Mit iOS 13.5 hat Apple auch das Framework für die gemeinsam mit Google entwickelte Contact-Tracing-Lösung an die eigenen User ausgeliefert. Wenige Tage später ist nun der Partner an der Reihe. Und war die Aufregung schon beim Apple-Update unüberhörbar, fällt sie nun bei ihrem Android-Pendant noch massiver aus. So kursieren mittlerweile auch im deutschsprachigen Raum Youtube-Videos mit mehreren hunderttausend Views, die sich vor allem über eines empören: dass diese Funktionen ohne ihr Zutun automatisch auf ihren Geräten gelandet sind. Das ist zwar generell richtig, die Empörung darüber ist aber trotzdem nicht gerechtfertigt – und zwar aus mehreren Gründen.

Ein Framework, keine App

Zunächst der wichtigste Punkt, der sich eigentlich schon aus dem sinnerfassenden Lesen des entsprechenden Eintrags in den Systemeinstellungen von Android ergeben sollte: Dieses Framework tut von Haus aus gar nichts. Es handelt sich dabei nicht um eine App zur Kontaktnachverfolgung, sondern lediglich um Schnittstellen, die als Grundlage für entsprechende Programme genutzt werden können. Die Kontaktnachverfolgung startet also erst dann, wenn die Nutzer eine entsprechende App herunterladen – und dann auch noch explizit dieses Feature aktivieren. In Österreich hat etwa das Rote Kreuz bereits angekündigt, die Schnittstellen von Apple und Google nutzen zu wollen, in der aktuellen Version der "Stopp Corona"-App ist dies aber noch nicht der Fall.

Play Services

Der Umstand, dass diese Schnittstelle als automatisches Update an (fast) alle Android-Smartphones geliefert wird, ist ebenfalls keine Überraschung, hat Google dies doch bereits vor einigen Wochen öffentlich angekündigt – und seitdem mehrfach wiederholt. Das liegt nicht zuletzt am Verbreitungsweg, den man gewählt hat: Das "Exposure Notification"-Framework – wie es offiziell heißt – wird über die sogenannten Google Play Services ausgeliefert. Dabei handelt es sich um ein Konglomerat aus zentralen Systemdiensten, das seit Jahren auf allen Android-Geräten mit Google Play Store zu finden ist. Hier finden sich etwa von zahlreichen Apps genutzte Schnittstellen für das Versenden von Push-Nachrichten oder für Standortdienste – und jetzt eben auch die Contact-Tracing-Lösung.

Dass Google diesen Weg zur Verbreitung der neuen Schnittstellen wählt, ist einem weithin bekannten Umstand geschuldet: der deprimierenden Update-Situation in der Android-Welt. Würde man hier auf die Auslieferung über klassische Systemaktualisierungen warten, würde es wohl Jahre dauern, bis das Ganze eine relevante Verbreitung in der Android-Welt gefunden hat – womit das Ganze dann auch schon wieder sinnlos wäre, immerhin braucht Contact-Tracing eine recht hohe Verbreitung, um überhaupt sinnvoll zu sein. Die Realität der Update-Situation ist es übrigens, die einst überhaupt erst zur Entwicklung der Play Services geführt hat, kann Google auf diesem Weg doch einzelne Teile des Systems aktuell halten, ohne auf die Hardwarehersteller angewiesen zu sein – und zwar auch noch Jahre nach dem offiziellen Supportende der jeweiligen Geräte.

Alles seit Jahren bekannt

Ebenfalls nicht neu ist, dass Google dieses Paket nutzt, um Android-Geräten neue Funktionen beizubringen. So ist derzeit etwa ein neues System zum direkten Teilen von Dateien zwischen zwei Geräten in physischer Nähe in Entwicklung, das die Nutzer dann ebenfalls ganz ohne Systemupdate erhalten werden. Den Umstand, dass die Play Services automatisch im Hintergrund aktualisiert werden, kann man nun mögen oder nicht. Fakt ist aber, dass dies nicht nur schon seit Jahren der Fall ist, die Nutzer haben dem auch bei der Einrichtung ihres Smartphones zugestimmt. Zudem birgt solch ein Automatismus durchaus Vorteile, wie sich etwas bei Browsern wie Firefox oder Chrome zeigt, die ebenfalls ihre Software automatisch aktualisieren, um so neue Versionen – nicht zuletzt wegen der darin enthaltenen Sicherheitsbereinigungen – so schnell wie möglich an alle User zu verteilen.

Handverlesen

Bliebe natürlich die Befürchtung, dass wenn so ein Framework einmal da ist, es auch von bösartigen Apps für Spionage genutzt werden könnte. Jetzt selbst einmal davon abgesehen, dass es am Smartphone für solche Dinge wesentlich spannendere Sensoren gäbe und dass die Nutzer auch in dem Fall noch einmal explizit vor der Aktivierung zustimmen müssten, haben sich Apple und Google etwas ausgedacht, um vor solch einem Szenario zu schützen. Dieses gesamte Framework funktioniert nämlich ausschließlich mit Apps, die von den Herstellern vorab geprüft wurden. Und dabei arbeitet man exklusiv mit Gesundheitsbehörden zusammen. Andere Apps haben hingegen schlicht keinen Zugriff auf diese Funktionen. Damit einher gehen auch noch zahlreiche andere Regeln, etwa dass die beiden Unternehmen darauf beharren, dass die Nutzung der Apps freiwillig sein muss, sonst werden sie nicht akzeptiert. Auch eine Kombination mit dem Zugriff auf Standortinformationen ist verboten, um jegliche nicht von den Nutzern selbst initiierte Identifizierung zu verhindern.

Dass Apple und Google sich überhaupt in diese gesamte Angelegenheit einmischen, hat vor allem technische Gründe: Wie die Entwickler der ersten Contact-Tracing-Apps schnell herausfinden mussten, funktionieren diese vor allem unter iOS, aber auch bei zahlreichen Android-Geräten nur äußerst unzuverlässig. Dies hat mit Beschränkungen für die zur Abstandsmessung genutzt Bluetooth-Funktionen zu tun. Genau diese Möglichkeiten bieten nun Apple und Google den Entwicklern gezielt an.

Fazit

In Summe: Ob das Contact-Tracing mithilfe des Smartphones überhaupt sinnvoll – oder realistisch – im Kampf gegen die Verbreitung von Covid-19 ist, ist eine Frage, die man durchaus kontrovers diskutieren kann. Immerhin gibt es dazu bisher wenig Erfahrungswerte, die ein belastbares Zahlenmaterial für eine Analyse liefern könnten. Und selbst Apple und Google schrauben angesichts der Ungenauigkeit, die mit solch auf Bluetooth basierenden Lösungen einhergeht, mittlerweile die Erwartungen herunter und sprechen nur mehr von einer Unterstützung für die klassische Kontaktnachverfolgung mittels Befragung durch Gesundheitsbehörden. Was hingegen sehr wohl klar ist: Die Aufregung um die Installation von von Haus aus gar nicht genutzten Schnittstellen ist nicht viel mehr als Panikmache. (Andreas Proschofsky, 25.5.2020)