# COVID-19

Tja, die deutsche Corona-Warn-App ist “fertig”. Soweit viel (Eigen)Lob, wie toll man die Probleme mit dem Datenschutz gelöst hat. Die Frage, ob Kontaktverfolgung via Smartphone überhaupt ein geeignetes Mittel ist geht darin natürlich genauso unter wie die ungeklärte Rechtslage. Besser als mit diesem XKCD hier lässt sich die Misere wohl kaum ausdrücken:

Tja, meine Damen und Herren, damit wäre die Absicht hinter der Corona Warn App dann wohl geklärt:

Die Entwicklung der Corona-Warn-App des Bundes durch SAP und die Deutsche Telekom wird rund 20 Millionen Euro kosten. Das verlautete am Donnerstag aus Regierungskreisen in Berlin. Dazu kommen noch Betriebskosten in Höhe von 2,5 Millionen bis 3,5 Millionen Euro monatlich [..]

Mal wieder so eine Public/Private Partnership Geschichte, die mit einem broken by design product Steuergelder privatisiert. Kein Wunder also, warum die Regierungskoalition so überhaupt keine Eile hat, ein Begleitgesetz zu verabschieden, welches regelt wann der Unsinn wieder eingestampft werden muss und das man für die Nichtnutzung nicht benachteiligt werden darf.

Für das Geld hätte man auch 1000 zusätzliche Stellen für Kontaktverfolgung bei den Gesundheitsämtern schaffen können. Überlegt euch selbst, was von beidem das bessere Preis/Leistungsverhältnis bietet.

Da die Öffentlich-Rechtlichen ja langsam damit anfangen die Werbetrommel für die Corona-Warn-App zu rühren, sollte man vielleicht nochmal deutlich darauf hinweisen, dass das Ding bereits konzeptuell in den Sand gesetzt wurde.

Zur Erinnerung: das Corona Virus verbreitet sich exponentiell und damit, ab einem Kipppunkt, so schnell, dass man mit manueller Kontaktverfolgung (Stift, Papier, Telefon) nicht mehr hinterher kommt. Die App wollten “wir” ursprünglich deshalb, weil ein automatisch weiter geleiteter Alarm sich ebenfalls hätte exponentiell verbreitet können. Gut, das System hätte natürlich darunter gelitten (=in der Praxis nicht funktioniert), dass es ständig Fehlalarme erzeugt, aber zumindest in der Theorie wären wir damit schneller als das Virus gewesen und hätten ihm den Weg abschneiden können.

Was bekommen wir jetzt? Ein App, die uns eine Benachrichtigung anzeigt, dass wir uns testen lassen sollen und die einen PIN vom Labor benötigt, um den Alarm weiter leiten zu können. Wer sich nicht testen lässt oder keinen Test bekommt unterbricht die Alarmkette. Na herzlichen Glückwunsch! Wir zahlen den gesellschaftlichen Preis, betreiben aber im wesentlichem immer noch manuelle Kontaktverfolgung.

Lasst uns doch mal über die Sicherheitslücken der deutschen Corona-Warn-App reden

Das Beste, was man mit einer dummen Idee machen kann, ist sie fallen zu lassen. Nicht ein Sicherheitstheater um sie herum zu zimmern.

SARS-CoV-2 Bluetooth Kontaktverfolgungsapps sind eine immens bescheuerte Idee!

Reden wir doch mal, für nicht-Informatiker verständlich, darüber wie Bluetooth Kontaktverfolgung (nicht) funktioniert, woran scheinbar einfache Lösungen in der Praxis scheitern und warum das dann gerne katastrophale Konsequenzen nach sich zieht.

Aha! Der deutsche Landkreistag hat sich zu Wort gemeldet und findet, dass “die” Corona App verpflichtend, mit Registrierung bei den Gesundheitsämtern, installiert werden soll. Datenschutz würde man schon irgendwie geregelt bekommen.

Wir erinnern uns, vor vier Wochen hat man es geregelt bekommen, dass Gesundheitsämter Quarantänelisten mit der Polizei teilen mussten — ohne das es dafür eine eindeutige Rechtsgrundlage und einen konkreten Verwendungszweck gab oder überhaupt nachvollziehbar war, wer Zugriff hatte.

Ab heute also Maskenpflicht…

Na dann, Dreieckstuch aus dem abgelaufenem Verbandskasten vor die Nase und mit breitem Grinsen zur Bank zum Geld abheben! Datenschutz fürs Gesicht halt. Die ganzen Überwachungskameras im öffentlichem Raum gingen mir schon immer gegen den Strich.

Es sind die kleinen Dinge, die eine Krise erträglich machen.

Schön zu sehen, dass PEPP-PT gerade nach allen Regeln der Kunst verkackt, noch bevor das Projekt aus dem Planungsstadium raus ist.

Was vielen nicht klar sein dürfte: PEPP-PT & Co sind keine keine vorübergehende Maßnahmen, die in ein paar Monaten wieder abgeschaltet werden, wenn die Corona Krise vorbei ist. Die Krise geht nicht vorbei (jedenfalls nicht ohne Impfstoff und bessere Heilmittel)! Selbst wenn wir es schaffen, Deutschland in ein paar Monaten COVID-19 frei zu bekommen, wird es damit noch lange nicht endgültig vorüber sein. Es gibt viele Orte auf der Welt mit miserabler medizinischer Versorgung (Slums, Flüchtlingscamps,…) in denen das Virus überleben und von wo es jederzeit wieder eingeschleppt werden kann.

Es ist der Zeitpunkt des Einschleppens, wann sich Kontaktverfolgung lohnt (während der Epidemie ist sie völlig witzlos). Solange COVID-19 also nicht weltweit ausgerottet ist, müsste die Schnüffelsoftware also auf unseren Telefonen installiert bleiben. Wir reden hier davon uns über Jahrzehnte intimst überwachen zu lassen und es ist hoffentlich niemand mehr so naiv zu glauben, dass da mit der Zeit keine Begehrlichkeiten entstehen und das System zweckentfremdet wird.

Kurze Durchsage an alle, die meinen, in Coronazeiten solle man das mit dem Datenschutz doch nicht soooo genau nehmen:

Im Schnitt steckt ein Infizierter zwei bis drei andere Menschen an. Für eure “Opfer” bedeutet das dann 14 Tage alleine zu Hause ohne Sex. Na, wollt ihr wirklich, dass die dann wissen, woher sie’s haben?

Ich predige ja schon die ganze Zeit, dass infection tracking via Smartphone (app) ‘ne Schnapsidee ist. Aber hey, wie es Arthur C. Clarke schon so schön formulierte:

Jede hinreichend fortschrittliche Technologie ist von Magie nicht zu unterscheiden.

Computer sind für die meisten Leute nun mal Magie, in Krisenzeiten haben Wundermittel Konjunktur und deshalb möchte die Politik halt unbedingt daran glauben, dass alles gut wird, wenn wir nur endlich (irgend)eine App hätten.

Tja, nehmen wir uns z.B. mal Pan-European Privacy-Preserving Proximity Tracing. Technisch eigentlich ‘ne ziemlich spannende Idee. Jedes Smartphone auf dem die App installiert ist erhält eine Chiffrenummer, die ständig per Bluetooth an alle anderen Geräte in der Umgebung gesendet wird. In regelmäßigen Zeitabständen fragt dann das Handy bei einem Server nach, ob sich eine der Chiffren, die es in den letzten 14 Tagen “gesehen” hat, als infiziert gemeldet wurde. Sollte das der Fall sein, soll sich der Nutzer selber testen lassen und, bei positivem Resultat, seine Chiffre als “infiziert melden. Schönes Protokoll, datenschutzrechtlich sogar unbedenklich (man bleibt jederzeit anonym und es werden außer der Chiffre keine weiteren Daten benötigt), aber ultimativ nutzlos. Warum? Ganz einfach: den Punkt an dem wir Corona durch strikte Quarantäne hätten ausrotten können ist längst überschritten. Das Virus wird jetzt durch die gesamte Bevölkerung gehen bis wir entweder einen Impfstoff oder Herdenimmunität entwickelt haben. Sobald ein bestimmter Durchseuchungsgrad erreicht ist, kann ich mich darauf verlassen, den nächsten Ping bereits unmittelbar nach einem Test zu erhalten, d.h. ich sollte mich jederzeit so verhalten, als sei ich potentiell infiziert, was genau das ist, was wir sowieso schon seit 2 Wochen tun, ohne uns zusätzlich mit einer App kirre zu machen.

Natürlich ist PEPP-PT nicht völlig sinnlos, auch wenn es in der Sache wenig hilft. Zumindest kriegt die Politik so ihr Gris-gris und kommt dann vielleicht nicht auf die Idee bei Firmen wie Palantir zu kaufen.