Corona-Tracking-Apps: Was ist geplant, was könnte noch kommen - und was bringt das Ganze?

Das ging schnell: Als die Tagesschau und andere Medien am 18. März meldeten, dass die Deutsche Telekom ans Robert-Koch-Institut (RKI) anonymisierte Daten über die Bewegungsströme ihrer Mobilfunkkunden übergeben hatte, lautete die fast einhellige Einschätzung: Weitergehende Auswertungen von Bewegungs- und Nutzungsdaten sind in Deutschland nicht zu erwarten.

Das RKI suchte eine Einschätzung, ob sich die Mehrheit an die Empfehlungen zur Vermeidung größerer Menschenansammlungen hielt. Und die fraglichen Telekom-Daten unterschieden sich schließlich kaum von den anonymisierten Profilen, die tagtäglich für Stauprognosen und ähnliches genutzt wurden. Da sie im Wesentlichen auf der Positionsbestimmung über empfangene Mobilfunkzellen beruhen, sind diese Daten für eine Lokalisierung einer konkreten Person ohnehin zu ungenau.

Das Konzept Pepp-PT 

Zwei Wochen später dreht sich die öffentliche Diskussion schon um viel weiter reichende Daten-Nutzungen: Soll sich Deutschland Länder wie Singapur oder Südkorea zum Vorbild nehmen?

Also mit einer Tracking-App die Möglichkeit einräumen, dass sich Smartphone-Anwender informieren lassen, wenn ihr Weg den einer anderen Person gekreuzt hat, die – meist ohne es zu wissen – im fraglichen Zeitfenster bereits infektiös war? Mit dieser Information sollen sich möglicherweise mit dem Coronavirus Infizierte freiwillig in Quarantäne begeben können, zumindest aber den Kontakt zu Hochrisikogruppen wie Vorerkrankten oder betagten Verwandten vermeiden.

Am 1. April stellte ein Team aus 17 Instituten, Organisationen und Firmen unter Führung des Heinrich-Hertz-Instituts in Berlin die "Referenzimplementierung" für eine zum europäischen und deutschen Datenschutz konforme Tracking-App vor.

Ihr Konzept "Pepp-PT" (Pan European Privacy Protecting Proximity Tracing) basiert auf freiwilliger Nutzung und der Erkennung anderer App-Nutzer mittels Bluetooth Low Energy. Dabei generiert die App temporäre IDs, damit die Nutzer nicht identifizierbar werden.

Mit anderen Nutzern derselben App (beziehungsweise einer anderen auf der Pepp-PT-Plattform basierenden App) werden diese temporären IDs ausgetauscht und auf dem Smartphone verschlüsselt gespeichert.

Nur wenn bei einem Nutzer eine Coronavirus-Infektion festgestellt wird, soll dieser die auf seinem Smartphone gespeicherten IDs ans Backend beziehungsweise in die Cloud übertragen. Von dort erfolgt dann eine Warnung der Besitzer aller dort vermerkten temporären IDs über den Zeitpunkt des Kontakts zu einer nun als infiziert erkannten Person.

Das Konzept soll grenzübergreifend in ganz Europa funktionieren. Es hat den Segen des BSI (Bundesamts für Sicherheit in der Informationstechnik) und auch des Bundesdatenschutzbeauftragten Ulrich Kelber. Dessen Vorvorgänger Peter Schaar hatte wenige Tage vorher in einem Kommentar formuliert, welche Eckpunkte aus seiner Sicht bei einer für Europa geeigneten Corona-Tracking-App erfüllt sein müssten – Freiwilligkeit, lokale Datenspeicherung, anonyme Verarbeitung, begrenzter Speicher-Zeitraum, weitestgehender Ausschluss von Missbrauch. Pepp-PT erfüllt nach aktueller Einschätzung alle diese Kriterien.

Die Wirksamkeit einer Tracking-App

Die Wirksamkeit einer solchen App wird mittlerweile auch aus der Wissenschaft bestätigt: Eine Studie der renommierten Universität Oxford​ kommt zu dem Schluss, dass eine mobile App die Übertragung in jedem Stadium der Pandemie verlangsamen könnte.

Auch der in der Corona-Krise viel gehörte Virologe Christian Drosten sieht in einer App einen Hoffnungsschimmer. Er bringt auf Basis der Oxford-Studie zudem den Vorschlag ein, dass eine App nach Meldung erster Symptome durch ihren Nutzer auch bei der Vereinbarung eines Test-Termins und somit beim Einsparen von Zeit zwischen Symptomen und Testergebnis helfen könnte. Unter bestimmten Bedingungen wie etwa dem Aufenthalt an einem Ort mit höherem Infektionsrisiko könne notfalls und zeitlich begrenzt aber auch ohne Testergebniss die Annahme unterstellt werden, dass Symptomträger auch tatsächlich infiziert seien