Mit einer Corona-Warn-App soll es künftig leichter sein, Infektionsketten nachzuvollziehen. Nach einigen Diskussionen und öffentlicher Expertenkritik hat sich die Regierung entschieden, dabei auf eine dezentrale Softwarearchitektur zu setzen. Das sollte auch Laien freuen, sagen Experten wie Henning Tillmann, selbstständiger Diplom-Informatiker und Co-Vorsitzender von D64 – Zentrum für digitalen Fortschritt.
Herr Tillmann, die ganzen Diskussionen um die Entwicklung einer Corona-Warn-App sind für Laien nicht immer leicht nachzuvollziehen. Wieso sollte es mich freuen, dass die Regierung nun auf einen dezentralen Ansatz setzt?
Henning Tillmann: Zunächst einmal: Beide Ideen setzen auf Bluetooth, das eigentlich für den Zweck nicht konzipiert ist. Ob die App wirklich gut funktioniert, kann daher aktuell niemand seriös bewerten. Die dezentrale Lösung ist allerdings deutlich datenschutzfreundlicher und hat das größere technische Potential. Und das sollte im Interesse aller sein.
Können Sie uns die dezentrale Lösung erklären?
Tillmann: Gerne. Dabei wird auf den Handys jener Bürger, die die nationale Corona-Warn-App installiert haben, immer ein Tagesschlüssel (TS) generiert. Ungefähr alle 15 Minuten leitet ein Algorithmus einen Kurzschlüssel (KS) daraus ab. Aus dem
Was passiert, wenn sich App-Nutzer begegnen?
Tillmann: Kommen sich zwei Menschen näher, tauschen ihre Smartphones via Bluetooth die jeweiligen Kurzschlüssel aus - inklusive ungefährem Zeitpunkt des Treffens. Die vollständigen Tagesschlüssel werden dabei nicht synchronisiert. Wie lange der Zeitraum des Aufeinandertreffens für den Austausch sein soll, muss noch definiert werden. Ebenso wird man bei den Abständen nur ungefähre Angaben haben können, da die Signalstärke von Bluetooth zum Beispiel davon abhängt, ob sie das Gerät in der Handtasche oder in der Hand haben.
Wie geht es bei einer Erkrankung weiter?
Tillmann: Erkrankt eine der Personen, kann sie dies in der App vermerken. Dazu muss die Person aber einen Nachweis erbringen - etwa über einen QR-Code vom Gesundheitsamt. Im Anschluss werden die Tagesschlüssel der erkrankten Person aus den vergangenen Tagen auf den Server der lokalen Corona-App geladen. Der App-Anbieter verteilt die Schlüssellisten der positiv Getesteten mehrmals am Tag an alle App-Nutzer. Wichtig dabei zu wissen: Wer sich konkret hinter einem Tagesschlüssel verbirgt, bleibt unbekannt, auch dem App-Anbieter. Das Smartphone gleicht nun lokal im Hintergrund ab, ob sich aus der Liste mit den Tagesschlüsseln Kurzschlüssel von Personen generieren lasen, mit denen man in den vergangenen Tagen in Kontakt stand. Wenn das der Fall ist, erscheint eine Warnmeldung. Diese Personen sollen dann bevorzugt getestet werden.
Dieser lokale Datenabgleich ist der Unterschied zur zentralen Lösung - richtig?
Richtig. Beim zentralen Ansatz hätte der Datenabgleich auf einem zentralen Server stattgefunden. Alle Daten, wer wann wen getroffen hat, würden zwar pseudonymisiert, aber dennoch zentral gespeichert werden. Es ist deutlich besser, dass dies jetzt doch nur auf den Smartphones der App-Nutzer erfolgt.
Was genau haben Google und Apple mit alldem zu tun?
Tillmann: Für die Corona-Warn-App soll wie gesagt Bluetooth eingesetzt werden. Je kleiner die Distanz zwischen zwei Smartphones mit eingeschalteter Bluetoothfunktion ist, desto stärker ist das Signal. Wenn die Signalstärke zwischen zwei Geräten also sehr gut ist, können wir davon ausgehen, dass die Besitzer sich relativ nah sind. Bluetooth ist aber eigentlich gar nicht dafür gedacht, Abstände zu messen. Das geht nur, wenn Apple und Google entsprechende Schnittstellen zur Verfügung stellen, weil die Software Zugriff auf die Hardware benötigt. Die Unternehmen decken 99 Prozent des Marktes ab. Deshalb ist ihre Allianz so wichtig.
Sie haben auf Twitter eine Antwort von Jens Spahn auf eine Anfrage von Ihnen veröffentlicht. In der Signatur ist ersichtlich, dass Spahn wie die meisten seiner Kollegen ein Blackberry-Smartphone nutzt. Können die Spitzenpolitiker die Corona-Warn-App dann gar nicht nutzen?
Tillmann: Google und Apple haben fast 100 Prozent Marktanteil. Blackberrys und Co. sind nur noch sehr vereinzelt auf dem Markt, etwa bei Regierungsvertretern. Die haben aber wahrscheinlich privat auch Apple-Smartphones oder Geräte mit dem Google Betriebssystem. Dementsprechend ist das zu vernachlässigen.
Sind mit der Entscheidung für einen dezentralen Ansatz nun all Ihre Fragen geklärt?
Tillmann: Nein, natürlich nicht. Auch wenn der Google- und Apple-Ansatz aus Datenschutzsicht erst mal gut klingt, müssen wir den beiden dennoch genau auf die Finger schauen. Wir dürfen ihnen da nicht einfach blind vertrauen. Außerdem müssen wir ganz genau hinschauen, wie die nationalen Apps, die dann die Schnittstelle nutzen, ausschauen. Ist der Quellcode öffentlich einsehbar? Wie ist die Entwicklung dokumentiert? Wie funktioniert das alles technisch genau?
Das klingt nach einem langwierigen Prozess. Jens Spahn hatte die App ursprünglich für Mitte April angekündigt, aktuell spricht er von Mai. Was ist Ihre Prognose als Experte: Wann werden wir eine App haben?
Tillmann: Das ist sicherlich kein Prozess, der in zwei Wochen abgeschlossen wird. Selbst wenn die App und die Schnittstellen fertig sind: Apple-Nutzer müssen ihr Betriebssystem aktualisieren, Google-Nutzer im Play Store Zusätzliches runterladen. Und dann müssen beide Nutzergruppen ja auch noch die eigentliche App installieren. Zum Vergleich: Damit die App gute Ergebnisse erzielt, müssen sie 50 bis 60 Millionen Bundesbürger nutzen. WhatsApp hat dafür zehn Jahre gebraucht. Dementsprechend gehe ich davon aus, dass wir dafür mindestens bis zum Spätsommer oder Herbst brauchen werden, bis eine halbwegs relevante Nutzeranzahl vorliegt. Erst dann wird klar sein, ob die App überhaupt hilft. Mit dem Launch der App selbst rechne ich im Mai oder Juni.
Über alle Entwicklungen informieren wir Sie auch immer in unserem Live-Blog.
Wir wollen wissen, was Sie denken: Die Augsburger Allgemeine arbeitet daher mit dem Meinungsforschungsinstitut Civey zusammen. Was es mit den repräsentativen Umfragen auf sich hat und warum Sie sich registrieren sollten, lesen Sie hier.