Veröffentlicht am von aa

Verfolgungs-App "Luca" und der Datenschutz

Der Rezen­sent auf dtnschtz​.de ist eigent­lich begeis­tert und emp­fiehlt die App. Dabei hat er doch festgestellt:

»APP Login/Logout unmög­lich:
Weder Log­in noch Log­out ist mög­lich. Wer mein Han­dy hat, sieht mei­ne hin­ter­leg­ten Kon­takt­da­ten und mei­ne His­to­rie – mit ent­spre­chen­den Daten der Per­so­nen mit denen gemäß per Luca APP 'pri­va­te Tref­fen' hatte.

Gefan­gen in der Web-APP:
Aus der Web­APP ist kein Log­out mög­lich. Es besteht die Mög­lich­keit die Web­APP "zurück­zu­set­zen". Damit wird die His­to­rie gelöscht. Wenn der Brow­ser­ver­lauf gelöscht wird, muss eine erneu­te Regis­trie­rung in der Web­APP erfol­gen. Die steht die His­to­rie nicht mehr zur Ver­fü­gung.«

So beschreibt er das Vorgehen:

»### Beginn Pri­va­te Tref­fen doku­men­tie­ren ###
Ich bin mit der Luca APP online und star­te in er APP ein "pri­va­tes Tref­fen", mir wird ein QR Code ange­zeigt.
Die Per­so­nen mit denen ich mich tref­fe, 'Scan­nen' mit Ihrem Han­dy mei­nen QR Code. In bei­den Handy's wird dann die­ses Tref­fen in der pri­va­ten His­to­rie hin­ter­legt. In bin somit Ein­checkt.
Es wird der jewei­li­ge Vor und Nach­na­me in die His­to­rie des jeweils ande­ren Teil­neh­mers über­tra­gen.

Wenn ein "pri­va­tes Tref­fen" gestar­tet ist, ist es für den Initia­tor nicht mög­lich, woan­ders ein­zu­che­cken.

Wich­tig für den Initia­tor: Tref­fen wie­der been­den!
Noch wich­ti­ger: Wie­der aus-che­cken!

Die­se Daten die­nen der pri­va­ten Gedächt­nis­stüt­ze und wer­den NICHT auto­ma­tisch digi­tal an das Gesund­heits­amt über­mit­telt.
Im Infek­ti­ons­fall, kann die­ses Tage­buch für das Gesund­heits­amt frei­ge­ge­ben wer­den.

Die His­to­rie der "Pri­va­ten Tref­fen" kann jeder­zeit gelöscht wer­den.

Beim Ver­such bereits bin­nen einer Minu­te wie­der "Aus­zu­che­cken" war dies nicht mög­lich. Ein Aus­che­cken ist erst nach 2 Minu­ten mög­lich.

Ach­tung: Für den Fall dass die Funk­ti­on "Pri­va­te Tref­fen" für geschäft­li­che Zwe­cke genutzt wird, müs­sen Infor­ma­ti­ons­pflich­ten gemäß DSGVO Arti­kel 13 gege­ben wer­den!

Check-In / Check-Out Zei­ten dif­fe­rie­ren zwi­schen den teil­neh­men­den Handy's:
Han­dy 1 star­tet ein pri­va­tes Tref­fen um 20:00
Han­dy 2 checkt um 20:02 in das pri­va­te Tref­fen von Handy1 ein
Han­dy 2 check um 20:12 aus dem pri­va­ten Tref­fen von Handy1 aus.
Han­dy 1 ver­merkt um 20:10 dass Han­dy 2 aus­ge­checkt hat.

His­to­rie pri­va­te Tref­fen:
Han­dy 2 ver­merkt in der His­to­rie wann bei wel­cher Person(Besitzer Handy1) ein und aus­ge­checkt wur­de.
Han­dy 1 ver­merkt dass mit der Person(Besitzer Handy2) ein Tref­fen statt­fand. Es wird die End­zeit des Tref­fens (ent­spricht in etwa der Check-Out Zeit von Handy2) vermerkt.«

Der größ­te Luca-Fan ist Bodo Rame­low. Der wird schon damit klarkommen.

Bei Ver­an­stal­tungs­be­su­chen gilt:

»Tipps für ohne Han­dy:
Wie auch schon bei der Papie­r­er­fas­sung DARF der sei­tens des Clubs zur Ver­trau­lich­keit ver­pflich­te­te Mit­ar­bei­ter (z.B. Tür­ste­her) kon­trol­lie­ren ob plau­si­ble Daten ein­ge­ge­ben wur­den. Bei begrün­de­tem Zwei­fel DARF der Per­so­nal­aus­weis ver­langt.
Die Erfas­sung ist so zu gestal­ten, das NIEMAND ande­res die Daten sehen kann.

Der Check­out:
Der Besu­cher schiebt sei­nen Reg­ler auf Check-Out, bei bestehen­der Inter­net­ver­bin­dung redu­ziert sich die Anzahl der ein­ge­check­ten Gäs­te umge­hend beim Betreiber/Club.
Die per Kon­takt­for­mu­lar ein­ge­tra­ge­nen Gäs­te kön­nen bis­her nur sei­tens des Betrei­bers aus­che­cken – und zwar ALLE per Kon­takt­for­mu­lar ein­ge­check­ten (Nach­teil da die Uhr­zeit schon rele­vant sein kann)…

Im Backend (für Betrei­ber, Clubs) besteht die Mög­lich­keit anzu­ge­ben, dass Besu­cher auto­ma­tisch aus­ge­checkt wer­den, wenn bestimm­ter (zuvor vom Betreiber/Club) fest­ge­leg­ter Radi­us ver­las­sen wird. Woher ist der App bekannt wo ich mich befin­de??? Dazu muss die Berech­ti­gung: Stand­ort akti­viert sein. Eine Inter­net­ver­bin­dung ist eben­falls erforderlich.«

»Son­der­fall Fir­men­han­dy: Die Coro­na­Vo ermög­lich es unter bestimm­ten Umstän­den sei­ne Fir­men­kon­takt­da­ten zu hin­ter­le­gen. Bei einem nur einer Per­son zuge­ord­ne­ten Fir­men­han­dy ist die­se Mög­lich­keit gege­ben.
Wird das pri­va­te Han­dy für den geschäft­li­chen Check-In genutzt, wäre kurz vor­her die Adres­se zu ändern. Die Hin­ter­le­gung der Fir­ma ist nicht mög­lich.
Bei einem Fir­men­han­dy wel­ches von meh­re­ren Per­so­nen geschäft­lich genutzt wird, müß­te jedes­mal der Name der Per­son in der APP geän­dert wer­den. Erfolgt die Info an die Fir­men­han­dy­num­mer "Sie sind infi­ziert, bit­te las­sen Sie sich tes­ten" ist (zurecht) unklar, auf­grund wel­chen Datums/Uhrzeit/Kontaktes (besuch eines Betreibers/Clubs) die­se Info erfolgt.
Tipp: -> Ein von meh­re­ren Per­so­nen genutz­tes Fir­men­han­dy NICHT für Luca nutzen!«

Bes­se­rer Tipp: Nur mit mehr­fach genutz­ten Fir­men­han­dys in den Club und mal schau­en, was passiert.

»Mon­tag 9 Uhr, der Fri­sör öff­net und macht einen QR-Code für die Kun­den zum ein­scan­nen ver­füg­bar. Diver­se Kun­den kom­men, che­cken ein, che­cken aus. Cor­a­Ro­na ist die letz­te Kun­din um 17:30. Sie Checkt ein, sie checkt mit der Luca-App aus. Am Diens­tag wird Cor­a­Ro­na posi­tiv auf Coro­na ges­tes­tet. Das Gesund­heits­amt for­dert die Daten für den Mon­tag vom Fri­sör an und erhält die Daten von ALLEN Kun­den die mit der Luca-App an den Tag den QR-Code gescannt haben. Anhand der Uhr­zeit kann das Gesund­heits­amt (hof­fent­lich) sehen, das Cor­a­Ro­na erst um 17:30 kam und die Kun­den­den vor ca 17Uhr30 NICHT infor­miert wer­den müs­sen, dass die­se sich tes­ten las­sen sollen.«

Update

»Fehlende Transparenz

Was den Daten­schutz in der App anbe­langt, hat der Lan­des­be­auf­trag­te für Daten­schutz und Infor­ma­ti­ons­frei­heit von Baden-Württemberg die Nut­zung der App unter­stützt. Dem­nach wird die Doku­men­ta­ti­on der Kon­tak­te auf "tech­nisch höchs­ten Stand ver­schlüs­selt und liegt in der Hand des Luca-Nut­zers." Auch der frü­he­re Daten­schutz­be­auf­trag­te von Schles­wig-Hol­stein Dr. Thi­lo Wei­chert sieht in den kurz­zei­tig wech­seln­den QR-Codes einen zusätz­li­chen Schutz der Nut­zer­da­ten. Aller­dings kri­ti­siert er, dass die App den Code nicht als Open Source zur Ver­fü­gung stellt. So wäre eine brei­te­re Über­prü­fung mög­li­cher Lücken und Risi­ken mög­lich. Feh­len­de Trans­pa­renz kri­ti­siert eben­falls Prof. Dr. Tibor Jager, Pro­fes­sor für IT-Sicher­heit und Kryp­to­gra­phie an der Ber­gi­schen Uni­ver­si­tät Wup­per­tal. Zur Ein­schät­zung der Sicher­heit der App feh­len dem­nach eine genaue tech­ni­sche Sys­tem­be­schrei­bung, Quell­code der App und wei­te­re Details. So ist eine unab­hän­gi­ge Über­prüf­bar­keit durch Exper­ten oder fach­kun­di­ge Nut­zer fast unmög­lich.«
mac​welt​.de

23 Antworten auf „Verfolgungs-App "Luca" und der Datenschutz“

  2. Wie krank (im wahrs­ten Sin­ne des Wor­tes) muss man sein, sich so etwas auf sei­nem Han­dy zu instal­lie­ren? Wer mit­tei­lungs­be­dürf­tig ist und die Regie­rung stets an sei­nem Pri­vat­le­ben teil­ha­ben las­sen möch­te, wird die App sicher­lich gut finden.

    Wer eher etwas mehr auf Pri­vat­sphä­re setzt und abwar­ten kann, bis die Stüm­per aus Ber­lin nicht mehr wei­ter kom­men, dürf­te bes­ser dran sein. Die Nai­vi­tät der Rge­i­ren­den ist kaum noch zu über­bie­ten, mit Aus­nah­me der Bevöl­ke­rungs­tei­le, die so etwas tat­säch­lich gut finden.

    Antworten

  5. @aa Wie sind Sie bloß auf den Meis­ter ver­fal­len? Ein Daten­schutz­be­auf­trag­ter, der sich iwie müh­sam auf Coro­na Apps spe­zia­li­sie­ren will, ein Wer­be­vi­deo zu "Der Weih­nachts­mann und der Daten­schutz" auf der Web­site hat und als gewerb­li­cher Daten­schutz­ex­per­te selbst auf sei­ner eige­nen Sei­te weder Impres­sum noch Daten­schutz­er­klä­rung ausweist???!!

    Antworten

  6. "Im Backend (für Betrei­ber, Clubs) besteht die Mög­lich­keit anzu­ge­ben, dass Besu­cher auto­ma­tisch aus­ge­checkt wer­den, wenn bestimm­ter (zuvor vom Betreiber/Club) fest­ge­leg­ter Radi­us ver­las­sen wird. "

    "Woher ist der App bekannt wo ich mich befinde???"
    Zum Bei­spiel: Wenn der Besu­cher eines Clubs sih auf dem Klo befindet.
    Durch den Geruch, das von der App sofort regis­triert und an den Tür­ste­her oder – wen auch immer – gemel­det wird 

    Soll­te der Besu­cher dann Durch­fall bekom­men durch sein dau­ern­des Ein- und Aus­sche­cken und nicht mehr vom Klo run­ter­kom­men, fin­det ein Not­ruf statt.….. 

    Leu­te, die so etwas mit sich rum­tra­gen, hal­te ich – mit Ver­laub – für hirnverbrannt.

    Antworten

  7. Okay, ich wer­fe mein Smart­phone in den Gul­ly und ver­wen­de wie­der das olle Nokia 6300, was noch für Not­fäl­le in der unters­ten Schreib­tisch­schub­la­de bereit­liegt. Oder darf ich dann nie mehr zum Friseur??

    Antworten

  8. Off topic, aber wich­ti­ger als die­ser Neben­kriegs­schau­platz ist:

    Durch die C‑Impfung her­vor­ge­ru­fe­ne resis­ten­te­re Coro­na-Viren wer­den zu einer grö­ße­ren Kata­stro­phe führen.

    Anfangs in USA, GB und Isra­el, dank deren ver­meint­li­cher kurz­zei­ti­ger Impferfolge.

    Jün­ge­re soll­ten sich NICHT imp­fen las­sen, son­dern mög­lichst gesund leben und nor­mal an Coro­na erkranken. 

    Eine offe­ne­ne wis­sen­schaft­li­che Dis­kus­si­on dar­über ist sehr von Nöten.

    Södolf will die Jün­ge­ren impfen.
    Wer stoppt ihn?

    https://​www​.you​tube​.com/​w​a​t​c​h​?​v​=​Y​t​H​f​I​0​0​D​_s4

    Antworten

  10. An sich braucht es die Über­wa­chungs­app gar nicht mehr. Wir haben gesetz­lich ver­ord­ne­te Rauch­warn­mel­der in den Woh­nun­gen, die häu­fig Funk­rauch­warn­mel­der sind. Die Fabri­ka­te von Techem ent­hal­ten zusätz­lich Ultra­schall­ab­stands­mes­ser und Hel­lig­keits­mes­ser. Damit lie­ße sich schon abschät­zen, wie­vie­le Leu­te sich im Schlaf- und Wohn­zim­mer befin­den. Außer­dem wer­den ver­mehrt fun­ken­de Wasser‑, Strom- und Hei­zungs­zäh­ler ver­baut, die im Minu­ten­takt Daten erfas­sen und über­tra­gen. Damit las­sen sich auch unge­wöhn­li­che Nut­zungs­mus­ter einer Woh­nung auf­de­cken. Aber wer nichts zu ver­ber­gen hat, braucht ja auch nichts zu befürchten.

    Antworten

  11. Klingt sehr kom­for­ta­bel und praxistauglich.
    Wer ger­ne For­mu­la­re aus­füllt und schon immer ger­ne eine Sta­si­ak­te gehabt hät­te wird das Teil lieben.

    Antworten

  12. Man neh­me:
    Die Url der App
    https://​luca​-app​.de/
    füge die­se in das Online-Tool webkoll
    https://​webb​koll​.data​skydd​.net/​de/
    ein
    und man erhält fol­gen­de Angaben:

    Ergeb­nis­se für http://​www​.luca​-app​.de
    2021-03-09 10:24:39 Etc/UTC

    HTTPS als Vor­ein­stel­lung: Ja
    Con­tent Secu­ri­ty Poli­cy: fehlt
    Refer­rer Poli­cy: Refer­rers wer­den übermittelt
    Coo­kies: 0
    Dritt­an­fra­gen (Third-Par­ty): 5 Anfra­gen an 3 ein­zig­ar­ti­ge Hosts
    Ser­ver­stand­ort: Deutschland—35.207.72.235
    ——
    auf NACHSCHLAGEN anklicken
    Location
    City Frank­furt am Main
    Regi­on Hes­se (HE)
    Pos­tal code 60313
    Coun­try Ger­ma­ny (DE)
    Con­ti­nent Euro­pe (EU)
    Coor­di­na­tes 50.1188 (lat) / 8.6843 (long)
    Time 2021-03-09 11:24:48 (Europe/Berlin)

    Net­work
    IP address 35.207.72.235
    Host­na­me 235​.72​.207​.35​.bc​.goo​g​leu​ser​con​tent​.com
    Pro­vi­der GOOGLE
    ASN 15169

    Im "Daten(NICHT)schutz-Schlaffenland-Hessen" angesiedelt!
    Da kann nichts schief gehen!

    Was nützt der gan­ze Sicher­heits-und Daten­schutz-Schnick­schnack, wenn alle Daten über
    google
    "lau­fen?"

    Antworten

  13. Jetzt wird es lang­sam mal Zeit die App und home­of­fice co2 Bilan­zen zu errech­nen. Da müss­ten die Grü­nen im Drei­eck hüp­fen, nach mei­ner Schät­zung müss­te die ver­hee­rend sein.

    Antworten

  14. Anbei eine Aus­wahl an sol­chen Daten­schutz-Falsch­mel­dun­gen, die dazu beitragen,
    dass Daten­schutz als »Ver­hin­de­rer« wahr­ge­nom­men wird.

    Medi­en­bei­trä­ge
    Zwangs­nut­zung Corona-Warn-App
    Kri­tik an Daten­schutz: Bit­kom for­dert Zwangs­nut­zung von Coro­na-Apps (März 2021, golem​.de)
    Nida-Rüme­lin kri­ti­siert Fest­hal­ten an Daten­schutz (März 2021, Deutschlandfunk)
    Rich­tig ist: Akzep­tanz schafft man nicht durch Zwang und Vor­schrif­ten, son­dern über Ver­trau­en und Dialog.
    https://​www​.kuketz​-blog​.de/​c​o​r​o​n​a​-​p​a​n​d​e​m​i​e​-​e​i​n​e​-​s​a​m​m​l​u​n​g​-​v​o​n​-​d​a​t​e​n​s​c​h​u​t​z​-​f​a​l​s​c​h​m​e​l​d​u​n​g​en/

    Sie­he auch: Tech­nik­tipps für Ein­stei­ger – Profis
    https://​www​.kuketz​-blog​.de/​e​m​p​f​e​h​l​u​n​g​s​e​c​ke/

    Antworten

  15. Aus­gangs­punkt
    https://​www​.weser​-kurier​.de/
    darin

    » Achi­mer Kurier
    » Coro­na: Stadt Achim ist eine der Modell­re­gio­nen für Lockerungen

    Öff­nung von Läden und Außengastronomie
    Achim wird Coro­na-Modell­re­gi­on in Niedersachsen
    Kai Pursch­ke und Brit­ta Kör­ber 03.04.2021 0 Kommentare

    Die Stadt Achim gehört zu den 25 Modell­re­gio­nen in Nie­der­sach­sen, in denen nun Coro­na-Locke­run­gen aus­pro­biert wer­den. Unter bestimm­ten Vor­aus­set­zun­gen dür­fen Geschäf­te und Fit­ness­stu­di­os öffnen.

    Vor­aus­set­zung für den Zutritt sind aller­dings ein tages­ak­tu­el­ler nega­ti­ver Coro­na-Schnell­test sowie die elek­tro­ni­sche Erfas­sung der Kon­takt­da­ten über die Luca-App. 

    https://​www​.weser​-kurier​.de/​r​e​g​i​o​n​/​a​c​h​i​m​e​r​-​k​u​r​i​e​r​_​a​r​t​i​k​e​l​,​-​a​c​h​i​m​-​w​i​r​d​-​c​o​r​o​n​a​m​o​d​e​l​l​r​e​g​i​o​n​-​i​n​-​n​i​e​d​e​r​s​a​c​h​s​e​n​-​_​a​r​i​d​,​1​9​6​8​1​1​5​.​h​tml

    Antworten

  16. Anmer­kung: Ande­re Län­der sind beim The­ma Digitalisierung=Überwachung schon weiter.
    Wir holen jetzt auf!

    "MfG, GPLDie fan­tas­ti­sche Lizenz der Luca-App

    Doch von Anfang an gab es Kri­tik an der App.
    Ein For­schungs­team der Uni­ver­si­tät EPFL in Lau­sanne zeig­te in einer Ana­ly­se auf,
    https://​arxiv​.org/​p​d​f​/​2​1​0​3​.​1​1​9​5​8​.​pdf?
    dass die zen­tra­le Spei­che­rung von Daten auf den Ser­vern der Luca-Betrei­ber ein poten­ti­el­les Sicher­heits­ri­si­ko darstelle. 

    Auch könn­ten Nutzer:innen zu leicht de-anony­mi­siert werden.
    Wer das zen­tra­li­sier­te Sys­tem nut­ze, müs­se den Ver­spre­chen der Betrei­ber über Sicher­heit und Anony­mi­tät vertrauen."
    Quelle:
    https://​netz​po​li​tik​.org/​2​0​2​1​/​m​f​g​-​g​p​l​-​d​i​e​-​f​a​n​t​a​s​t​i​s​c​h​e​-​l​i​z​e​n​z​-​d​e​r​-​l​u​c​a​-​a​pp/

    Antworten

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.