Heute zeigte sich die CWA — die Corona-Warn-App — der Öffentlichkeit. Sie gibt ein positives Bild. Das sagen selbst Spiegel und Welt. Die deutsche Regierung wollte sie als Open-Source-Software veröffentlichen, um die Akzeptanz bei der Bevölkerung zu erhöhen. Trotzdem gibt es noch einige Skepsis. Ich möchte ein paar spezielle Bedenken kommentieren:
- Gelegentlich höre ich, die Corona-Warn-App sei gar keine echte Open-Source-Software. Denn sie nutze ja die nativen Google-/Android- bzw. Apple-/iOS- Funktionen mit proprietären Anteilen. Das zu behaupten, ist formal und inhaltlich nicht adäquat:
- Open-Source-Software ist, was unter einer Open-Source-Lizenz veröffentlicht ist. Und was eine Open Source Lizenz ist, ist von der Open-Source-Initiative definiert. Die Corona Warn App wird nachweislich unter der Apache-v2 Lizenz veröffentlicht.
- Die ‚Open-Source-Haftigkeit‘ einer Software ist schon seit R. Stallmann völlig unabhängig davon, auf welchem (proprietären) Betriebssystem sie läuft. Zu seiner frühen Zeit ging es noch um die Unix-Derivate. Die kamen mit mehr oder minder geschlossenen Basisbibliotheken daher und führten die Open-Source-Software als Prozess aus. Wer Open-Source wirklich nur das nennen will, was in einem gänzlich freien Stack von Open-Source-Software genutzt wird, scheitert damit in der Regel schon am BIOS.
- Zweitens sagen manche, das System sei nicht vertrauenswürdig (weil eben doch Daten zur Regierung kommen). Dem stehen die drei Prinzipien der Offenheit , Freiwilligkeit und der Wahrung der Anonymität entgegen:
- Ich selbst entscheide ja, ob ich die App installiere oder nicht. Wenn ich sie installiere, plottet die darunter liegende iOS-/Android-Funktionen per Bluetooth mit, welche anderen Handies ‚in der Nähe‘ sind. D.h. auf meinem Handy entsteht eine Liste der Identifikatoren der anderen Handys – aber eben nur auf meinem Handy. So, wie meine Handy-ID umgekehrt in den Listen der anderen Handys auftaucht.
- Jeder kann anhand des offen gelegten Codes (Apps, Server, Verification System) alles überprüfen, insbesondere, dass keines der Programme diese Identifikatoren an Dritte z.B. einen Regierungsserver weitergibt. Sie bleiben auf dem entsprechenden Handy.
- Ich selbst entscheide außerdem, ob ich, wenn ich erkranke, meine Erkrankung kundtue. Wenn ich das tue, wird über einen Scancode gewährleistet, dass ich nur als wirklich Getesteter mein Ergebnis in das System eingebe.
- Wenn ich mich oute, steht jedoch nur mein Handyidentifier online zum Abruf bereit, nicht meine Daten.
- Ferner entscheide ich selbst, ob ich mir mehr oder minder regelmäßig vom Server die Handy-Identifikatoren der Erkrankten abhole und LOKAL auf meinem Handy mit den Handy-Identifikatoren meiner ‚Begegnungen‘ vergleichen lasse.
- Es gibt an keiner Stelle eine Verknüpfung meiner Personendaten mit meinem Handy-Identifier. Jeder kann im Code überprüfen, dass das System das NICHT tut. Und die einzigen, die das sonst noch tun könnten, wären Apple und Google. Dazu hätten sie aber böswillig Schadcode in ihre Basisbibliotheken einbauen müssen. Und mit der amerikanischen und/oder deutschen Regierung ein geheimes technisches Austauschsystem aufsetzen müssen. Liebe Verschwörungstheoretiker: Hätten die Firmen das tun wollen, gäbe es auf den Geräten einfachere, effektivere und kostengünstigere Möglichkeiten, so etwas umsetzen.
- Und schließlich vermuten einige, die Corona Warn App werde später heimlich und unter der Hand doch noch in ein staatliches Trackingsystem umgebaut.Das wird aber nicht funktionieren:
- Der Quellcode steht öffentlich zur Verfügung. Wollte man also später eine veränderte ‚Version‘ heimlich in Verkehr bringen, müssten die Apps zuletzt doch wieder in die offiziellen Stores eingepflegt werden – und zwar unter Wahrung der offiziellen Releasenummern.
- Das wäre nicht geheim zu halten: Irgendjemand würde bestimmt einmal die Apps aus dem offiziellen Repo kompilieren und – wenigstens von der Größe her – mit den auf dem Handy installierten vergleichen. Gäbe es dort signifikante Abweichungen – und die wird es geben, wenn man in die gute Version heimlich geheimen Schadcode einpflegen würde – gäbe es einen Aufschrei.
Langer Rede kurzer Sinn: Wir dürfen dieser Arbeit vertrauen. Und wir sollten sie benutzen. Das schützt unser Gesundheitssystem vor einer Überlastung (während der 2. Welle).
Und in welchem größere Zusammenhang …
… steht dieser Text? Nun, mein Leben ist eingebettet in freie Software, Natur und Musik. Manchmal finde ich da abseitigere Wege und Tools, die es trotzdem wert sind, geteilt zu werden. Und sei es nur mit meinem vergesslichen zukünftigen ‘ich’. Dem ich gerne immer wieder einmal ein Strato über die Shell ans Herz lege. Oder passend erweiterte Editoren. Oder uralte Vorarbeiten. Manchmal möchte ich dieses ‘ich’ aber auch nur an Haltungen, Standpunkte und Einstellungen erinnern. Damit ich nicht hinter mich zurückfalle. Denn gesagt ist gesagt. Darum geht es auch in hier.
Im Übrigen: Männer sind mitgemeint.