• Warum war der Weg zur Corona-Warn-App so holprig?
• Wozu ist die App wichtig?
• Wie war der Ablauf bis zur Veröffentlichung der Corona-App?
• Wo liegen die Grenzen der Corona-Warn-App?
• Wie arbeitet die Corona-App konkret?
• Wie geht die Entwicklung der Corona-Warn-App weiter?
• Wird die Corona-Warn-App zur Pflicht?
• Wie ist konkret der Stand bei der digitalen Anbindung von Testzentren, Labors und Arztpraxen?
• Sind die Bedenken wegen unzureichenden Datenschutzes und mangelnder Datensicherheit hinsichtlich der App  ausgeräumt?

Zum einen war das Interesse an einer europäischen Lösung für eine solche App in der Coronakrise denkbar gering. Nicht einmal die EU-Kommission hat sich da engagiert. Dann stand die Bundesregierung ziemlich unter Druck, weil die App als so eine Art Allheilmittel gepriesen wurde. Es wurde kolportiert, die Kontaktbeschränkungen könnten fallen, Kitas, Clubs und der Urlaub auf den Kanaren wären wieder möglich, wenn nur endlich die App da wäre. Die Bundesregierung ist diesen übertriebenen Erwartungen an die App übrigens auch nie wirklich entgegengetreten. Und dann wurde so etwas wie ein Modernitätsdruck aufgebaut. Nur durch die App könnten wir als Gesellschaft, könnte der Staat beweisen, dass wir Digitalisierung doch können, auch wenn unser Gesundheitssystem das jahrelang verschlafen hat. Da kam einiges zusammen, was der App eine symbolhafte Bedeutung zusprach, was einer technischen Entwicklung nie gut tut.

Bundesregierung, Entwicklergemeinde, Medien und Vertreter des Gesundheitssystems stimmen in einem Punkt überein: Die Corona-Warn-App ist wichtig, um die Pandemie bekämpfen zu können. Bundesinnenminister Horst Seehofer beschrieb den Konsens so:

"Die App leistet einen ganz, ganz wichtigen Beitrag für das Einmaleins der Infektionsbekämpfung, nämlich die Identifizierung einer Infektion und dann die Unterbrechung der Infektionskette. Das ist eigentlich das Entscheidende, wenn es darum geht, eine Epidemie oder Pandemie in den Griff zu bekommen."

Ganz wesentlich für die Akzeptanz der Corona-App ist in den Augen von SAP-Technikchef Jürgen Müller, dass der Entwicklungsprozess den Open-Source-Regeln folgte. Am Pfingstwochenende wurde der Quellcode auf der Entwicklerplattform Github veröffentlicht. Gut zwei Wochen später ging die App live. Und in diesen zwei Wochen – zwischen Veröffentlichung des Source Codes und Freischaltung der App – hatten die Entwickler von SAP und Telekom alle Hände voll zu tun. Sie mussten die eingegangenen Verbesserungsvorschläge einarbeiten und Fehlermeldungen abarbeiten. Jürgen Müller:

"Wir haben über 100.000 Personen, verschiedene Personen, die sich die Webseite angeschaut haben, um sich über dieses Projekt zu informieren. Wir hatten 160 Personen, die aktiv beigetragen haben. Wir haben 2100 Meldungen bekommen, was wir potenziell noch besser machen können, was wir potenziell noch anders machen können in Form von Kommentaren und sogar 1500 ganz konkrete Code-Veränderungsvorschläge."

Die Mitwirkung der Entwickler-Community war laut Müller überwältigend.

Der Präsident des Robert Koch-Instituts, Lothar Wieler, ordnet die Corona-Warn-App im Zusammenspiel mit den ganzen anderen Maßnahmen und Werkzeugen im Kampf gegen COVID-19 so ein:

"Mit dem heutigen Start der Corona-Warn-App steht uns nun noch ein weiteres Werkzeug zur Verfügung, das die bereits bekannten und bewährten Methoden der Kontakt-Nachverfolgung ergänzen wird. Mit der Corona-Warn-App können mit einer gewissen Wahrscheinlichkeit zusätzliche Risikobegegnungen aufgezeichnet werden und identifiziert werden, die bislang durch das Raster gefallen sind. Das könnte gerade dann von Bedeutung sein, wenn die Mobilität der Menschen wieder weiter zunimmt."

Die Datenspende-App des Robert Koch-Instituts, Modellrechnungen zur Ausbreitung des neuartigen Coronavirus und mathematische Modellierungen zur Übertragbarkeit sind für Lothar Wieler weitere Instrumente, um das Virus effektiv bekämpfen zu können.

Aber diese komplexen Instrumente müssen der Öffentlichkeit sehr genau vermittelt werden. Ihre Methodik, ihre Leistungsfähigkeit, aber auch die Grenzen ihrer Anwendung müssen deutlich werden. Das gilt Wieler zufolge auch für die Corona-Warn-App.

Die Anwender müssten wissen, was eine Warnmeldung, die die App ausgibt, wirklich bedeutet. Lothar Wieler:

"Hinter der Benachrichtigung, ob man ein geringes oder ein erhöhtes Ansteckungsrisiko hat, steckt ein sehr komplexes Modell, nach dem das Infektionsrisiko berechnet wird, das sind vier Faktoren. Das eine ist die Dauer und die Nähe der Begegnung. Das zweite ist der Zeitpunkt seit der Begegnung mit einem möglichen Risikofaktor mit einem positiv getesteten App-Nutzer. Weiterhin spielt die sogenannte Dämpfung des Bluetooth-Signals eine große Rolle. Und letztlich wird das Übertragungsrisiko des positiv getesteten Nutzers in einem Algorithmus berechnet, den die Wissenschaftler des Robert-Koch-Instituts erarbeitet haben."

Und dieser Algorithmus wird ständig weiter angepasst. Dass die App Fehlalarme, also sogenannte falsch-positive Meldungen ausgeben wird, das steht für die Experten außer Zweifel. Denn der Algorithmus kann natürlich nicht die konkrete Situation des Anwenders berechnen, in der ein Kontakt stattfand. Ob im Bus, in einem engen geschlossenen Raum, draußen in der freien Natur, im Supermarkt oder sogar vor einer Plexiglasscheibe – das alles wird nicht erfasst.

Der Algorithmus arbeitet im Grunde nur mit Abstandsmessung und der Dauer des Kontakts. Und diese beiden Parameter müssen jetzt nachjustiert werden. Nachgearbeitet werden muss auch bei der digitalen Anbindung der COVID-Testzentren, Laboratorien und Arztpraxen. Telekom-Chef Timotheus Höttges:

"Wir digitalisieren ja auch die Anbindung der Testzentren und aller Labore. Das heißt, der heute analoge Prozess wird auch durch die Corona-App digitalisiert. Und dadurch wird die gesamte Kommunikation in dem Nachverfolgen, aber auch in der Information signifikant beschleunigt. Wir gehen davon aus, dass gegenüber dem analogen Prozess bis zu vier Tage gewonnen werden können. Und die sind natürlich super kritisch, wenn es um die Verbreitung des Virus geht, hier Risiko-Maßnahmen durchzuführen."

Ebenfalls auf dem Aufgabenzettel der Regierung steht die Garantie, dass die Corona-Warn-App ausschließlich freiwillig genutzt wird. Arbeitgeber, vor allen Dingen im Pflegesektor, versuchen derzeit, ihren Beschäftigten die App-Nutzung vorzuschreiben. Auch in anderen Bereichen gibt es da erste Anzeichen. Deshalb fordern zivilgesellschaftliche Gruppen und verschieden Politiker ein Begleitgesetz zur Corona-Warn-App, mit der die zwangsweise App-Nutzung ausgeschlossen werden kann. Bundesjustizministerin Christine Lambrecht findet ein solches Gesetz überflüssig und begründete das so.

"In dem Zusammenhang bitte ich uns alle, die Lebenswirklichkeit einfach auch zu betrachten. Da wird oftmals das Beispiel genannt, dass ein Gastwirt einem den Zugang verwehren würde, wenn ich diese App nicht nutze. Dann muss man sich dann wirklich fragen: Warum sollte er oder sie das denn tun? Denn an dem Abend, an dem ich ins Restaurant gehe, habe ich noch keine Meldung vielleicht auf dem Handy. Zwei, drei Tage später vielleicht schon, dass ich Kontakt hatte. Aber was ich dann mit den Daten mache, das ist in meiner Verantwortung. Und deswegen hat der Gastwirt überhaupt keine Begründung, dass von einem Gast abzufragen. Und deswegen bin ich der Meinung, dass wir momentan keine gesetzliche Regelung brauchen, um eine solche Nutzung oder Unfreiwilligkeit über die Hintertür auszuschließen, weil die Lebenswirklichkeit überhaupt keinen Anlass dafür gibt."

Solche Fragen der Anbindung sind tatsächlich zunächst mal weitgehend außen vorgeblieben. Das hatte damit zu tun, dass Regierung und Politik sehr stark auf die Entwicklung einer nationalen Warn-App fokussiert waren. Das waren dann alle anderen Fragen tatsächlich zweitrangig. Dazu gehörte übrigens auch die Koordinierung der App-Entwicklung. Die Bundesregierung setzte da zunächst auf das Pepp-Pt-Konsortium, danach auf SAP-Telekom. Die anderen Projekte, in denen solch eine Warn-App entwickelt wurde, die wurden gar nicht mit einbezogen. Das betrifft ein halbes Dutzend solcher Projekte. Hätte es da bei der Corona-Warn-App ein effizientes Projektmanagement gegeben, wären die Ergebnisse aus allen diesen App-Projekten mit eingeflossen. Das hätte viel Zeit und Geld gespart. Aber das ist weder deutschlandweit, noch europaweit passiert. Die anderen Projekte wurden schlicht ausgeblendet. Da das allerdings auch Projekte waren, die in der Regel aus öffentlichen Mitteln finanziert wurden, hätte man bei besserer Koordinierung erheblich Steuergelder sparen können.

Wenn man Telekom-Chef Timotheus Höttges glauben darf, ist die Anbindung der Testzentren und Labore eine Frage weniger Wochen. Allerdings wird das auch noch einmal Geld kosten. Bis dahin bleibt vielen App-Anwendern, die positiv auf das Sars-Cov2-Virus getestet wurden, nur die Hotline, um ihre Kontakt-IDs auf den Benachrichtigungsserver hochzuladen. Von der Hotline bekommen sie fernmündlich eine TAN gesagt, die müssen sie dann bei der Alarmmeldung als Nachweis mit eingeben.

Bei den Arztpraxen, da sieht es mit der Anbindung schwieriger aus. Denn das ist sozusagen die Hoheit der Gematik. Da hat ein Ausfall der Infrastruktur vor gut zwei Wochen zu erheblichen Problemen geführt. Bis da flächendeckend die digitale Verbindung von Testzentren, Labors und Praxen funktioniert, wird es wohl noch dauern.

Die sind nur teilweise ausgeräumt. Da gibt es zwei Bereiche: Die App selbst auf dem Smartphone. Und den Server, über den die Benachrichtigung stattfindet. Bei der App selbst hat eine Gruppe der TU Darmstadt und der Universitäten Marburg und Würzburg Kontakt-IDs von Smartphones abgegriffen und darüber den Smartphone-Besitzer im Laborversuch deanonymisiert.

Der zweite Punkt hängt davon ab, wie lange die Kontakt-ID einer getesteten Person samt Verifikationscode mit welcher Verschlüsselung auf dem Benachrichtigungsserver liegen und wie der abgesichert ist. Bei einem Angriff auf diesen Server wäre über einen Abgleich der Kontakt-IDs eine De-Anonymisierung theoretisch möglich. Bei einer zu schwachen Verschlüsselung des Verifikationscodes kann der Smartphone-Besitzer ebenfalls identifiziert werden. An diesen Punkten muss noch gearbeitet werden. Bisher ist das von Regierungsseite als nicht so wichtig heruntergespielt worden.