»Luca ist bei der Kontaktverfolgung wirkungslos«

1000 Tweets zum Thema Luca-App - wie kam es dazu?

Es waren tatsächlich die unseriös wirkenden Allheilsversprechen des Rappers Smudo in den Talkshows, die mich auf das Thema haben blicken lassen. Schnell war klar, dass es kein genügendes Sicherheitskonzept gab. Das war teils hanebüchener Unsinn, der rund um die App geäußert wurde. Beim Blick dann in den Code der App und das drum herum reihten sich so viele eklatante Fehler aneinander, dass ich sagte: Darüber muss ich aufklären!

Was war der erste Tweet?

Da hab ich mich erst auf die Art und Weise bezogen, wie Smudo mit Kritik von IT-Sicherheitsforscherinnen, Netzaktivistinnen und Journalistinnen umgegangen ist. Das war frauenfeindlich. So ein Verhalten geht gar nicht.

Ging es denn direkt um die App oder eher um das Verhalten der Werber?

Zunächst gab es ja den freundlichen Aufruf, das Sicherheitskonzept zu überprüfen. Die Macher der App hatten das Sicherheitskonzept online gestellt und wollten, dass möglichst viele Menschen es gegenprüfen. Ich hab mich dann per Direktnachricht mit Anmerkungen gemeldet, aber es gab keinen sinnvollen Umgang mit der fachlichen Kritik. Auch nach Wochen konnte ich nicht erkennen, wo Kritik genutzt wurde, um Fehler zu beheben. Sie waren beispielsweise intransparent bei der Verschlüsselung und mit welchen Algorithmen oder Schlüsselstärken gearbeitet wurde. Auch der Umgang mit den Sicherheitsschlüsseln unterliegt gewissen Standards - da war aber nirgends ersichtlich, dass sich daran gehalten wird. Als ich solche Dinge dann meldete, wusste da niemand so richtig was mit anzufangen. Es wirkte auf mich, als habe die Werbeabteilung die Anfragen nicht verstanden und auch nicht an die richtigen weitergeleitet.

Da steckte schon einiges an Arbeit drin, oder?

Ja, ich habe mich mehrere Wochen und immer wieder mal mit der App, den Sicherheitslücken und den Mängeln im Konzept befasst. Geändert wurde nichts. Eine öffentlich einsehbare Datenschutzfolgeabschätzung fehlt der App bis heute.

Was ist von der Luca-App zu halten?

Im Prinzip war das eine gute Idee. Das sahen auch viele andere so und wollten die Entwicklung auch ehrenamtlich voranbringen. Aber hinter der guten Fassade ist leider nicht viel geblieben außer Marketing, PR und Covid-Glücksrittertum der Fantastischen 4 und Nexenio. Irgendwann habe ich dann einfach nur noch die vielen Meldungen gesammelt.

Warum ist ihnen das Engagement bei dem Thema wichtig?

Ich wünsche mir eine digitale Verwaltung und schnelle Unterbrechungen der Kontaktketten. Da hätte die Luca App sehr gut rein passen können. Ich möchte sowas möglichst digital erledigen können, aber eben auch sicher, ohne mir um meine Daten sorgen machen zu müssen. Mit der digitalen eID des Personalausweises einfach das Auto ummelden können, statt lange auf Termine zu warten und hingehen zu müssen. Viele Verwaltungsakte könnten binnen Minuten erledigt sein. Schnelle Unterbrechung der Kontaktketten ebenfalls. Aber der Umgang mit der Luca App hat erneut gezeigt, dass die Verwaltungen da nicht mit umgehen können.

Ist das in allen Projekten so?

Bei der Corona-Warn-App lief es nach anfänglichen Holprigkeiten deutlich besser. Da wird mit Rückmeldungen konstruktiv umgegangen und man bekommt Feedback. Auch in der vierten Welle der Pandemie helfen diese Apps als Ergänzung zur AHA-Regel, aber dann müssen sie auch funktionieren. Dass das bei der Luca-App nicht der Fall ist, sorgt für viel zu späte oder gar keine Warnungen. Gesundheitsämter sind total überlastet und stellen die Nachverfolgung reihenweise ein. Luca ist also derzeit wirkungslos.

Ist ein Ende des Twitter-Threads in Sicht?

Derzeit nicht. Die Versprechen der Luca-App haben sich als Covid-Glücksrittertum vom Feinsten herausgestellt. Das Konzept kam der Politik gerade recht - aber außer Marketing-Versprechen wurde nichts eingelöst. Auch von dem Tracking-Verfahren mit Schlüsselanhängern, das Sicherheitslücken hat und damit Live-Verfolgung von Menschen bietet, ist man bis heute nicht abgerückt. Dass die Luca-Schnittstelle zum Sormas-System der Gesundheitsämter zumindest theoretisch ausnutzbar ist, zeigt auch heute noch, dass diese App lieber nicht genutzt werden sollte. Schlimmstenfalls können damit Gesundheitsämter lahmgelegt werden. Dass die Macher der Luca-App die Verantwortung dafür auf die Gesundheitsämter abwälzen, nicht aber bei den eigenen, unsicher exportieren Daten, ist eine ziemliche Frechheit. Bis heute werden Sicherheitslücken eher bestritten oder schöngeredet, als behoben. Fehlerkultur geht anders.

Was Netzaktivistinnen zum ineffektiven Millioneninvestment sagen,
lesen Sie hier!

Was an den Apps funktioniert?

Die Corona-Warn-App bietet inzwischen eine Check-In Funktion. Das ist ein Fortschritt, und sobald sich Infektionen zeigen, werden alle gewarnt, die ebenfalls vor Ort waren. Das läuft anonym und ist wesentlich schneller, als mit der Luca-App. Kürzlich wurde berichtet, dass ein Bundesland ganze drei Fälle an Kontaktnachverfolgungen mit der Luca-App vorweisen konnte - das ist eine sehr schlechte Bilanz. Da ist zu viel Steuergeld reingeflossen und die Software funktioniert nicht, wie versprochen und angepriesen wurde.

Die Coronawarn-App soll nun auch die Luca-App-Codes einlesen können.

Dass das nicht immer komplett sauber klappt, liegt an den Luca-App generierten QR-Codes. Eigentlich müssen alle vor Mai erzeugten Luca-App-Codes - aus meiner Sicht am besten gleich als Code der Corona-Warn-App - neu generiert werden, damit das Zusammenspiel sauber läuft. Da weisen die Macher der Luca aber nicht deutlich genug drauf hin.

13 Bundesländer haben diese App im Abo lizenziert - die sollten jetzt dringend das Abonnement kündigen und endlich die Corona-Warn-App einsetzen. Mein Eindruck aber ist, man fühlt sich bei den Bundesländern nicht zuständig, die Verantwortungsdiffusion lässt grüßen und man nimmt schlichtweg hin, dass Luca nicht nur schlecht ist, sondern auch gegen schnelle Kontaktunterbrechungen wirkt.