![](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\")
Die Android-Version der Corona-Warn-App des RKI k\u00f6nnte unbeabsichtigt Eingaben des Benutzer an Google weiterreichen. Kritisch wird dies, wenn die App beispielsweise im Hinblick auf Funktionen eines Kontakt-Tagebuchs verwendet wird.<\/p>\nDie Android-Version der Corona-Warn-App des RKI k\u00f6nnte unbeabsichtigt Eingaben des Benutzer an Google weiterreichen. Kritisch wird dies, wenn die App beispielsweise im Hinblick auf Funktionen eines Kontakt-Tagebuchs verwendet wird.<\/p>\n
<\/p>\n
Die Corona-Warn-App<\/a> wird seit dem 16. Juni 2020 in Deutschland und seit Anfang Juli 2020 auch in allen Staaten der Europ\u00e4ischen Union und weiteren Staaten in \u00fcber 20 Sprachen zur Kontaktpersonennachverfolgung in Punkto COVID-19-App verwendet. Die App soll den Benutzer alarmieren, wenn wahrscheinlich Kontakt mit einer infekti\u00f6sen Person hatte. Ziel ist es, in solchen F\u00e4llen infektionsgef\u00e4hrdende Kontakte mit Dritten einzuschr\u00e4nken, bis die Infektion durch \u00e4rztliche Untersuchung ausgeschlossen wurde. Das soll den zust\u00e4ndigen Beh\u00f6rden helfen, Infektketten nachzuverfolgen und zu unterbrechen und so die Ausbreitung der COVID-19-Pandemie einzud\u00e4mmen.<\/p>\n Herausgeber der App ist das Robert Koch-Institut (RKI), entwickelt wurde sie von den Unternehmen SAP und Deutsche Telekom AG unter Beteiligung von rund 25 weiteren Unternehmen. Die App nutzt die Schnittstellen der Betriebssysteme von Apple (iOS) und Google (Android) und die Protokolle von DP-3T und TCN. Ich hatte ja einige Blog-Beitr\u00e4ge rund um die Corona-Warn-App des RKI hier im Blog (siehe Artikelende). Die App ist einerseits recht h\u00e4ufig von Benutzern heruntergeladen worden, gl\u00e4nzt andererseits mit einigen Pleiten. Aber in Sachen Datenschutz wurde die App von verschiedenen Instanzen f\u00fcr gut befunden.<\/p>\n Seit der Version 1.10 der App kann der Benutzer ein Kontakttagebuch verwenden, wie man in dieser Mitteilung<\/a> entnehmen kann. Im Kontakttagebuch lassen sich freiwillig Begegnungen und Orte notieren. Eigentlich eine gute Sache, wenn sichergestellt ist, dass der Datenschutz auch eingehalten wird.<\/p>\n Und aktuell geht die Meldung herum, dass die Corona-Warn-App \"recht zeitnah nach Ostern\" um ein Check-in-System erweitert werden soll. Der nachfolgende Tweet<\/a> thematisiert einen Bericht<\/a> des \"Spiegel\".<\/p>\n Es handelt sich dabei um die Kontaktverfolgung Mittels QR-Codes, die das z.B. bei Veranstaltungen oder in der Gastronomie erleichtern soll. Dabei speichert die App den Check-in lokal auf dem Smartphone, personenbezogene Daten sollen nicht erfasst werden.<\/p>\n Obige Szenarien zeigen, dass der Benutzer durchaus sensible Informationen in der App eintr\u00e4gt. Geht man mit Leuten essen und tr\u00e4gt deren Namen sowie den Bewirtungsort ein, sind dies pers\u00f6nliche Daten. Nun wurde bei der Entwicklung der App sehr viel Wert auf Datenschutz gelegt. Aber es reicht nicht, die App im Hinblick auf Datenschutz zu bewerten, sondern man muss die Android-Plattform ber\u00fccksichtigen.<\/p>\n Patrick hat sich die App sowie Android unter diesem Gesichtspunkt einmal genauer angesehen und mich im Vorfeld \u00fcber seinen Artikel informiert. Bei allen Eingaben von Benutzerdaten kommen die Bildschirmtastatur oder die Spracheingabe zum Einsatz. Dies sind separate Apps, die die Daten nur an die Corona-Warn-App weiterreichen. Und hier beginnt das Problem.<\/p>\n Bildschirmtastaturen und Spracheingabe k\u00f6nnen Daten in einer Art lernendem Modus mit Google teilen. W\u00e4hrend die Google Bildschirmtastatur beim Eintippen lediglich Vorschl\u00e4ge aus dem lokalen Speicher abruft, kann dies bei Dritt-Tastatur-Apps anders sein. Wird die Spracheingabe verwendet, schickt die App alle Sprachbefehle zur Auswertung an die Google Server. Diktiert also ein Benutzer der Corona-Warn-App seine Kontakte des Tages per Spracheingabe, werden diese Daten an Google \u00fcbertragen.<\/p>\n W\u00e4hrend man auf die Spracheingabe verzichten kann, ist die Bildschirmtastatur f\u00fcr Eingaben aber meist unverzichtbar. Die Tastatur-Apps auf dem Smartphone hinterlassen die Eingaben des Benutzers im Speicher. So sind die digitalen Spuren danach m\u00f6glicherweise f\u00fcr Menschen und Maschinen zug\u00e4nglich, obwohl man dies gar nicht erwartet hat.<\/p>\n Die Google-Android-Entwickler haben sich diesbez\u00fcglich einige Gedanken gemacht und unterst\u00fctzen auch einen sogenannten Inkognito-Modus f\u00fcr Tastatur-App. Das Betriebssystem Android erm\u00f6glicht die Funktion des personalisierten Lernens bei der Eingabe \u00fcber das Flag IME_FLAG_NO_PERSONALIZED_LEARNING zu deaktivieren. So schaltet die Browser-App Google Chrome bei Verwendungen der Google-Tastatur Gboard das personalisierte Lernen und die Spracheingabe im Inkognitomodus aus. Selbst Screenshots k\u00f6nnen keine mehr angefertigt werden. Beim Messenger Signal kann der Inkognitomodus f\u00fcr die Eingabe in den Datenschutz-Einstellungen der App optional aktiviert werden.<\/p>\n Android-Nutzer der Corona-Warn-App k\u00f6nnen dagegen bis heute den Inkognitomodus f\u00fcr Eingaben im Betriebssystem nicht nutzen, weil diese Funktion nicht unterst\u00fctzt wird. Damit sind innerhalb der App get\u00e4tigte Eingaben auch au\u00dferhalb des App-Speichers verf\u00fcgbar und k\u00f6nnen zus\u00e4tzlich in der Cloud auf externen Servern verarbeitet werden. Mit Blick auf das Kontakttagebuch und die m\u00f6gliche Weiterentwicklung mit zus\u00e4tzlichen Funktionen k\u00f6nnen dazu auch Daten Dritter ohne deren Kenntnisnahme oder Einwilligung verarbeitet werden und m\u00f6glicherweise zusammen mit den Gesundheitsdaten der Corona-Warn-App-Nutzer auch bei Google in den USA landen.<\/p>\n Da es zur Corona-Warn-App keine ordentliche Anwenderbeschreibung gibt, l\u00e4sst sich der fehlende Inkognitomodus f\u00fcr Eingaben erst nach der Installation feststellen. Dazu kommt das m\u00f6gliche Risiko, dass auch personenbezogene Daten von Dritten au\u00dferhalb der App verarbeitet werden k\u00f6nnen. Zus\u00e4tzlich ber\u00fccksichtigt werden muss sicher auch die notwendige Aktivierung von Bluetooth am Smartphone, wenn schon seit l\u00e4ngerer Zeit kein Systemupdate mehr f\u00fcr das Ger\u00e4t bereitgestellt wurde. Normale Anwender sollten sich bereits vor der Installation einfach und klar verst\u00e4ndlich informieren k\u00f6nnen.<\/p>\n Patrick hat an dieser Stelle beim Robert Koch-Institut (RKI) diesbez\u00fcglich nachgefragt. Vom Robert Koch-Institut (RKI) wurde die fehlende Funktion am 19.02.2021 per E-Mail best\u00e4tigt und als \u201eAnregung\" an die technische Entwicklung weitergegeben. Nach einer E-Mail aus der technischen Entwicklung vom 05.03.2021 wurde das \u201eFeature\" bisher noch nicht umgesetzt.<\/p>\n Nebenbei ist beim digitalen Nachrichtenaustausch zur Recherche auch noch aufgefallen, dass E-Mails an das RKI \u00fcber Outlook-Server von Microsoft in den USA verarbeitet werden.<\/p>\n Gerade in dieser Zeit sollten wir ganz genau hinsehen, mit welchem Know-how in Sachen Datenverarbeitung, Datenschutz und Datensicherheit beim RKI gearbeitet wird. Dabei geht es nicht nur um die Corona-Warn-App, sondern um alle Daten, die dort verarbeitet werden. Hier sind auch die zust\u00e4ndigen Stellen, die den Schutz unserer personenbezogenen Daten nach Artikel 8 der europ\u00e4ischen Grundrechtecharta \u00fcberwachen sollen, in der Verantwortung.<\/p><\/blockquote>\n Obwohl also sehr viel Wert auf Datenschutz bei der Entwicklung der Corona-Warn-App gelegt wurde, zeigt diese Episode, dass der Teufel im Detail liegt.<\/p>\n \u00c4hnliche Artikel:<\/strong> Die Android-Version der Corona-Warn-App des RKI k\u00f6nnte unbeabsichtigt Eingaben des Benutzer an Google weiterreichen. Kritisch wird dies, wenn die App beispielsweise im Hinblick auf Funktionen eines Kontakt-Tagebuchs verwendet wird.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[131,1440,426],"tags":[4308,4346,451,4328],"class_list":["post-251258","post","type-post","status-publish","format-standard","hentry","category-android","category-app","category-sicherheit","tag-android","tag-app","tag-datenschutz","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/251258","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=251258"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/251258\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=251258"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=251258"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=251258"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}![\"Corona](\"https:\/\/i.imgur.com\/MTwssvW.jpg\" "\\"Corona")
\n(Corona Warn-App des RKI f\u00fcr Android)<\/p>\nKontakttagebuch und Check-In-Funktion f\u00fcr die App<\/h2>\n
![](\"https:\/\/i.imgur.com\/rMLhYnp.png\")
<\/a><\/p>\nProblem: Tastatur und Inkognito-Modus<\/h2>\n
\nDie (deutsche) Corona Warn-App des RKI<\/a>
\nCorona-Warn-App: Vorsicht vor Lookalike-Fake-Seiten<\/a>
\n10 Millionen Downloads der Corona-Warn-App<\/a>
\nCorona-Warn-App: Erste Benachrichtigungen verschickt<\/a>
\nDer Bund kl\u00e4rt die 5 Irrt\u00fcmer zur Corona-Warn-App<\/a>
\nNeues zur Corona-Warn-App (7.7.2020)<\/a>
\nSicherheitsl\u00fccke in Corona-Warn-App-Server gefunden<\/a>
\nAndroid Corona-Warn-App: Frust, schwerer Bug und Implementierung f\u00fcr F-Droid<\/a>
\nCorona-Warn-App auf vielen Smartphones gest\u00f6rt (13.1.2021)<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"