Nein, die Corona-Warn-App nutzt keine persönlichen Kontaktdaten

In einem Beitrag auf Facebook fordert ein Facebook-Nutzer Freunde und Bekannte dazu auf, ihn aus ihrer Telefonkontaktliste und von Sozialen Netzwerken zu löschen, sollten sie die Corona-Warn-App der Bundesregierung auf ihrem Smartphone installieren. 

Der Grund: „Du hast nicht meine Zustimmung, meine Telefonnummer in Verbindung mit deiner App zur Identifizierung, Tracking oder Standort meiner Person zu verwenden, denn wenn Du diese App hast, werden alle Deine Kontakte bekannt sein.” 

Im Facebook-Beitrag ist einmal von der „Corona-App” und einmal von der „STOPCOVID-App” die Rede. Der Beitrag stammt vom 16. Juni, und der Facebook-Nutzer schreibt: „Ab heute wird es in Deutschland die Corona-App zum Download geben”. Da die Corona-Warn-App der Bundesregierung seit dem 16. Juni zum Download bereit stand, ist davon auszugehen, dass sich der Facebook-Beitrag auf diese App bezieht. 

Der Bild-Beitrag suggeriert, dass die Corona-Warn-App der Bundesregierung zur Identifizierung und zum Tracking die gespeicherten Kontakte der App-Nutzer verwende. Das ist falsch. Die Bundesregierung betont, dass die Warn-App in keiner Weise auf die persönlichen Daten der App-Nutzer zugreife. Auch ein Datenschutz-Experte vom Chaos Computer Club bestätigt das gegenüber CORRECTIV.

Corona-Warn-App nutzt Zufallscodes, Nutzer bleiben laut Regierung anonym

Laut Bundesregierung basiert das Konzept der Corona-Warn-App darauf, lediglich anonymisierte Kontakt-IDs auszutauschen, nicht jedoch Identitäten oder Daten der Handynutzer. Konkret schreibt die Bundesregierung dazu: „Die Corona-Warn-App nutzt die Bluetooth-Technik, um den Abstand und die Begegnungsdauer zwischen Personen zu messen, die die App installiert haben. Die Smartphones ‘merken’ sich Begegnungen, wenn die vom RKI festgelegten Kriterien zu Abstand und Zeit erfüllt sind. Dann tauschen die Geräte untereinander Zufallscodes aus. […] Zu keinem Zeitpunkt erlaubt dieses Verfahren Rückschlüsse auf Sie oder Ihren Standort.“

Darüber hinaus betont die Bundesregierung: „Wenn Sie die App nutzen, bleiben Sie jederzeit anonym. Wenn Sie sich in der App anmelden, müssen Sie keine persönlichen Daten (wie E-Mail-Adresse und Name) angeben. […] Alle Daten – beispielsweise zu Begegnungen mit anderen die App nutzenden Personen – werden verschlüsselt und ausschließlich auf dem eigenen Smartphone gespeichert. […] Daten, die eine Person identifizierbar machen, insbesondere Positionsdaten, werden nicht ausgelesen, verwendet oder gespeichert.”

Datenschutz-Experte: Theoretisch ist nur die Identifikation eines als infiziert gemeldeten App-Nutzers möglich

Jochim Selzer ist Mitglied im Chaos Computer Club (CCC), Datenschutzaktivist und ehrenamtlicher Datenschutzbeauftragter zweier Kirchenkreise in NRW. Er beschreibt auf Nachfrage von CORRECTIV, dass es laut einer Analyse der Technischen Universität Darmstadt ein theoretisches Szenario gebe, das unter bestimmten Voraussetzungen die Identifikation einer Person, die sich in der App als infiziert gemeldet hat, ermögliche. Allerdings betreffe das lediglich diesen als infiziert gemeldeten App-Nutzer – keine anderen Nutzer und auch keine gespeicherten Kontakte von anderen Nutzern. 

Selzer betont zudem: „Wegen des relativ hohen Aufwands und der Tatsache, dass der Angriff nur innerhalb des Sensorennetzes [Bluetooth, Anm. d. Red.] und auch nur bei sich als infiziert gemeldeten Personen funktioniert, schätze ich die Praxisrelevanz dieses Angriffs als niedrig ein. Eine Überwachung aller Nutzerinnen der Corona-Warn-App ist auf diese Weise nicht möglich.“

Die Corona-Warn-App speichert oder nutzt keine Kontakte der App-Nutzer

Auf die schriftliche Nachfrage von CORRECTIV, ob die Corona-Warn-App Daten der gespeicherten Kontakte der App-Nutzer in irgendeiner Form nutze, schreibt das Bundesgesundheitsministerium: „Nein.“

Datenschutz-Experte Selzer sagte CORRECTIV dazu: „Die […] Corona-Warn-App liegt unter Github Corona Warn App im Quellcode vor und kann jederzeit auf Hintertüren und Schwachstellen untersucht werden. Untersuchungen des Quellcodes fanden von mehreren Stellen statt und erbrachten keine Hinweise auf datenschutzrechtlich unzulässige Funktionen wie beispielsweise Zugriff auf das Adressbuch des Smartphones oder GPS-Koordinaten.“

Fazit: Behauptungen, laut denen die Corona-Warn-App auf die gespeicherten Kontakte auf dem Handy des Nutzers zugreife und diese zur Identifizierung und zum Tracking von Personen nutze, sind falsch. Nach Angaben von Experten und der Bundesregierung speichert oder versendet die Corona-Warn-App weder personenbezogene Daten der Nutzer der App, noch ihrer gespeicherten Kontakte.