Aarogya Setu: Warum Indiens Covid-19-App zur Kontaktverfolgung umstritten ist

Bildrechte
Getty Images

Die indische Covid-19-App zur Kontaktverfolgung wurde nach Angaben des Ministeriums für Informationstechnologie trotz Befürchtungen hinsichtlich des Datenschutzes 100 Millionen Mal heruntergeladen.

Die App – Aarogya Setu, was auf Sanskrit "Brücke zur Gesundheit" bedeutet – wurde erst vor sechs Wochen gestartet.

Indien hat es für Mitarbeiter der Regierung und des privaten Sektors obligatorisch gemacht, es herunterzuladen.

Benutzer und Experten in Indien und auf der ganzen Welt sagen jedoch, dass die App große Bedenken hinsichtlich der Datensicherheit aufwirft.

Wie funktioniert es?

Mithilfe der Bluetooth- und Standortdaten eines Telefons informiert Aarogya Setu Benutzer, indem sie eine Datenbank mit bekannten Infektionsfällen durchsuchen, ob sie sich in der Nähe einer Person mit Covid-19 befunden haben.

Die Daten werden dann an die Regierung weitergegeben.

"Wenn Sie in den letzten zwei Wochen jemanden getroffen haben, der positiv getestet wurde, berechnet die App Ihr ​​Infektionsrisiko basierend auf dem aktuellen Stand und der Nähe und empfiehlt Maßnahmen", so Abhishek Singh, CEO von MyGov im indischen IT-Ministerium die App, sagte der BBC.

Während Ihr Name und Ihre Nummer nicht veröffentlicht werden, sammelt die App diese Informationen sowie Ihr Geschlecht, Ihren Reiseverlauf und ob Sie Raucher sind.

Muss die App heruntergeladen werden?

Premierminister Narendra Modi hat zur Unterstützung der App getwittert und alle aufgefordert, sie herunterzuladen. Sie wurde für Bürger, die in Sicherheitszonen leben, sowie für alle Mitarbeiter der Regierung und des privaten Sektors zur Pflicht gemacht.

Noida, ein Vorort der Hauptstadt Delhi, hat es für alle Einwohner zur Pflicht gemacht, die App zu haben, und erklärt, dass sie wegen Nichteinhaltung für sechs Monate inhaftiert werden können.

Start-ups für die Lieferung von Lebensmitteln wie Zomato und Swiggy haben dies ebenfalls für alle Mitarbeiter zur Pflicht gemacht.

Aber die Regierungsrichtlinie wird von einigen in Frage gestellt.

In einem Interview mit der Zeitung The Indian Express sagte der ehemalige Richter des Obersten Gerichtshofs, BN Srikrishna, dass das Bestreben, die Nutzer dazu zu bringen, die App zu nutzen, "absolut illegal" sei.

"Nach welchem ​​Gesetz schreiben Sie es vor? Bisher ist es durch kein Gesetz gestützt", sagte er der Zeitung.

Der Covid Tracing Tracker von MIT Technology Review listet 25 Kontaktverfolgungs-Apps auf aus Ländern rund um den Globus – und es gibt auch Bedenken hinsichtlich einiger von ihnen.

Kritiker sagen, dass Apps wie das chinesische Gesundheitscode-System, das die Ausgabenhistorie eines Benutzers aufzeichnet, um ihn davon abzuhalten, die Quarantäne zu brechen, invasiv sind.

"Menschen zur Installation einer App zu zwingen, ist keine Erfolgsgeschichte. Es bedeutet nur, dass Unterdrückung funktioniert", sagt der französische Ethik-Hacker Robert Baptiste, der unter dem Namen Elliot Alderson bekannt ist.

Was sind die Hauptanliegen der indischen App?

Aarogya Setu speichert Standortdaten und benötigt ständigen Zugriff auf das Bluetooth des Telefons, was Experten zufolge aus Sicherheits- und Datenschutzgründen invasiv macht.

In Singapur kann die TraceTogether-App beispielsweise nur vom Gesundheitsministerium für den Zugriff auf Daten verwendet werden. Es versichert den Bürgern, dass die Daten ausschließlich zur Seuchenbekämpfung verwendet werden dürfen und nicht an Strafverfolgungsbehörden zur Durchsetzung von Sperren und Quarantäne weitergegeben werden.

"Aarogya Setu behält die Flexibilität, genau das zu tun oder die Einhaltung von Rechtsordnungen usw. sicherzustellen", sagt die Internet Freedom Foundation, eine Interessenvertretung für digitale Rechte und Freiheiten in Delhi.

Bildrechte
Getty Images

Die App-Ersteller bestehen jedoch darauf, dass zu keinem Zeitpunkt die Identität eines Benutzers preisgegeben wird.

"Ihre Daten werden nicht für andere Zwecke verwendet. Kein Dritter hat Zugriff darauf", sagte Singh von MyGov.

Das große Problem mit der App ist, dass sie den Standort verfolgt, was weltweit als unnötig erachtet wurde, sagt Nikhil Pahwa, Herausgeber des Internet-Watchdogs Medianama.

"Jede App, die jederzeit nachverfolgt, mit wem Sie in Kontakt waren und wo Sie sich befinden, ist eine eindeutige Verletzung der Privatsphäre."

Er ist auch besorgt über die Bluetooth-Funktion in der App.

"Wenn ich mich im dritten Stock befinde und Sie sich im vierten Stock befinden, wird dies zeigen, dass wir uns getroffen haben, obwohl wir uns in verschiedenen Stockwerken befinden, da Bluetooth durch Wände läuft. Dies zeigt 'falsch positive' oder falsche Daten. ""

Was sind die Bedenken hinsichtlich der Privatsphäre?

Die App ermöglicht es den Behörden, die gesammelten Informationen auf einen staatseigenen und betriebenen "Server" hochzuladen, der "Personen zur Verfügung stellt, die medizinische und administrative Eingriffe im Zusammenhang mit Covid-19 durchführen".

Das Software Freedom Law Center, ein Konsortium aus Anwälten, Technologieexperten und Studenten, sagt, es sei problematisch, da die Regierung die Daten mit "praktisch jedem, den sie will" teilen könne.

Laut MyGov wurde "die App mit dem Datenschutz als Kernprinzip erstellt" und die Verarbeitung der Kontaktverfolgung und Risikobewertung erfolgt "anonymisiert".

Herr Singh sagt, wenn Sie sich registrieren, weist Ihnen die App eine eindeutige "anonymisierte" Geräte-ID zu. Alle Interaktionen mit dem Regierungsserver von Ihrem Gerät aus werden nur über diese ID durchgeführt, und nach der Registrierung werden keine persönlichen Daten ausgetauscht.

Experten haben jedoch Zweifel an der Behauptung der Regierung geäußert.

Herr Alderson hat gesagt, dass es Fehler in der App gibt, die es ermöglichen zu wissen, wer irgendwo in Indien krank ist.

"Im Grunde konnte ich sehen, ob jemand im PMO [Büro des Premierministers] oder im indischen Parlament krank war. Ich konnte sehen, ob jemand in einem bestimmten Haus krank war, wenn ich wollte." er schrieb in seinem Blog.

Aarogya Setu bestritt eine solche Verletzung der Privatsphäre in einer Erklärung.

Aber Indien hat "eine schreckliche Geschichte" des Schutzes der Privatsphäre, sagt Pahwa und bezieht sich auf Aadhaar – die weltweit größte und umstrittenste auf Biometrie basierende Identitätsdatenbank.

Kritiker haben wiederholt gewarnt, dass das System personenbezogene Daten gefährdet, und die Bemühungen der Regierung kritisiert, diese zwangsweise mit Bankkonten und Mobiltelefonnummern zu verknüpfen.

"Diese Regierung hat argumentiert, dass Privatsphäre kein Grundrecht vor Gericht ist", sagte Pahwa. "Wir können es nicht vertrauen."

Der Oberste Gerichtshof Indiens entschied 2018, dass das umstrittene Aadhaar-System verfassungsrechtlich sei und das Recht auf Privatsphäre nicht verletze.

Und die Frage der Transparenz?

Im Gegensatz zur britischen Covid-19-Tracing-App ist Aarogya Setu nicht Open Source, was bedeutet, dass es nicht von unabhängigen Programmierern und Forschern auf Sicherheitslücken überprüft werden kann.

Ein hochrangiger Beamter des IT-Ministeriums teilte einer Zeitung mit, dass die Regierung den Quellcode von Aarogya Setu nicht veröffentlicht habe, weil sie "befürchtete, dass viele auf Fehler hinweisen und die Mitarbeiter, die die Entwicklung der App überwachen, überlasten".

Herr Singh sagte, "alle Anträge werden letztendlich als Open Source gestellt und das Gleiche gilt auch für Aarogya Setu".

Kannst du das System schlagen?

Um sich zu registrieren, müssen Benutzer ihren Namen, ihr Geschlecht, ihre Reisegeschichte, ihre Telefonnummer und ihren Standort angeben.

"Die Leute können das Formular falsch ausfüllen und die Regierung kann es nicht überprüfen, daher ist die Wirksamkeit der Daten fraglich", sagte Pahwa gegenüber der BBC.

Laut einem Buzzfeed BerichtEin indischer Softwareentwickler hatte die App gehackt, um die Registrierungsseite zu umgehen, und sogar verhindert, dass die App Daten über GPS und Bluetooth sammelte.

In dem Bericht wurde auch ein Kommentar zu Reddit erwähnt, in dem das Hintergrundbild des Telefons als einfache Problemumgehung vorgeschlagen wurde, um die App nicht herunterzuladen.

"Datenschutzbewusste werden dies wahrscheinlich tun. Diejenigen, die nicht gezwungen werden möchten, ihre Daten an die Regierung weiterzugeben, werden nach Problemumgehungen suchen und diese finden. Es könnte sein, dass sie mithilfe einer modifizierten App oder eines Screenshots Wege finden, "Herr Pahwa sagt.

Aber Herr Singh argumentiert, dass "wenn man zu Hause bleibt und niemanden trifft, es keine Rolle spielt, ob er die App hat, sie löscht oder das Bluetooth ausschaltet oder auf Selbsteinschätzung lügt".