Zumindest in der IT-Sicherheit sind sich alle einig, dass man nicht gerne eine zentrale Lösung hätte. Zentrale Lösungen haben ein höheres Missbrauchspotenzial, weil die erhobenen Daten Einblicke in die Privatsphäre erlauben könnten. Auch könnte eine zentrale Lösung ein interessantes Ziel von Hacker-Angriffen sein. Die dezentrale Lösung ist insofern im Vorteil, als keine zentrale Instanz etwas lernt, sie ist also datenschutzfreundlicher, privatsphärenfreundlicher. Aber man muss auch sagen: So eine naive Lösung, bei der Daten und Ort im Klartext verwaltet werden, wurde zumindest in Europa auch gar nicht vorgeschlagen. Denn auch die Pepp-PT-Lösung, von der jetzt die Bundesregierung Abstand nimmt, benutzt zufällige IDs, die sich ständig ändern, bloß dass dieses "Matching", ob ich jetzt einem Infizierten begegnet bin oder nicht, tatsächlich zentral gemacht wird.

Weswegen wird die Pepp-PT-Lösung von IT-Sicherheitsexperten trotzdem eher abgelehnt?

Die Befürchtung ist, dass man diesen zentral gesammelten Daten trotz Pseudonymisierung immer noch einiges ansieht. Auch ohne Klarnamen kann man gewisse Rückschlüsse ziehen wie: Jemand trifft viele andere, oder jemand trifft nicht viele andere. Und es ist zumindest denkbar, dass jemand einige der Personen hinter den Pseudonymen doch kennt, weil er die irgendwo beobachtet hat – die Person, die den Server verwaltet, läuft ja vielleicht selber mit dem Handy herum, oder mit mehreren, und könnte dann mit Hilfe der aufgeschnappten und der zentral verwalteten und pseudonymisierten Daten doch sehr viel rekonstruieren. Ein Ansatz dazwischen wäre, die Verarbeitung der Daten auf mehrere Server zu verteilen. Die müssten erst alle zusammenarbeiten, um die Privatsphäre zu verletzen.

Sind dezentrale Lösungen grundsätzlich besser, was den Schutz der Privatsphäre angeht?

Nicht immer. Ein Beispiel: Insbesondere, wenn die App quelloffen ist – was ja auch IT-Experten verlangen –, könnten Sie theoretisch bei sich eine Variante installieren, die Sie anders programmiert haben und die alle Pseudonyme mit Ort und Zeit mitloggt, also aufzeichnet. Wenn Sie dann wegen Kontakt zu einem Infizierten gewarnt werden und sehen dessen Pseudonym, könnten Sie dadurch sofort wissen, wer das ist. Dass dezentrale Lösungen privatsphärenfreundlicher sind, stimmt also auch nicht immer, weil bei ihnen ein korrumpierter Teilnehmer im Prinzip eher erfahren kann, wer von den Personen, denen er begegnet ist, infiziert war.

Keine Lösung ist also rundum perfekt?

Im Prinzip läuft es auf ein Vertrauensmodell hinaus: Einmal misstrauen Sie den Behörden und allem Zentralen, aber vertrauen darauf, dass sich die Nutzer in weitesten Teilen wohlverhalten. Und im anderen Fall haben Sie weniger Vertrauen in die Nutzer. Denn wenn die Warnung zentral erfolgt, dann weiß die gewarnte Person nicht, wem sie begegnet ist, dann erfährt sie nur: Ich bin jemandem begegnet, der infiziert war. Punkt. Dann kann man einen Test machen lassen oder in Quarantäne gehen. Das ist vielleicht auch eine kulturelle Frage. Ich könnte mir vorstellen, dass man in Deutschland eher geneigt wäre, zentralen Gesundheitsbehörden zu vertrauen als in anderen Ländern.

Nun könnte man ja auch sagen: Vertrauen ist gut, die Vermeidung jeglichen staatlichen Zugriffs ist besser.

Aus Sicht des Schutzes vor Massenüberwachung ist die dezentrale Lösung auf jeden Fall vorzuziehen. Hat man aber Angst vor Stigmatisierung der Infizierten, dann ist eine eher zentralisierte Lösung besser. Es gibt also Unterschiede, aber die sind subtil.

Was würden Sie nun vorschlagen?

Wenn man mich jetzt ganz pragmatisch fragt: Ich würde möglichst schnell eine App bringen, und würde dann aber sagen, dass es einen Stichtag geben muss, an dem diese App entweder komplett abgeschaltet und die Daten gelöscht sein müssen oder sie abgelöst wird durch eine noch besser entwickelte App. Es ist schon jetzt ziemlich gut, was vorgeschlagen wird, und ich fände es schade, wenn diese Diskussion jetzt diesen App-Ansatz verhindert. Denn ich glaube, dass ein besseres Tracing – bessere Warnmöglichkeiten, eine bessere Rückverfolgung der Infektionsketten – weitere Lockerungen der Corona-Maßnahmen ermöglichen könnte. Diese Maßnahmen sind ja Einschränkungen unserer Grundrechte, und wenn nun eine App helfen kann, diese zurückzunehmen, dann wäre ich im Moment ein bisschen pragmatisch. Sofern bestimmte Kriterien eingehalten werden.

Im offenen Brief der 300 Wissenschaftler sind vier zentrale Anforderungen genannt: Neben dem Schutz der Privatsphäre sind dies noch Zweckbindung, Transparenz und Freiwilligkeit.

Zentral ist, dass alle Leute, die mit den Daten in Berührung kommen, sich verpflichten müssten – und dafür haften müssten –, dass die Grundregeln der Datenschutzgrundverordnung eingehalten werden. Und da ist der wichtigste Punkt die Zweckbindung. Das heißt, auf keinen Fall dürfen diese Daten für irgendetwas anderes – etwa Marketing – verwendet werden, sondern wirklich nur für diese Medizinanwendung.

Zur Forderung nach Transparenz, dass der Quellcode einsichtig ist. Was ist daran so wichtig?

Wenn der Quellcode nicht einsichtig ist, dann ist die Anwendung für Sie wie eine Black Box. Das heißt, Sie wissen im schlimmsten Fall gar nicht, ob diese Pseudonyme, die beispielsweise ausgesendet werden, nicht doch irgendwie heimlich Ihren Namen enthalten. Und wenn man jetzt die Gelegenheit hätte, auf ganz viele Handys unter dem Deckmantel der guten Tat eine Überwachungs-App aufzuspielen, dann kann man so etwas nur durch Transparenz verhindern.

Transparenz betrifft ja zum einen die App als solche, zum anderen aber auch die Schnittstellen, die das Betriebssystem des Handys enthalten muss, damit die App überhaupt läuft. Und die Betriebssysteme sind meistens von Apple und Google, die sich im Falle der Tracing-Apps zwar sehr entgegenkommend zeigen, aber deren Rolle angesichts ihrer Datensammelwut auch sehr kritisch gesehen wird.

Zu allererst finde ich es gut, dass Google und Apple sagen, wir wollen es bestimmten Apps ermöglichen, selbst wenn die App nicht im Vordergrund läuft, im Hintergrund Bluetooth verwenden zu dürfen. Das ist zu Recht den meisten Apps verboten, weil die sonst wer weiß was für Schindluder treiben würden. Einerseits also erst einmal positiv. Andererseits ist es natürlich so, dass wir zu Recht ein tiefes Misstrauen haben, wenn Unternehmen, die mit Daten Geld verdienen, diese Daten auch irgendwie mitverwalten. Und das ist leider ein gewisses Problem, bei dem ich im Moment auch noch nicht weiß, wie eine Lösung aussehen könnte. Zumal Apple und Google gar nicht unter europäischer Gerichtsbarkeit stehen. Und zumal sie, falls sie irgendeine Zusatzfunktion einbauen würden, es wahrscheinlich so raffiniert machen würden, dass es letztlich doch irgendwie gesetzeskonform wäre. Oder Sie in den AGBs doch wieder zustimmen würden.

Für wie wahrscheinlich halten Sie das?

Im Moment denke ich tatsächlich: Wenn die jetzt mit Daten Schindluder treiben würden, wo es um Gesundheit geht, und bei einer App, bei der alle Leute Angst vor Missbrauch der Daten haben, wäre es für diese Firmen echt geschäftsschädigend, wenn es herauskäme. Ich würde mir trotzdem prinzipiell Gedanken machen, ob es auch irgendwie anders geht, aber ich glaube, andere Lösungen sind momentan sehr, sehr schwierig – man bräuchte vielleicht spezielle kleine Bluetooth-Geräte, die wir alle noch nicht haben.

Für Unruhe im Netz sorgte kürzlich das Gerücht, dass so eine App automatisch bei System-Updates aufgespielt werden soll. Wie beurteilen Sie das?

Das ist meines Erachtens sehr schwer zu beurteilen, denn ich glaube – aber ich bin kein Jurist –, ein automatisches Aufspielen ist noch kein Zwang, sofern die App noch nicht angeschaltet ist. Analog zu anderen Apps, die Ihnen vorgeschlagen werden, wenn Sie ein neues Smartphone gekauft haben, und die auch nicht automatisch an sind. Natürlich wäre für mich ein Problem da, wenn es beispielsweise eine europäische Lösung und eine amerikanische Lösung gäbe, und die amerikanische wäre vorab aufgespielt und würde sich nur insoweit an die Datenschutzgrundverordnung halten, dass man den AGBs zugestimmt hat, aber danach würden die Daten von Apple oder Google anders verwendet. Das fände ich tatsächlich schlimm. Aber wenn es die gleiche App wäre, bei der ich glücklich wäre, wenn wirklich ein substanzieller Teil der Bevölkerung sie bei sich hätte, dann fände ich es gut, wenn sie vorab aufgespielt wäre.