Die Corona-App aus Katar macht weiter in der Reihe der schlechten Beispiele und legte die persönlichen Daten von über einer Million Nutzerinnen und Nutzer offen.
EHTERAZ wurde vom Innenministerium des Emirates Katar herausgegeben. Die App ist für Android und iOS verfügbar. Im Gegensatz zu einigen anderen Ländern oder Apps ist der Einsatz in Katar verpflichtend. Die Strafen sind recht drakonisch. Es drohen nämlich drei Jahre Gefängnis oder eine Geldstrafe von umgerechnet knapp 50.000 €. Im Playstore werden über eine Million Installationen vermeldet. Für iOS konnte ich keine Zahlen finden. Aber bei 2,7 Millionen Einwohnern ist das schon eine ordentliche Installationsbasis. Doch wie funktioniert die Anwendung?
Bei der Registrierung muss zunächst eine Telefonnummer aus Katar sowie die Personenkennzahl (National ID number) eingegeben werden. Daraufhin wurde eine Antwort vom Server erzeugt, die folgende Daten enthielt:
- Name der Person mit der Personenkennzahl
- Farbindikator (rot, gelb, frün, grau) des Gesundheitsstatus‘
- QR-Code
- Aufenthaltsort der Person (Länge und Breite)
- falls die Person behandelt wird, der Name der medizinischen Einrichtung
Die Daten wurden zurückgegeben, nachdem die Personenkennzahl an den Server übertragen wurde. Das heißt, wer die Kennzahl kennt, kann sich die Daten anzeigen lassen. Dabei ist die Kennzahl auch nicht kompliziert aufgebaut. Diese besteht im wesentlichen aus dem Geburtsjahr, eine Ländercode und einer laufenden Nummer. Insgesamt sind die also sehr leicht vorherzusagen. Man konnte dem Server auch eine unbegrenzte Zahl an Anfragen schicken.
Alles in allem ist das keine gute Kombination. Denn so lässt sich der Gesundheitsstatus recht einfach abfragen.
Die Software kann weiterhin auch auf Ortsangaben (GPS-Daten) zugreifen und es ist möglich, einen Bewegungsverlauf aufzuzeichnen. Derzeit ist das deaktiviert. Allerdings kann das sowohl für alle wie auch für Einzelpersonen aktiviert werden. Die Entscheidung liegt beim Betreiber der Software. Diese Bewegungsdaten würden in dem Fall dann auf einen zentralen Server hochgeladen werden.
Für den Fall, dass jemand positiv getestet wurde und sich in Quarantäne befindet, scheint die Software auch zu überwachen, dass dies eingehalten wird. Denn es wird der Ort sowie ein Radius um den Ort gespeichert. Weiterhin scheint es Warnungen zu geben, wenn der Radius verlassen wird.
All diese Punkte in Verbindung mit der Pflicht, die App installieren zu müssen, lassen einem wieder mal die Haare zu Berge stehen.
