Zu der Einschätzung der von der Bundesregierung bereitgestellten und von SAP und der Deutschen Telekom entwickelten Corona-Warn-App vorab einige grundsätzliche - wenn auch rein theoretische Anmerkungen:

1. Mit dieser App (aber nicht nur mit ihr allein, siehe u.a. die merkliche Zunahme der bargeldlosen Zahlungen oder die der Homearbeitsplätze im Zuge der Corona-Pandemie) bekommt die digitale Technologie einen weiteren großen Schub in der Durchdringung der Gesamtgesellschaft.
2. Die Abhängigkeit vom Smartphone wächst und damit möglicherweise der soziale Druck auf diejenigen Menschen, die ein solches Gerät noch nicht besitzen, es zu erwerben. Dies erhöht die bereits bestehende Abhängigkeit von den entsprechenden Großkonzernen, die die Smartphones herstellen, verkaufen und Funktionen und Apps bereitstellen - oder auch nicht (Apple, Samsung, Huawei, Google…). Diese Abhängigkeit zeigt sich im Fall der Corona-Warn-App schon darin, dass nur bestimmte Geräte bzw. bestimmte Softwarestände die erforderliche Basistechnologie für das Funktionieren der Corona-Warn-App bereitstellen können (dazu unten mehr).
3. Die Nutzung der Corona-Warn-App macht es erforderlich, dass das Smartphone ständig aktiv bleibt und stets mitgeführt werden muss.
4. Im Grunde handelt es sich um den größten „Feldversuch“ in der Geschichte der elektronischen Datenverarbeitung, eine Anwendung vielen Millionen Menschen bereitzustellen. So unbedenklich diese eine konkrete Anwendung auch sein mag: Sie stellt das erste Beispiel des staatlichen „Zugriffs“ auf potentiell jeden Nutzer eines Smartphones in seinem Einflussgebiet dar.

Wenn ich die Funktionsweise selbst der Corona-Warn-App und des Zusammenspiels ihrer Komponenten verstanden habe (was selbst bei dem ansonsten sehr detaillierten Dokument des Chaos Computer Clubs nicht in allen Teilen gut beschrieben ist), generieren sogenannte Temporary Exposure Keys (TEKs) auf den jeweiligen Smartphones in regelmäßigen Zeitabständen (alle 10 bis 20 Minuten) sogenannte Rolling Proximity Identifiers (RPIs), die über den Funktstandard Bluetooth Low Energy (BLE) an Personen verteilt werden, mit denen der Nutzer Kontakt hat. Der TEK selbst wird täglich neu erzeugt, so dass auch die jeweils von ihm erzeugten RPIs einen „Tagesstempel“ tragen.

Die „Beziehung“ zwischen einem TEK und den vor ihm erzeugten RPIs ist dergestalt, dass - ist man im „Besitz“ eines TEK - die von ihm erzeugten RPIs rekonstruiert werden können. TEKs und RPIs - auch empfangene RPIs - werden nach 14 Tagen auf dem Smartphone gelöscht.

Was wird auf dem Smartphone bei einem mittels BLE festgestellten Kontakt an Daten gespeichert und wie werden diese Daten auf dem Smartphone verarbeitet:

• Das Stattfinden einer Begegnung
• Der Abstand der Personen bei dieser Begegnung
• Die Dauer der Begegnung
• Die Signalstärke (um Rückschlüsse auf den Abstand zu ziehen)
• Erstellung eines nutzerabhängigen Übertragungsrisikos (lt. Robert-Koch-Institut ist das Übertragungsrisiko am Tag vor Symptombeginn am höchsten, auch die Dauer des Kontakts wird bewertet)

Diese Daten werden über einen Algorithmus gewichtet und in einen Faktor zusammengefasst.

In der Kommunikationsbeziehung zwischen dem zentralen Server und dem Smartphone lädt das Smartphone bei Infektionsmeldung des jeweiligen Nutzers und unter der Voraussetzung von dessen ausdrücklicher Zustimmung die jeweiligen TEKs der letzten 14 Tage vor der Infektionsmeldung auf den zentralen Server. Die TEKs werden dort von diesem Zeitpunkt an zu sogenannten Diagnoseschlüsseln. Der Server seinerseits meldet einmal am Tag die rekonstruierten RPIs dieses Nutzers an alle Nutzer der Corona-Warn-App, so dass die App prüfen kann, ob eine der RPIs auch auf dem Smartphone gespeichert ist und eine Warnmeldung an den Nutzer ausgeben kann. Der Nutzer weiß dann natürlich nicht - da er selbst ja (noch) nicht getestet wurde - ob er selbst infiziert wurde. Es steht ihm frei, sich in 14-tägige häusliche Quarantäne zu begeben, sich testen zu lassen oder: Nichts zu tun...Dies aber ist der verständliche „Preis“ sowohl der Freiwilligkeit der App-Nutzung als auch der Anonymität der App-Nutzer.

Was geschieht, wenn ein Nutzer erfährt, dass er mit dem Corona-Virus infiziert ist? Zunächst ist die Weitergabe dieser Information über die Technologie der Corona-Warn-App freiwillig. Entscheidet sich der Nutzer zu einer Meldung, gibt es die folgenden Wege:

• Er erhält - sollten Labore bzw. Praxen diese technische Möglichkeit haben - zusammen mit seinem Untersuchungsbericht einen QR- Code, den er über die Corona-Warn-App einscannen kann. Voraussetzung ist die Freischaltung der Kamera für den Zuriff der Corona- Warn-App auf dem Smartphone
• Anruf bei der bekanntgegebenen Hotline-Nummer, die über gezielte Fragen und Versenden einer TeleTAN, um das Testergebnis zu verifizieren, Falschmeldungen möglichst ausschließen soll

Die Nutzung der App ist an bestimmte Geräte- und Softwarestandards gebunden:

• Apple-Smartphones ab iPhone 6s oder iPhone SE mit dem Betriebssystem ab iOS 13.5
• Android-Geräte ab Android 6.0 sowie dem Google Play Service (um die Corona-Warn-App herunterzuladen)

Jedes Gerät muss den Funkstandard Bluetooth Low Energy (BLE) unterstützen.

Die im Dokument des Chaos Computer Clubs aufgeführten Punkte zur Sicherstellung der Anonymität und der Vorgaben des Datenschutzes („Keine zentrale Entität, der vertraut werden muss“; „Datensparsamkeit“; „Anonymität“; „Kein Aufbau von zentralen Bewegungs- und Kontaktprofilen“; „Unverkettbarkeit“; „Unbeobachtbarkeit der Kommunikation“) sind in meinen Augen plausibel und weisen nach, dass der Corona-Warn-App in dieser Hinsicht „vertraut“ werden kann und ihre Nutzung unbedenklich ist in Bezug auf Datenschutz und Sicherstellung der Anonymität ihrer Nutzer (https://github.com/corona-warn-app/cwa-documentation/blob/master/translations/pruefsteine.de.md).

Wichtig aber bleibt, dass Öffentlichkeit und nicht in die Entwicklung oder Bereitstellung der App beteiligte IT-EntwicklerInnen die weitere Entwicklung, technisch und politisch, wachsam beobachten, um Missbrauch zu verhindern, sei es durch die Aufhebung der Freiwilligkeit, sei es durch Diskriminierung der NichtnutzerInnen, sei es durch einen staatlichen wie auch immer begründeten Versuch, die Anonymität aufzuheben und den Datenschutz auszuhebeln.

Einige mögliche Missverständnisse und unberechtigte Bedenken „Ist von der Bundesregierung, der kann man nicht vertrauen“ „Meine Daten sind gefährdet" „Meine Kontakte und ich selbst werden überwacht“ "60 % müssen es installieren, sonst macht es keinen Sinn“ „Mein Akku wird viel schneller verbraucht" „Wenn sich jemand fälschlich als infiziert meldet?" ...