Bahrain, Kuwait und Norwegen haben einige der invasivsten COVID-19-Apps zur Ermittlung von Personenkontakten weltweit eingeführt und gefährden damit die Privatsphäre und Sicherheit von Hunderttausenden von Menschen. Das zeigt eine aktuelle Untersuchung von Amnesty International.
Das Security Lab von Amnesty International hat Apps zur Kontaktverfolgung aus Europa, dem Nahen Osten und Nordafrika überprüft. In einer detaillierten technischen Analyse von elf Apps aus Algerien, Bahrain, Frankreich, Island, Israel, Katar, Kuwait, dem Libanon, Norwegen, Tunesien und den Vereinigten Arabischen Emiraten erwiesen sich die Apps als problematisch bis gefährlich für die Menschenrechte. Die Apps „BeAware Bahrain“ aus Bahrain, „Shlonik“ aus Kuwait und „Smittestopp“ aus Norwegen stellte sich als alarmierende Massenüberwachungsinstrumente heraus. Sie alle führen aktiv eine Live- oder Beinahe-Live-Ortung der Standorte von Nutzer*innen durch das häufige Hochladen von GPS-Koordinaten auf einen zentralen Server durch.
Norwegen hat inzwischen auf Kritik reagiert und seine App „Smittestopp“ gestoppt. Die Entscheidung fiel nur wenige Stunden bevor Amnesty International die Analyse veröffentlichte und nachdem die Organisation ihre Ergebnisse am 2. Juni den norwegischen Behörden und der Datenschutzbehörde des Landes mitgeteilt hatte. Amnesty International traf sich am 10. Juni auch mit dem Leiter der Entwicklungsabteilung für die „Smittestopp“-Anwendung.
Bahrain, Kuwait und Norwegen haben höchst aggressive Überwachungsinstrumenten eingesetzt, die weit über das hinausgehen, was bei den Bemühungen zur Bekämpfung von COVID-19 gerechtfertigt ist.
Claudio Guarnieri, Leiter des Security Lab von Amnesty International
„Bahrain, Kuwait und Norwegen haben höchst aggressive Überwachungsinstrumenten eingesetzt, die weit über das hinausgehen, was bei den Bemühungen zur Bekämpfung von COVID-19 gerechtfertigt ist. Ihre Regierungen müssen den übergriffigen Apps in ihrer jetzigen Form unverzüglich Einhalt gebieten“, sagt Claudio Guarnieri, Leiter des Security Lab von Amnesty International, und sagt weiter:
„Die Entscheidung der norwegischen Behörden, die App zu stoppen, ist die richtige. Wir fordern die Regierungen von Bahrain und Kuwait nachdrücklich auf, ebenfalls unverzüglich die Verwendung solch invasiver Apps einzustellen. Sie übermitteln im Wesentlichen die Standorte von Nutzer*innen in Echtzeit an eine Regierungsdatenbank – es ist sehr unwahrscheinlich, dass das notwendig und verhältnismäßig ist. Technologie kann eine nützliche Rolle zur Bekämpfung der COVID-19-Pandemie spielen, aber die Privatsphäre der Menschen darf dabei nicht geopfert werden.“
Technologie kann eine nützliche Rolle zur Bekämpfung der COVID-19-Pandemie spielen, aber die Privatsphäre der Menschen darf dabei nicht geopfert werden.
Claudio Guarnieri, Leiter des Security Lab von Amnesty International
Corona-Apps in Bahrain, Kuwait und Norwegen beruhen auf einem aggressiven zentralisierten Ansatz und stellen eine große Gefahr für die Privatsphäre dar. Diese Systeme erfassen Standortdaten per GPS und laden diese in eine zentrale Datenbank hoch. Damit werden die Bewegungsprofile der Nutzer*innen in Echtzeit erfasst. Die App „EHTERAZ“ von Katar kann optional die Standorte aller oder auch nur bestimmter Nutzer*innen in Echtzeit orten. (Zum Zeitpunkt des Verfassens dieses Artikels war diese Funktion deaktiviert, Anm.).
Die Behörden all dieser Länder können diese vertraulichen persönlichen Daten leicht einer Person zuordnen, da sich die Nutzer*innen in Katar, Bahrain und Kuwait mit einer nationalen ID-Nummer registrieren lassen müssen, während in Norwegen eine Registrierung mit einer gültigen Telefonnummer erforderlich ist.
Andere vom Security Lab ausgewerteten Apps, darunter „E7mi“ aus Tunesien, beruhen ebenfalls auf einem zentralisierten Modell, ermitteln Kontakte zwischen Nutzer*innen jedoch nicht über die GPS-Koordinaten, sondern über das sogenannte „Proximity Scanning“ via Bluetooth. Katars „EHTERAZ“ erfasst neben den GPS-Koordinaten Bluetooth-Kontakte zwischen den Geräten der Nutzer*innen und lädt diese hoch.
Eine große Sicherheitslücke wurde in Katars App EHTERAZ gefunden. Sie gefährdete die vertraulichen persönlichen Informationen von mehr als einer Million Menschen, auf die Angreifer*innen hätten Zugriff erlangen können. Dies gab vor allem deswegen Anlass zur Sorge, weil die Nutzung der App ab dem 22. Mai verpflichtend wurde. Die Sicherheitslücke wurde behoben, nachdem Amnesty die Behörden Ende Mai über die Entdeckung in Kenntnis gesetzt hatte. Die Sicherheitslücke hätte es Cyber-Angreifer*innen ermöglicht, auf hochsensible persönliche Daten zuzugreifen, darunter den Namen, die nationale ID, den Gesundheitszustand und den ausgewiesenen Aufenthaltsort der Benutzer*innen.
Corona-Apps aus Ländern wie Frankreich, Island und den Vereinigten Arabischen Emiraten verwenden ein zentralisiertes Modell, wobei Informationen über Kontakte zwischen den Geräten nur dann hochgeladen werden, wenn Nutzer*innen freiwillig oder auf Anfrage der Gesundheitsbehörden melden, dass sie unter Symptomen leiden. Solche freiwilligen und einvernehmlichen Uploads verringern zumindest das Risiko einer Massenüberwachung, da die Daten nicht automatisch hochgeladen werden. Das zentralisierte Modell der französischen App zur Kontaktverfolgung wirft in Verbindung mit der mangelnden Transparenz darüber, wie die Daten gespeichert werden, allerdings die Frage auf, ob es möglich wäre, die Anonymisierung der Nutzerdaten im Nachhinein aufzuheben.
„Regierungen weltweit müssen bei der Einführung fehlerhafter oder in die Privatsphäre eindringender Apps zur Erfassung von Personenkontakten auf die Pause-Taste drücken. Wenn Apps zur Rückverfolgung von Kontakten eine wirksame Rolle bei der Bekämpfung von COVID-19 spielen sollen, müssen die Menschen darauf vertrauen können, dass ihre Privatsphäre geschützt ist“, sagt Claudio Guarnieri.
Sowohl die bahrainische als auch die kuwaitische App lassen sich mit einem Bluetooth-Armband koppeln, das sicherstellen soll, dass Nutzer*innen in der Nähe des Smartphones bleiben und die Quarantänemaßnahmen befolgen. Die kuwaitische App überprüft regelmäßig den Abstand zwischen Bluetooth-Armband und Smartphone und lädt alle zehn Minuten Standortdaten auf einen zentralen Server.
Standortdaten und zusätzliche Diagnoseinformationen des mit der App „BeAware Bahrain“ gekoppelten Armbands werden regelmäßig an einen zentralen Server gesendet. Alle Personen, die sich laut Registrierung zu Hause in Quarantäne befinden sollten, müssen das Armband tragen. Wer dies nicht tut, muss nach Gesetz Nr. 34 (2018) zur öffentlichen Gesundheit mit rechtlichen Konsequenzen rechnen, darunter mit einer mindestens dreimonatigen Haftstrafe und/oder einer Geldstrafe zwischen 1.000 und 10.000 BD (ca. 2.342 EUR bzw. 23.420 EUR).
Die Erfassung von Personenkontakten und die dafür entwickelten Apps können dabei helfen, die Pandemie zu bekämpfen. Damit sie menschenrechtskonform sind, müssen bei Apps zur Erfassung von Personenkontakten unter anderem Privatsphäre und Datenschutz schon bei ihrer Entwicklung Berücksichtigung finden, d. h. die gesammelten Daten müssen auf das notwendige Minimum begrenzt und sicher gespeichert werden. Jegliche Datenerhebung muss auf die Eindämmung von COVID-19 beschränkt sein und sollte nicht für andere Zwecke – wie Strafverfolgung, nationale Sicherheit oder Einwanderungskontrolle – verwendet werden. Auch dürfen Daten nicht an Dritte weitergegeben oder für kommerzielle Zwecke genutzt werden. Die Entscheidung, eine App zur Ermittlung von Personenkontakten herunterzuladen und zu verwenden, muss individuell und absolut freiwillig erfolgen. Alle erfassten Daten müssen anonym bleiben, auch dann, wenn sie mit anderen Datensätzen kombiniert werden.
„Regierungen, die zentralisierte Apps zur Ermittlung von Personenkontakten mit Echtzeit-Ortung einführen, müssen mit der Entwicklung noch einmal von vorn beginnen. Es gibt bessere Optionen, die es ermöglichen, die Ausbreitung der Krankheit zu verfolgen, ohne auf die sensiblen persönlichen Daten von Millionen Menschen zuzugreifen“, sagt Claudio Guarnieri.
Zusammenfassung der vom Security Lab von Amnesty International analysierten Apps zur Kontaktverfolgung
Wie die Untersuchung der COVID-19-Apps durch Amnesty International zeigt, lassen sich diese in drei Kategorien unterteilen. Da gibt es zum einen jene, die im Grunde keine digitale Kontaktverfolgung durchführen, sondern den Nutzer*innen die Möglichkeit geben, ihre Symptome freiwillig aufzuzeichnen und zu überprüfen (z. B. im Libanon und in Vietnam).
Dann gibt es Apps, die ein weitaus weniger aggressives, dezentralisiertes Modell der Bluetooth-Kontaktverfolgung verwenden, wie es auch von Google und Apple entwickelt wurde. Bei diesem Modell werden die Daten nicht in einer zentralen Datenbank, sondern auf den Handys der Nutzer*innen gespeichert. Dazu gehören Apps aus Ländern wie Österreich, Deutschland, Irland und die Schweiz. Amnesty International hat keine technische Überprüfung von Apps vorgenommen, die auf diesem Modell beruhen, da sie aus der Datenschutzsicht weniger bedenklich sind und sich noch in der Einführungsphase befinden.
Die dritte Art von Apps zur Kontaktverfolgung, die für die Menschenrechte die größte Gefahr darstellen, sind zentralisierte Apps. Sie protokollieren Daten, die über den Bluetooth-Sensor des Telefons oder über GPS (oder beides) erfasst wurden, und laden diese in eine zentrale staatliche Datenbank hoch. Die Nutzung dieser Apps ist in einigen Fällen verpflichtend. Amnesty International hat die Behörden in Bahrain, Kuwait und Norwegen vor der Veröffentlichung dieses Artikels schriftlich über die Datenschutz- und Sicherheitslücken im Zusammenhang mit den Apps informiert. Am 2. Juni teilte Amnesty International seine Ergebnisse mit dem norwegischen Ministerium für Justiz und öffentliche Sicherheit, dem norwegischen Institut für öffentliche Gesundheit und der Datenschutzbehörde des Landes. Am 10. Juni traf sich Amnesty International auch mit dem Leiter der Entwicklungsabteilung für die „Smittestopp“-Anwendung.
Weitere problematische Apps zur Kontaktverfolgung weltweit
Amnesty International hat in erster Linie Apps aus Europa, dem Nahen Osten und Nordafrika untersucht. Wie Untersuchungen anderer NGOs und Medien zeigen, gibt es weitere Apps und digitale Plattformen in anderen Regionen, die erhebliche Gefahren für die Menschenrechte darstellen, u. a. in China, Äthiopien und Guatemala.
)