Kontaktnachverfolgung:
Nachbesserungsbedarf bei Luca


[10.5.2021] Mehrere Länder wollen die Luca-App einsetzen – daher nahmen die Datenschutzaufsichtsbehörden die Anwendung unter die Lupe. Das Fazit: eine grundsätzlich tragfähige Konzeption, die weiterer Schutzmaßnahmen bedarf. Die Behörden raten, auch Alternativen zu berücksichtigen.

Zahlreiche Bundesländer, darunter Niedersachsen, haben sich dafür entschieden, Lizenzen für die Kontaktnachverfolgungs-App Luca zu erwerben. Dadurch ist die App Gegenstand verschiedener Untersuchungen der Datenschutzaufsichtsbehörden geworden. Unter anderem bat das Niedersächsische Innenministerium (MI) die Landesbeauftragte für den Datenschutz (LfD), Barbara Thiel, um Beratung zum datenschutzgerechten Einsatz von Luca. Thiel bescheinigt der Luca-App eine grundsätzlich tragfähige technische Architektur zur digitalen Kontaktnachverfolgung. Zugleich weist sie aber darauf hin, dass weitere technische Schutzmaßnahmen notwendig sind, um einen Missbrauch des Systems zu verhindern. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz) hatte eine entsprechende Stellungnahme beschlossen.

Missbrauch und Datendiebstahl möglich

Die Landesdatenschutzbeauftragte weist darauf hin, dass der App-Anbieter culture4life technische Abhilfemaßnahmen umsetzen müsse, um den Missbrauch durch Fake-Identitäten auszuschließen. Dies habe culture4life bereits gegenüber den Aufsichtsbehörden angekündigt. Darüber hinaus könne es beim Aushang ausgedruckter QR-Codes zu massenhaft missbräuchlichen Einträgen in das System kommen, ohne dass sich die eintragenden Personen am angegebenen Ort aufgehalten haben. Dadurch könnten die Gesundheitsämter mit nutzlosen Daten überlastet werden. Es müsse deshalb gewährleistet werden, dass die Gesundheitsämter missbräuchliche Einträge erkennen können.
Weitere Risiken birgt die zentrale Datenhaltung des Systems. Diese können nicht vollständig durch die eingesetzten zweistufigen Verschlüsselungsmechanismen ausgeräumt werden. Ein qualifizierter Angriff gegen die zentralen IT-Systeme des Dienstes könne dazu führen, dass die Angreifenden im schlimmsten Fall in großem Umfang Daten über die Anwesenheit von Personen bei Veranstaltungen entschlüsseln und ausleiten können. Das Unternehmen culture4life habe in einem Arbeitsplan mehrere Schritte für Nachbesserungen festgelegt, heißt es in der Meldung der LfD. Die Datenschutzkonferenz erkenne diese Anstrengungen und die Kooperationsbereitschaft des Unternehmens an und erwarte, dass der Arbeitsplan schnell und sorgfältig in die Tat umgesetzt wird.

Empfehlung für Luca-Alternativen

Die Landesdatenschützerin Barbara Thiel rät außerdem, sich nicht ausschließlich auf Luca zu fokussieren, sondern „auch andere Systeme in den Blick zu nehmen“. Die Corona-Verordnung des Landes Niedersachsen sehe für Veranstalter derzeit keine verpflichtende Nutzung von Luca vor – alternative Apps oder die Datenerfassung in Papierform seien weiterhin möglich.
Die Datenschutzkonferenz empfiehlt in einer Entschließung zudem, die Chancen der Corona-Warn-App 2.0 zur Benachrichtigung potenziell infizierter Personen und zur Clustererkennung zu nutzen. Seit dem Update auf die Version 2.0 verfüge die App über eine Registrierungsfunktion für Orte, an denen viele Menschen zusammenkommen. Auch wenn hierbei – anders als bei anderen Apps – keine personenbezogenen Daten erhoben und später an die Gesundheitsämter übermittelt würden, könnte die pseudonymisierte Clustererkennung einen erheblichen Beitrag zur Unterbrechung von Infektionsketten leisten. (sib)

Stellungnahme der Datenschutzkonferenz zur Luca-App und ähnlichen Systemen (PDF; 268 KB) (Deep Link)
Entschließung der Datenschutzkonferenz zur Corona-Warn-App (PDF; 230 KB) (Deep Link)
Orientierungshilfe: Einsatz von digitalen Diensten zur Kontaktnachverfolgung (PDF; 455 KB) (Deep Link)

Stichwörter: IT-Sicherheit, Kontaktnachverfolgung, Luca, Niedersachsen, Datenschutz, Corona



Druckversion    PDF     Link mailen


Weitere Meldungen und Beiträge aus dem Bereich IT-Sicherheit
NIS2-Richtlinie: Schutz vor Cyber-Kriminellen Bericht
[12.2.2024] Um den Gefahren aus dem Cyber-Raum zu begegnen hat die EU die Richtlinie NIS2 erlassen. Die Vorgaben müssen bis Mitte Oktober 2024 umgesetzt werden. Der IT-Dienstleister Axians gibt Tipps, wie Kommunen und kommunale Unternehmen jetzt vorgehen sollten. mehr...
Die EU-Richtlinie NIS2 soll die Cyber-Sicherheit erhöhen.
ITEBO: IT-Grundschutz für kleine Kommunen
[8.2.2024] Ein neues Angebot von ITEBO zur IT-Sicherheit soll insbesondere kleineren Kommunen einen praxisnahen und leicht umsetzbaren Einstieg in den IT-Grundschutz ermöglichen. Der Check basiert auf BSI-Empfehlungen. mehr...
Kommunaler KRITIS-Schutz: Resilienz im Katastrophenschutz steigern
[7.2.2024] Wie der Schutz Kritischer Infrastrukturen gelingen kann, zeigt ein Webcast, den die GFKD – Gesellschaft für Kommunikation und Digitalisierung im Rahmen des kommune.digital.forum am 22. Februar veranstaltet. mehr...
Schleswig-Holstein: Höchste Priorität für Cyber-Sicherheit
[31.1.2024] Die Landesregierung Schleswig-Holstein hat einen Bericht zur Cyber-Sicherheit vorgelegt. Bei dessen Vorstellung nannte Digitalisierungsminister Dirk Schrödter konkrete Maßnahmen, um die Cyber-Sicherheit im Land zu stärken. Neben der Schaffung entsprechender Strukturen sind auch Programme für Kommunen vorgesehen. mehr...
Südwestfalen-IT: Angreifer nutzten VPN-Schwachstelle aus
[30.1.2024] Ein Forensik-Bericht liefert jetzt Erkenntnisse zu dem Ransomware-Angriff auf die Südwestfalen-IT im Oktober 2023. Demnach nutzten die Angreifer eine Schwachstelle in einer VPN-Lösung aus, um in das Netzwerk des IT-Dienstleisters einzudringen.
  mehr...
Forensik-Bericht zum Angriff auf Südwestfalen-IT zeigt: Die Angreifer nutzten eine Schwachstelle in einer VPN-Lösung aus.
Weitere FirmennewsAnzeige

Kundenportal: Der Weg in die digitale Zukunft der Antragsprozesse
[27.2.2024] Willkommen in der Ära der digitalen Transformation für die öffentliche Verwaltung. Ein Kundenportal für digitale Antragsstrecken revolutioniert nicht nur die Art und Weise, wie Anträge bearbeitet werden, sondern schafft auch Raum für Effizienz, Flexibilität und reibungslose Abläufe. mehr...

EU-Richtlinie 2016/2102: So funktioniert barrierearme Rechnungsverarbeitung
[22.8.2023] Einen barrierearmen Zugang zu Websites und mobilen Anwendungen zu gewährleisten, dazu sind öffentliche Stellen in Deutschland und der EU seit 2019 verpflichtet. Was bedeutet dies für die Verarbeitung eingehender Rechnungen in SAP? Sind Dokumentenprozesse überhaupt betroffen? mehr...

Stadt Essen nutzt Eingangsrechnungsworkflow der xSuite im großen Stil: Sichere Planung durch Rechnungsworkflow
[23.3.2023] Essen ist eine moderne Wirtschafts-, Handels- und Dienstleistungsmetropole im Herzen des Ruhrgebiets. Sie ist Konzernzentrale, zum Beispiel für RWE AG, Evonik Industries AG, E.ON Ruhrgas AG, GALERIA Karstadt Kaufhof GmbH und Hochtief AG. Die Messe Essen ist etabliert unter den Top-Ten der deutschen Messeplätze. Was viele Besucher angesichts der modernen Essener Skyline verblüfft: Die Geschichte der Stadt ist älter als die Berlins, Dresdens oder Münchens. Essen feierte im Jahr 2002 das 1150-jährige Jubiläum von Stift und Stadt Essen. mehr...
Suchen...

 Anzeige



 Anzeige

Aboverwaltung


Abbonement kuendigen

Abbonement kuendigen
Ausgewählte Anbieter aus dem Bereich IT-Sicherheit:
beyond SSL GmbH
90619 Trautskirchen
beyond SSL GmbH
ITEBO GmbH
49074 Osnabrück
ITEBO GmbH
D-Trust GmbH
10969 Berlin
D-Trust GmbH
Aktuelle Meldungen