luca: Der Schlüsselanhänger ist eine Sicherheitslücke

Die luca-App dient als Ergänzung zur Corona-Warn-App. Sie wurde von vielen hochgejazzt, hatte gute Ideen – die Entwickler dahinter machten aber einige Fehler. Schlagzeilen machen da nicht nur die Kosten für den Steuerzahler – mittlerweile über 20 Millionen Euro – sondern auch Lücken in der Sicherheit des ganzen Systems, so wie jetzt aktuell schon wieder.

In kurzer Form: Wer Zugriff auf ein Foto eines luca-App-Schlüsselanhängers mit seinem QR-Code hat, der konnte mit diesem die Logins des Besitzers über 30 Tage zurückverfolgen. Die persönlichen Schlüsselanhänger im luca-System dienen dazu, auch Nutzer ohne Smartphone am luca-System und damit an der schnelleren Kontaktnachverfolgung teilhaben zu lassen.

"Moment, das kann doch so gar nicht funktionieren…"
"Hm" #lucaApp #lucaTrack pic.twitter.com/EejDPoZGJ8

— Bianca Kastl (@bkastl) April 13, 2021

Das Unternehmen und die zuständige Berliner Beauftragte für Datenschutz und Informationsfreiheit wurden am 13. April 2021 über die Lücke, die hier noch einmal beschrieben ist, in Kenntnis gesetzt. Über 100.000 dieser Schlüsselanhänger sollen bereits im Umlauf sein. Auch der CCC (Chaos Computer Club) hat seine Meinung zur luca-App.

Sie lässt sich wie folgt zusammenfassen: Zweifelhaftes Geschäftsmodell, mangelhafte Software, Unregelmäßigkeiten bei der Auftragsvergabe: Der Chaos Computer Club (CCC) fordert das sofortige Ende der staatlichen Alimentierung von Smudos Steuer-Millionengrab “Luca-App”. Der Beitrag ist lesenswert.

Die luca-App scheint mehr Probleme zu schaffen als sie zu lösen vermag.