Unzureichender Schutz der Zugangsdaten
CCC analysiert Corona-App des RKI: „Risiken auf Dauer nicht tragbar“
Die Anfang April vom Robert Koch-Institut veröffentlichte iPhone-App Corona Datenspende hat nicht viel mit den hitzig diskutierten Smartphone-Lösungen am Hut, die den Kampf gegen das Coronavirus durch sogenanntes Bluetooth-Tracing unterstützen sollen.
Statt Kontakte mit Mitmenschen zu überwachen, um diese im Fall eines Infektes warnen und zur Quarantäne anhalten zu können, konzentriert sich „Corona Datenspende“ auf die Gesundheitsdaten ihrer Nutzer und versucht den Wissenschaftlern des Robert Koch-Instituts genauere Einblicke in die Verbreitung des Coronavirus zu ermöglichen.
Die App will fieberhafte Infektionen auf Basis von Bewegungs-, Schlaf- und Pulsmuster automatisch erkennen. Ein recht unschuldiger Ansatz eigentlich, den der Chaos Computer Club (CCC) in den vergangenen Tagen genauer unter die Lupe genommen hat.
Hacker veröffentlichen Analyse
Jetzt steht CCC-Analyse der Corona-Datenspende App zum Download im PDF-Format bereit und bringt mehrere kritische Anmerkungen zu Papier. Abgesehen davon, dass das RKI den Quelltext der Anwendung geheimhält und damit der wohl wichtigsten vertrauensbildenden Maßnahme aus dem Weg gegangen ist, äußert der Chaos Computer Club auch Kritik an der Umsetzung.
Insgesamt wurden im Rahmen der Analyse acht technische und organisatorische Aspekte bemängelt. Darunter:
- Cloudanbindung: Das RKI holt sich die Daten der meisten Nutzer wider Erwarten nicht vom Smartphone, sondern direkt von den Anbietern der Fitnesstracker – und hat über einen Zugangscode potentiell Zugriff sowohl auf Klarnamen der Spender als auch deren Fitnessdaten vor Beginn der Spende. Bei einer einfachen Deinstallation der App bleibt dieser Zugriff auch weiterhin bestehen.
- Mangelhafte Pseudonymisierung: Entgegen der Darstellungen werden die hochsensiblen Gesundheitsdaten der meisten Nutzer nicht schon auf dem Smartphone pseudonymisiert, sondern vollständig und teils mitsamt Klarnamen der Datenspender abgerufen. Eine Pseudonymisierung findet erst auf Seiten des RKI statt und kann durch die Nutzer nicht kontrolliert oder verifiziert werden.
- Unzureichender Schutz der Zugangsdaten: Bei Verknüpfung der App mit einem Fitnesstracker müssen dessen Zugangsdaten eingegeben werden. In der Mehrzahl der Fälle könnten diese durch Man-in-the-Middle-Angreifer mitgelesen werden. Zudem können Zugangsdaten beispielsweise zum Google-Konto des Nutzers bei Verlust oder Diebstahl des Smartphones durch Dritte ausgelesen werden.
- Organisatorische Defizite: Das RKI weiß weder, wer die Daten spendet, noch ob der Spender überhaupt existiert. Dies öffnet Manipulation Tür und Tor. Auch die bei Einwilligung zugesagten Betroffenenrechte können nicht gewährt werden, da nicht sichergestellt ist, dass es sich tatsächlich um den Betroffenen handelt. Das RKI holt keine wirksame Einwilligung in die Datenverarbeitung ein.
Die Sicherheitsforscher merken jedoch an: „Unter iOS ist die Datenbereitstellung über Apple Health zu bevorzugen, da hierüber im Gegensatz zu anderen Datenquellen keinen Zugriff von Seiten des RKI über einen zentralen Zugangscode möglich ist.“
Das RKI hat vor dem Hintergrund der gebotenen Eile im Umgang mit der SARS-CoV-2-Pandemie in sehr kurzer Zeit eine „Corona-App“ herausgegeben. Der CCC konnte darin die Verletzung einiger „best practices“ feststellen. Zwar gelang zum jetzigen Zeitpunkt kein unmittelbarer direkter Zugriff auf die gesammelten Daten, aber die Risiken sind auf Dauer nicht tragbar. Der CCC empfiehlt eine rasche Umsetzung der empfohlenen Maßnahmen zur Behebung.
Für künftige Vorhaben empfiehlt der CCC darüber hinaus proaktives Handeln: Viele der identifizierten Risiken ließen sich durch Berücksichtigung der vom CCC veröffentlichten zehn Prüfsteine eliminieren. Die darin vom CCC geforderte Transparenz fördert zudem eine aktive und konstruktive Einbindung der Fachöffentlichkeit und hat damit das Potential, künftige App-gestützte Maßnahmen zur Eindämmung der SARS-CoV-2-Pandemie und anderer Anwendungen noch schneller zur Reife zu bringen. […]
Na, ob da jemand drauf hört?
Ich würde nie wissentlich in einem Anderen / fremden Portal meine Zugangsdaten für einen anderen Dienst eingeben.
Wie schlau ist das denn?
Dann kann der „Fremd“Anbieter ja alles In bzw. mit meinem Account machen, was er will ?!
OAuth und vergleichbare Techniken funktionieren aber genauso. Anmelden mit Facebook, Google etc. funktioniert nach dem Prinzip. Und sowas hast du noch nie genutzt ?
Ich genau deswegen nicht.
Direkt wieder gelöscht.
Dann mußt Du auch den Zugriff in der Health App löschen, falls Du die hast. Sonst wird munter weiter abgegriffen, trotz gelöschter RKI App!
Gerade bei Apple Health muss man das nicht machen. Steht auch im Artikel: Die Sicherheitsforscher merken jedoch an: „Unter iOS ist die Datenbereitstellung über Apple Health zu bevorzugen, da hierüber im Gegensatz zu anderen Datenquellen keinen Zugriff von Seiten des RKI über einen zentralen Zugangscode möglich ist.“
Nachdem die App gelöscht würde, taucht sie auch nicht mehr in der Health App auf, wo man den Zugriff abstellen könnte.
Da habe ich gestern gerade etwas anderes gelesen, sonst würde ich es nicht schreiben. Wie dem auch sei, ich benutze diese App nicht!
Man kann Apple Health Daten nur mit einer App auslesen. Ist die App deinstalliert, können die Daten auch nicht mehr von dem jeweiligen Entwickler (hier: RKI) gelesen werden. Nur bei der Einwilligung des Zugriffs auf Cloud-Fitness-Dienste, welche direkt vom RKI ohne Umweg über das Smartphone gelesen werden, ist eine zusätzliche Sperrung der Datenweitergabe beim jeweiligen Cloud-Dienst notwendig.
Schwachsinn verbreiten ist momentan sehr modern
Erst gar nicht ausprobiert;
Ha… und jetzt kommt aus euren Löchern ihr Vögel welche mich bei der ersten News dazu für verrückten Aluhutträger abgetan haben. Steht euren Mann und sagt das ihr falsch lagt!
Nein.
Mein Bauchgefühl hat mich richtig beraten und ich habe sie nicht installiert!
Lach. Ich lag falsch.
Happy?
(Hab aber auch niemand als Aluhutträger bezeichnet, sondern auf die CCC-Analyse gewartet. Immerhin sind die Experten auf dem Gebiet. ICH nicht.)
Moin, ich war das mit dem Aluhut. Lasse die App trotzdem installiert, da sie hoffentlich hilft und die Apple (Watch) Version einige der aufgeführten Sicherheitslücken nicht hat. Muss aber -wie fast immer im Leben- jeder für sich selber entscheiden.
CCC ist wie die Piraten. Immer schön meckern aber selber NICHTS auf die Reihe bringen….♂️
sei doch froh wenn da mal einer drüber guckt. Sonst machen die noch was sie wollen und alle machen mit. Schlimm genug geworden.
Falsch. Du meckerst.
Der CCC hat eine sehr detaillierte Analyse angefertigt und hat auch Empfehlungen bereitgestellt, wie eine sichere und datenschutzkonforme App gebaut werden könnte. Nur hat sich der RKI-Dienstleister für einen anderen Weg entschieden.
So ein Stuß – was hat das eine mit dem anderen zu tun?
Blödsinn. Es geht um den Datenzugriff auf die cloud der Fitnessanbieter! Das was vonnAppne und google geplant ist als API wird gelobt.
Gelobt wird da nix. Es ist mittlerweile bekannt das unter bestimmten Umständen sogar Gesichter zugeordnet werden könnten und in Nordamerika lehnen sich jetzt erste Gouverneure auf, da sie befürchten, dass eine einmal geöffnete Tür nicht mehr geschlossen werden kann. Aber jedem das seine, wir mussten erst besetzt und befreit werden um Freiheit wieder zu schätzen, in der DDR hat es bis sogar 89 gedauert, aber Freiheit ist eben ein gut was man nicht vergessen darf, sonst wird es einem genommen.
Aha, Analysen durch ReverseEngineering und aufdecken von Sicherheitslücken ist also „nichts auf die Reihe kriegen“. Sehr eigentümliche Denkweise….
Der CCC setzt sich sehr viel für gute Sachen ein. Informier dich erstmal und guck dich mal auf deren YouTube Channel um. Die kämpfen für Datenschutz und viele andere gute Dinge. Und wenn es sein muss auch bis in den Bundestag. Sie werden übrigens auch hin und wieder von der Politik zu Rate gezogen und schreiben dann solche Analysen und tragen diese vor.
CCC sind (zum Teil, wohl nicht alle) studierte Informatiker, denen ich mehr vertraue als ich dem Bankkaufmann Jens Spahn vertraue. Ich werden keine „Corona“-App installieren. Ich werde die CCC-Ratschläge befolgen.
Die Datenschutzbeauftragten haben nur im Vorfeld beratend zur Seite gestanden und KEINE ENDFASSUNG zu sehen bekommen! (RKI-App)
Die werden sich hoffentlich mal zu Wort melden anstelle in Schamesröte zu schweigen.
Habe schon mehrere Fitbit-Armbänder eingerichtet, allerdings noch keins für mich selber. Eine Speicherung der Daten allein in Health ist nicht möglich. In allen Fällen musste der Nutzer der Übertragung der Daten an den Hersteller zustimmen und sogar dem Handel mit seinen Daten zustimmen. Anderenfalls funktioniert das Armband nicht.
Ich habe den Verdacht, das viele Fitnesstracker gar keine Schnittstelle haben, über die die RKI-App die Daten direkt auf dem Handy auslesen, anonymisieren, verschlüsseln und übermitteln kann. Möglicherweise darf man dem RKI da nicht den Vorwurf machen.
Aber alle so hey und toll.
In Nordamerika werden jetzt auch von mehreren Seiten (Senatoren und andere) die neuen APIs, ua mit der Begründung das einmal eine geöffnete Tür nicht wieder geschlossen werden kann, sehr genau begutachtet. Die CEOs sollen selbst dafür gerade stehen wenn doch irgendwo ein Leck auftaucht. Richtig so. Freiheit hat man sich erkämpft, wer dies vergisst, gibt sie auf.
Stasi 2
Ach Gott ach Gott; dieses Gejammer und Gemotze! Weil ja alle immer am Stück ihre Daten schützen! Payback, Smart-TV etc.
Hier sind jetzt mal Daten für was nützliches gefordert und jetzt jammert man. Sowas ertrage ich nicht.
Kommt jetzt noch die Vermutung, dass Mobilfunkmasten für die Verbreitung des Virus verantwortlich ist…..
Schließe nicht von dir auf andere. Es gibt sehr viele Menschen die Datensparsam leben und die durchaus dazu berechtig sind, hier negative Aspekte dieser App anzukreiden. Nicht alle sind bei Facebook oder WhatsApp, nicht alle kaufen ein iPhone weil es einfach stark ist. Menschen sind unterschiedlich und sehr individuell. Habe Respekt und immer ein nettes Wort, egal für wen. Jedes Paar Augen sieht die Welt auf einzigartige Weise.
Das ist sehr schön geschrieben und sooo richtig!
Toll geschrieben, vielen Dank für Deine Worte, Markus! Top!
Ach Gott ach Gott; diese Joggls!
Immer alles verallgemeinern und aus dem Zusammenhang reissen.
Vermutlich machen sie noch die andern dafür verantwortlich …
haha
weil ja insbesondere der CCC schon immer für smart TVs und Payback geworben hat…
merkst du selbst, oder?
Jjoggl du hast das Thema großartig verfehlt. Hierbei geht es nicht darum, dass sie Daten einfach gesammelt werden, sondern auch darum, dass die Daten eben nicht so sicher sind, wie man es erzählt bekommt.
Ebenso wichtig ist es, zu erfahren, wie sicher es ist, dass die Daten DANACH nicht weiter getrackt werden können.
Gäbe es dafür eine Gewissheit, wäre der Aufschrei auch nicht so groß!
So ein Blödsinn! Der Staat (die in der Regierung stehenden Verantwortlichen) haben durch die RKI App Zugriff auf die persönlichen Daten und sind somit ggf. auch in der Lage Repressalien gegen Personen durchzusetzen.
Ich kann diese Verweise in Richtung FB, WA und es ist ja für eine gute Sache etc. einfach nicht mehr hören. Ich habe seit Corona mehr und mehr das Gefühl: Angst frisst Verstand!
Ich kriege so langsam das Gefühl, dass der Datenschutz zu einer bedeutungslosen Steilvorlage verkommt und mit dem Besitz einer Seele oder der Jungfräulichkeit sich in die Ränge der Hirngespinste erhebt.
Was hilft, hilft!
Schön pötisch, holde Maid. Danke. Was wolltest du damit ausdrücken?
Nichts geringeres als dass Datenschutz in einer Krisenlage unser aller geringste Sorge sein sollte. Und dass Apple Healthkit top ist!
Wo war denn die Krise vor 2 Jahren als wir 25.000 Grippetote hatten? Ich sehe grade keine Krise.. ich sehe das alte und schwache Menschen manchmal tun… sterben.. diesen Menschen helfen? Na klar aber dafür den Datenschutz opfern: Nein!
So siehts aus. Jeden Tag starben 2019 in Deutschland im Schnitt 2.600 Menschen (Quelle:Statistisches Bundesamt). Das sieht in 2020 nicht anders aus. Zudem ist unstreitig, dass das Virus nicht hochgradig tödlich ist. Im Gegenteil.
Schützt die Alten und die durch Vorerkrankungen Gefährdeten!
Den Rest lasst dafür sorgen, dass wir uns den Schutz der Vorgenannten leisten können.
Ja ja so geht es los. Macht den Menschen Angst und sie fressen dir aus der Hand und folgen dir wenn nötig überall hin.
Was bislang nicht geklappt hat, schafft nun ein irrsinnig simpler Virus. Hat ja nur 10 Jahre gedauert. Der 2009 herum geisternde Schweinegrippe Virus (übrigens auch ein neuartiger Corona Virus) infizierte ca 1,5 Milliarden Menschen, mehr als 500000 starben, es sollte Massenimpfungen geben (frage mich bis heute wogegen, da es bislang keinen Impfstoff gegen Corona Viren gibt) nur kam damals die Panik nicht auf. Neuer Versuch, neues Spiel. Schade.
Das ist doch noch die Erprobungsphase, vielleicht sollte CCC mal offiziell Hilfe anbieten ?
Linus Neumann vom CCC hat schon mit anderen oft seine Hilfe angeboten und wurde auch als Berater befragt. Die App von der hier die Rede ist ist nicht die, die eigentlich ursprünglich geplant war. Beziehungsweise die noch kommt mit der Api iPhone Apple und Google. Die Apps sie darauf aufsetzen, werden absolut anonym und die zentral arbeiten, ohne klar Daten, mit Random wechselnden Codes.
Selbst schuld wer sich irgendeine der Apps (auch zukünftige) installiert…
Benutzt die App nur nicht. Das Universum würde euch verschlingen und fremden Spezies eure Kondom Größe bekannt geben. Lasst euch mal untersuchen.
Dein Verzicht auf jegliche Privatsphäre ist ok. Und Du bist nicht alleine.
Wahrscheinlich heißt Du sogar wirklich Jürgen.
Wen die Themen vom CCC interessieren. Es gibt einen tollen Podcast von zwei Mitgliedern: Logbuch Netzpolitik
Muss man ja nicht installieren. Wenn man die Hotspots der Erkrankungen in Zukunft nicht genauer eingrenzen kann, wird eben das ganze Bundesland wieder dicht gemacht.
Thanks
Wegen ner Grippe… Menschen sind so leichtgläubig manchmal…
Genau, wegen einer „Grippe“ wurden in Italien die Toten in langen Konvois vom Militär transportiert und die Seitenanzahl der Todesanzeigen in italienischen Zeitungen ist explodiert.
Passiert in Italien natürlich jedes Jahr bei einer „Grippe“.
Junge lass dich mal neurologisch untersuchen! Und wenn du wieder o.k. bist, geh denen im Krankenhaus helfen, Bettpfannen leeren, Müll raustragen, damit sich das Fachpersonal auf das Wesentliche konzentrieren kann.
Unerträglich dein cerebraler Dünnschiss!!!
Es trifft wieder mal zu: Jede Diskussion im Netz läuft nach dem selben Muster: https://www.facebook.com/1635971986626419/posts/2669829836573957/
Darf ich jetzt sagen „Ich habs ja gleich gesagt “ ? Dieser Mist kommt mir nicht aufs Telefon ! „Der Zugriff bleibt auch nach Deinstallation der App erhalten“ ! So weit kommt es noch !!
War doch klar…
Clausimausi? Hast wieder nichts zu zusagen?
Wo sind die meisten nochmal überall angemeldet!? …Facebook, Insta, Google, Apple, Amazon…
Na und??
Die wollen Geld verdienen, ist Ok. Die können und wollen den Kunden aber nicht gefährlich werden.
Öffentliche Stellen können mit solchen Spionage- und Trackingapps aber unter Umständen dein ganzes Leben einschränken, kontrollieren und zum negativen Verändern.
War das Robert Koch Institut der Entwickler der App? Ich habe gedacht, dort sitzen Wissenschaftler die sich um das Wohl der Bevölkerung bei Pandemien und Seuchen kümmern und keine IT ler. So kann man sich täuschen.