Es ist eine Feuertaufe: Mit dem Start diese Woche soll die Corona-Warn-App gleich auf Millionen Smartphones landen. Statt sich wie die meisten Apps langsam etablieren und feinjustieren zu können, muss die vom Robert-Koch-Institut gemeinsam mit Telekom und SAP entwickelte App sofort funktionieren - und auch noch sicher sein. Schließlich geht es um die Gesundheit der Bürger. Und um ihr Vertrauen. Aber kann die App das leisten?
Die erste Meldung zur Sicherheit der Corona-Warn-App war ein Desaster: Am Freitag äußerte Dirk Kretzschmar, Geschäftsführer des TÜV Informationstechnik /TÜVit), im Fachdienst "Heise" laute Kritik. Man habe Sicherheitsprobleme gefunden, der Start der App sei zu früh erfolgt, hieß es da. Kein guter Start für eine App, deren Erfolg vom Vertrauen der Nutzer abhängt.
Der TÜV ist zufrieden
Doch die Zeit vor der Veröffentlichung haben die Entwickler offenbar fleißig genutzt. Nur einen Tag später lobte Kretzschmar die App und die Zusammenarbeit mit den Entwicklern dann gegenüber der "DPA": "Die Tester hatten zum Schluss aber ein sehr positives Bild, weil inzwischen alles sehr stabil läuft. Sie waren auch ziemlich begeistert davon, wie schnell und in welcher Qualität die Entwickler auf noch entdeckte Schwachstellen reagiert haben", erklärte er. Der TÜV hätte sich zwar weiterhin mehr Zeit gewünscht - man hatte eine Woche statt der beantragten vier -, doch der Eindruck der getesteten Teile sei positiv.
Der wohl wichtigste Punkt: Die Prüfer fanden keinerlei Anzeichen, dass die sensiblen Daten der Nutzer hätten abgegriffen werden können. "Das ist nicht der Fall. Die Anwender müssen keine Angst vor Überwachung haben", fasst Kretzschmar seine Einschätzung zusammen.
Schwachstelle Hotline
Trotzdem wurden bereits Schwachstellen der App aufgezeigt. Die sind bisher aber eher theoretisch eine Gefahr. In der ersten Zeit soll teilweise eine Hotline zur Meldung einer Erkrankung genutzt werden, bis die dafür vorgesehen QR-Codes überall zur Verfügung stehen. Das birgt die Gefahr, dass die Funktion von Unruhestiftern oder aus anderen Motiven manipuliert werden könnte, wenn sich eine Person durch die Kontrollfragen raten würde. Die Uni Darmstadt fand zudem eine Lücke in einem Nachbau der von Apple und Google entwickelten Grundlage der App, über die unter hohem Aufwand eine Manipulation denkbar wäre. Da nicht klar ist, ob das auch bei der tatsächlichen App umsetzen ließe und zudem der finanzielle Aufwand enorm wäre, ist das Szenario aktuell wohl keine ernsthafte Gefahr.
Zu 100 Prozent sicher ist die App aber natürlich trotzdem nicht. Das ist bei solch komplexen Apps aber auch nicht zu erwarten. Vor allem nicht, wenn man die Geschwindigkeit der Entwicklung betrachtet. "Auf Dauer könnten sich natürlich Mängel zeigen", sagte der Präsident der Gesellschaft für Informatik, Hannes Federrath, dem stern. Gut sei, dass die App über den offenen Quellcode auch prüfbar sei. "Es ist auch sehr transparent, die Kritikpunkte wurden eigentlich alle beachtet. Sie haben bestmöglich geliefert", ist er überzeugt. "Ich habe da aktuell nichts zu beanstanden."
Selbst der sehr kritische Chaos Computer Club scheint noch keine echten Probleme zu sehen. Man habe aus Prinzip noch nie ein Produkt empfohlen, erklärte zwar Linus Neumann der "ARD". Der Verein hatte vor der Vorstellung hohe Prüfsteine an die App formuliert und nun bei Github dargelegt, dass die App sie tatsächlich alle erfüllt. Die Entwicklung sei "vorbildlich gelaufen", erklärte Neumann. Vom CCC ist das schon ein dickes Lob.
Quellen:Heise, TU Darmstadt, Tagesschau,ZDF,Handelsblatt
