Schlagwort-Archive: Contact Tracing

CoronApp-News (2020-08-02)

Die Infektionszahlen steigen, die Aktienkurse sinken und mit den Corona-Apps geht es langsam voran:

  • Nach der deutschen Corona-Warn-App sollen SAP und Telekom nun auch die europäische Plattform zur Vernetzung der nationalen Apps entwickeln. Miteinander verbunden werden sollen zunächst jene Apps, die auf das Exposure Notification Framework von Apple und Google setzen. Bluetooth-seitig sind sie ohnehin kompatibel, mit einem Update des Frameworks auch offiziell. Etwas bauen muss man jedoch noch für die Benachrichtigungen, die gegenwärtig nur national verarbeitet und versandt werden.
  • Die dänische Corona-App hat nach einer Pressemitteilung des dortigen Gesundheitsminsiteriums bisher 48 Kontaktpersonen informiert, von denen 46 nicht durch die parallele Kontaktverfolgung der Gesundheitsbehörden identifiziert wurden. Das muss kein gutes Zeichen sein, sondern kann auch auf Defizite der herkömmlichen Kontaktverfolgung hinweisen. Ein neuer Bericht aus Südkorea vermittelt einen Eindruck davon, welchen Aufwand erfolgreiche Kontaktverfolger treiben müssen. Schafft das eine App wirklich besser?
  • Serge Vaudenay beleuchtet die dunkle Seite von SwissCovid. Auch die App für die Schweiz setzt auf das Eposure Notification Framework der Smartphoneplattformen und wie überall ist nicht alles Gold, was glänzt. Die dünne Anforderungsanalyse rächt sich.
  • Wie berichtet, setzt auch Großbritannien vorerst auf die manuelle Kontaktverfolgung, wenn auch mit weniger Erfolg. Schottland jedoch schert aus und möchte doch eine App entwickeln. Grundlage soll die irische App sein, welche auch in Nordirland bereits getestet wird.
  • Zu guter Letzt nimmt die Digitalisierung manchmal auch überhand: Eine Reisende, die aus einem Risikogebiet am Flughafen Tegel eintraf, wollte sich dort testen lassen. Ihr Versuch scheiterte jedoch am fehlenden Smartphone, denn nur damit kann man sich dort für den Test anmelden und später das Ergebnis erfahren.

Habt Ihr alle Eure Klopapiervorräte aufgestockt?

CoronApp-News (2020-07-19)

Neue Regierungen bekommen hundert Tage Zeit, neue Apps nur vier Wochen:

  • Einen Monat nach ihrem Start zieht das RKI eine positive Zwischenbilanz und meldet knapp 16 Millionen Downloads. Wie viele Menschen die App tatsächlich benutzen, bleibt unklar. Etwa 500 positiv Getestete hatten bisher die Möglichkeit, eine Warnung ihrer Kontakte auszulösen. Wie viele Warnungen an wie viele Kontaktpersonen tatsächlich verschickt wurden, weiß man jedoch nicht.
  • Die Entwicklungsarbeit an der Corona-Warn-App geht weiter. Neben Fehlern und den zugangsbeschränkenden Systemanforderungen der App – neben alten Smartphones bereitet auch das neueste iOS 14 Probleme – bleibt die Anbindung der Testlabore kritisch. Als Folge davon wurde noch kein einziger Corona-Test auf dem eigentlich vorgesehenen Weg per QR-Code in der App registriert. Die alternativen Meldewege führen zu Verzögerungen.
  • Zweifel gibt es weiter an der Verlässlichkeit der Bluetooth-Entfernungsmessung, die in die Risikobewertung von Kontakten einfließt. Auch funktionale Fragen tauchen immer wieder auf.
  • Auf sich warten lässt die EU-weite Integration der nationalen Warn-Apps. Auf der Smartphone- und Bluetooth-Seite gibt es wenig Integratioshindernisse zwischen jenen Apps, die ich auf das Exposure Notification Framework von Apple und Google stützen, doch die Vernetzung der Backends braucht offenbar etwas länger.
  • Langsam dämmert auch den Letzten, dass sich die Bundesregierung im April nicht so sehr für eine datenschutzfreundliche dezentrale Architektur entschieden hat, sondern tatsächlich wohl vor allem für das Framework von Apple und Google. Pragmatisch war das unter den gegebenen Umständen nahezu alternativlos, aber es handelt sich eben nicht um eine freie, souveräne Architekturentscheidung.
  • Zu guter Letzt bleibt jenseits der Coron-Warn-App das Thema Kontaktdatenerfassung in Restaurants etc. auf der Tagesordnung. Einige sind überrascht davon, dass in einigen Fällen die Polizei die gesammelten Daten für Ermittlungen nutzt, aber das ist wahrscheinlich erlaubt. Auf eine Erweiterung der Corona-Warn-App zur Erfassung solcher Besuche warten wir hingegen vergebens, ebenso auf einen flächendeckenden digitalen Ersatz für manuell ausgefüllte Formulare.

Bis nächstes Wochenende.

CoronApp-News (2020-06-28)

Der Wochenrückblick, wie immer nicht nach Erscheinungsdatum, sonder danach, wann ich über die Links gestolpert bin:

Das war’s für diese Woche.

CoronApp-News (2020-06-21)

Habemus Appam! Vielleicht genau zur rechten Zeit, denn die Fallzahlen steigen wieder.

Wie angekündigt ist die Corona-Warn-App seit Dienstag verfügbar und wurde nach Angaben des RKI bis gestern mehr als zehn Millionen Mal heruntergeladen. Falls sie danach auch von allen aktiviert wurde, entspricht das einem Verbreitungsgrad von 13%, womit jeder 65. zufällige Kontakt erkannt werden könnte. Den Datenverkehr der App wollen die Mobilfunk-Provider kostenlos spendieren. Wie man die App aktiviert und benutzt, erklärt unter anderem Heise Online. Eine Datenschutzfolgenabschätzung wurde kurz vor der App selbst veröffentlicht.

Die Bundesregierung ist stolz wie Oskar, weil die Entwicklung seit der Entscheidung für Apple, Google, SAP und Telekom ziemlich gut funktioniert hat, und das Projekt wird auch von anderen gelobt. Jedoch verstummt die Kritik nicht ganz. Der Verein Digitalcourage hält die App für ein Plazebo mit Nebenwirkungen, das Twitter-Echo darauf fiel jedoch eher negativ aus. Der Chef des VZBV empfiehlt die App, warnt jedoch noch einmal vor App-gestützten Einlasskontrollen. Diese Befürchtung wurde zum Release vielfach geäußert, hat sich bislang jedoch offenbar kaum bewahrheitet. Alvar Penning, Jonas Höchst und Bernd Freisleben kritisieren die relative Offenheit der Entwicklung als halbseiden, da ein wichtiges Teilsystem von Apple und Google bereitgestellt werde und eben nicht offen sei. So ganz Made in Germany ist die App eben doch nicht und anderswo fühlt man sich gar von Apple und Google bevormundet.

Wie sehr wir uns vor der Corona-Warn-App fürchten und warum, untersucht der Der Lehrstuhl Sozialpsychologie: Medien und Kommunikation der Universität Duisburg-Essen mit einer Umfrage.

Die App-Entwicklung ging manchen zu langsam und verlief anfangs holprig, wenn nicht gar als Drama mit entgleister Debattenkultur. Im Vergleich zu anderen öffentlichen IT-Projekten erscheint der Weg zu App dennoch recht reibunglos. Allerdings blieb sich auch die Komplexität vergleichsweise gering, nachdem die Smartphone-Plattformen den Lösungsweg und zentrale Komponenten vorgegeben hatten.

Einige Probleme gibt es dennoch. So klagen die Gesundheitsämter seit dem Start der App über unzählige Anrufe verwirrter Nutzerinnen und Nutzer. Auch im Hintergrund läuft noch nicht alles rund, denn viele Testlabore und Gesundheitsämter müssen erst noch angebunden werden, um App-Nutzern direkt Testergebnisse übermitteln zu können. Hier macht sich der Digitalisierungsstau im Gesundheitswesen und in der Verwaltung bemerkbar.

Auch sonst ist die Entwicklung der Corona-Warn-App noch lange nicht abgeschlossen. Neben Meldungen über Fehler und Unzulänglichkeiten sammeln die Entwickler auch Ideen für weitere Funktionen und zeigen ihre – noch recht knappen – Pläne für künftige Verbesserungen. Auch die europaweite Integration der nationalen Lösungen steht noch aus und wird einige Schwierigkeiten mit sich bringen.

International steht Deutschland plötzlich als leuchtendes Beispiel da. Fast zeitgleich mit dem Start hierzulande musste Norwegen seine schon länger bereitstehende App Smittestopp wegen Datenschutzbedenken auf Eis legen. Amnesty International hielt die norwegische App für eine der gefährlichsten weltweit und stellte sie in eine Reihe mit denen aus Bahrain und Kuwait. Das brexitanische App-Projekt versinkt unterdessen im Chaos und verschiebt seinen Release-Termin auf den nächsten Winter. Nachdem eine von Apples und Googles Exposure Notification Framework unabhängige Lösung bereits im Testbetrieb war, setzt man nun doch auf die Plattform-Lösung und stuft zugleich die Priorität der App herab. Die französiche App StopCovid, die ebenfalls ohne das Framework auskommt, scheint eher ein Flop zu werden.

Zu guter Letzt hat der Chef eines mittelständischen Betriebs in Köln so viel Angst vor der App, dass er sie seinen Beschäftigten rundweg verbietet.

 

In der Doppelbotschaft verheddert

Wer WhatsApp oder Facebook nutze, könne bedenkenlos auch die Corona-Warn-App installieren, tönt es durchs Netz – das stimmt zwar vielleicht trotz der Bedenken um Einlasskontrollen, ist aber dennoch kein gutes Argument.

Einige Schlaumeier erklären uns gerade, wer WhatsApp et al. nutze, könne getrost auch die Corona-Warn-App installieren oder wer angesichts der Corona-Warn-App Überwachungsangst verspüre, müsse konsequenterweise auch auf WhatsApp et al. verzichten. Hier zum Beispiel:

und da und dort. Das ist nett gemeint, führt jedoch nicht weit, denn es handelt sich um eine widersprüchliche Doppelbotschaft. Ihre Adressaten sollen entweder die Harmlosigkeit der Corona-Warn-App anerkennen und dann auch WhatsApp benutzen dürfen, oder sie sollen die Gefährlichkeit von WhatsApp anerkennen und dann auf beide verzichten. Unausgesprochen, weil sie nicht so gut ins Argument passt, bleibt die Option, die Corona-Warn-App zu nutzen, WhatsApp jedoch nicht.

Wahrheitstabelle der Implikation WhatsApp → CWA

Formallogisch scheint zunächst alles in Ordnung. Es handelt sich um die Implikation: „wenn WhatsApp dann Corona-Warn-App“. Widersprüche tun sich erst beim Versuch auf, den so als falsch deklarierten Fall zu rechtfertigen, dass jemand WhatsApp nutzt, aber die Corona-Warn-App ablehnt. Das geht, aber man muss dazu diese Implikation zurückweisen. Mehrere Möglichkeiten bieten sich an.

Man könnte trotzig antworten, man wolle halt das eine und das andere nicht. Dabei stünde man immerhin mit beiden Beinen fest auf dem Boden der informationellen Selbstbestimmung, die genau diese Entscheidungsfreiheit gewährt und keine Begründung verlangt. Gehört man selbst nicht zur Gruppe derjenigen, die WhatsApp nutzen, aber die Corona-Warn-App ablehnen, könnte man auch mit der empirisch-statistischen Frage antworten, ob die angesprochene Gruppe überhaupt in einem nennenswerten Umfang existiere. Möglicherweise sind die meisten Aluhutträger tatsächlich so konsequent, auch einen anderen Messenger als WhatsApp einzusetzen, oder tragen ihren Aluhut erst, seit sie Telegram für sich entdeckt haben.

Man könnte auch analytisch antworten, die Verengung auf das Merkmal Datenschutz sei unangemessen, In Wirklichkeit handele es sich um eine mehrdimensionale Kosten-Nutzen- und Risiko-Nutzen-Abwägung, welche in diesem Fall so und in jenem anders ausfalle. Schließlich verspricht WhatsApp einen erheblichen persönlichen Vorteil, während der Nutzen der Corona-Warn-App vorwiegend als externer Effekt in der Gesellschaft eintritt.

Wer dezente Gemeinheit nicht scheut, kann zu guter Letzt auch sein Gegenüber im eigenen Argument einwickeln: Man habe jetzt jahrelang immer wieder die Gefahren von WhatsApp gepredigt, ohne dass viel passiert sein – wo solle nun die Glaubwürdigkeit herkommen, zumal man über die Corona-Warn-App auch noch das genaue Gegenteil  sage? Oder anders verpackt in Abwandlung des gestrigen Tagesthemen-Kommentars:

„Diejenigen, die die App kategorisch empfehlen, weil sie zu Recht keine Gefahren befürchten, sollten bitte auch mal kurz prüfen, ob sie WhatsApp oder Facebook ablehnen.“

Wendet das Gegenüber daraufhin ein, dies sei doch etwas völlig anderes, nickt man nur noch andächtig und sagt: „Genau.“ Wer mag, kann noch einen Treffer landen mit der Frage, wieso angesichts der Corona-Warn-App jetzt auf einmal die Gefahr und die (Un-)Zulässigkeit von Einlasskontrollen anhand der App diskutiert werde, während WhatsApp über ein Jahrzehnt nie jemanden auf diese Idee gebracht habe.

Nein, dass jemand WhatsApp nutzt, ist kein gutes Argument dafür, auch die Corona-Warn-App zu nutzen. Dass viele Menschen WhatsApp nutzen, ohne sich große Sorgen zu machen und wohl auch, ohne objektive Nachteile aufgrund mangelnden Datenschutzes zu erleiden oder zu verursachen, sollte uns hingegen Anlass sein, unser Verständnis und unsere Prioritäten nachzujustieren. WhatsApp und andere zeigen, dass Erfolg auch gegen die Kritik der Datenschützer möglich ist. Die Corona-Warn-App wird uns zeigen, wo die Grenzen mit dem Segen der Datenschützer liegen. Statt Populismus zu betreiben, sollten wir uns mehr mit den tatsächlichen, vieldimensionalen Erfolgsvoraussetzungen von Anwendungen beschäftigen und mit den Gestaltungsprozessen, die Anforderungen erkunden, abwägen und umsetzen.

CoronApp-News (2020-06-14)

Zweimal werden wir noch wach …

  • Die Corona-Warn-App soll ab Dienstag nutzbar sein. Der Bundesdatenschutzbeauftragte hält sie für solide, der TÜV für stabil und sicher (ähm*) und Fabian A. Scherschel ist für Heise Online beeindruckt. Kanzleramtschef Braun meint rückblickend, man hätte die Entwickler ein paar Tage früher beauftragen sollen; die auch zeitliche Abhängigkeit von Apple und Google hätte das freilich nicht beseitigt. Die Entwicklung kostet 20 Millionen Euro, umgerechnet etwa zwei Kilometer Autobahn in einfachem Gelände, und soll auch nach dem Veröffentlichungstermin weitergehen. Als – überwindbares – Hindernis erweist sich die bisher schleppend verlaufene Vernetzung des Gesundheitswesens.
  • Alexander Roßnagel hält den Datenschutz der Corona-Warn-App für beispielgebend, fordert aber dennoch weiter ein Gesetz zur Regelung jener Fragen, die sich jenseits des Datenschutz-Horizonts aufdrängen. Ein Teilproblem hat das Bundesgesundheitsministerium mittlerweile per Verordnung gelöst: Anspruch auf einen kostenlosen Test hat man jetzt auch nach einer Warnung durch die App und schon bevor Symptome auftreten.
  • Nach einer nicht repräsentativen Twitter-Umfrage von Malte Engeler würde jeweils etwa ein Drittel der Befragten die Corona-Warn-App auch ohne Begleitgesetz, nur mit Begleitgesetz beziehungsweise auf gar keinen Fall installieren.
  • Seit April verbreitet sich das Mem, wenigstens 60% der Bevölkerung müssten eine App zur Kontaktverfolgung nutzen, damit sie einen Nutzen habe. Dem widersprechen nun die Autoren der Studie, auf die diese Angabe zurückgeht. Auch bei geringeren Akzaptanzraten sei die Kontaktverfolgung per App nützlich, die Angabe 60% habe ein Eigenleben als Mem entwickelt.
  • In Nordrhein-Westfalen können nach Angaben des WDR drei Millionen Menschen die Corona-Warn-App nicht nutzen, das ist ein Sechstel der Bevölkerung.
  • Das Schweizer Parlament hat eine Rechtsgrundlage für den Einsatz der dortigen App geschaffen. Die App selbst lässt noch auf sich warten, sie soll Ende des Monats zur Verfügung stehen.
  • Die französische App StopCovid fand in den ersten vier Tagen nach ihrer Veröffentlichung eine Million Nutzer.
  • Unterdessen meldet die FAZ eine „Sicherheitslücke bei Corona-Apps“, die sich bei näherer Betrachtung jedoch anscheinend als lange bekannt und wenig dramatisch entpuppt.
    • Ergänzung um Mitternacht: Wer tiefer in die Materie einsteigen möchte, findet hier das Paper und dort eine Diskussion dazu.
  • Die Briten brauchen mit ihrer App etwas länger als geplant und testen gerade eine zweite Version.
  • Eine ganz andere Form der Kontaktverfolgung demonstriert El País und rekonstruiert minutiös drei Virusverbreitungsereignisse in einem Großraumbüro, einem Restaurant sowie in einem Reisebus.
  • Für die Erfassung von Kontaktdaten in Restaurants bietet das amerikanische Unternehmen 360 Virtual Experts eine Lösung, bei der die Gäste keine App installieren müssen. Stattdessen werden sie per QR-Code auf eine Website geschickt, wo sie ihre Daten eintragen können. So ähnlich soll wohl darfichrein.de funktionieren, aber das wird weder aus der Website noch aus der Demo so recht klar. Fertiger wirkt Miss Racoon aus dem Taunus.

*) Den TÜV gibt es gar nicht und das mit dem Damm in Brasilien war ein anderer.

CoronApp-News (2020-06-06)

Die Corona-App-Nachrichten der Woche:

Bis nächste Woche.

Nachtrag:

CoronApp-News (2020-05-31)

Etwas verspätet die Linksammlung rund um Corona-Apps aus der vergangenen Woche:

  • Die Entwickler der deutschen Corona-Warn-App haben Quelltexte der App selbst und weiterer Teilsysteme veröffentlicht. Auch Entwürfe der Benutzerschnittstelle gibt es inzwischen zu sehen. Der Bundesinnenminister ist optimistisch, dass die App bald fertig werde. Was man über unsere künftige Corona-App wissen muss, fasst Golem.de zusammen.
  • Ein Gesetz zur Corona-Warn-App hält die Bundesregierung weiter für unnötig, schließlich sei die Nutzung freiwillig. Ob auch die Selbstisolation freiwillig bleibt, obwohl die Unterlassung in Kenntnis einer Warnung schnell zur Körperverletzung werden kann, hat wohl noch niemand gefragt. Ausgerechnet die Amerikaner, auf die wir in puncto Datenschutz gerne herabsehen, sind uns einen Schritt voraus.
  • Die französiche App StopCOVID erhielt den Segen der Nationalversammlung und soll in den nächsten Tagen starten. Die dortigen Datenschützer spielen mit, jedoch mit Bauchschmerzen. Die Schweizer „SwissCovid-App“ geht in den Feldversuch. Auch dort ist das Parlament mit der Gesetzgebung befasst.
  • Großbritannien setzt auf eine Kombination aus einer Contact-Tracing-App, die immer noch im Testbetrieb ist, und herkömmlicher Kontaktverfolgung. Mal eben 25.000 Helfer anzulernen und remote zu beschäftigen, ist allerdings auch nicht so einfach. Ebenfalls schlecht funktioniert die Selbstisolation: Selbst unter jenen, die Symptome zeigen, folgt nur die Hälfte der Aufforderung, zu Hause zu bleiben.
  • In Australien gibt es sein einem Monat eine Corona-App. Geholfen haben soll sie bis jetzt in einem einzigen Fall. Das muss allerdings nicht an der App liegen. Wir erinnern uns: Das unmittelbare Risiko einer Ansteckung ist gegenwärtig sehr gering und die Vorsichtsmaßnahmen sollen bewirken, dass dies so bleibt.
  • Netzpolitik.org hat Erfahrungen mit Corona-Apps aus mehreren Ländern zusammengetragen.
  • Unterdessen stellen neuere Erkenntnisse zu Ansteckungen das früh festgelegte Konzept der individuellen und dezentralen Kontaktverfolgung in Frage. Wie Michael Seemann in einem Twitter-Thread skizziert, ist die Ansteckungsgefahr wahrscheinlich bei einem langen gemeinsamen Aufenthalt in Innenräumen am größten. Davon soll die deutsche Corona-Warn-App jedoch nichts wissen.
  • Aus China, wo Apps ganz ungeniert als dynamischer Gesundheitspass eingesetzt werden, berichtet das Auslandsjournal des ZDF. Auch eine Arte-Doku, die bereits Mitte April erschien, widmet sich Chinas Umgang mit der Pandemie. An Gesundheits-Apps finden Regierung und Behörden gerade Gefallen und überlegen, was man sonst noch damit anstellen könnte.

Genug Material für den Feiertag, oder?

Datenschutz reicht nicht

Datenschutz gilt im Zusammenhang mit der Corona-Warn-App als überragend wichtig. Zugleich zeigt er jedoch gerade daran seine Grenzen.

Im engeren Sinn steht Datenschutz für Maßnahmen, die informationelle Selbstbestimmung ermöglichen. Mit einigen Ausnahmen soll jede selbst entscheiden dürfen, wer was über sie erfährt und zu welchen Zwecken ihre personenbezogenen Daten verwendet werden. Aus dieser klassischen Perspektive geht es vor allem um die Zugriffs- und Verwendungskontrolle von Daten. Der moderne europäische Datenschutz vertritt dagegen einen umfassenderen Anspruch und möchte allgemein Gefahren für die Rechte und Freiheiten natürlicher Personen durch die Datenverarbeitung abwehren. An Grenzen stößt er, wo nicht mehr das zentralisierte Sammeln und Auswerten von Daten die Auswirkungen des Technikeinsatzes bestimmt, Begriffe und Werkzeuge aber auf Daten fokussiert und damit der engen Sicht verhaftet bleiben.

Persönliche Geräte und ihre Anwendungen wie aktuell die Corona-Warn-App sind so ein Fall. Sie begleiten uns überallhin und interagieren mit uns, nicht nur reaktiv als benutzergesteuerte Geräte, sondern auch aktiv mit Nachrichten und Aufforderungen. Die Corona-Warn-App hat sogar ausdrücklich zum Ziel das Verhalten ihrer Benutzerinnen und Benutzer zu beeinflussen, denn diese sollen sich auf eine Nachricht der App hin in Quarantäne begeben. Eine auf den „Spion in der Tasche“ und mögliche Missbräuche zentraler Datensammlungen reduzierte Betrachtung wird den daraus resultierenden Fragen und Problemen nicht gerecht.

Der unnötigen zentralen Aufbewahrung personenbezogener Daten und dem Missbrauch zentral vorliegender Daten schieben die Corona-Warn-App und die zugrundeliegenden Plattformmechanismen von Apple und Google einen effektiven Riegel vor. Nur im Fall einer nachgewiesenen Infektion erhalten die zentralen Server überhaupt Informationen und dann nur über praktisch anonyme Kontakte der infizierten Person in einem begrenzten Zeitraum. Zur Massenüberwachung taugt das System daher kaum, weil dafür geeignete Daten gar nicht in ausreichendem Umfang anfallen.

Dieses Zugeständnis an den Datenschutz fällt leicht, denn das Wirkprinzip der Corona-Warn-App beruht eben nicht auf Überwachung, sondern auf gezielt übermittelten Verhaltensmaßregeln. Zu ihrer näheren Verwandtschaft gehören nicht Überwachungskameras, Datenbanken und die Rasterfahndung, sondern das Microtargeting der Online-Werbung und die Prompts, mit denen alle möglichen Apps um Aufmerksamkeit und Streicheleinheiten betteln. Aus dem Prinzip der teilautomatisierten Verhaltensbeeinflussung ergeben sich ungeklärte Fragen sowie Missbrauchsmöglichkeiten.

Ungeklärt bleibt bis heute, wie es für Kontaktpersonen nach einer Benachrichtigung weitergeht, wie etwa aus der Bitte um freiwillige Selbstisolation eine dafür nötige Arbeitsbefreiung wird und welche Konsequenzen es hat, wenn jemand in Kenntnis einer erhaltenen Warnung Kontakt mit anderen Menschen hat. Zugunsten der Freiwilligkeit mag man hinnehmen, dass Warnungen ignoriert werden, wenn der Selbstisolation Hindernisse im Weg stehen, zumal die herkömmliche Kontaktverfolgung parallel weitergeht. Folgenlos bleibt dies jedoch nicht, denn wenn die Warn-App den versprochenen Nutzen hat, führen ignorierte Warnungen zu vermeidbaren Ansteckungen, übrigens unabhängig davon, ob und wie die unnötig Angesteckten selbst die App nutzen. Von hier ist es nicht mehr weit zum Vorwurf der Körperverletzung, wenn jemand nach Erhalt und in Kenntnis einer Warnung Kontakte pflegt und dabei jemanden ansteckt. Vor der forensischen Untersuchung des betreffenden Smartphones schützt die Datensammelbremse des Systems dann wohl nicht mehr.

Gleichermaßen liege Missbrauchspotenziale im System selbst und nicht nur in seinen Daten. Bereits vielfach diskutiert und von einzelnen Politikern sogar befürwortet wurden dezentrale Kontrollen der App-Nutzung beispielsweise am Arbeitsplatz oder Supermarkteingang; das bekäme man mit der DSGVO vielleicht noch in den Griff. Aber auch die Kernfunktion – Kontakterfassung und Benachrichtigung – lässt sich zweckentfremden. Technisch gesehen erfasst die Corona-Warn-App gemeinsame Aufenthalte ihrer Benutzerinnen und Benutzer an einem Ort von einer gewissen Dauer. Dass es dabei um Ansteckungsrisiken mit dem Corona-Virus gehe, bleibt letztlich eine Konvention. Deren Einhaltung garantiert nicht das System selbst, sondern seine Anwendungsumgebung. Ohne große Umstände könnte man mit derselben technischen Infrastruktur all jene für zwei Wochen in Quarantäne bitten, die letzte Woche im Puff waren oder sich mit einem Datenschutzbeauftragten getroffen haben. Dass dies tatsächlich jemand versuchte und mehr noch, dass es ungestraft gelänge, halte ich in einem demokratischen Rechtsstaat für sehr unwahrscheinlich, aber dabei handelt es sich um externe Faktoren und nicht um inhärente Zwänge im System.

Was hier zu klären ist, reicht über den Horizont und Instrumente des klassischen Datenschutzes hinaus. Weder das allgemeine Datenschutzrecht noch der technische Datenschutz können alle Fragen, die eine Corona-Warn-App aufwirft, befriedigend beantworten. Ich schließe mich deshalb der verschiedentlich geäußerten Auffassung an, dass die Corona-Warn-App eine spezifische Rechtsgrundlage erfordert. Allgemeiner und auf lange Sicht stehen wir auch vor der Frage, nach welcher Regulierung zentral steuerbare, aber dezentral agierende Geräte- und Anwendungsökosysteme jenseits des Datenschutzes verlangen.

 

 

CoronApp-News (2020-05-23)

Der wöchentliche Nachrichtenüberblick zu Corona-Apps aller Art:

  • Der Deutschlandfunk fasst den aktuellen Stand in Sachen Corona-Warn-App zusammen und schaut dabei auch auf andere Länder: Warum Deutschland noch keine Corona-App hat.
  • Die Entwicklung schreitet jedoch voran. Apple und Google haben wie angekündigt ihre Schnittstellen zur Unterstützung von Contact-Tracing-Apps veröffentlicht. Dazu passend stellt das deutsche Corona-Warn-App-Projekt ein Architekturdokument sowie die ersten Quelltexte für den Warnserver bereit. Auch eine Anleitung zum Melden von Sicherheitsproblemen gibt es bereits und eine Werbeagentur denkt sich Sprüche aus.
  • Der Journalist Ranga Yogeshwar wird ungeduldig, hält Deutschland im Taz-Interview für ein hochnäsiges digitales Entwicklungsland und sieht durch Datenschutzdiskussionen technische Unfähigkeit vernebelt. Dabei können wir Technik vergleichsweise gut, aber auf der Anwendungsseite hapert es, wie Konstantin von Notz gegenüber dem Deutschlandfunk betont: „Das liegt daran, dass Deutschland sowieso bei IT-Großprojekten schlecht aufgestellt ist. Und dass man immer eine unglaublich bürokratische, sehr nutzerfeindliche Logik hat, sei das bei De-Mail, dem E-Perso, der elektronischen Gesundheitskarte.“
  • Yogeshwar meint auch, wir hätten besser die Südkoreaner nach ihrer Lösung fragen sollen statt selbst von vorne anzufangen. Wie das südkoreanische Modell funktioniert, welche Daten dort verwendet werden und wie die daraus erzeugten Warnmeldungen aussehen, erklärt die BBC. Dieses Vorgehen erscheint hierzulande vielen undenkbar, hat jedoch Vorzüge. Wozu die südkoreanische Kontaktverfolgung im Stande ist, zeigt ein Kurzbericht von Sukbin Jang, Si Hyun Han und Ji-Young Rhee: Cluster of Coronavirus Disease Associated with Fitness Dance Classes, South Korea. Deutsche Gesundheitsämter schaffen so etwas sicher auch, die Corona-Warn-App in der geplanten Form hingegen sicher nicht.
  • Zweifel am Nutzen der Corona-Warn-App äußern der Sächsische Ministerpräsident Kretschmer und die Grünen-Politikerin Rößner. Indirekt an der Notwendigkeit einer App zweifelt der Thüringer Ministerpräsident Ramelow. Er möchte landesweite Vorschriften zu Kontaktbeschränkungen und Mindestabständen sowie die Mundschutzpflicht bereits in zwei Wochen aufheben.
  • Der Kultur- und Medienwissenschaftler Roberto Simanowski braucht gar keine funktionierende App. Er kann schon der Debatte um die App Positives abgewinnen und meint, die Gesellschaft übe sich darin im medienwissenschaftlichen Diskurs.
  • Einblicke in die Arbeit der Gesundheitsämter gibt ein Twitter-Thread von @stadtwildnis. Wir erfahren dort unter anderem, dass die Gesundheitsbehörden fast so dezentral organisiert sind, wie sich das manche von einer Corona-App wünschen. Dies hat zur Folge, dass an der Kontaktverfolgung häufig mehrere Ämter beteiligt sind, weil die Kontaktpersonen in verschiedenen Zuständigkeitsbereichen wohnen.
  • Neben dem RKI hat auch die Max-Planck-Gesellschaft gemeinsam mit der Universität Tübingen eine Datenspende-App zu Forschungszwecken entwickelt. CoroNotes soll ohne Fitnesstracker funktionieren, ist gegenwärtig jedoch aufgrund technischer Probleme nicht verfügbar.
  • Aus dem Bundescoronahackathon hervorgegangen ist der Verein Quarano, das an einer gleichnamigen Quarantäne-App arbeitet. Wie weit die Entwicklung fortgeschritten ist, bleibt auf der Website unklar. In seinem Podcast UKW spricht Tim Pritlove mit Oliver Drotbohm, einem der Entwickler. In der Slowakei erscheint sich die dortige Quarantäne-App als vergleichsweise grundrechtsschonend: wer sie benutzt, darf seine Quarantäne zu Hause statt in einem nicht allzu komfortablen staatlichen Quarantänezentrum verbringen.
  • Zu guter Letzt erregen Gästelisten in Restaurants, Friseurgeschäften und anderen Einrichtungen die Gemüter: Rechtsanwalt Niko Härting sieht darin einen Ausdruck ausufernder Vorratsdatenspeicherung, ein Bochumer Anwalt klagt wegen nach seiner Auffassung mangelnden Datenschutzes gegen die Erfassung. In Schleswig-Holstein zeigt das ULD, dass sich jedes Datenschutzproblem in Papier einwickeln lässt und stellt ein Musterformular vor, das pro Person eine ganze Seite braucht – oder sogar zwei, wenn die Betroffenen eine Kopie der Datenschutzhinweise mit nach Hause nehmen möchten. Einige Wirte helfen sich selbst, indem sie der Einfachheit halber die Ausweise ihrer Gäste fotografieren, und stehen dabei mit einem Bein im Gefängnis. Eine App anstelle von Formularen könnte die Erfassung vereinfachen und gleichzeitig den Gästen helfen, später ihre Betroffenenrechte wahrzunehmen, denn wer notiert sich schon im Alltag, wo er überall seine Kontaktdaten hinterlässt? In der entstehenden Corona-Warn-App hat solch eine Funktion jedoch vorerst keinen Platz.

Wäre es am Ende doch schlau gewesen, erst einmal die Aufgaben, Funktionen und Erfolgsaussichten einer Corona-App zu diskutieren und sich dabei Vorbilder aus anderen Ländern anzuschauen?

Geschichten erzählen

Das deutsche Corona-Warn-App-Projekt hat einen ersten Anforderungskatalog vorgelegt. Von den politischen Belastungen seiner Vorgeschichte kann es sich nicht lösen. Die Entwickler skizzieren ein Minimum Viable Product ausgehend von den bekannten willkürlichen Festlegungen. Auf eine ergebnisoffene Einbindung der Stakeholder in die Anforderungsanalyse warten wir weiter vergebens.

Für die deutsche Corona-Warn-App, die im Auftrag der Bundesregierung von SAP und der Telekom entwickelt wird, liegt jetzt ein erster Anforderungskatalog vor. Große Überraschungen finden sich darin nicht, die Entwickler bleiben in den politisch vorgezeichneten Bahnen. Das ist verständlich, aber schade, denn so unterbleibt weiter die Auseinandersetzung mit dem Anwendungskontext und den realen Bedürfnissen der Nutzer und Stakeholder. Dass die Anforderungen als User Stories formuliert sind, lässt die daraus resultierenden Defizite deutlich hervortreten.

Eine User Story beschreibt eine funktionale Anforderung an ein System in der Form: „Als <Rolle> möchte ich <Ziel/Wunsch>, um <Nutzen>“, oder ähnlich. Das Wie spielt zunächst keine Rolle. Als Informationsobjekte werden User Stories im Entwicklungsprozess zu verschiedenen Zwecken verwendet. Entwickler und Designer knüpfen daran ihre Entwurfsarbeit, das Produktmanagement kann damit in Abstimmung mit den Stakeholdern Ziele und Prioritäten festlegen und das agile Projektmanagement steuert mit Hilfe eines priorisierten Backlogs noch nicht umgesetzter User Stories die Entwicklungsarbeit.

Damit User Stories gut werden, muss man sich bei ihrer Formulierung ernsthaft mit seinen künftigen Nutzern auseinandersetzen, das heißt intensiv mit ihnen interagieren. Dazu gibt es eine Reihe von Methoden von Fragebögen über Interviews  und Workshops bis zu frühen Usability-Tests mit Papierprototypen. Ohne diese Interaktion läuft man Gefahr, spekulative Vorstellungen zu entwickeln, die sich später als falsch erweisen. In der echten agilen Entwicklung muss man allerdings nicht alles vorher klären, weil man den Nutzern regelmäßig neue Versionen einer Anwendung zur Verfügung stellt und sich dazu jeweils Feedback holt.

Die veröffentlichten User Stories für die Corona-Warn-App (in der Fassung vom 14. Mai 2020) zeigen drei Auffälligkeiten:

(1) Geringe Nutzerorientierung. Die Entwickler wandeln die Schablone ab zu: „Als <Stakeholder> möchte ich <Handlung durchführen>, um <gewünschtes Ergebnis zu erzielen>.“ Aus dem Ziel wird eine Handlung, aus dem Nutzen ein gewünschtes Ergebnis. Dieses subtil abgewandelte Format erleichtert es, aus der Luft gegriffene Gestaltungsideen den Stakeholdern gewissermaßen in den Mund zu legen, indem man sie als User Story ausgibt.

Das tun die Entwickler auch sogleich und formulieren zum Beispiel: „Als App-Nutzer möchte ich beim erstmaligem Applikationsstart über die Nutzungsbedingungen und Datenschutzbestimmungen (Data Protection Screen) informiert werden und meine Zustimmung geben, um über den Umgang mit meinen Daten innerhalb der Anwendung aufgeklärt zu sein.“ (E01.02) oder: „Als App-Nutzer möchte ich das Impressum der Applikation einsehen können, um zu sehen, wer für Entwicklung und Inhalte der Applikation verantwortlich ist.“ (E02.04). Das ist Käse, Datenschutz-Formalia und Impressum wollen nicht die Nutzer haben, sondern die Daten- und Verbraucherschützer. Nutzer freuen sich darüber so sehr wie über ein Cookie-Banner auf einer Website.

In diesem Stil geht es auch bei den Kernaufgaben der App weiter: „Als App-Nutzer möchte ich, dass bei Vorliegen meines positiven Testergebnisses nach meiner Zustimmung die pseudonymisierten IDs, unter denen ich an den vergangenen Tagen für andere App-Nutzer sichtbar war, an den Warn Server übermittelt werden, damit Kontaktpersonen durch ihre Apps gewarnt werden können.“ (E06.03), oder: „Als App-Nutzer möchte ich die Möglichkeit zur Eingabe einer TAN innerhalb der App haben, damit ich die mir telefonisch mitgeteilte TAN zur Zuordnung meines Testergebnisses zu der von mir genutzten Instanz der App nutzen kann.“ (E06.05). Das sind keine lösungsneutralen Ziele realer Nutzer, sondern Gestaltungsideen der Entwickler.

(2) Fehlende Stakeholder. Als Stakeholder sind nur App-Nutzer, Hotlines sowie das Robert-Koch-Institut (RKI) genannt. Hingegen fehlen die zuständigen Gesundheitsämter sowie auch der verantwortliche Betreiber der gesamten Anwendung und damit mittelbar die Öffentlichkeit.

Zu den seit dem Aufkommen der App-Idee geflissentlich ignorierten Anforderungen der Gesundheitsämter hat sich der Landkreistag vor einiger Zeit bereits geäußert. Von dort bekäme man User Stories wie: „Als Beamter einer Gesundheitsbehörde möchte ich Kontaktpersonen identifizieren, um ihnen Empfehlungen und Anordnungen zu übermitteln.“, oder: „Als Beamter einer Gesundheitsbehörde möchte ich Quarantäneanordnungen aussprechen, die einer gerichtlichen Prüfung standhalten.“ Dass es solche Anforderungen gibt, heißt nicht, dass man sie zwingend umsetzen müsste. Wer sie gar nicht erst erfasst, drückt sich jedoch davor, wichtige Aspekt des Problems überhaupt zur Kenntnis zu nehmen.

Um die Errichtung oder Beauftragung einer verantwortlichen Betreiberinstitution drückt sich seit ebenso langer Zeit die Bundesregierung. Ein verantwortlicher Betreiber hätte unter anderem die Aufgabe, den Systembetrieb zu überwachen und die Öffentlichkeit darüber auf dem Laufenden zu halten, wie gut oder schlecht die automatische Kontaktverfolgung funktioniert. Von einem Verantwortlichen bekäme man User Stories wie: „Als Verantwortlicher möchte ich die Arbeit des Systems fortlaufend überwachen, um Fehler und Probleme schnell zu erkennen.“, „Als Verantwortlicher möchte ich täglich aktuelle Statistiken über die verteilten Warnungen erhalten, um die Öffentlichkeit zu informieren.“, oder: „Als Systembetreiber möchte ich Nutzerfeedback einholen, um die App fortlaufend verbessern zu können.“ Hier läge übrigens auch der passendere Kontext für Anforderungen wie das Impressum oder den unvermeidlichen Datenschutz-Sermon.

(3) Unvollständige Anforderungen. Während sich viele User Stories mit sekundären Themen wie dem Installationsprozess, der Konfiguration und der Barrierefreiheit beschäftigen, bleibt der Kern der App sehr dünn. Ausführlich und mit zu vielen technischen Details wird der Erhalt eines Testergebnisses und das darauf folgende Auslösen einer Warnung beschrieben. Allerdings fehlt die Möglichkeit zur Entwarnung etwa für den Fall, dass ein Testergebnis falsch gemeldet oder zugeordnet wurde.

Für den Kontaktfall – ein App-Nutzer wird über eine mögliche Ansteckung irgendwie, irgendwo, irgendwann benachrichtigt – müssen hingegen ganze zwei User Stories genügen. Im Wesentlichen sagen sie: Der Nutzer erhält eine Nachricht und kann daraufhin Verhaltensempfehlungen aufrufen. Aus Nutzersicht gibt es an dieser Stelle noch einiges zu klären. Grundidee der Corona-Warn-App ist, dass sich die Informierten umgehend selbst isolieren, bis klar ist, ob sie sich angesteckt haben, also entweder ein verlässliches negatives Testergebnis vorliegt oder aber Symptome auftreten.

Ich vermisse hier User Stories wie: „Als Kontaktperson eines Infizierten möchte ich schonend und mitfühlend erklärt bekommen, dass ich möglicherweise mit einem potenziell tödlichen Virus infiziert bin, damit ich mich nicht mehr als unvermeidlich aufrege.“, „Als Kontaktperson eines Infizierten möchte ich wissen, wo ich mich testen lassen kann, um möglichst schnell Klarheit über eine Ansteckung zu erlangen.“, oder: „Als benachrichtigter App-Nutzer, der sich umgehend in Quarantäne begibt, möchte ich einen Nachweis zur Vorlage bei Arbeitgebern, Behörden und Gerichten abrufen, um meine Abwesenheit beziehungsweise verpasste Termine zu entschuldigen.“

Neben solchen praktischen Fragen stellen sich an dieser Stelle auch grundsätzliche. Eine Befehlsgewalt über Menschen erhält das Smartphone nicht, da alles freiwillig sein soll. Wie aber muss eine Benachrichtigung aussehen, damit sie für die Nutzer plausibel ist und die daran geknüpften Verhaltensempfehlungen freiwillig befolgt werden? Ich könnte mir vorstellen, dass das mit ein paar Details besser funktioniert: „Jemand aus Ihrer Sportgruppe, die sich am Montag getroffen hat, ist infiziert.“, oder: „Sie saßen vorgestern im ICE von Frankfurt nach Mannheim im gleichen Wagen wie ein Corona-Infizierter.“ Solche Aussagen sind konkret und der persönliche Bezug nachvollziehbar, während die Warnungen der geplanten App vage bleiben.

Nun muss man bei agiler Entwicklung nicht von Anfang an alles richtig machen. Ausgehend von einer vagen Idee kann man die Einzelheiten und allerlei unerwartete Fragen nach und nach entdecken, denn agile Entwicklung ermöglicht und impliziert eine empirische Anforderungsanalyse über die gesamte Entwicklungszeit hinweg. Angesichts der Vorgeschichte sowie des Zeitdrucks – einige sprechen schon vom „digitalen BER“ (https://www.mdr.de/nachrichten/politik/inland/corona-tracing-app-warten-100.html), obwohl das weit übertrieben scheint – habe ich jedoch den Eindruck, dass man hier einfach mit politisch geformten Vorgaben in einen kleinen Wasserfallprozess geht. Daran ändert ein an User Stories erinnerndes Gerüst für die vorbestimmten, an willkürlichen technischen Entscheidungen ausgerichteten Anforderungen wenig.

Schon vor einem Monat, als das Projekt der Stunde noch PEPP-PT hieß, war zu erkennen, dass ein nur auf perfekten technischen Datenschutz fokussierter Ansatz die Anforderungsanalyse zu kurz kommen lassen würde. Nicht zuletzt den am Projekt Beteiligten selbst fiel dies anscheinend auf und sie verabschiedeten sich vom dezentralen Extremismus. Genaueres weiß die Öffentlichkeit nicht, denn PEPP-PT erlaubte keine Einblicke in den Entwicklungsprozess. Zumindest dies hat der zweite Anlauf verbessert. Ob das bloße Vorzeigen jedoch etwas am absehbaren Ergebnis ändert, bleibt offen.

CoronApp-Links (2020-05-09)

Auch diese Woche haben sich allerlei Meldungen und Artikel zum Thema Corona-App angesammelt:

Die deutsche App soll nach aktuellem Stand im Juni erscheinen. Das Thema wird uns also noch eine Weile begleiten.

Dezentrale Engstirnigkeit, zentraler Realismus

Auch in der automatischen Kontaktverfolgung per Smartphone-App traut sich Großbritannien, einen eigenen Weg zu gehen. Dort beginnt gerade der Testbetrieb einer Corona-App, der eine zentrale Datenverarbeitung zugrunde liegt. Die Briten verfolgen damit in jeder Hinsicht das Gegenteil des deutschen Ansatzes: Während dort eine zentrale Lösung weitgehend einsatzreif ist, hat man hier gerade dezentral von vorne angefangen, nachdem das bereits laufende Projekt PEPP-PT mit seiner Entscheidung gegen eine streng dezentralisierte Lösung politisch in Ungnade gefallen war. Die hierzulande mitschwingenden paneuropäischen Großmachtphantasien fanden auf der Insel naturgemäß ohnehin keinen Raum.

Die Gretchenfrage: „Zentral oder dezentral?“ entstand als Artefakt einer öffentlichen Debatte, weil sie zu Positionierungen einlud, ohne Sachkenntnis zu verlangen. Den Anschein überragender Bedeutung erlangte sie zum einen durch die im Nachhinein ungeschickt wirkende Ankündigung von PEPP-PT, den technischen Datenschutz in den Mittelpunkt zu rücken, zum anderen durch das eigennützige Handeln einiger Beteiligter. Während PEPP-PT im Laufe seiner Entwicklungsarbeit offenbar das Problem und den Lösungsraum besser verstand und sich vom dezentralen Extrem verabschiedete, spitzten dreihundert Professoren die ohnehin zu enge Fokussierung auf technischen Datenschutz noch zu. Als ginge es darum, unter idealisierten Voraussetzungen zwischen zwei einander widersprechenden Hypothesen die richtigere auszuwählen, konstruierten sie ein Entweder-Oder zwischen zentral und dezentral und gaben sogleich ohne Experiment die Antwort, selbstverständlich müsse es dezentral sein. Unterdessen sprangen Apple und Google auf den bereits abfahrenden Zug auf und präsentieren sich seither so geschickt als Retter der Privatsphäre, dass sogar Margrethe Vestager darauf hereinfällt und galant darüber hinwegsieht, wie das Duopol seine Plattform-Macht ausspielt.

Welche Erfolgsaussichten die Kontaktverfolgung per Smartphone und Bluetooth insgesamt hat, bleibt unabhängig von der technischen Architektur vorerst unklar. Setzt man diese Idee jedoch um, und sei es nur als Experiment, sollte man sich dabei um die bestmögliche Lösung bemühen. Was eine Lösung gut oder weniger gut macht, bestimmt dabei nicht ein zentrales technisches Detail, sondern der reale Nutzen im Anwendungskontext.

Für zentrale Elemente wie in Großbritannien spricht einiges. Erstens ist eine komplett dezentrale Architektur ohnehin nicht realistisch. Zum einen braucht man selbst bei Datenspeicherung auf den Endgeräten irgendeine zentrale Instanz zur Nachrichtenverteilung und Koordination, wenn man zugleich jede Datensammlung anonym halten und nicht Adressen wie zum Beispiel Telefonnummer für die spätere Benachrichtigung speichern möchte. Zum anderen gehören zu den verwendeten Plattformen unvermeidlich zentrale Instanzen wie Appstores und Telemetrie. Ausgehend von einem Aluhut-Bedrohungsmodell können sich Nutzerinnen und Nutzer in solch einer Umgebung sowieso auf keine Eigenschaft einer App verlassen, denn jederzeit könnte eine neue Version automatisch installiert werden, die alles ganz anders macht.

Zweitens gehören Feedbackmechanismen heute zum Stand der Technik. Seit Software nicht mehr auf Datenträgern in Pappschachteln, sondern online vertrieben und auf vernetzten Geräten benutzt wird, haben Entwickler die Möglichkeit, Telemetriedaten aus der Software selbst sowie Nutzerfeedback unmittelbar zu erhalten und auszuwerten. Das erleichtert und beschleunigt die Fehleerkennung und -behebung sowie die Weiterentwicklung enorm und erlaubt sogar interaktive Experimente mit realen Benutzerinnen und Benutzern. Beim Einsatz einer noch wenig getesteten Technologie sind Feedbackmechanismen besonders wichtig, denn sehr wahrscheinlich erlebt man Überraschungen und muss unerwartete Probleme lösen. Eine letztlich experimentelle App im Zuge der Pandemiebekämpfung einfach herauszugeben und dann sich selbst zu überlassen, wäre grob fahrlässig, zumal über das neue Coronavirus noch zu wenig bekannt ist.

Drittens kollidieren Anforderungen aus dem Anwendungskontext mit extremistischen Datenschutzkonzepten. Die Kontaktverfolgung ist kein belang- und folgenloses Smartphonespiel wie Pokémon Go, sondern sie soll reale Konsequenzen haben. Beim herkömmlichen Vorgehen gehören zu diesen Konsequenzen Quarantäneanordnungen der Gesundheitsämter. Solche Anordnungen benötigen einen Adressaten und im Rechtsstaat müssen sie auch begründet sein, um ggf. einer gerichtlichen Prüfung standzuhalten. Im Sozialstaat ist darüber hinaus geregelt, wer welchen Teil der Lasten trägt und wie beispielsweise eine quarantänebedingte Arbeitsunfähigkeit abgefedert wird. Die Verfechter eines dezentral-anonymen Ansatzes haben bis heute keine Vorschläge unterbreitet, wie das eine oder das andere funktionieren soll. Weder können die Gesundheitsämter damit irgend etwas durchsetzen, noch erhalten Betroffene eine ausreichende Begründung oder gar eine Bescheinigung zur Vorlage bei Vertragspartnern und öffentlichen Stellen.

Viertens drängen sich Nebenfunktionen einer für den Masseneinsatz bestimmten App geradezu auf. Eine offensichtliche ist die Erfassung statistischer Daten, um den Gesundheitsbehörden ein klareres Bild des Pandemieverlaufs zu vermitteln. Dazu muss man doch wieder Daten an eine zentrale Stelle übermitteln und es kann gut sein, dass sich dann aus einem integrierten Ansatz schnell Synergieeffekte ergeben.

In Großbritannien hat man sich offenbar mit den Anforderungen der Anwendung auseinandergesetzt, während Deutschland kontextarm über Technik stritt. Dort möchte man zum Beispiel besonders gute Virenverteiler anonym ausfindig machen und darauf Risikoeinschätzungen stützen. Ob das funktionieren kann, wird sich zeigen; um eine an der Oberfläche nicht offensichtliche Idee handelt es sich allemal. Ein zentralerer Ansatz ist auch nicht automatisch ein Zeichen für Nachlässigkeit oder Primitivität der Implementierung, er kann für alle realistischen Belange einen gleichermaßen effektiven Datenschutz gewähren. Nur eines haben die Briten ebenso versäumt wie die Bundesregierung: die entwickelte Technik rechtlich und organisatorisch mit vertrauensbildenden Maßnahmen zu flankieren. Ich wünsche ihnen dennoch viel Erfolg. Schneller fertig werden sie schon mal, wie auch einige andere Länder, die dem dezentralen Extremismus eine Absage erteilten.

Sündenböcke

Dass die Debatte um eine Corona-App zur Kontaktverfolgung entgleist ist, wird niemandem entgangen sein. Los ging es, als von einer App noch gar nicht die Rede war, mit dem Vorschlag, „irgendwas mit Händiortung zu machen“ und einer vorsorglichen Erlaubnis, die es dann doch nicht ins IfSG schaffte. Kurz darauf traten DP-3T und PEPP-PT auf den Plan, setzten den Fokus auf das Nebenthema Datenschutz unter Meidung einer sauberen Anforderungsanalyse und zerstritten sich über der Frage, welche Funktionen zentral und welche dezentral ablaufen sollten. Während dieser Streit weite Kreise zog, widmete die Öffentlichkeit den grundlegenden Problemen des Vorhabens und der lückenhaften Entwurfsarbeit wenig Aufmerksamkeit. Ein vorläufiges Ende setzte dieser wenig produktiven Diskussion die Bundesregierung mit ihrer Entscheidung, von SAP und der Telekom eine App auf der Grundlage von Gapples angekündigter Lösungsplattform entwickeln zu lassen, und sich schwierigeren Themen wie dem Immunitätspass zuzuwenden.

In einem Kommentar auf FAZ.NET macht Morten Freidel nun alleine „die Hacker“ für die Debatte und ihr Ergebnis verantwortlich. So sehr ich seinen Eindruck teile, dass organisierte Nerds etwa in Gestalt des CCC Expertentum und Aktivismus vermischen, ihr Auftreten in dieser Debatte keine Glanzleistung darstellt und ihre ewiggleichen Forderungen und Mahnungen manchmal mehr schaden als nützen, muss ich die Nerdaktivisten doch gegen den Vorwurf in Schutz nehmen, sie trügen die Hauptschuld am kommunikativen Desaster um die Corona-App.

Versagt hat zuerst die Bundesregierung. Sie hätte sich rechtzeitig Gedanken machen und einen Plan vorlegen sollen, ob und wie digitale Lösungen die Seuchenbekämpfung unterstützen sollen. Immerhin sitzt im Kanzleramt eine Staatsministerin für Digitalisierung, die jedoch wenig von sich hören lässt, seit Millionen Deutsche in ihren Heimbüros auf das Internet angewiesen sind. Stattdessen trieb die Öffentlichkeitsarbeit des PEPP-Konsortiums eine Zeitlang neben den Aktivisten auch die Bundesregierung vor sich her. Politisches Geschick zeigte die Regierung erst, als sie PEPP-PT seinen einzigen Claim vom Vertrauen durch technischen Datenschutz aus der Hand riss, gegen die Freischärler wandte und nebenbei noch die Entscheidung für Gapple und gegen eine eigene technische Basis ohne jeden Widerspruch durchsetzte.

Dass vorher aus PEPP-PT heraus ein Richtungsstreit „zentral vs. dezentral“ eskaliert war, ist ebenfalls nicht zuerst Nerdaktivisten anzulasten. Dieser Streit geriet in die Öffentlichkeit, als dreihundert Wissenschaftler in einem offenen Brief Partei ergriffen für eine forschungsnahe Technologieentwicklung („dezentral“) und gegen einen undogmatischen, zielorientierten Entwicklungsprozess*. Zu welchen Anteilen dieser offene Brief durch ehrliche Bedenken, auf die Gruppendynamik eines stabilen Beziehungsnetzes oder auf gekränkten Narzissmus zurückgeht, wissen nur die Akteure. Festzuhalten bleibt: 300 Wissenschaftler haben mit ihrer lautstarken Äußerung die falsche Dichotomie „zentral vs. dezentral“ gestärkt, offensichtliche Schwächen in der Anforderungsanalyse und im Entwurfsprozess hingegen übersehen und sich dann einen schlanken Fuß gemacht.

Einen schlanken Fuß macht sich auch die Bundesregierung, was gesetzliche Regelungen für die Kontaktverfolgung angeht. Kein Vorschlag liegt auf dem Tisch und man hat wohl auch nicht vor, dieses Thema in Zukunft zu regeln. Dabei hätte ein vertrauensbildender Regelungsvorschlag als Gegenpol zur technikfixierten PR von PEPP-PT einen weit konstruktiveren Beitrag zur Debatte geleistet als die letztendliche Richtungsentscheidung um ein technisches Detail.

Auf den engen datenschutztechnischen Fokus der Debatte eingestiegen zu sein und keine Ausweitung auf eine Gesamtsicht gefordert zu haben, mag man vielen Nerds vorwerfen. Historisch gesehen hat die Hacker- und Nerdaktivistenszene gewiss auch einen Anteil daran, dass Datenschutz inzwischen wichtiger scheint als Konzept und Funktion eines Systems. Die Verantwortung für das Scheitern der Corona-App-Debatte jedoch liegt primär bei anderen, bei PEPP-PT, bei der Bundesregierung und bei den eingeschnappten Professoren.

*) Ich spekuliere, da ich PEPP-PT nur aus den Nachrichten kenne. Auf mich wirkte es jedoch so, als habe man dort entwickelt und dabei gelernt; ich sehe gute Gründe, auf „dezentralen“ Extremismus zu verzichten.

Echte Corona-App: SORMAS

Wie sehr sich das digitalpolitische Berlin mit seiner Debatteninszenierung um eine „zentrale“ oder „dezentrale“ App zur Kontaktverfolgung blamiert hat, macht eine existierende Lösung deutlich:

Das Surveillance Outbreak Response Management & Analysis System (SORMAS) aus dem Helmholtz‐Zentrum für Infektionsforschung (HZI) unterstützt Gesundheitsdienste beim Kontaktpersonen- und Fallmanagement. Es ist ausgelegt auf die Nutzung mit mobilen Geräten auch in Ländern mit schwacher Infrastruktur, das heißt vielen Funklöchern.

SORMAS hat mehr als fünf Jahre Entwicklungsarbeit und Einsatzerfahrung hinter sich. Die Lösung wurde unter anderem in der Bekämpfung von Ebola-Ausbrücken erfolgreich eingesetzt und ist mittlerweile in mehreren afrikanischen Ländern dauerhaft im Einsatz.

SORMAS steht bereits seit Anfang März auch in einer eingedeutschten und an Covid-19 angepassten Version zur Verfügung. Die Open-Source-Software kann von allen Gesundheitsdiensten kostenfrei genutzt werden.

Keiner der Spezialexperten, die sich in den vergangenen Wochen die automatisierte Kontaktverfolgung zum Thema der Stunde erklärt und sich zum Randaspekt Datenschutz öffentlich einen runtergeholt haben, hat SORMAS je erwähnt. Ich schließe mich da ein, ich hatte es auch nicht auf dem Radar und bin erst heute in einer LinkedIn-Diskussion darauf gestoßen.


PS: In Berlin wird SORMAS seit einigen Tagen eingesetzt.

Aufs Glatteis geführt

Seit Mitternacht schweigen nun an einer Front die Waffen: Die Bundesregierung kapituliert bedingungslos vor dem Aufschrei einiger Datenschutztechnikexperten und entscheidet sich für eine dezentrale Architektur zur Kontaktverfolgung. Nur dies schaffe das nötige Vertrauen, lässt sich Kanzleramtsminister Braun zitieren. Inwieweit sich damit die Anforderungen der Praxis erfüllen lassen, bleibt unterdessen unklar, denn mit solchen Fragen hat sich offenbar niemand beschäftigt. Die Regierung hat sich in Sachen Digitalisierung wieder einmal aufs Glatteis führen lassen. Das Projekt Corona-App wird voraussichtlich die Misserfolgsgeschichten der Gesundheitstelematik, des elektronischen Personalausweises und der Blockchain-Strategie fortsetzen. Das liegt nicht an der Technik, sondern an mangelnder Kompetenz in der Technikgestaltung.

Begonnen hatte alles vor einigen Wochen mit den öffentlichen Auftritten von DP-3T und PEPP-PT, anfangs noch in einer Allianz und scheinbar am gleichen Strang ziehend. Damit begann eine von Anfang an verzerrte Debatte über „die Corona-App“. Zum einen stand unvermittelt ein spezifischer Ansatz im Raum, nämlich die automatisierte Kontaktverfolgung und Benachrichtigung von Kontaktpersonen. Sinnhaftigkeit, Erfolgsaussichten und Erfolgsbedingungen dieses Ansatzes sowie andere Wege der digitalen Seuchenbekämpfung wurden kaum diskutiert; alle wollten an unsere wundersame Rettung durch Technomagie glauben. Nur ein Kritikpunkt ließ sich nicht umschiffen: Die automatisierte Kontaktverfolgung würde nur funktionieren, wenn fast alle mitmachten. Ausgerechnet Datenschützer mit ihrem Faible für Selbstbestimmung wiesen früh darauf hin, dass dies bei freiwilliger Nutzung unrealistisch sei, ohne deswegen freilich einen Zwang zu fordern. Ein kleinerer Zweig der Debatte dreht sich daher um die Frage der Freiwilligkeit.

Den Schwerpunkt hingegen setzte PEPP-PT selbst: In Voraussicht auf typisch deutsche Technikkritik und den Hang einiger Akteure, die Verarbeitung personenbezogener Daten für eine Risikotechnologie mit nuklearem Gefahrenpotenzial zu erklären, rückte man statt des Anwendungsentwurfs den technischen Datenschutz in den Mittelpunkt seiner Selbstdarstellung. Wie und wie gut der eigene Ansatz funktionieren würde, wusste man bestenfalls ungefähr, was ist in frühen Phasen der Entwicklung auch völlig normal und unvermeidlich ist. Jedoch werde die eigene Lösung auf jeden Fall perfekte technische Datenschutzvorkehrungen umfassen, denn nur so sei bei den Bürgerinnen und Bürgern das nötige Vertrauen zu gewinnen. Dass Kanzleramtsminister Braun dem Projekt PEPP-PT später mit genau diesen Worten den Todesstoß versetzen würde, war da noch nicht absehbar – dass jemand auf dem Holzweg war, hingegen schon. Im weiteren Verlauf der Entwicklungsarbeit, die immer auch ein Lernprozess ist, musste man sich anscheinend von diesem anfänglichen Extremismus verabschieden, auch dies nicht ungewöhnlich.

Unterwegs gingen zwei Dinge schief. Erstens hatte man sich den Weg zu einer offenen Anforderungsanalyse verbaut, denn alles musste sich nun dem Datenschutz-Ideal unterordnen. Mit den Gesundheitsämtern vor Ort zum Beispiel redete – anders die Entwickler von TraceTogether in Singapur oder vermutlich auch jene der südkoreanischen Lösung – anscheinend niemand und so macht der Deutsche Landkreistag seine Vorstellungen in einem Brief an den Gesundheitsminister und das Kanzleramt geltend (paywalled).  Statt einem Weg, anonyme und folgenlose Nachrichten in den Cyberspace zu rufen, hätte man dort gerne Namen und Orte. Ob das es am Ende so umgesetzt werden sollte, sei dahingestellt; auf jeden Fall stecken hinter solchen Forderungen Bedürfnisse, die ein Entwicklungsprojekt erfassen und berücksichtigen muss. Vermutlich hat PEPP-PT so etwas sogar versucht oder einfach unterwegs das Problem besser verstanden, doch von dem öffentlich eingeschlagenen Pflock „perfekter technischer Datenschutz“ kam man nicht mehr los.

Zweitens verselbständigte sich die Datenschutzdiskussion und wandelte sich schnell zu einer Glaubensfrage. Zwar lagen zumindest der Öffentlichkeit weiter nur vage Ideen einer App zur Kontaktverfolgung vor, die irgendwo vom Himmel gefallen waren, doch statt über grundlegende konzeptionelle Fragen zu reden, positionierten sich alsbald allerlei Personen und Einrichtungen in einem der Lager „zentral“ oder „dezentral“. Teils handelte es sich um ehrliche, aber überfokussierte Eiferer wie den CCC, teils waren wohl auch handfeste Interessen im Spiel wie bei den Professoren, die sich nach der Abkehr vom Forschungsprototypen DP-3T ihrer Bedeutung beraubt sahen. Obendrein mischten sich auch noch Google und Apple, trotz interessanter technischer Ansätze als Plattformanbieter Inbegriffe der Zentralisierung, mit eigenen Angeboten ein und weckten teils Vertrauen in ihre Fähigkeiten, teils aber auch antiamerikanische Instinkte.

Schnell schoss sich die Szene medienöffentlich auf die Forderung nach einem dezentralen Ansatz ein,  während dagegen sprechende Anforderungen nur langsam zu Tage treten. Unterdessen hielt die Bundesregierung ihre Füße still und ließ der Debatte freien Lauf, ohne selbst etwas beizutragen. Sie zweifelte nie an der unbelegten These von der Vertrauen durch Datenschutztechnik und verzichtet bis heute darauf, öffentlich die rechtlichen und organisatorischen Rahmenbedingungen für den Einsatz einer Corona-App zu klären. Dabei ist die kritiklos übernommenen Ursprungsidee nicht einmal plausibel, denn zum einen versteht kaum jemand die technischen Details, zum anderen zeigen die (wahrscheinlich zu Recht) ungehört verhallenden Mahnungen der Datenschützer vor massenhaft genutzten Diensten wie Google, Facebook, WhatsApp oder aktuell Zoom, dass Vertrauen gerade nicht durch den Segen von Datenschützern und Aktivisten entsteht.

Statt das Ihre zur Vertrauensbildung zu tun, ergibt sich die Bundesregierung nun einer überschaubaren öffentlichen Erregung und schließt sich der Forderung nach (scheinbar) perfektem Datenschutz an, während eine Debatte über Anforderungen und Anwendungsentwürfe weiter unterbleibt. Damit tritt das Projekt Corona-App in die Fußstapfen wenig erfolgreicher Vorgänger. Die Gesundheitstelematik – ihr Konzept inzwischen so altbacken wie die Bezeichnung – sollte das Gesundheitswesen vernetzen und dabei Gesundheitsdaten perfekt kryptografisch vor unbefugtem Zugriff schützen. Nach fünfzehn Jahren Entwicklungszeit ist kaum mehr herausgekommen als ein VPN sowie ein Stammdatendienst. Wenig später sollte der elektronische Personalausweis allen Bürgerinnen und Bürgern einen Identitätsnachweis fürs Internet verschaffen. Seine Datenschutzmechanismen sind nahezu perfekt, doch da man Anwenderbedürfnisse ignoriert und das Konzept über die vergangenen zehn Jahre auch kaum weiterentwickelt hat, benutzt fast niemand die eID-Funktion. Bei der Blockchain schließlich ging es zwar nicht um Datenschutz doch auch hier stand eine Technik im Mittelpunkt, von der man Wunderbares erwartete. Diesen Glauben ließ man sich in Berlin nicht von geringer Plausibilität der Anwendungsideen erschüttern. Darüber hinaus brachten die Blockchain-Evangelisten das Schlagwort „dezentral“ ins Spiel und verkauften es unbegründet als Qualitätsmerkmal. Sollte hier die wahre Wurzel der Entscheidung liegen?

Am Beispiel der Corona-App zur Kontaktverfolgung zeigt Deutschland erneut, wie es an politisch belasteten Digitalprojekten scheitert. Mit Ruhm bekleckert hat sich keiner der Beteiligten. An entscheidenden Stellen mangelt es an Kompetenz, hinzu kommen Meme aus der EDV-Steinzeit, die sich niemand zu beerdigen traut. So wird das nichts. Dass es wieder etwas länger dauern wird, steht schon mal fest.


PS: Ich frage mich auch, ob eine Projektstruktur tragfähig ist, in der technische Entscheidungen nach politischer Wetterlage von Ministern getroffen werden, wobei der Gesundheitsminister hü sagt und das Kanzleramt wenig später hott. Ich frage mich außerdem, wieso die Gematik als Projektgesellschaft für die Digitalisierung des Gesundheitswesens in der ganzen Diskussion nicht einmal vorkommt. Eigentlich sollte sie prädestiniert sein, ein Vorhaben wie die Corona-App voranzutreiben und umzusetzen. Tatsächlich ist sie es wohl nicht.

PS (2020-04-28): Seit heute gibt es zumindest eine Projektstruktur, von deren Tragfähigkeit allerdings nicht alle restlos überzeugt sind.

Zehnerlei Corona-App

Als Phantom ist „die“ Corona-App in aller Munde, nein, Medien. Sie inszeniert sich als Gegenstand eines Expertenstreits um die Frage, welche Architektur den technischen Datenschutz am besten gewährleiste, eine „zentrale“ oder eine „dezentrale“, und wer narzisstische Bestätigung sucht, schlägt sich öffentlich auf die eine oder die andere Seite. Dreihundert Informatikprofessoren zum Beispiel sehen sich ihrer Bedeutung beraubt, weil ihren Rat gerade niemand schätzt, und die Aktivistenclubs, die auch sonst zu jedem Thema die Hand heben, stehen ihnen in nichts nach.

Ihr Horizont bleibt eng und technisch, und so meiden sie neben der grundlegenden konzeptionellen Frage, was eine Corona-App überhaupt zu leisten hätte, sogar den rechtlichen und institutionellen Teil der Datenschutz-Debatte. Auf Ideen wie die einer spezifischen rechtlichen Regelung oder einer vertrauenswürdigen Institution zur Überwachung der außerordentlichen Datenverarbeitung aus besonderem Anlass kommen sie schon nicht mehr. Letztlich wollen nur sie bei einigen technischen Entscheidungen mitreden und führen dazu den Vorwand ins Feld, genau diese Entscheidungen seien essenziell für das Vertrauen der Nutzerinnen und Nutzer.

Mit App-Konzepten und Anwendungsszenarien aus anderen Ländern haben sich diese Diskursschauspieler offenbar so wenig auseinandergesetzt wie mit Institutionskonstrukten à la Stasi-Unterlagen-Behörde, mit einer umfassenden Anforderungsanalyse so wenig wie mit dem Verlauf von Entwurfs- und Entwicklungsprozessen. Sie zweifeln nicht am Projekt der automatisierten Kontaktverfolgung, das sie ohne Diskussion als einziges denkbares Funktionsprinzip einer Corona-App annehmen, sondern sie möchten diese Kontaktverfolgung in einigen willkürlich gewählten technischen Dimensionen perfektionieren. Erwägungen jenseits der Technik beschränken sich auf die Mahnung, „die“ App müsse auf jeden Fall nur freiwillig zu verwenden sein.

Über diese Debatteninszenierung haben wir ganz vergessen, grundlegende Fragen zu klären. Tatsächlich gibt es „die“ App gar nicht, sondern ganz verschiedene Zwecke und Konzepte des App-Einsatzes in der Seuchenbekämpfung. Eine Auswahl:

(1) Kontaktverfolgung – Smartphones als persönliche und häufig am Körper getragene Geräte erfassen Daten über das Verhalten ihrer Träger, mit denen sich im Fall einer Infektion Kontaktpersonen der oder des Infizierten leichter oder zuverlässiger ermitteln lassen. Sowohl die Datenerfassung als auch ihre spätere Verwendung kann man unterschiedlich gestalten. Daten können (1.a.I) automatisch erhoben oder wie in den ersten Versionen von Stopp Corona  (1.a.II) manuell erfasst werden. Ebenso lassen sich die aufgenommenen Daten (1.b.I) automatisch verwenden, um erfasste Kontaktpersonen über eine Infektion zu informieren, oder (1.b.II) menschlichen Kontaktverfolgern anbieten, um deren Arbeit zu unterstützen. Allein daraus ergeben sich vier Kombinationsmöglichkeiten; für welche man sich entscheidet, bestimmt die Erfolgsaussichten wie auch die Art der zu erhebenden Daten.

(2) Statistische Erhebungen – Die Smartphones der App-Nutzer und daran angeschlossene Geräte wie Fitness-Armbänder und Digitaluhren werden zu einem Netz verteilter Sensoren, dessen Daten ohne Personenbezug zu wissenschaftlichen und statistischen Zwecken ausgewertet werden. Die Corona-Datenspende-App des RKI setzt dieses Konzept um.

(3) Selbstdiagnose – Eine App oder Website fragt bei Infektionsverdacht Symptome und Risikofaktoren ab und gibt daraufhin Verhaltensempfehlungen, etwa den Rat, einen Arzt anzurufen oder ein Testzentrum aufzusuchen. Zusätzlich können die gewonnenen Daten analog zu (2) der Forschung und Statistik dienen. Die Nutzung kann (3.a) freiwillig und anonym erfolgen wie bei der Website Covid-Online (zurzeit in Überarbeitung) des Marburger Universitätsklinikums und der Philipps-Universität oder (3.b) verpflichtend im Rahmen einer flächendeckenden Früherkennung.

(4) Quarantäneüberwachung – Quarantänepflichtige Personen weisen ihren Aufenthalt regelmäßig mit Hilfe Smartphones nach. Dazu muss zum einen die Bewegung des Geräts überwacht werden, zum anderen die räumliche Nähe zwischen Gerät und Besitzer. Die digitale Quarantäneüberwachung lässt Schlupflöcher, erleichtert jedoch gegenüber anderen Formen der Überwachung – zum Beispiel häufigen Hausbesuchen – die Arbeit der Gesundheits- und Ordnungsbehörden. Nutzerinnen und Nutzer müssen kooperationsbereit sein.

(5) Digitale Seuchenpässe – Das Smartphone wird zum Speicher und Träger von Nachweisen, nach deren Kontrolle Privilegien gewährt werden können. Nachgewiesen werden kann einerseits (5.a) der (wahrscheinliche) Infektionsstatus, etwa durch die Zeitpunkte und Ergebnisse von Tests oder Selbstdiagnosen (siehe Nr. 3) und das Nichtbestehen einer Quarantäneanordnung. Diesem Ansatz folgt der chinesische Health Code. Andererseits ließe sich auch (5.b) der Immunstatus nach überstandener Infektion oder später nach einer Schutzimpfung auf diese Weise bescheinigen. Dies jedoch ist umstritten, einmal aus medizinischen Erwägungen, da die Frage der Immunität nach einer Infektion noch nicht ausreichend geklärt ist, aber auch praktischen und ethischen Gründen, da ein Immunitätspass ohne verfügbare Schutzimpfung einen Anreiz schaffen kann, sich absichtlich zu infizieren oder sich auf unlautere Weise einen falschen Nachweis zu verschaffen.

Das sind fünf verschiedene Anwendungen in insgesamt zehn Varianten und diese Aufzählung erhebt keinen Anspruch auf Vollständigkeit. In fast allen Fällen muss man sich rechtzeitig Gedanken über Alternativen für Menschen ohne geeignetes Smartphone machen. Genuin technisch und die Besonderheiten der Plattform „Smartphone“ ausnutzend erscheinen (1), (2), und (4). Können wir jetzt endlich die Phantomdiskussion um eine zentrale oder dezentrale automatisierte Kontaktverfolgung beenden und debattieren, ob und wie wir die Bekämpfung des Coronavirus digital unterstützen möchten? Danke.

Privacy by Design or Poor Requirements Engineering?

Privacy – or security or any other desirable, ethereal property – by design sounds like a great thing to do. Alas, design is complicated and hard to guide or control as a process. One common misunderstanding has become obvious in current efforts to develop and deploy contact tracing technology contributing to epidemic control. Some of these efforts such as DP^3T, TCN, or Apple’s & Google’s announcement promote privacy to the top of their list of objectives and requirements. This is wrong. It would be appropriate in an R&D project developing experimental technology, but contact tracing is an actual, real-world application and must fulfill real-world requirements. Premature optimization for technical privacy protection does not help its cause.

First and foremost, an application needs to support a basic set of use cases and provide the necessary functions in such a way that the overall approach makes sense as a solution of the given problem(s). For contact tracing, essential use cases include:

  • contact identification,
  • contact listing, and
  • contact follow-up.

In addition, any large-scale application of contract tracing needs to support:

  • safeguards against abuse, and
  • monitoring and governance.

Each use case entails requirements. Contact identification must be sufficiently reliable and comprehensive; it must also take place quickly after an infection has been detected. Contact listing needs some form of risk assessment, a method to notify contacts, and a way to justify mandatory quarantine requests. Contact follow-up needs some idea how and when to interact with listed contacts. Underlying the whole design must be some conception of which contacts matter, what an identified contact implies, what to do with or require from identified contact persons, and what to achieve through contact tracing. There needs to be some definition of success and failure for the system and individual cases, and some monitoring of how well the system operates. One also has to think about possible abuses and misuses of the system such as evasion, manipulation, or exploitation, and find ways to prevent them or to deal with them when they occur.

Such questions are to be answered in the high-level design of a contact tracing system. They can and should be pondered at the level of paper prototypes, forcing developers to get specific but allowing quick modification and user testing. Technology has to be considered at this point primarily as a constraint: What is realistically possible or available and would the design be feasible to implement? However, some fundamental design decisions have to be made at this level after evaluating alternatives, for example, which parts of the system to automate and which ones to leave to humans, or which technologies, platforms, and devices to consider and use.

Like any design process, this high-level system design may take any number of iterations before converging toward something that might work when implemented. New questions will likely come up in the process. If, for example, the system is to leave tracing to humans, how much time can they spend per case, how many of them will be needed, how will they work, and which types of data and support would really help them?

Secondary requirements like performance or privacy can and should already be considered at this stage. Privacy by design means just that, to consider privacy protection as dimensions of the design spaces from the beginning on. However, privacy is a dependent design dimension and like all other requirements it is subject to trade-offs. Dependent means that any design decision can affect the privacy properties of a system. One cannot delegate privacy to a system component or function that would take care of it comprehensively regardless of the design of any other aspect of the system. Trade-offs occur when once has to choose between design alternatives; each option will likely have some advantages over the others but also some disadvantages, so that one has to compromise and keep a balance.

Misunderstanding privacy by design as privacy technology über alles, demonstrated by current proposals for privacy-preserving contact tracing, is a recipe for disaster. Starting with perfect technical privacy protection as the primary requirement constitutes a premature optimization that de-prioritizes all other requirements and design dimensions, delays important design decisions while arbitrarily constraining them without impact assessment, and prevents well-considered trade-offs from being made. The most likely result is a system that performs well at most in the privacy dimension, reflecting the priorities of its designers.

As a symptom, none of the proposals for privacy-preserving contact tracing has yet answered question like the following: How does it assure the reliability of the data it collects or produces? Which failure modes and error rates does it produce? How is the system to be monitored for problems and abuses? In which institutional framework is it designed to operate? How does it distribute responsibilities between involved parties? How are outputs of the system to be interpreted and used in the real world, which consequences should they have and which ones are not desirable? How can its operation become transparent for its users? Should participation be mandatory or voluntary and how can the design be optimized for either case? If participation is mandatory, how would this be enforced, how can the system be made universally accessible for everyone, and how may people evade it? If voluntary, which incentives does the system create and which features let users trust or distrust the system? Such questions need to be discussed and addressed long before the technical minutiae of data protection.

Placing technical privacy protection in the center of attention can make sense in a research project, where one develops new technology to evaluate its properties and capabilities. The stakes are low in such a project, where the results are prototypes and research papers. Developing a real-world system, especially one to be used at the intended scale of contact tracing apps, requires a broader perspective and comprehensive requirements analysis.


P.S. (2020-04-18): Government Digital Services of Singapore with their TraceTogether app apparently got their requirements analysis and design process right:

One thing that sets TraceTogether apart from most private efforts to build a Bluetooth contact tracer, is that we have been working closely with the public health authorities from day 1. (…) The team has shadowed actual real-life contact tracers in order to empathise with their challenges.

P.S. (2020-04-19): The closest to a requirements document I have seen so far is this: Mobile applications to support contact tracing in the EU’s fight against COVID-19,  Common EU Toolbox for Member States (via).

P.S. (2020-04-22): The Ada Lovelace Institute published a quick evidence review report titled: Exit through the App Store? A rapid evidence review on the technical considerations and societal implications of using technology to transition from the COVID-19 crisis, which makes a number of reasonable recommendations.