Luca-App: Innenministerium verhindert Überprüfung durch BSI

Die Luca-App wird bereits in vielen Bundesländern genutzt, doch in der Vergangenheit war ihr Einsatz immer wieder umstritten. Nun gibt es eine neue Kontroverse um das Programm.

Das Bundesinnenministerium wird die umstrittene Luca-App zur Eindämmung der Corona-Pandemie nicht umfassend durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) untersuchen lassen. Zuvor habe das Land Hessen das BSI gebeten, eine umfassende Quellcode-Prüfung der Luca-Anwendung vorzunehmen, teilte das Ministerium auf Anfrage mit und bestätigte damit einen Bericht des Nachrichtenmagazins "Der Spiegel". "Der Bitte wurde nicht entsprochen", erklärte ein Ministeriumssprecher.

Hessen hatte eine Prüfung des "Gesamtsystems inklusive aller Komponenten der dahinter stehenden IT-Infrastruktur" angefragt, zitiert der "Spiegel" einen Sprecher des hessischen Innenministeriums.

App von Smudo angepriesen

Die Luca-App will die Zettelwirtschaft ersetzen, die bei einer analogen Erfassung der Besuche von Restaurants, Ausstellungen und anderen Events entsteht. Der Hersteller konnte unter anderen den Rapper Smudo von den Fantastischen Vier als Fürsprecher gewinnen.

In den vergangenen Wochen und Monaten mussten die Macher der App immer wieder Schwachstellen schließen, die Datenschützer und Aktivisten des Chaos Computer Clubs entdeckt hatten. Manche Datenschützer wie die Berliner Datenschutzbeauftragte Maja Smoltczyk stören sich an dem Konzept, die erfassten Daten zentral zu speichern. Die Hersteller der App verweisen auf einen wirksamen Schutz durch Verschlüsselungstechnik.

Die Luca-App kommt in 13 Bundesländern zum Einsatz. Nur Sachsen, Nordrhein-Westfalen und Thüringen haben keinen Vertrag mit dem Luca-Hersteller. Die App soll durch eine Anbindung an die Gesundheitsämter helfen, Infektionen leichter nachzuverfolgen.

Eine Recherche des "Spiegel" zeigte aber, dass die Luca-App bei der Nachverfolgung bisher kaum geholfen hat. Das Nachrichtenmagazin hatte bei mehr als 200 der knapp 400 Gesundheitsämter in Deutschland bezüglich der Luca-App recherchiert. Etwa 114 hatten noch nie entsprechende Daten abgefragt. 86 Ämter hatten in 130 Fällen Daten zur Infektionsverfolgung nachgefragt, aber in nur 60 Fällen hätten diese Daten geholfen, schreibt der "Spiegel". Laut dem Nachrichtenmagazin hat es in den entsprechenden Landkreisen im gleichen Zeitraum etwa 130.000 Neuinfektionen gegeben.

Private Firma soll App prüfen können

Ein Sprecher des Innenministeriums sagte der dpa, bei der Luca-Anwendung handele es sich um eine privatwirtschaftlich bereitgestellte Anwendung. "Vertragspartner des Herstellers der Luca-Anwendung sind die Länder." Die Gewährleistung der IT-Sicherheit sei üblicherweise Gegenstand der Leistung des Herstellers. "Dem Käufer (hier: die Länder) steht es frei, hier weitergehende Zusicherungen, wie z.B. eine Quellcodeprüfung, im Rahmen seiner Vertragsgestaltung zu verlangen."

Für Aufgaben wie Quellcodeprüfungen oder Penetrationstests gebe es zudem spezialisierte Firmen, die auch BSI-zertifiziert sein könnten. "Hessen kann diese Leistung also vom Hersteller der Luca-Anwendung verlangen, der diese dann am Markt hinzukauft. Dies ist ein bewährtes Verfahren, das in der Regel auch von Bundesbehörden genutzt wird."