Darum geraten nun die Check-in-Apps ins Visier

Der Schweiz fehlt eine vom Bund beaufsichtigte sichere Plattform für die Speicherung der Kontaktdaten, die Restaurants und andere Gastrobetriebe gemäss den gesetzlichen Bestimmungen (Covid-19-Verordnung) durchführen müssen. Private Unternehmer sind in die Bresche gesprungen – und sehen sich nun mit Datenschutzbedenken konfrontiert. Dieser Beitrag geht den wichtigsten Fragen und Antworten nach.

Experten warnen

Unabhängige Schweizer IT-Fachleute warnen, beim Contact Tracing drohe "ein kantonales App-Chaos". Im Visier haben sie die nicht-staatlichen Check-in-Apps, bei denen die Kontaktdaten von Restaurantgästen in einer zentralen Datenbank gespeichert werden. Dies soll den Wirten und Event-Veranstaltern den Alltag erleichtern, birgt aber Risiken.

Das Online-Magazin "Republik" schrieb letzte Woche von einem "veritablen Datenschutzalptraum". Dies, weil sich die grössten Schweizer Anbieter von Check-in-Apps zusammengetan haben, um die User-Daten in einer gemeinsamen Datenbank zu speichern (dazu gleich mehr).

Seit kurzem wissen wir, dass Bern als erster Kanton eine gesetzliche Grund­lage für die zentrale Speicherung von Kontakt­daten geschaffen hat. Der Berner Regierungs­rat hat entschieden, dass Restaurants, Bars und Clubs ab Montag, 10. Mai, ihre Besucher­daten mit Check-in-Apps erfassen sollen. Und dass diese Kontaktdaten "permanent an eine zentrale Daten­bank des Kantons übertragen werden sollen".

Weitere Kantone seien kurz davor, es den Bernern gleichzutun, haben die beiden Tech-Journalisten Adrienne Fichter und Florian Wüstholz recherchiert.

Die hehren Grundsätze, trotz Corona-Pandemie an hohen Datenschutz-Standards festzuhalten, würden nun über Bord geworfen, befürchtet die "Republik". Dem pflichten Wissenschaftler und Vertreter der Zivilgesellschaft bei.

Der neu gegründete Verein CH++, zu dessen Gründern der Epidemiologe und SwissCovid-Miterfinder Marcel Salathé gehört, kritisiert in einer Stellungnahme die zögerliche Haltung des Bundes, bzw. des Bundesamts für Gesundheit (BAG). Dies hinterlasse "ein digitales Vakuum", in welches nun verschiedene Kantone und Apps springen würden.

Die Non-Profit-Organisation, die die Schweiz in Sachen Digitalisierung auf Touren bringen will, hat am Donnerstag ein Positionspapier zum digitalen Contact Tracing veröffentlicht.

Darin heisst es, zentralisierte Datenbanken stellten ein erhebliches Missbrauchs-Risiko dar. Die App-Nutzer würden damit ihre persönlichen Daten aus der Hand geben und so die Kontrolle darüber verlieren.

Die ETH-Professorin Carmela Troncoso, wie Marcel Salathé im Entwicklungsteam von SwissCovid, mahnt, man solle keine "Infrastrukturen zur digitalen Überwachung" aufbauen. Diese könnten zweckentfremdet werden. So liessen sich etwa persönliche Bewegungsprofile erstellen.

Der Verein CH++ mahnt, die Weiterverwertung der Daten für andere Zwecke bleibe jederzeit möglich. "Zwar sollen gesetzliche Regeln dies verhindern – aber eben nur solange, bis diese durch neue Regeln ersetzt werden. Die Erfahrung aus anderen Ländern zeigt, dass digitale Infrastrukturen ohne Transparenz und Dezentralität über Zeit sehr einfach zu anderen Überwachungszwecken umfunktioniert werden können."

Das Dilemma der Kantone

Die Kantone stehen vor dem Dilemma, entweder eine eigene digitale Plattform für die Kontaktdaten zu betreiben, oder auf Lösungen aus der Privatwirtschaft zu setzen. Dies, weil der Bund keine sichere Lösung zur Verfügung stellt.

Weil der Staat zögert, seitens Privatwirtschaft aber ein berechtigtes Interesse an digitalen Lösungen besteht, haben sich zahlreiche Firmen daran versucht. Der Verband Gastro Suisse listet auf seiner Website rund 16 Apps auf. Wobei die Speicherung der sensiblen Daten das Hauptproblem ist.

Einflussreiche Vertreter der Gastrobranche und Anbieter von Check-in-Apps einigten sich Ende 2020 auf ein gemeinsames Vorgehen. Sie lancieren eine Daten­bank namens "Swiss Contact Tracing Database" (SCTdb), in der die Kontaktdaten zentral gespeichert werden. Dies soll Gastrobetreibern und Gesundheitsbehörden die Arbeit erleichtern. Wobei die Kantone zur Kasse gebeten werden, wenn sie zwecks Seuchenbekämpfung auf die Datenbank zugreifen wollen.

Federführend bei dem Projekt ist Jean-Paul Saija – Co-Chef der Schweizer Firma Mindnow, deren Check-in-App "Mindful" bereits bei über 6000 Gastrobetrieben im Einsatz ist.

Saija gehört zu den Verfechtern der zentralisierten Datenspeicherung, was das digitale Contact Tracing betrifft. Dieses Vorgehen biete grosse Vorteile gegenüber dezentralen Lösungen, weil die Gesundheitsbehörden rasch und effizient auf die Kontaktdaten zugreifen könnten. Dies sei beim sogenannten Backward-Tracing entscheidend, also dann, wenn es darum geht, Corona-Cluster zu erkennen und Superspreader-Events einzudämmen. Die Datenschutzbedenken gelte es ernst zu nehmen, jedoch müsse man diese in einer Güterabwägung den Risiken der Corona-Krise gegenüber stellen.

Was ist mit SwissCovid?

Beim Bund wird unter Hochdruck an der Integration einer datenschutzkonformen (und absolut freiwilligen) Check-in-Funktion in die SwissCovid-App gearbeitet.

Marco Stücheli vom BAG teilt Watson mit: "Wir können bestätigen, dass eine Variante des CrowdNotifier-Protokolls in die SwissCovid-App integriert wird. Die Check-In-Funktion ohne Erfassung der Kontaktdaten erweitert die SwissCovid-App. Sie berücksichtigt nicht nur enge Kontakte, sondern auch solche, die zum gleichen Zeitpunkt am gleichen Ort waren – unabhängig vom Abstand."

Dabei handelt es sich um eine datenschutzkonforme Funktion, die dem von der EPFL und der IT-Firma Ubique entwickelten CrowdNotifier-Protokoll entsprechen soll. Wie bei SwissCovid werden keine verwertbaren Daten auf Servern gespeichert und die Nutzung soll absolut freiwillig sein. Diese Funktion kann und wird also nicht die bereits in Umlauf befindlichen privaten Check-in-Apps ersetzen.

Die neue Funktion ersetze nicht die Pflicht zur Kontaktdatenerfassung, wie sie in der Covid-19-Verordnung zur besonderen Lage festgehalten sei. Die erweiterte SwissCovid-App soll gemäss BAG-Strategie neu insbesondere dort angewendet werden, wo "Menschen sich treffen aber keine Pflicht zur Kontaktdatenerfassung besteht". Mögliche Einsatzorte seien private Treffen, Vereinsanlässe wie auch im professionellen Umfeld (Sitzungszimmer, Hörsäle, Kantinen, etc.).

Die Erweiterung der SwissCovid-App um eine solche Funktion ist überfällig, die Technologie wurde seit Anfang Jahr an der Technischen Hochschule in Lausanne (EPFL) getestet. Das Feature sollte auch die Popularität der Corona-Warn-App ankurbeln, deren Nutzerzahlen zuletzt stagnierten und bei knapp 1,8 Millionen aktiven Usern pro Tag liegen.

Während die deutsche Corona-Warn-App seit Ostern über eine vergleichbare Funktion verfügt, müssen sich die Schweizer Smartphone-User weiter gedulden.

Der SwissCovid-Sprecher: "Für eine Integration in die SwissCovid-App benötigt es eine Reihe von technischen und juristischen Arbeiten. Zurzeit gehen wir davon aus, dass dieses Projekt bis zu den Sommerferien abgeschlossen ist."

Während die Rufe nach weiteren Öffnungen immer lauter werden, lässt die neue SwissCovid-Funktion also noch auf sich warten. Und für Gastrobetriebe, die die Gäste-Kontaktdaten erfassen müssen, bietet das BAG keine Lösung an.

Schon im Oktober 2020 hatte es seitens BAG geheissen, der Bund habe "keine rechtliche Grundlage", ein zentralisiertes Contact-Tracing-System zu betreiben, bei dem die Kontaktdaten in einer zentralen Datenbank gespeichert werden.

Gastronomiebetriebe und Event-Veranstalter sind aber weiterhin verpflichtet, die Kontaktdaten der Besucherinnen und Besucher zu erfassen und zwecks Nachverfolgbarkeit für 14 Tage sicher, bzw. datenschutzkonform zu speichern.

Weil der Bund keine sichere Plattform fürs Erfassen der Kontaktdaten zur Verfügung stellen will, sind private Anbieter wie Mindnow.io in die Bresche gesprungen.

Die von der Zürcher Digitalagentur Mindnow.io entwickelte Check-in-App Mindful ist gemäss Angaben auf der Website «die am meisten verwendete App zum Contact Tracing zur Bekämpfung des Coronavirus in der Schweiz». Seit vergangenem Dezember gehört sie dem Event-Veranstalter Ticketcorner, einem Tochterunternehmen des Ringier-Konzerns.

Das Bundesamt für Gesundheit sei nicht an der Check-in-App interessiert gewesen, betonte Jean-Paul Saija im Gespräch mit Watson. "Wir wollten sie für den symbolischen Betrag von einem Franken an den Bund verkaufen."

In der Schweiz verdiene niemand Geld mit den Kontaktdaten der Restaurantbesucher, sagt der IT-Firmenchef. Seine Mitarbeitenden hätten inzwischen drei Produkte für die Pandemiebekämpfung entwickelt, in unzähligen Arbeitsstunden. "Wir sind ehrlich gesagt froh, wenn wir uns wieder vermehrt anderen spannenden IT-Projekten zuwenden können."

Hingegen ist offensichtlich, dass Eventveranstalter und andere Namen aus der Gastronomiebranche ein grosses Interesse haben, den Gästen eine gewisse Sicherheit zu vermitteln. Hier besteht seitens Privatwirtschaft ein nicht unerheblicher Druck, möglichst bequeme Lösungen anzubieten. Die Leute sollen mit ihren Smartphones an Events und in Lokalen einchecken können, ohne mühsames Ausfüllen von Zetteln.

Wie geht's weiter?

Die Öffentlichkeit weiss seit dem vergangenen Sommer und Herbst, dass der Föderalismus ein effizientes Nachverfolgen von Corona-Fällen behindert und manchmal gar verunmöglicht. Etwa dann, wenn es um ein schnelles kantonsübergreifendes Warnen von Personen gehen sollte, die möglicherweise von einer Covid-19-Erkrankung betroffen sind.

Da das Contact Tracing in den Aufgabenbereich der Kantone fällt, bietet der Bund, bzw. das Bundesamt für Gesundheit (BAG), keine technische Lösung an für das Registrieren der Kontaktdaten in Gastrobetrieben und an Events. Bundesbern schreibt die befristete Datenspeicherung vor, doch bei der Umsetzung sind die Kantone auf sich gestellt.

Die SwissCovid-App kann und soll nicht dafür verwendet werden, die persönliche Daten der User zu erfassen und an die Gesundheitsbehörden zu übermitteln. Dies würde den gesetzlichen Vorgaben widersprechen, die das Parlament im Sommer 2020 verabschiedet hat. Und dem würden sich auch die Techgiganten Apple und Google verweigern. Sie stellen wichtige technische Schnittstellen für die Tracing-Apps zur Verfügung – für Android-Handys und iPhone-Modelle.

Immerhin wächst der öffentliche Druck auf das Bundesamt für Gesundheit (BAG), die SwissCovid-App um eine datenschutzkonforme Check-in-Funktion zu erweitern.

Offenbar laufen noch weitere Abklärungen, bevor das Bundesamt für Gesundheit (BAG) die Integration der Check-in-Funktion per App-Update lancieren kann.

Und selbst wenn SwissCovid Version 2.0 in den App Stores von Apple (iOS) und Google (Android) verfügbar ist, werden damit die Datenschutzrisiken der privaten Check-in-Apps mit zentralisierter Datenspeicherung nicht gelöst.

Wo ist bei den Check-in-Apps das Problem?

Die privaten Check-in-Apps seien allesamt weder öffentlichen Sicherheits­tests unterzogen, noch unabhängig auf Daten­schutz-Risiken überprüft worden, kritisieren die "Republik"-Journalisten. Und auch bei der Transparenz mangele es: Der Quellcode sei nicht frei einsehbar. Das heisst, im Gegensatz zu SwissCovid ist der Open-Source-Anspruch nicht erfüllt. (Wobei anzumerken ist, dass Teile der Betriebssysteme Android und iOS/iPhone, die für die dezentralisierten Tracing-Apps unverzichtbar sind, ebenfalls nicht einsehbar sind.)

Gegenüber Watson betont der Mindnow-Chef, dass nur ganz wenige autorisierte Personen die in der Datenbank verschlüsselt abgelegten Daten einsehen könnten. Alle Zugriffe auf die Datenbank würden zudem registriert, sodass nach missbräuchlichem Zugriff Aufklärung möglich wäre.

Selbstverständlich widersprechen diese Lösungen mit zentralisierter Datenspeicherung dem Grundsatz der Datensparsamkeit (Privacy by Design). Da es der Bund versäumt hat, eine eigene Plattform zu entwickeln, müssen die Bürgerinnen und Bürger nun mit dem Risiko von Datenmissbrauch leben, wobei fraglich ist, wer in konkreten Fällen haftet.

Braucht's diese Kontaktdaten überhaupt?

Dazu der Epidemiologe Marcel Salathé: "Die richtige Vorgehensweise wäre, diese Verordnungen [des Bundes] anzupassen. Diese wurden ja kurzfristig für die Corona-Situation gemacht, und sollten dementsprechend auch laufend an die neue Situation angepasst werden.

Es ist aus epidemiologischer Sicht wirklich nicht nötig, die Gastro-Betreiber dazu zu zwingen, dermassen viele persönliche Daten über ihre Gäste auf Vorrat zu sammeln. Den epidemiologischen Impact kann man auch anders erreichen, das hat ja auch schon die dezentrale SwissCovid-App gezeigt, die ohne solche Datensammlung auf Vorrat auskommt."

Jean-Paul Saija betont in einer weiteren Stellungnahme, er sei auch ein absoluter Befürworter der Datensparsamkeit und ziehe grundsätzlich die dezentrale Lösung einer zentralen Lösung vor. Wie immer, müsse man aber die "Pains & Gains" im Auge behalten. Nur das Eine zu verlangen, ohne das Andere zu verstehen, sei immer die falsche Methode.

Dieser Beitrag ist zuerst auf "Watson.ch" erschienen.