiment beendet werden.

Die App selbst und jegliche gesammelte Daten dürfen ausschließlich zur
Bekämpfung von SARS-CoV-2-Infektionsketten genutzt werden. Jede andere
Nutzung muss technisch so weit wie möglich verhindert und rechtlich
unterbunden werden.

### 2. Freiwilligkeit & Diskriminierungsfreiheit

Für eine epidemiologisch signifikante Wirksamkeit setzt eine „Contact
Tracing“-App einen hohen Verbreitungsgrad in der Gesellschaft voraus –
also Installationen auf den Smartphones möglichst vieler Menschen. Diese
weite Verbreitung darf nicht durch Zwang erreicht werden, sondern kann
nur durch ein vertrauenswürdiges, privatsphären-achtendes System erzielt
werden. Vor diesem Hintergrund verbietet sich das Erheben von Gebühren
für die Nutzung ebenso wie die Incentivierung durch finanzielle Anreize.

Menschen, die sich der Nutzung verweigern, dürfen keine negativen
Konsequenzen erfahren. Dies sicherzustellen, ist auch eine Aufgabe von
Politik und Gesetzgebung.

Die App muss von sich aus regelmäßig auf ihren Betrieb hinweisen,
einfach temporär zu deaktivieren und dauerhaft zu de-installieren sein.
Die Implementierung restriktiver Maßnahmen, bspw. die Funktion
„elektronischer Fußfesseln“ zur Kontrolle von Ausgangs- und
Kontaktbeschränkungen, halten wir für inakzeptabel.

### 3. Grundlegende Privatsphäre

Nur mit einem überzeugenden Konzept, das auf dem Grundsatz der Wahrung
der Privatsphäre beruht, kann überhaupt eine gesellschaftliche Akzeptanz
erreicht werden.

Dabei sollen belegbare technische Maßnahmen wie Kryptografie und
Anonymisierung die Privatsphäre der Nutzer zwingend sicherstellen. Es
reicht nicht, sich auf organisatorische Maßnahmen, Versprechen und
"Vertrauen" zu verlassen. Organisatorische oder rechtliche Hürden gegen
einen Datenabfluss sind im derzeitigen gesellschaftlichen Klima von
Notstands-Denken und möglichen weitgehenden Grundrechtsausnahmen durch
das Infektionsschutzgesetz nicht hinreichend.

Die Beteiligung von Unternehmen, die Überwachungstechnologien
entwickeln, lehnen wir als "Covid-Washing" grundsätzlich ab.
Grundsätzlich gilt: Die Nutzerinnen sollten keiner Person oder
Institution mit Ihren Daten "vertrauen" müssen, sondern dokumentierte
und geprüfte technische Sicherheit genießen.

### 4. Transparenz und Prüfbarkeit

Der vollständige Quelltext für App und Infrastruktur muss frei und ohne
Zugangsbeschränkungen verfügbar sein, um Audits durch alle
Interessierten zu ermöglichen. Durch Reproducible-Build-Techniken ist
sicherzustellen, dass Nutzer überprüfen können, dass die App, die sie
herunterladen aus dem auditierten Quelltext gebaut wurde.

## II. Technische Anforderungen

### 5. Keine zentrale Entität, der vertraut werden muss

Ein vollständig anonymes "Contact Tracing" ohne allwissende zentrale
Server ist technisch möglich. Es ist technisch nicht notwendig, alleine
auf Vertrauenswürdigkeit und Kompetenz des Betreibers von zentraler
Infrastruktur zu vertrauen, die Privatsphäre der Nutzer schon
ausreichend zu schützen. Darauf beruhende Konzepte lehnen wir daher von
vornherein als fragwürdig ab.

Hinzu kommt, dass die Sicherheit und Vertrauenswürdigkeit
zentralisierter Systeme – etwa gegen die Verknüpfung von IP-Adressen mit
anonymen Nutzer-IDs – für die Anwender nicht effektiv überprüfbar ist.
Die Sicherheit und Vertraulichkeit des Verfahrens muss daher
ausschließlich durch das Verschlüsselungs- und Anonymisierungskonzept
und die Verifizierbarkeit des Quellcode gewährleistet werden können.

### 6. Datensparsamkeit

Es dürfen nur minimale und für den Anwendungszweck notwendige Daten und
Metadaten gespeichert werden. Diese Anforderung verbietet die Erfassung
sämtlicher Daten, die über einen Kontakt zwischen Menschen und dessen
Dauer hinausgehen, wie zum Beispiel Lokationsdaten.

Sofern lokal auf den Telefonen Daten wie Aufenthaltsorte erfasst werden,
dürfen Nutzerinnen nicht gezwungen oder verleitet werden, diese Daten an
Dritte weiterzugeben oder gar zu veröffentlichen. Daten, die nicht mehr
benötigt werden, sind zu löschen. Auch lokal auf dem Telefon müssen
sensible Daten sicher verschlüsselt werden.

Für freiwillige, über den eigentlichen Zweck des Contact Tracing
hinausgehende Datenerhebungen zum Zweck der epidemiologischen Forschung
muss in der Oberfläche der App eine klare, separate Einwilligung
explizit eingeholt und jederzeit widerrufen werden können. Diese
Einwilligung darf nicht Voraussetzung für die Nutzung sein.

### 7. Anonymität

Die Daten, die jedes Gerät über andere Geräte sammelt, dürfen zur
Deanonymisierung ihrer Nutzer nicht geeignet sein. Die Daten, die jede
Person ggf. über sich weitergibt, dürfen nicht zur Deanonymisierung der
Person selbst geeignet sein. Daher muss die Nutzung des Systems möglich
sein, ohne dass persönliche Daten jedweder Art erfasst werden oder
abgeleitet werden können. Diese Anforderung verbietet eindeutige
Nutzerkennungen.

IDs für "Contact Tracing" über Drahtlostechnik (z. B. Bluetooth oder
Ultraschall) dürfen nicht auf Personen zurückführbar sein und müssen
häufig wechseln. Aus diesem Grund verbietet sich auch eine Verbindung
mit oder Ableitung von IDs aus Kommunikationsbegleitdaten wie
Push-Tokens, Telefonnummern, verwendeten IP-Adressen, Gerätekennungen
etc.

### 8. Kein Aufbau von zentralen Bewegungs- und Kontaktprofilen

Das System muss so beschaffen sein, dass weder absichtlich noch
unabsichtlich Bewegungsprofile (Standortverfolgung) oder Kontakt-Profile
(auf konkrete Menschen zurückführbare Muster von häufigen Kontakten)
aufgebaut werden können. Methoden wie zentrales GPS/Location-Logging
oder eine Verknüpfung der Daten mit Telefonnummern,
Social-Media-Accounts u. ä. sind daher grundsätzlich abzulehnen.

### 9. Unverkettbarkeit

Das Design der ID-Generierung muss so gestaltet sein, dass diese ohne
den Besitz des privaten Schlüssels nicht verkettbar sind. Sie dürfen
also nicht aus anderweitigen Daten abgeleitet werden. Egal auf welchem
Weg IDs im Infektionsfall kommuniziert werden, muss ausgeschlossen sein,
dass die gesammelten "Contact Tracing"-Daten über längere Zeiträume
verketten werden können.

### 10. Unbeobachtbarkeit der Kommunikation

Auch wenn die Übermittlung einer Nachricht im System beobachtet wird (z.
B. über die Metadaten der Kommunikation), darf daraus nicht geschlossen
werden können, dass eine Person selbst infiziert ist oder Kontakt zu
Infizierten hatte. Dies ist sowohl gegenüber anderen Nutzern als auch
gegenüber Infrastruktur- und Netzbetreibern oder Angreifern, die
Einblick in diese Systeme erlangen, sicherzustellen.

## Rolle und Selbstverständnis des CCC

Seit weit über 30 Jahren engagiert sich der CCC ehrenamtlich im
Spannungsfeld zwischen Technologie und Gesellschaft. [Unsere ethischen
Prinzipien](/de/hackerethik) stehen für Privatsphäre, Dezentralisierung
und Datensparsamkeit – und gegen jede Form von Überwachung und Zwang.

Ohne Anspruch auf Vollständigkeit benennen wir in diesem Beitrag
Mindestanforderungen, denen eine "Corona App" entsprechen muss, um
gesellschaftlich und technisch überhaupt tolerabel zu sein. Der CCC wird
aus grundsätzlichen Erwägungen unter keinen Umständen jemals eine
konkrete Implementierung mit Zustimmung, Empfehlung oder gar einem
Zertifikat oder Prüfsiegel versehen.

Es obliegt den Entwicklern von "Contact Tracing"-Systemen, die Erfüllung
dieser Anforderungen zu belegen, oder von unabhängigen Dritten belegen
zu lassen.