Tracing/Tracking Apps und der Datenschutz

[Bartel]

....was ich durchaus oft mache! :)

 

[GRO]

Laut Snowden reicht nicht einmal ausschalten. Man muss den Akku rausnehmen, was heute leider nicht mehr möglich ist.

 

[riva]

Also laut deinem Artikel nutzt MorChana auch die Bluetoothschnittstelle. Falls kein GPS vorhanden, wird das GPS von einem anderen Gerät in der Nähe verwendet und an den Server übertragen.

Ich glaube, das der Standort nur im QR-Code gespeichert wird. Alles andere lässt Apple nicht zu.
Darum wird auch der QR-Code am Gerät immer angezeigt und auch immer aktualisiert.

Bluetooth bedeutet nicht Exposure Notification
Exposure Notification bedeutet keine zentrale Datenspeicherung

Apps dürfen Bluetooth nutzen und nebenbei Location Data via GPS usw. abrufen und zentral speichern. Das macht wohl so ziemlich jede Fitness Uhr. Sie ist über Bluetooth mit dem Handy connected und das Handy schickt Location Daten, z.B. über Laufstrecken, an einen zentralen Server damit man seine Daten auch schön mit anderen Nutzern teilen kann.

Was die Mor Chana App jetzt genau macht, weiß ich nicht. Es ist aber falsch, Apple und Google würden keine zentrale Speicherung von Location Daten erlauben. Das trifft nur zu, wenn die App gleichzeitig die Exposure Notification Schnittstelle nutzt. Dauerhafte Bluetooth Nutzung für Tracing, ist ohne diese Schnittstelle nicht sinnvoll umzusetzen. Auch aus diesem Grund sind Länder wie Deutschland auf die dezentrale Speicherung umgeschwenkt (mit Verspätung).


Meinung:

Übrigens sind Apple und Google nicht aus Gründen des Datenschutzes während der Pandemie so restriktiv, auch wenn das gerne so verkauft wird, sondern sie möchten zukünftige Geschäftsmodelle schützen. Also nicht, dass wieder behauptet wird, es würde nur auf die Chinesen gezeigt und im Westen etwas unter den Teppich gekehrt. Es handelt sich jedoch um kommerzielle und nicht staatliche Verwendung der Daten.

Die Exposure Notification Schnittstelle ist im Betriebssystem integriert und läuft als Hintergrunddienst unauffällig und sehr stromsparend. Lokalisierungssysteme wie Apples AirTags (gibt auch andere Hersteller), benötigen eine solche Schnittstelle. Und in diesem Fall werden auch Lokalisierungsdaten übertragen. Google und Apple dürfen das Ich schneide das nur mal an. Ist aber ein interessantes Thema, welches uns wahrscheinlich in den nächsten Jahren beschäftigen wird.

Apple AirTags: Schutz vor Stalking und Überwachung völlig unzureichend

Mit AirTags lassen sich Personen und Fahrzeuge wochenlang unerkannt orten. Auch Apples verbesserte Datenschutzmaßnahmen können Missbrauch nicht verhindern.

www.heise.de

 

[riva]

Vielleicht kannst du das eine oder andere erzählen?
Ist sicher sehr interessant.

Ich wurde bei einer Einreise auffallend lange befragt, während mein Laptop und Handy noch auf dem Band zur Durchleuchtung waren. Vermutlich wandert dann ein Handy mal schnell in die flinken Finger eines IT Chinesen. Ich weiß auch von Polizeikontrollen, bei denen das Handy abgegeben werden musste. Das ist mir selber aber nicht passiert. Anschließend hatte ich dann eine auffallend höhere CPU Auslastung. Es gibt sehr glaubhafte Berichte, dass bei längeren Kontrollen eine Spysoftware installiert wird. Vielleicht war das bei mir nicht notwendig, weil ich WeChat benötigte.

Um im Land zu kommunizieren, kommt man um WeChat eigentlich nicht herum. Das würde ich mir nie auf meinem regulären Phone installieren. Ich hatte früher ein privates Facebook, welches ich auf einer Chinareise nie geöffnet hatte und auch schon länger nicht mehr aktiv war. Nach meiner Reise hatte ich Freundschaftsanfragen von Chinesen, die ich nicht kannte. Das Verhalten vieler bekannter Apps ist in China ein anderes. Das liegt sicherlich auch an der starken Zensur und geblockter Dienste. Ich habe aber auch immer das Gefühl, als würde auf dem Gerät schon etwas passieren. Eine anschließende forensische Untersuchung ist recht aufwändig. Ich habe es immer bei einem Werks-Reset belassen.

Sim Karte in China aber auch die Nutzung von WIFI's ist nur nach Registrierung mit Reisepass möglich. Es ist aber auch nicht alles absolut technisch abgesichert. In einigen WIFI's konnte ich den Registrierungsprozess mit einem speziellen VPN umgehen.

Eine merkwürdige aber doch sehr analoge Geschichte habe ich nach einem Inlandsflug erlebt. Mein Koffer als Aufgabegepäck konnte ich nach der Landung im Hotel mit meinem Zahlencode nicht mehr öffnen. Mit einem TSA Schlüssel, hätten die Behörden den Koffer (Rimowa weit verbreitet) unauffällig öffnen können. Ich wohnte im Hilton und habe dann an der Rezeption angefragt ob man mir helfen könnte. Die schickten dann einen Haustechniker. Der kam nach einiger Zeit und gab eine mir nicht bekannte Zahlenkombination ein und der Koffer öffnete sich. Ich fragte ihn, woher er die Zahlen hätte und er verließ freundlich lächelnd mein Zimmer.

Ich bin sicherlich keine Top Zielperson. Aufgrund meines Jobs bin ich aber auch nicht ganz uninteressant und öffentlich in den Kreisen auch nicht ganz unbekannt. Außerdem hatte ich ja über mehrere Jahre Kontakt zu einer Chinesin mit der ich auch im Ausland unterwegs war. Im Nachhinein würde ich aber auch nicht Haus und Hof dafür verwetten, dass sie ganz astrein war. Ist aber reine Spekulation mit ein paar wenigen Indizien. Im Endeffekt war es vielleicht Win-Win. Ich hatte guten Sex mit ihr

 

[Benweni]

Meinung:

Übrigens sind Apple und Google nicht aus Gründen des Datenschutzes während der Pandemie so restriktiv, auch wenn das gerne so verkauft wird, sondern sie möchten zukünftige Geschäftsmodelle schützen. Also nicht, dass wieder behauptet wird, es würde nur auf die Chinesen gezeigt und im Westen etwas unter den Teppich gekehrt. Es handelt sich jedoch um kommerzielle und nicht staatliche Verwendung der Daten.

Aber Google, Facebook & Co. verkaufen ja nicht die Identität deren Nutzer. Die Werbekunden schalten eine Anzeige und erwarten, dass diese bei den passenden Nutzern eingeblendet wird. Je mehr Daten über die Nutzer vorhanden, umso zielgerechter kann diese Werbung geschaltet werden. Die Werbekunden erfahren aber keine Daten der Nutzer.

 

[YamNua]

Aber Google, Facebook & Co. verkaufen ja nicht die Identität deren Nutzer.

Schön wäre es

Was wir über den Skandal um Facebook und Cambridge Analytica wissen [UPDATE]

Donald Trumps Wahlkampf stützte sich unter anderem auf detaillierte Persönlichkeitsprofile von mehr als 87 Millionen Facebook-Nutzern. Dank investigativer Recherchen kommt jetzt ans Licht, wie die verantwortliche Firma Cambridge Analytica an die Daten kam und wie sie arbeitete. Die wichtigsten...

netzpolitik.org

 

[Benweni]

Der Fall Cambridge Analytica stellte aber keine normale Nutzung der Daten dar. Es ist auch gar nicht im Interesse von Facebook persönliche Nutzerdaten zu verkaufen inkl. Namen, eMail, Telefonnummer. Das wäre eine einmalige Einnahme. Deutlich lukrativer ist es immer wieder Geld für Werbeeinblendungen zu erhalten, ohne dass der Werbekunde die Identitäten der Nutzer erhält.

 

[riva]

Praktische Frage dazu. Wenn ich Bluetooth an meinem Iphone ausgeschaltet habe, und der Tracking App den
Standortzugriff nur explizit erlaube, wenn es sein muss, bin ich dann noch durchgehend verfolgbar?
Bluetooth außerhalb meines Hauses macht für mich in Thailand keinen Sinn, da keine Anwendung.

So wie ich es verstehe, funktioniert die "Verfolgung" und Aktualisierung deiner persönlichen Gefährdung durch Mor Chana nur mit Bluetooth.
Aber natürlich kannst du auch auf andere Arten getrackt werden.

Ich vermute die App nutzt im wesentlichen die Standortdaten die durch QR Code einchecken gesammelt werden. Also recht ähnlich wie die Luca App in Deutschland. Von den Berechtigungen her darf sie aber viel mehr. Ein zuverlässiges Tracing via Bluetooth ist über längeren Zeitraum oder gar im Dauerbetrieb nicht wirklich machbar und frustrierend für den Nutzer, wenn sein Akku leer gezogen werden würde und die App nur im Vordergrund laufen darf. Das bedeutet aber nicht, dass nicht auch Bluetooth zeitweise genutzt wird. Nur halt nicht im Dauerbetrieb wie es für Kontakt Tracing, wie bei der CWA, notwendig ist. Die nutzt die Exposure Notification Schnittstelle.

Mor Chana sagt es würden keine Daten zentral gesammelt, sondern erst bei einer Infektion vom Gerät an eine zentrale Datenbank übertragen. Bis dahin wäre alles anonym.

Über den Provider auf jeden Fall.
Standortdaten können über WLAN, NFC (Near Field Communication) und Bluetooth ermittelt werden.
Dazu kommt dann noch die Erkennung über die IP.

Wenn du absolut nicht verfolgbar sein willst hilft es nur das Handy auszuschalten oder zuhause zu lassen.

Oder man schaltet in den Flugmodus und achtet darauf, dass auch WLAN, NFC, Bluetooth, UWB etc. ausgeschaltet sind

Laut Snowden reicht nicht einmal ausschalten. Man muss den Akku rausnehmen, was heute leider nicht mehr möglich ist.

Dazu sollte man eine Risikobewertung, wie die von @observer_46, machen. Wir sprechen hier von Apps die über die offiziellen Stores von Google und Apple installiert werden. Dort gibt es einen Review und Apps die so stark in das Betriebssystem eingreifen, würden nicht zugelassen. Software mit solch kompromittierenden Funktionen kosten eine richtige Stange Geld und würden nicht in der Breite eingesetzt, sondern eher bei besonders lohnenswerten Zielpersonen bei denen sie möglichst lange unentdeckt bleiben. Wenn sie nämlich entdeckt werden, ist der Exploit, der dafür genutzt wird public und wertlos.

Mit so einer allgemeinen Aussage, gibt man vielen Menschen wohl eher das Gefühl, sie seien eh schon hilflos den Geheimdiensten und Tech-Konzernen ausgeliefert und von daher wäre es auch egal welche dirty Apps sie sich installieren und welche Cookies und sonstige Datenschutzbestimmungen sie abnicken. Das finde ich verkehrt.

 

[riva]

Der Fall Cambridge Analytica stellte aber keine normale Nutzung der Daten dar. Es ist auch gar nicht im Interesse von Facebook persönliche Nutzerdaten zu verkaufen inkl. Namen, eMail, Telefonnummer. Das wäre eine einmalige Einnahme. Deutlich lukrativer ist es immer wieder Geld für Werbeeinblendungen zu erhalten, ohne dass der Werbekunde die Identitäten der Nutzer erhält.

Es ging mir ursprünglich in der Aussage auch nur darum zu zeigen, dass GAFAM bestimmte Daten andere nicht sammeln lässt, weil sie weiße Ritter wären. Das betrifft auch den zukünftigen Umgang mit Cookies (z.B. Google FLoC). Sie möchten möglichst viele Daten exklusiv selber sammeln um sie dann besser verkaufen zu können. Eine Verbindung zur echten Identität besteht immer dann, wenn man auf Plattformen identifizierbar ist. Weil man z.B. bei Amazon mit seinem Account angemeldet. Alles weitere geschieht dann per Fingerprinting.

Der Verkauf von Daten ist das eine, aber das andere ist der ausreichende Schutz der Daten vor Dritten. Es gibt täglich neue Data Leaks.

Und Cambridge Analytics war ein enormer Vertrauensverlust. Unabhängig davon ob Facebook das so gewollt hat oder nicht.

 

[riva]

Hat zwar nicht direkt etwas mit Tracking/Tracing zu tun, aber auch mit der Corona-Warn App. Ich hab das Thema mal hier rüber gezogen um den technischen Aspekt anzusprechen. Es ging darum, dass @karls seine thailändische Freundin, den QR Code des Impfzertifikats nicht einlesen konnte.

Du hast jetzt mehrere Optionen.

1. Zunächst würde ich überprüfen, ob sie wirklich die CovPass App vom RKI installiert hat und nicht die CovidPass App aus UK, die funktioniert nicht mit unserem Code.
2. Desweiteren kannst du dir die CovPassCheck App vom RKI installieren und damit ihren QR Code überprüfen. Sollte der QR Code ungültig sein, dann hilft dir auch kein ausgedruckter digitaler Impfpass.
3. Ist der QR Code gültig und dein Mädel hat weiterhin Probleme, dann kannst du ihren Impfpass mit in deiner App verwalten. Mit CovPass kann man weitere Impfzertifikate von Friends and Family hinzufügen. Dann kann sie natürlich nur mit dir verreisen

Übrigens, bekommen die Apotheken 18 Euro für die Ausstellung. Bei weiteren Problemen würde ich deine Apotheke in die Pflicht nehmen.

@karls Es gibt ja 2 Apps mit der Du die Impf Zertifikate einlesen kannst. Die CovPass App und die Corona-Warn-App.
Hast Du beide auf dem Handy Deiner Freundin versucht?
Hast Du mal versucht Deine SIM rein zu machen und es dann nochmals versucht?
Hast Du mal die Handy Sprache auf Deutsch gestellt und es dann nochmals versucht?
Im App Store kann man doch Kontaktdaten des Herstellers der App finden. Hast Du Dich schon mal an die gewendet?

Kontakt bei technischen Fragen zur CovPass-App​

Tel.: 0800-4747-001
E-Mail: support@covpass-app.de

Nein! Habe ich alles noch nicht versucht. Ich dachte, es gibt eine einfache Lösung dafür.
Im Moment passt ja alles. Ich habe sie in meiner App registriert. Und der Ausdruck von der Apotheke funktioniert ja auch bei ihr bei einer „Kontrolle“. Samstag Nachmittag beim check in keine Probleme.

Es gibt zwei Apps mit denen man den digitalen Impfpass einlesen kann

1) CovPass
2) Corona-Warn App

Und eine App mit der man den Impfpass überprüfen kann

1) CovPass Check

Im Gegensatz zum gelben Impfpass aus Papier, besitzt der digitale Impfpass eine Signatur, welche die Echtheit bestätigt und mit dem RKI abgeglichen werden sollte.

Die CovPass App überprüft direkt beim Einlesen die Signatur. Mit der CWA kann man auch Fantasie QR Codes einlesen, solange die Daten dahinter eine gewisse Form aufweisen. Die Echtheit des digitalen Impfpasses wird mit der CovPass Check App überprüft, weil diese App die Signatur mit dem RKI abgleicht. Die CWA möchte halt besonders datensparsam sein, was der Grund dafür sein sollte, dass nicht direkt beim einscannen ein Abgleich mit dem RKI erfolgt.

Im Handy fälschen könnte man beide. Eine echte Überprüfung ist also nur mit CovPass Check möglich. Wenn man mit einem gefälschten gelben Impfpass zur Apotheke geht und dafür den digitalen Impfpass erhält, hat man natürlich dennoch einen funktionierenden digitalen Impfpass.