CoronApp-News Oktober 2020

Covid-19, Digitalisierung, , ,

Jetzt bleiben wir wieder eine Weile zu Hause, ob bis zum Advent oder bis Ostern, ist noch nicht raus. Viel Zeit zum Lesen:

Die nächste Zusammenfassung gibt es, wenn das Klopapier alle ist.

Digitale Scharlatane

Anforderungen – Requirements, By Design, Digitalisierung, eBürokratie, Freundlich zum Nutzer, Regierungsviertel, , ,

Chatbots gelten den EDV-Experten in deutschen Amtsstuben heute als so modern und zukunftsweisend wie einst die Blockchain-Technologie. Wieder einmal überschätzen sie banale Technik grandios, ohne sich um den Anwendungsnutzen und die Benutzerinteraktion zu scheren. Oder wissen sie, was sie tun und setzen Chatbots aus denselben Gründen auf, aus denen sich Kleinstadtbürgermeister bei feierlichen Eröffnungen neuer Spielplätze oder Radwege fotografieren lassen, nämlich um dabei gesehen zu werden? Immerhin gelten Chatbots in Deutschland als zukunftsträchtige KI, damit zeigt man sich gerne.

Die Bundesverwaltung zeigt sich aus aktuellem Anlass mit dem Chatbot C-19 zum Thema Coronavirus. Nach eigener Aussage hat man weder Kosten noch Mühen gescheut, um dieses zukunftsweisende Technologieprojekt umzusetzen:

„Hinter C-19 steht ein interdisziplinäres Team in den beteiligten Ministerien und Ämtern, beim Beauftragten der Bundesregierung für Informationstechnik und beim IT-Dienstleister des Bundes. Das Team besteht aus Programmiererinnen und Programmierern, Trainerinnen und Trainern, Redakteurinnen und Redakteuren, Softwarearchitektinnen und -architekten, Administratorinnen und Administratoren und weiteren Wegbegleiterinnen und Wegbegleitern sowie Fürsprecherinnen und Fürsprechern, die ihn mit Informationen versorgen, beim Lernen unterstützen und sich um das Wohlergehen von C-19 kümmern.“

Müsste ich raten, wo das Budget herkommt, würde ich auf die KI-Strategie der Bundesregierung tippen, denn die Bundesregierung möchte, dass wir KI-Weltmeister werden, und wenn die Regierung etwas möchte, dann ist das in den Amtsstuben Gesetz. Unter diesen Umständen kann man nicht nicht KI machen und so verspricht man das Blaue vom Himmel:

„In Form eines Chats kann C-19 mit Ihnen ein Gespräch führen und soll Ihnen als Bürgerinnen und Bürgern so den Zugang zu fachlichen Inhalten der Ministerien, Ämter und Institutionen des Bundes erleichtern. Er ist um Antworten nicht verlegen und ist sogar bereit, aus Ihren Fragen mehr zu lernen und seine Wissensbasis zu Corona stetig zu erweitern. Mit C-19 wird ein Prototyp für den Aufbau einer bürgernahen Kommunikation mit Hilfe einer lernenden Technologie entwickelt.“

Nicht nur diesem Anspruch wird C-19 nicht gerecht, sondern auch keinem anderen vernünftigen. Gespräche führen kann der „Chatbot“ schon mal nicht, das überfordert ihn:

screenshot-2020-10-13-at-22.01.21

Am besten füttert man C-19 einfach mit Stichworten wie eine Suchmaschine. Dann verhält er sich auch wie eine Suchmaschine und liefert Ergebnisse:

Screenshot 2020-10-14 at 00.30.30

Eine unmittelbare Antwort auf seine Frage bekommt man selten, auch wenn man eine formuliert, sondern in aller Regel einen Link und dazu einen Sermon unterschiedlicher Länge in schönstem Bürokratendeutsch:

Screenshot 2020-10-14 at 00.03.43

Manchmal bekommt man auch nur den Sermon und keinen Link dazu. Ob es sich auch um eine Antwort auf die gestellte Frage handelt, bleibt dabei Glückssache:

Screenshot 2020-10-13 at 12.20.27

Irgendwann muss auch dem interdisziplinären KI-Projektteam klargeworden sein, dass es sich bei seinem Chatbot in Wirklichkeit um eine banale Websuche handelt. Bietet C-19 weitere Informationen an, kann man direkt aus einem Menü wählen, welches dann – auf dem Umweg über ein inszeniertes Selbstgespräch des Bots – das Ergebnis liefert:

Screenshot 2020-10-13 at 22.03.53

C-19 ist also in Wirklichkeit eine Suchmaschine, die sich hinter einem chatartigen Interface verbirgt, dadurch umständlich zu nutzen ist und ihre Tarnung nur kurz durchhält. Das ist keine Kinderkrankheit, die sich irgendwann gibt, sondern Resultat eines Vorgehens, in dem Benutzerinteraktion und Anwendungsnutzen keine Rolle spielen. Das Entwicklungsziel lautete anscheinend nicht, eine sinnvoll und leicht verwendbare Anwendung, Funktion oder Informationsdarstellung anzubieten, sondern um jeden Preis mit einem Chatbot gesehen zu werden.

Wer sich nur ein wenig mit Interaktionsdesign beschäftigt, kommt schnell darauf, dass der Austausch wohlformulierte Sätze in natürlicher Sprache selten der geeignetste, einfachste  Modus der Mensch-Maschine-Interaktion ist. Eingaben werden nicht einfacher, wenn man ganze Sätze tippt, sondern anstrengender; diese Anstrengung bleibt vergebens, wenn der Computer am Ende doch nur auf Stichworte reagiert oder schlechte Antworten gibt.

Ausgaben müssen knapp und prägnant sein und dürfen wesentliche Informationen nicht in nutzlosem Rauschen verstecken. Styleguides für Benutzerschnittstellen sind deshalb voll von Empfehlungen, wie man Rauschen entfernt. Schon die Frage: „Möchten Sie mehr erfahren?” ist als Beschriftung eines Buttons zu lang, „Mehr erfahren“ oder auch nur „Mehr“ spart allen Zeit. Selbst bei kürzeren Texten sorgt die Chatdarstellung für eine geringe Informationsdichte auf dem Bildschirm und bietet keine Möglichkeit, alle relevanten Informationen oder eine übersichtliche Aufstellung derselben auf einen Schlag auf den Schirm zu bekommen.

Mit Vorteilen hat man sich diese Defizite nicht erkauft. C-19 lässt selbst offensichtlichste Gelegenheiten zur Interaktion ungenutzt. Erklärt etwa jemand der Suchmaschine, einige Symptome einer Infektion zu verspüren, böten sich Rückfragen nach weiteren Symptomen sowie umfassende, klare Verhaltensmaßregeln an. Doch so weit wollte niemand denken:

Screenshot 2020-10-13 at 22.37.00

Was stattdessen herauskommt, wenn man tatsächlich nützliche Informationen sinnvoll verfügbar machen möchte, die Benutzerinteraktion ausgehend von diesem Ziel gestaltet und über die erforderliche Designkompetenz verfügt, demonstriert Google. Dort muss man nicht einmal seine Anfrage selbst zu Ende tippen, sondern bekommt nach wenigen Wörtern den passenden Fortsetzungsvorschlag:

Screenshot 2020-10-13 at 12.30.17

Dessen Auswahl liefert ein sorgfältig aufbereitetes Ergebnis: Verhaltensmaßregeln in wenigen einfachen Hauptsätzen ohne ein überflüssiges Wort oder in Stichpunkte, Verweise auf weitere Informationen sowie leichter Zugang zu Antworten auf ähnliche Fragen, alles übersichtlich aufbereitet mit einer hohen Informationsdichte und schnell zu erfassen.

Screenshot 2020-10-13 at 12.31.35

Wer etwas allgemeinere Stichwörter als Suchbegriffe eingibt, bekommt so viel Information, wie sich auf einer Bildschirmseite unterbringen lässt:

Screenshot 2020-10-13 at 22.52.54

Auch auf die unspezifische Symptomschilderung liefert Google zwar keine Rückfrage, aber eine passende Antwort:

Screenshot 2020-10-13 at 22.56.15

Hinzu kommt, dass Google jeder kennt und dass das bis auf einige zwanghafte Nonkonformisten auch jeder dort sucht, während man vom Chatbot C-19 der Bundesverwaltung nur zufällig erfährt. Mich hat das Randgruppenmedium Twitter auf C-19 aufmerksam gemacht.

C-19 ist nutzlos. Der Chatbot ist keiner, seine Gestaltung lässt keine kompetenten Bemühungen um Nutzen und Usability erkennen und mit der Suchmaschine Google sind wir besser bedient. Das wird sich auch nicht ändern, wenn man weiter am Bot herumbastelt, denn der gewählte Ansatz ist nicht fortschrittlich, sondern unsinnig und kein Stück nutzerorientiert. Zu befürchten ist jedoch, dass man noch lange daran herumbasteln wird, aus denselben Gründen, aus denen man damit begonnen und sein Scheitern nicht bemerkt hat.

Kein Wunder, dass es mit der Digitalisierung der Verwaltung so schleppend vorangeht, wenn maßgeblichen Akteuren das Immunsystem gegen Scharlatanerie fehlt. Wir sind nicht mehr nur digital rückständig, wir verlieren langsam den Kontakt zur Realität. Zwischen dem „Chatbot“ der Bundesverwaltung und einem sinnvoll gestalteten User Interface nach dem Stand der Kunst liegen Welten und sie liegen nicht hinter, sondern vor dem Bot. So wird das nichts mit der digitalen Souveränität.

PS (2020-10-21): Wenigstens die Erfahrungen mit Karl Klammer alias Clippy sollte man kennen, wenn man was mit Chatbots machen möchte.

Attack Scenario ≠ Threat

Anforderungen – Requirements, Bedrohung, English, How to, Security, Video,

The below video gives an example of what some people would call a threat model. For all I can tell the video leaves out some detail but is otherwise accurate. Why does it appear hilarious or silly rather than reasonable?

As a joke the video exploits a mismatch between the sensible, even verifiable analysis it presents and the ridiculous assumptions it implies. If this attack scenario manifested itself it would play out pretty much as presented. However, the implied very narrow and specific mode of operation – firing cannon rounds at computers – does not correspond with the behavior of any reasonably imaginable threat agent. Any agent with the capability to deploy main battle tanks is facing a wide range of possible uses and targets. Shooting individual personal computers remains not only far from being one of the more profitable applications of this capability, but guarantees a negative return. The cost is high and destruction of specific, low-value items promises rather limited gains. There are also much cheaper methods to effect any desired condition on the specific type of target, including its complete destruction.

While the attack scenario is accurate, it lacks, therefore, a corresponding threat that would produce actual attacks. Such a threat would exist, for example, if the assumed target were other main battle tanks rather than personal computers.

Open Source staatlich fördern?

Digitalisierung, Folklore, Geschäft, Regierungsviertel, So geht das, Wolkenkuckucksheim, , ,

In einem Beitrag auf Heise Online plädiert Julia Reda für eine europäische Förderung von Open-Source-Soft- und Hardware. Die Sprunginnovationsagentur pflichtet ihr bei und verweist auf ihr Förderprojekt Sovereign Cloud Stack. Open-Source-Projekte zu fördern, ist eine gute Idee, aber die damit verbundenen Erwartungen erscheinen mir überhöht und nicht klar genug. Open Source soll die Sicherheit verbessern, Europa unabhängiger von großen, ausländischen IT-Unternehmen machen, Alternativen zu erfolgreichen Onlinediensten von Cloud Computing bis Videokonferenzen bereitstellen und Demokratiebewegungen in anderen Ländern unterstützen [Klarstellung dazu]. In diesem Potpourri liegt die Gefahr, sich zu verzetteln und Blütenträume zu fördern.

Open-Source-Produkte nehmen wie ihre kommerziellen Konkurrenten auf der Angebotsseite am Marktgeschehen teil. Zwar kann man sie einsetzen, ohne eine Lizenzgebühr zu zahlen, doch steht die Wahl auf der Nachfrageseite jedem Anwender frei. Vernünftig handelnde Anwender werden sich für diejenige Lösung entscheiden, die gemessen an ihren Bedürfnissen das beste Kosten-Nutzen-Verhältnis verspricht. Repräsentiert das beobachtete Marktgeschehen die Ergebnisse vernünftiger Entscheidungen, können wir die Faktoren analysieren, die zu diesen Entscheidungen beitragen.

Der Markt zeigt immer wieder, dass Open-Source-Anwendungen nur in Nischen konkurrenzfähig sind. OpenOffice, Firefox, Linux als Desktop-Betriebssystem oder der Messenger Signal sind verfügbar, doch ihre Nutzerzahlen bleiben überschaubar, von Marktführerschaft keine Spur. Der Anonymisierungsdienst Tor zielt gar von vornherein auf eine Nische, er ist nur für Randgruppen relevant und für die Mehrheit nicht alltagstauglich. Besser schlägt sich Open-Source-Software dort, wo sie Anwender nicht zu Gesicht bekommen: Als Softwareinfrastruktur in Anwendungen verborgen und in Entwicklerwerkzeugen spielen Open-Source-Projekte wie Linux, die Apache-Projekte, OpenSSL, Eclipse und viele andere eine bedeutende Rolle. Das ist kein Zufall.

Der Markt für Softwareinfrastruktur lässt wenig Raum für dauerhafte Konkurrenz verschiedener Anbieter vergleichbarer Produkte, etwa verschiedener Webserver oder Unix-Kernel. Standardisierung, zum Beispiel von Protokollen, lässt wenig Raum für sinnvolle Produktdifferenzierungen. Zugleich bringen konkurrierende ähnliche Produkte kostspielige Kompatibilitätsprobleme mit sich, die wiederum zu Standardisierungsversuchen führen. Wer einmal Software zwischen verschiedenen Unix-Variantenportiert hat, kann ein Lied davon singen. Auch in der Qualität können sich unterschiedliche Anbieter nicht nennenswert voneinander abheben, weil die Anforderungen an alle dieselben sind.

Jede konzeptionell weitgehend ausentwickelte Komponente nur einmal statt in mehreren unabhängigen Varianten zu pflegen, ist deshalb optimal. Nicht optimal wären jedoch Herstellermonopole, die für das einzige Produkt seiner Art Mondpreise kassieren. Deshalb ist es für alle besser, Komponenten der Softwareinfrastruktur als eine Art Allmende zu behandeln, die allen zur Verfügung steht und alle zur Mitarbeit einlädt. Weil alle davon profitieren, gibt es wenig Förderbedarf. Es ist der Markt, der Open-Source-Software hier zum Erfolg führt. Die Linux-Foundation zum Beispiel wird von großen IT-Unternehmen und der Fondsgesellschaft BlackRock finanziert.

Anders funktioniert der Markt für Anwendungen und anwendungsnahe Dienste, denn sie bieten in vielen Merkmalen Differenzierungspotenzial und damit Raum für Konkurrenz. Deswegen kann man ERP-Systeme von SAP oder von Oracle kaufen, Browser von Google, Microsoft, Mozilla oder Brave, Office-Software von Microsoft oder Google und so weiter. Zu den wichtigen Merkmalen zählt nicht zuletzt der Preis, genauer die Gesamtkosten der Nutzung. Dass sich Open-Source-Alternativen hier selten durchsetzen können, deutet darauf hin, dass sie in der Gesamtsicht nicht das attraktivste Produkt liefern. Besonders deutlich wird dies, wo selbst betriebene Open-Source-Software gegen kommerzielle Anwendungsdienste antreten, etwa Jitsi und BigBlueButton gegen Zoom, aber auch im Vergleich verschiedener Dienste wie Signal gegen WhatsApp.

Von den Verfechtern der OSS-Alternativen gerne ignoriert oder kleingeredet, zeigen sich in vielerlei Hinsicht Defizite. So hinkte Signal im Funktionsumfang WhatsApp hinterher und ging seinen Nutzern auf die Nerven. Selbst gehostete Videokonferenzdienste verursachen Arbeitsaufwand und brauchen eine Vorlaufzeit, bis sie einsatzfähig sind, während man mit Zoom auf der Stelle loslegen kann. Ob man mit den Alternativen wirklich sicherer ist, liegt auch nicht so klar auf der Hand. Wer nüchtern hinschaut, findet die Gründe dafür, dass die Open-Source-Alternativen alternativ bleiben. Daran kann auch OMG-ihr-bezahlt-mit-euren-Daten!!1-Rhetorik bei kostenlos angebotenen Diensten nichts ändern, denn das ist offensichtlich für viele ein fairer Deal.

Analog gilt dies auch für hochwertige Clouddienste a.k.a. Platform as a Service (PaaS). Dort bekommt man für sein Geld nicht einfach Software, sondern eine Plattform, welche die Entwicklung und den Betrieb von Anwendungen erleichtert und den Einsatz von IT-Ressourcen flexibel anpassbar macht. Software ist dafür nur Mittel zum Zweck und die Dienstleistung steckt nicht im Programmcode.

Um es mit den etablierten kommerziellen Anbietern von Anwendungsdiensten und Cloudplattformen aufnehmen zu können, müsste man überlegene Dienste anbieten, ähnlich wie Airbus einst ein fortschrittliches Flugzeug auf den Markt gebracht hat. Open-Source-Software kann dafür Basiskomponenten gemäß dem oben skizzierten Allmendemodell bereitstellen, aber diese Baseline ist alleine gerade nicht konkurrenzfähig, sondern ein allgemein verfügbarer kleinster gemeinsamer Nenner. Den kann man lange fördern, ohne dass er sich je von irgend etwas positiv abhebt.

In keinem der beiden Segmente kann eine großzügige staatliche Förderung von Open-Source-Projekten den Markt umkrempeln. Stattdessen bekäme man künstliche Open-Source-Projekte wie die AusweisApp2 oder die Corona-Warn-App, die zwar Einblicke in den Quelltext und die Entwicklung gewähren sowie Community-Kontakte pflegen, letztlich aber Auftragsarbeiten bleiben. Das heißt nicht, dass es falsch wäre, öffentliche Entwicklungsprojekte so weit wie möglich zu öffnen, aber das bleibe eine eigene Spielart von Open Source.

Die Hoffnung, mit staatlich geförderten Open-Source-Projekten endlich die technologische Lücke von 1969 zu schließen, wird sich nicht erfüllen. Dennoch gibt es Potenziale für sinnvolle staatliche Förderungen. Die Strategien ergeben sich aus den beiden diskutierten Modellen.

Auf dem Gebiet der Softwareinfrastruktur kann der Staat als Stakeholder für wünschenswerte Eigenschaften wie Qualität, Sicherheit und Weiterentwicklung auftreten. Das FOSSA-Projekt der EU passt genau in dieses Muster. Europäische Alternativen und Europäische Souveränität entstehen dadurch jedoch nicht. Im Gegenteil, solange sich IT und Internet im Industriemaßstab eher außerhalb als innerhalb Europas abspielen, handelt es sich tendenziell um ein Geschenk an die Konkurrenz. Bleiben lassen muss man es deswegen nicht, aber mit realistischen Erwartungen herangehen.

Bei den Anwendungen und anwendungsnahen Diensten hat Förderung nur einen Sinn, wenn sie auf konkurrenzfähige Angebote zielt. Open Source wird dabei zum Nebenaspekt, im Vordergrund steht das Produkt aus Anwenderperspektive, das besser und kostengünstiger sein muss. Wer also Zoom oder WhatsApp doof findet, muss objektiv bessere Dienste objektiv preiswerter anbieten (und im Fall von WhatsApp noch mit den unvermeidlichen Netzwerkeffekten fertig werden). Es gibt sogar noch ein Spielfeld, auf dem es eher auf die Software als auf die Dienstleistung ankommt: Webbrowser. Chrome ist zurzeit unangefochtener Marktführer, Mozilla siecht dahin. Ein solide finanzierter unabhängiger Browser mit allem, was daran hängt, bleibt dringend nötig. Nebenbei bekäme man einen Träger für Datenschutztechnik, die uns das unsägliche Zustimmungsgeheische im Web erspart, und könnte bei der Webstandardisierung mitreden.

Keimzelle einer neuen europäischen Informationstechnikbranche wäre auch das nicht, aber es wäre sinnvoll. Im Gegensatz zum Versuch, spezifisch und strategielos das Attribut „Open Source“ zu fördern.

CoronApp-News 2020-09-27

Covid-19, , ,

Jetzt ist das Altweibersommerloch vorbei:

Wie letzte Woche schon angekündigt gibt’s die nächste Zusammenfassung voraussichtlich erst Ende Oktober und dann für den ganzen Monat.

CoronApp-News 2020-09-20

Covid-19, , ,

Anscheinend entwickelt sich gerade ein nachhaltiges Desinteresse an der Corona-Warn-App. Das ZDF und Spiegel Online (Paywall) fassen zusammen, wo es hakt: Gesundheitsämter finden die App nicht hilfreich, Nutzerzahlen kennt die Öffentlichkeit nicht und der Nutzen bleibt erst recht unklar. In Simulationsstudien genügen bereits relativ geringe Nutzerzahlen für einen Effekt, in der Realität weiß man’s nicht genau. Unterdessen nähert sich das europäische Interoperabiliätsgateway seiner Fertigstellung.

Falls die Nachrichtenlage so dünn bleibt, dürfte in Zukunft eine monatliche Zusammenfassung genügen.

PS (2020-09-21): Googles Trendgraph zum Stichwort Corona-Warn-App lässt keine Zweifel. An der Börse ginge das nicht mal als Tannenbaum-Chart durch, solche Peaks zeigen sich eher beim Zocken mit Pennystocks. Selbst Peak Blockchain hat eine breitere Basis:

Trendgraph für den Suchbegriff „Corona-Warn-App“ für den Zeitraum 1.3.2020 bis 21.9.2020

CoronApp-News 2020-09-13

Covid-19, , ,

Diese Woche gibt es wenig zu melden:

Das war’s schon.

CoronApp-News 2020-09-06

Security

Corona ändert alles. Jahrzehntelang stand die Deutsche Bahn unangefochten an der Spitze der deutschen Meckercharts, doch nun muss sie der Corona-Warn-App Platz machen:

Ob wir alle am Coronavirus oder aber an Corona-Apps sterben werden, bleibt offen.

CoronApp-News 2020-08-30

Covid-19, Security, , ,

Diese Woche war wenig los.

  • In einem Monat, Ende September, soll die europäische Vernetzung der geeigneten nationalen Apps stehen.
  • Das Exposure Notification Framework, auf das sich viele  Kontaktbenachrichtigungsapps stützten, wird selbständiger. War bereits bisher die Kontakterfassung eine Funktion des Betriebssystems, so soll künftig auch der Empfang von Warnungen ohne besondere App möglich werden. Nur zum Auslösen einer Warnung nach einem positiven Test benötigt man dann noch eine offizielle App.
  • Die New Yorker Generalstaatsanwältin macht sich unterdessen Sorgen um den Datenschutz und fordert von Apple und Google, alternative  Kontaktverfolgungsapps an die kurze Leine zu nehmen, die in den Appstores angeboten werden. Anders als bei offiziellen Apps der Gesundheitsbehörden auf der Grundlage des Exposure Notification Frameworks, von denen es nur eine pro Land geben kann, sei bei unabhängigen Apps auf anderer Basis der Datenschutz nicht immer gewährleistet.
  • Nicht direkt eine App, aber immerhin digital: Reiserückkehrer aus Risikogebieten sollen sich künftig auf einer Website registrieren können.
  • Zu guter Letzt war die Kontaktverfolgung in Restaurants usw. auch diese Woche wieder für Nachrichten gut. Im Saarland ist die bisher geltende Regelung verfassungswidrig und Hacker haben eine Cloudanwendung eines Gastronomie-Dienstleisters gehackt, die neben einigen Millionen Reservierungen auch eine hohe fünfstellige Zahl von Corona-Kontaktdatensätzen aus 180 Restaurants enthielt.

CoronApp-News (2020-08-23)

Covid-19, Digitalisierung, Security, , ,

Der Sommer neigt sich dem Ende zu und langsam könnte eine Corona-Warn-App ihren Nutzen beweisen, aber anscheinend glaubt kaum noch jemand daran:

Nicht gehört habe ich in den letzten Tagen von den Bemühungen um eine europaweite Integration der nationalen Corona-Apps. Weiß man, wie es darum steht?

CoronApp-News (2020-08-16)

Covid-19, Security, , ,

In Sachen Corona-App drehen wir uns zunehmend im Kreis:

  • Die Downloadzahlen der Corona-Warn-App steigen nicht mehr nennenswert, sie lagen Anfang August bei 16,6 Millionen. Bis dahin hat die Hotline gut 1000 TANs für Benachrichtigungen herausgegeben.Wie viele davon tatsächlich verwendet wurden, weiß niemand. In der Schweiz bleibt ein Drittel der ausgegebenen Codes ungenutzt. Benachrichtigungen durch die App erfolgen jedenfalls selten genug, um Nachrichtenwert zu haben.
  • Damit Infizierte via App ihre Kontakte warnen können, müssen sie erst einmal von ihrer Infektion wissen und ein positives Testergebnis vorweisen. An diesem Punkt können Warn-Apps ohne eigenes Zutun scheitern. Neben Bayern mit seiner mittelgroßen Überrmittlungspanne hat dies auch Kalifornien aufgrund eines abgelaufenen TLS-Zertifikats demonstriert. Derweil gibt das Gesundheitsamt Trier dem ZDF Einblicke in seine Arbeit mit altmodischen Faxgeräten und die daraus resultierenden Probleme.
  • Sächsische Firmen wollen für Menschen ohne Smartphone einen zur Warn-App kompatiblen Corona-Warn-Buzzer entwickeln.
  • Den Datenschutz stellen Covid-19 und die Gegenmaßnahmen auf vielfältig  interessante Weise auf den Prüfstand. Lukas Mäder wundert sich in der NZZ zu Recht darüber, dass Restaurants ihren Gästen die App-Nutzung vorschreiben dürfen, zugleich jedoch deren Kontaktdaten erfassen müssen. Ebenso dürfe ein Arbeitgeber die App-Nutzung nicht kontrollieren, wohl aber Fieber messen. Und im Großen und Ganzen regt das alles niemanden auf. Werden wir eines Tages auf Covid-19 als Keimzelle eines realistischen, wirklich risikoorientierten Datenschutzes zurückblicken? Oder werden wir uns stattdessen daran gewöhnen, dass eine aus Sicht des Datenschutzes hochkritische App aus Datenschutzgründen leider, leider ohne Erfolgskontrolle auskommen muss?
  • Zu guter Letzt erregen Gästelisten in Restaurants usw. weiter die Datenschutzgemüter. Gefühlt erscheint jede Woche eine neue App mit dem Versprechen, die ad hoc eingeführte Zettelwirtschaft zu ersetzen und zugleich den Datenschutz zu verbessern.

Auf in die nächste Runde!

Dialektik des Datenschutzes

Datenschutz, Zwischenruf

Bereits das bloße Gefühl, beobachtet zu werden, könne Unwohlsein verursachen und Menschen dazu bringen, ihr Verhalten zu ändern, argumentieren Datenschutzaktivisten gerne. Selbst der bloße Anschein einer Beobachtung sei daher problematisch.

Dieselben Aktivisten finden es völlig in Ordnung, wenn nicht gar erforderlich, mit riesigen Schildern auf Videokameras zur Beobachtung des öffentlichen Raumes hinzuweisen, auf dass auch niemand den gebückten Gang vergesse. Passt das zusammen?

***

Wenn von Überwachungs- und Repressionstechnologie die Rede ist, denken wir an Videokameras, an künstliche Intelligenz, an Drohnen und so weiter. Auch Maßnahmen dagegen verhandeln wir oft in Gestalt technischer oder organisatorischer Bausteine wie Anonymisierung, Verschlüsselung und so weiter.

In den chinesischen Healthcode-Systemen, die zur Bekämpfung der jüngsten Corona-Pandemie aufgebaut wurden, spielen QR-Codes eine wichtige Rolle. QR-Codes als technischen Baustein werden jedoch praktisch nie thematisiert, wenn es um Datenschutz oder die Auswirkungen neuer Technik auf unsere Freiheit geht. Warum nicht?

***

Videokonferenzen werden von Datenschützern kritisch beäugt. Wer nicht davon lassen kann, muss allerlei Datenschutzvorschriften beachten. Auf klassische Weise telefonieren darf man einfach so. Woran liegt das und wäre es auch so, hätte man den Datenschutz vor dem Telefon erfunden und nicht umgekehrt?

***

Silicon-Valley-Konzerne gelten hierzulande traditionell als „Datenkraken,“ als von „Datensammelwut“ befallene Halbverbrecher. (Obendrein bildeten sie Monopole und würden zu mächtig, heißt es, aber das ist kein Datenschutz-Thema.) Dagegen, dass Apple und Google als Plattformbetreiber das Herzstück der Corona-Warn-App bereitstellen, regt sich jedoch kein Widerspruch. Ebenso wenig dagegen, dass an ihrer Lösung kaum ein vernünftiger Weg vorbeiführt. Sind sie doch nicht so böse, wie immer wieder behauptet wurde, oder haben wir den Kampf verloren?

***

Der Datenschutz verdankt seine Entstehung dem Aufkommen des Computers. Heute widmen sich Datenschützer mit Hingabe auch mit Formen der Datenverarbeitung, die damals längst normal waren, wie der Fotografie oder der Erfassung von Kontaktdaten mit handgeschriebenen Formularen und Listen. Gehen sie sich damit nicht manchmal selbst auf den Wecker?

***

Die Wichtigkeit des Datenschutzes wird in Deutschland und Europa gerne mit dem Holocaust begründet, den die Erfassung persönlicher Daten erleichtert, wenn nicht gar ermöglicht habe. Datenschutz diene nicht zuletzt dazu, eine Wiederholung zu verhindern.

Man könnte ganz ähnlich über die Bedeutung von Landkarten im Zweiten Weltkrieg reden, ihre Schlüsselfunktion in der Zerstörung von Warschau, Stalingrad, Coventry, Rotterdam und vieler anderer Städte und in der Kriegsführung generell. Dies tut jedoch niemand. Meinen wir das Argument ernst oder ist es nur vorgeschoben, um sich unangenehmen Diskussionen zu entziehen?

***

Wer als Datenschützer hartnäckig vor der Nutzung von WhatsApp warnt, ohne jemals dadurch verursachte Schäden nachweisen zu können, genießt gesellschaftliches Ansehen.

Wer als Bürger hartnäckig von den Gefahren des Mobilfunks raunt, ohne jemals dadurch verursachte Schäden nachweisen zu können, gilt als irrationaler Paranoiker und Verschwörungstheoretiker.

Gibt es dafür eine andere nachvollziehbare Erklärung als unterschiedliche Positionen der jeweiligen Sprecher in der gesellschaftlichen Machthierarchie?

***

Seit der EuGH das Abkommen „Privacy Shield“ zwischen der EU und den USA gekippt hat, ist die Übermittlung personenbezogener Daten in die Vereinigten Staaten von Amerika nicht mehr ohne weiteres zulässig. Auf diese Weise werden die Rechte und Freiheiten der betroffenen Europäerinnen und Europäer geschützt.

Weiterhin keinen Einschränkungen unterliegt hingegen – abgesehen von vorübergehenden Regelngen aufgrund der COVID-19-Pandemie – der Export ganzer Personen ins Ausland durch Fluggesellschaften und Reiseveranstalter. Gefährdet die Übermittlung unserer Daten in die USA unsere Rechte und Freiheiten stärker als eine Reise dorthin?

***

Deutsche Datenschützer und europäische Politkommisarinnen preisen Datenschutz als Digitalisierungsmotor und Wettbewerbsvorteil an.

Datengetriebene Unternehmen wie Verisk, ein amerikanischer Anbieter von Risikomanagementlösungen insbesondere für Versicherungen, benennen neben dem Verlust des Datenzugangs verschärfte Datenschutzregulierung und die DSGVO als Geschäftsrisiken. Zugleich ist Irland mit seiner zahmen Datenschutzaufsicht ein beliebter Standort für die Europa-Niederlassungen von Internetunternehmen.

***

In Restaurants werden zurzeit Kontaktdaten der Besucher gesammelt, um die Kontaktverfolgung im Fall von Coronavirus-Infektionen zu erleichtern. Wenn die Daten schon einmal da sind, werden sie manchmal auch von der Polizei für Ermittlungen genutzt. Das ist wahrscheinlich legal.

Datenschützer protestieren. Sie protestieren jedoch nicht gegen diese – gesellschaftlich akzeptierte – Vorratsdatenspeicherung, sondern gegen die Nutzung der gespeicherten Daten durch die Polizei: Solche zusätzlichen Datennutzungen aus vergleichsweise nichtigen Anlässen schade der anscheinend sehr wertvollen Vorratsdatenspeicherung und untergrabe das Vertrauen der Bürgerinnen und Bürger in sie.

***

Gesundheitsämter in Baden-Württemberg dürfen im Rahmen der Kontaktverfolgung bei Coronavirus-Infektionen keine unverschlüsselten E-Mails an Kontaktpersonen schicken, es sei denn, ihnen liegt eine ausdrückliche Einwilligung vor. Eine Infrastruktur, über die Ämter mit allen Bürgerinnen und Bürgern verschlüsselt kommunizieren könnten, liegt nur theoretisch in Form des selten genutzten Dienstes De-Mail vor, so dass die Verwendung von E-Mail in diesem Zusammenhang praktisch ausgeschlossen ist.

Unverschlüsselte E-Mail ist bis heute die Regel, weil fast niemand ein Sicherheitsproblem hat, das sich durch E-Mail-Verschlüsselung adäquat und zu einem angemessenen Preis lösen ließe. Fast niemand hat also das Problem, das der Datenschutz hier zu lösen versucht.

***

Gesichtserkennung ist schlimmer als Rachepornos. Weil sie Begehrlichkeiten wecke.

CoronApp-News (2020-08-09)

Covid-19, Digitalisierung, Security, , ,

Corona-Apps füllen das diesjährige Sommerloch ganz gut  aus:

  • Ein Kommentar von Patrick Bernau zeigt noch einmal die Nebenwirkungen des rigiden technischen Datenschutzes im Exposure Notification Framework und der darauf basierenden Corona-Warn-App auf. Zudem macht er auf eine interessante Begründung aufmerksam: Eine weltweit verbreitete Plattform müsse auch in Gegenden mit geringer ausgeprägter Demokratie und Rechtsstaatlichkeit ohne Nebenwirkungen funktionieren. Apple und Google liefern uns als den technischen Datenschutz, den wir uns wünschen würden, lebten wir in einem Schurkenstaat.
  • Die Zeitschrift Connect hat die Corona-Warn-App auf Sicherheitsmängel untersuchen lassen, ohne dass dabei nennenswerte Probleme aufgetaucht wären. SAP ist stolz wie Oskar.
  • Unterdessen hakt es immer noch bei der Anbindung der Testlabore an die Infrastruktur der Corona-Warn-App. Anstelle des eigentlich vorgesehenen Verfahrens – beim Corona-Tets erhält man einen QR-Code, registriert damit seine App anonym als Empfänger für das Testergebnis und kann bei einem positiven unmittelbar eine Warnung an seine Kontaktpersonen auslösen – müssen App-Nutzer weiterhin häufig die Hotline bemühen, falls ihr Test positiv ausfällt und sie warnen möchten.
  • Was die App am Ende bringt und wie oft sie falsch liegt, ist auch unabhängig davon noch nicht geklärt. Eine Statistikprofessorin hat ein Modell entwickelt, mit dem man online spielen kann, um die theoretische Maximalleistung unter verschiedenen Annahmen zu ermitteln. Dieses Modell geht davon aus, dass alle Beteiligten die App nutzen.
  • Seit Anfang August hat auch Kanada eine App zur Kontaktverfolgung, COVID Alert.
  • Zu guter Letzt schreit auch die Erfassung von Kontaktdaten in Restaurants etc. weiter nach einer guten Lösung. In Baden-Württemberg müssen Restaurantbesucher jetzt keine E-Mail-Adresse mehr angeben – die Gesundheitsämter dürfen ihnen aus Datenschutzgründen ohne Einwilligung keine unverschlüsselte E-Mail schicken und E-Mail verschlüsseln kann kein Mensch, weil es keiner braucht.

Schönen Montag!

CoronApp-News (2020-08-02)

Covid-19, Security, , ,

Die Infektionszahlen steigen, die Aktienkurse sinken und mit den Corona-Apps geht es langsam voran:

  • Nach der deutschen Corona-Warn-App sollen SAP und Telekom nun auch die europäische Plattform zur Vernetzung der nationalen Apps entwickeln. Miteinander verbunden werden sollen zunächst jene Apps, die auf das Exposure Notification Framework von Apple und Google setzen. Bluetooth-seitig sind sie ohnehin kompatibel, mit einem Update des Frameworks auch offiziell. Etwas bauen muss man jedoch noch für die Benachrichtigungen, die gegenwärtig nur national verarbeitet und versandt werden.
  • Die dänische Corona-App hat nach einer Pressemitteilung des dortigen Gesundheitsminsiteriums bisher 48 Kontaktpersonen informiert, von denen 46 nicht durch die parallele Kontaktverfolgung der Gesundheitsbehörden identifiziert wurden. Das muss kein gutes Zeichen sein, sondern kann auch auf Defizite der herkömmlichen Kontaktverfolgung hinweisen. Ein neuer Bericht aus Südkorea vermittelt einen Eindruck davon, welchen Aufwand erfolgreiche Kontaktverfolger treiben müssen. Schafft das eine App wirklich besser?
  • Serge Vaudenay beleuchtet die dunkle Seite von SwissCovid. Auch die App für die Schweiz setzt auf das Eposure Notification Framework der Smartphoneplattformen und wie überall ist nicht alles Gold, was glänzt. Die dünne Anforderungsanalyse rächt sich.
  • Wie berichtet, setzt auch Großbritannien vorerst auf die manuelle Kontaktverfolgung, wenn auch mit weniger Erfolg. Schottland jedoch schert aus und möchte doch eine App entwickeln. Grundlage soll die irische App sein, welche auch in Nordirland bereits getestet wird.
  • Zu guter Letzt nimmt die Digitalisierung manchmal auch überhand: Eine Reisende, die aus einem Risikogebiet am Flughafen Tegel eintraf, wollte sich dort testen lassen. Ihr Versuch scheiterte jedoch am fehlenden Smartphone, denn nur damit kann man sich dort für den Test anmelden und später das Ergebnis erfahren.

Habt Ihr alle Eure Klopapiervorräte aufgestockt?

CoronApp-News 2020-07-26

Security

Die Infektionszahlen steigen und mit ihnen die Aufgeregtheit:

Jetzt warten wir mal ab, wie sich die zweite Welle auf die App auswirkt. Habt Ihr alle noch genug Klopapier?

CoronApp-News (2020-07-19)

Anforderungen – Requirements, By Design, Covid-19, Datenschutz, Digitalisierung, , ,

Neue Regierungen bekommen hundert Tage Zeit, neue Apps nur vier Wochen:

  • Einen Monat nach ihrem Start zieht das RKI eine positive Zwischenbilanz und meldet knapp 16 Millionen Downloads. Wie viele Menschen die App tatsächlich benutzen, bleibt unklar. Etwa 500 positiv Getestete hatten bisher die Möglichkeit, eine Warnung ihrer Kontakte auszulösen. Wie viele Warnungen an wie viele Kontaktpersonen tatsächlich verschickt wurden, weiß man jedoch nicht.
  • Die Entwicklungsarbeit an der Corona-Warn-App geht weiter. Neben Fehlern und den zugangsbeschränkenden Systemanforderungen der App – neben alten Smartphones bereitet auch das neueste iOS 14 Probleme – bleibt die Anbindung der Testlabore kritisch. Als Folge davon wurde noch kein einziger Corona-Test auf dem eigentlich vorgesehenen Weg per QR-Code in der App registriert. Die alternativen Meldewege führen zu Verzögerungen.
  • Zweifel gibt es weiter an der Verlässlichkeit der Bluetooth-Entfernungsmessung, die in die Risikobewertung von Kontakten einfließt. Auch funktionale Fragen tauchen immer wieder auf.
  • Auf sich warten lässt die EU-weite Integration der nationalen Warn-Apps. Auf der Smartphone- und Bluetooth-Seite gibt es wenig Integratioshindernisse zwischen jenen Apps, die ich auf das Exposure Notification Framework von Apple und Google stützen, doch die Vernetzung der Backends braucht offenbar etwas länger.
  • Langsam dämmert auch den Letzten, dass sich die Bundesregierung im April nicht so sehr für eine datenschutzfreundliche dezentrale Architektur entschieden hat, sondern tatsächlich wohl vor allem für das Framework von Apple und Google. Pragmatisch war das unter den gegebenen Umständen nahezu alternativlos, aber es handelt sich eben nicht um eine freie, souveräne Architekturentscheidung.
  • Zu guter Letzt bleibt jenseits der Coron-Warn-App das Thema Kontaktdatenerfassung in Restaurants etc. auf der Tagesordnung. Einige sind überrascht davon, dass in einigen Fällen die Polizei die gesammelten Daten für Ermittlungen nutzt, aber das ist wahrscheinlich erlaubt. Auf eine Erweiterung der Corona-Warn-App zur Erfassung solcher Besuche warten wir hingegen vergebens, ebenso auf einen flächendeckenden digitalen Ersatz für manuell ausgefüllte Formulare.

Bis nächstes Wochenende.

CoronApp-News (2020-07-12)

Covid-19, Datenschutz, Digitalisierung

Eigentlich könnten wir uns in Sachen Corona-App zurücklehnen und abwarten, aber die Debatten gehen weiter:

Voraussichtlich wird es auch nächste Woche wieder Neues zu melden geben.

CoronApp-News (2020-07-05)

Security

Auch diese Woche blieb es vergleichsweise ruhig.

  • Die kumulierten Downloadzahlen der deutschen Corona-Warn-App steigen nur noch langsam. Die asymptotische Grenze scheint irgendwo in der Gegend von 15 Millionen zu liegen. Bis Vorgestern sollen über die App einige Hundert Fälle gemeldet worden sein. Der wirkliche Nutzen lässt sich jedoch nur schwer schätzen.
  • Ein Hindernis wird nach und nach beseitigt: Die Corona-Warn-App ist jetzt auch in den Appstores einiger anderer europäischer Länder erhältlich. Dass es so schwer ist, die App weltweit unter die Leute zu bringen, liegt an der Macht der Smartphone-Plattformen, von denen sie abhängig ist.
  • Michael Veale erklärt beim Guardian noch einmal, wieso die Fokussierung auf Privacy im Sinne möglichst guter Datengeheimhaltung am realen Problem vorbeigeht, das sich aus dieser Plattformmacht und der Interaktion mit Nutzern zusammensetzt.
  • Von Katastrophen im Zusammenhang mit der Corona-Warn-App war bislang nichts zu hören und auch die Mahnungen vor der App als Eintrittskarte haben sich als haltlose Spekulation erwiesen. Dennoch gibt es weiter Kritik an der Datenschutzfolgenabschätzung zur App und Forderungen nach einer spezifischen Rechtsgrundlage.
  • In der Schweiz zählt man nicht nur Downloads, sondern aktive Apps, und derzeit ist es eine gute Million.
  • Zu guter Letzt zieht die Corona-Warn-App auch Bastler an.

Vielleicht gewöhnen wir uns jetzt einfach an die App?

 

CoronApp-News (2020-06-28)

Covid-19, Digitalisierung, , ,

Der Wochenrückblick, wie immer nicht nach Erscheinungsdatum, sonder danach, wann ich über die Links gestolpert bin:

Das war’s für diese Woche.

CoronApp-News (2020-06-21)

By Design, Covid-19, Datenschutz, Digitalisierung, , , ,

Habemus Appam! Vielleicht genau zur rechten Zeit, denn die Fallzahlen steigen wieder.

Wie angekündigt ist die Corona-Warn-App seit Dienstag verfügbar und wurde nach Angaben des RKI bis gestern mehr als zehn Millionen Mal heruntergeladen. Falls sie danach auch von allen aktiviert wurde, entspricht das einem Verbreitungsgrad von 13%, womit jeder 65. zufällige Kontakt erkannt werden könnte. Den Datenverkehr der App wollen die Mobilfunk-Provider kostenlos spendieren. Wie man die App aktiviert und benutzt, erklärt unter anderem Heise Online. Eine Datenschutzfolgenabschätzung wurde kurz vor der App selbst veröffentlicht.

Die Bundesregierung ist stolz wie Oskar, weil die Entwicklung seit der Entscheidung für Apple, Google, SAP und Telekom ziemlich gut funktioniert hat, und das Projekt wird auch von anderen gelobt. Jedoch verstummt die Kritik nicht ganz. Der Verein Digitalcourage hält die App für ein Plazebo mit Nebenwirkungen, das Twitter-Echo darauf fiel jedoch eher negativ aus. Der Chef des VZBV empfiehlt die App, warnt jedoch noch einmal vor App-gestützten Einlasskontrollen. Diese Befürchtung wurde zum Release vielfach geäußert, hat sich bislang jedoch offenbar kaum bewahrheitet. Alvar Penning, Jonas Höchst und Bernd Freisleben kritisieren die relative Offenheit der Entwicklung als halbseiden, da ein wichtiges Teilsystem von Apple und Google bereitgestellt werde und eben nicht offen sei. So ganz Made in Germany ist die App eben doch nicht und anderswo fühlt man sich gar von Apple und Google bevormundet.

Wie sehr wir uns vor der Corona-Warn-App fürchten und warum, untersucht der Der Lehrstuhl Sozialpsychologie: Medien und Kommunikation der Universität Duisburg-Essen mit einer Umfrage.

Die App-Entwicklung ging manchen zu langsam und verlief anfangs holprig, wenn nicht gar als Drama mit entgleister Debattenkultur. Im Vergleich zu anderen öffentlichen IT-Projekten erscheint der Weg zu App dennoch recht reibunglos. Allerdings blieb sich auch die Komplexität vergleichsweise gering, nachdem die Smartphone-Plattformen den Lösungsweg und zentrale Komponenten vorgegeben hatten.

Einige Probleme gibt es dennoch. So klagen die Gesundheitsämter seit dem Start der App über unzählige Anrufe verwirrter Nutzerinnen und Nutzer. Auch im Hintergrund läuft noch nicht alles rund, denn viele Testlabore und Gesundheitsämter müssen erst noch angebunden werden, um App-Nutzern direkt Testergebnisse übermitteln zu können. Hier macht sich der Digitalisierungsstau im Gesundheitswesen und in der Verwaltung bemerkbar.

Auch sonst ist die Entwicklung der Corona-Warn-App noch lange nicht abgeschlossen. Neben Meldungen über Fehler und Unzulänglichkeiten sammeln die Entwickler auch Ideen für weitere Funktionen und zeigen ihre – noch recht knappen – Pläne für künftige Verbesserungen. Auch die europaweite Integration der nationalen Lösungen steht noch aus und wird einige Schwierigkeiten mit sich bringen.

International steht Deutschland plötzlich als leuchtendes Beispiel da. Fast zeitgleich mit dem Start hierzulande musste Norwegen seine schon länger bereitstehende App Smittestopp wegen Datenschutzbedenken auf Eis legen. Amnesty International hielt die norwegische App für eine der gefährlichsten weltweit und stellte sie in eine Reihe mit denen aus Bahrain und Kuwait. Das brexitanische App-Projekt versinkt unterdessen im Chaos und verschiebt seinen Release-Termin auf den nächsten Winter. Nachdem eine von Apples und Googles Exposure Notification Framework unabhängige Lösung bereits im Testbetrieb war, setzt man nun doch auf die Plattform-Lösung und stuft zugleich die Priorität der App herab. Die französiche App StopCovid, die ebenfalls ohne das Framework auskommt, scheint eher ein Flop zu werden.

Zu guter Letzt hat der Chef eines mittelständischen Betriebs in Köln so viel Angst vor der App, dass er sie seinen Beschäftigten rundweg verbietet.