Zum Inhalt springen

Header

Video
Sicherheitslücken bei Tracing-Apps
Aus Tagesschau vom 19.06.2020.
abspielen. Laufzeit 1 Minute 55 Sekunden.
Inhalt

Ist die Tracing-App sicher? «Wie wenn Autonummern alle paar Minuten ändern würden»

Sicherheitsexperten warnen, dass die Swiss Covid-App Schwachstellen hat - Experten des Bundes beteuern hingegen, dass die App aus Sicht des Datenschutzes sicher ist. Dies bestätigt auch SRF-Digitalredaktor Peter Buchmann. Vor allem wäre der Aufwand für Hacker zu gross um zu relevanten Daten zu kommen.

Peter Buchmann

Peter Buchmann

SRF-Digitalredaktor

Personen-Box aufklappen Personen-Box zuklappen

Peter Buchmann arbeitet seit 2013 bei der SRF-Digitalredaktion. Zuvor war er als Entwickler tätig. Buchmann blickt auf ein Studium der Japanologie, Sinologie und Informatik zurück.

SRF News: Wenn man in der Nähe eines Spitals ist, wo es eine grössere Möglichkeit gibt auf infizierte Personen zu treffen, kann zu Fehlalarmen kommen.

Peter Buchmann: Die Köpfe hinter der Covid Tracing App sind sich bewusst, dass dieses Störmanöver möglich ist. Im schlimmsten Fall müssten sich die Betroffenen testen lassen und dann in Quarantäne begeben, bis sie das Resultat des Tests erhalten – und das, obwohl keine Indizien für eine Infizierung vorlägen.

Das könnte ein Hacker ausnützen.

Er müsste allerdings einen ziemlich grossen Aufwand betreiben, ohne dass klar wäre, welchen Nutzen er daraus zieht.

Gegen die Nutzung von GPS hat man sich bewusst entschieden.

Weil dieser Angriff zeitlich und örtlich begrenzt wäre, wäre jeweils nur ein kleiner Teil der Bevölkerung betroffen. Es ist in der Praxis kaum möglich, auf diese Weise Hunderttausende in eine sinnlose Quarantäne zu schicken.

Wie kann das verhindert werden?

Man könnte dieses Störmanöver verhindern, wenn die App die Ortung des Smartphones nutzen könnte. Dagegen hat man sich aber bewusst entschieden, weil die Nutzung des GPS das Vertrauen in die App untergraben würde. Laut den Machern der App gäbe es ein kryptografisches Verfahren, um diesen Angriff zu verhindern. Allerdings ist nicht klar, ob diese Technologie mit den Schnittstellen von Google und Apple funktionieren würde.

Video
Erste Erfahrungen mit Tracing-Apps
Aus Tagesschau vom 19.06.2020.
abspielen. Laufzeit 2 Minuten 23 Sekunden.

Es ist wohl ein Problem, dass die Kommunikation von dritten virtuell beobachtet oder nachvollzogen werden kann. Was kann man dagegen tun?

Die App tauscht über Bluetooth einen Zahlencode aus, wenn sich jemand über längere Zeit mit einem Smartphone in der Nähe aufhält. Dieser Code ist für einen Angreifer zwar sichtbar, er kann jedoch nicht vom Code auf den Besitzer des Smartphones schliessen. Um Rückschlüsse zusätzlich zu erschweren, ändert sich dieser Code auch noch alle paar Minuten.

Die Angaben bleiben auf den Smartphones.

Es wäre also wie wenn sich die Autonummern alle paar Minuten ändern würden und es kein zentrales Verzeichnis der Autohalter gäbe, wo man schnell nachschlagen kann, auf wen das Fahrzeug eingelöst ist. Unter diesen Umständen eine Autofahrerin zu identifizieren wäre zwar theoretisch denkbar. Es wäre sehr aufwendig und deshalb immer nur in wenigen Einzelfällen möglich.

Was sind die Vorteile des dezentralen Ansatzes?

Wenn sich zwei Smartphones über längere Zeit nahekommen, tauschen die Tracing-Apps zwei Zahlencodes aus und halten so die Begegnung fest. Alle Angaben zu Begegnungen bleiben auf den Smartphones. Ein Angreifer müsste somit versuchen, in jedes einzelne Smartphone einzudringen.

Für Hacker wäre eine zentrale Datensammlung ein attraktives Ziel.

Anders verhält es sich beim zentralen Ansatz. Hier werden die Angaben in einer einzigen Datenbank gesammelt. Die Nutzer der App müssen dem Anbieter vertrauen, weil dieser Zugang zu den Bewegungsprofilen vieler Menschen hat. Für Hacker wäre eine zentrale Datensammlung ein attraktives Ziel: Finden sie eine Sicherheitslücke, so gelangen sie in den Besitz der Bewegungsprofile weiter Teile der Bevölkerung. Eine solche Datensammlung hätte aber Potenzial und Vorteile für die Forschung.

Das Gespräch führte Martin Horazdovsky.

Tagesschau vom 19.06.2020, 19.30 Uhr;

Jederzeit top informiert!
Erhalten Sie alle News-Highlights direkt per Browser-Push und bleiben Sie immer auf dem Laufenden.
Schliessen

Jederzeit top informiert!

Erhalten Sie alle News-Highlights direkt per Browser-Push und bleiben Sie immer auf dem Laufenden. Mehr

Push-Benachrichtigungen sind kurze Hinweise auf Ihrem Bildschirm mit den wichtigsten Nachrichten - unabhängig davon, ob srf.ch gerade geöffnet ist oder nicht. Klicken Sie auf einen der Hinweise, so gelangen Sie zum entsprechenden Artikel. Sie können diese Mitteilungen jederzeit wieder deaktivieren. Weniger

Sie haben diesen Hinweis zur Aktivierung von Browser-Push-Mitteilungen bereits mehrfach ausgeblendet. Wollen Sie diesen Hinweis permanent ausblenden oder in einigen Wochen nochmals daran erinnert werden?

Meistgelesene Artikel