Mehr als 10 Millionen für eine App, die unsere Probleme nicht löst, sondern womöglich auch noch Schaden anrichtet. Wir haben recherchiert, wie das passieren konnte. Marketing, Druck und zweifelhafte Vergabeverfahren stehen hinter dem Erfolg der #LucaApp. zeit.de/digital/datens…
Nachdem der Artikel nun hinter der Paywall und damit für viele nicht mehr zugänglich ist, schreibe ich hier eine kurze Zusammenfassung einiger der wichtigsten Punkte zum zweifelhaften Erfolg der #LucaApp per Thread (jede Menge mehr Details und Quellen im Originaltext)
Uns erschien es seltsam, dass plötzlich jede Menge Bundesländer für jede Menge Geld Lizenzen für eine App kaufen, die unsere Probleme nicht löst und die von Fachleuten als gefährlich eingestuft wird – also haben wir uns das genauer angeschaut und Bedenkliches gefunden. 1/
Wieso löst #LucaApp unsere Probleme nicht? Weil der Flaschenhals bleibt: überlastete Gesundheitsämter, die Menschen anrufen. Es wurde vergessen zu fragen: welches Problem wollen wir lösen? Es wird ein Prozess digitalisiert, der nicht gut funktioniert.
Deshalb wäre es eine Überlegung wert, die Gesundheitsämter teilweise aus dem Prozess zu nehmen und das Kontaktieren der Betroffenen allein einer App zu übertragen wie der Corona-Warn-App, die nun eine ähnliche Funktion bekommt wie die #LucaApp – nur #privacy-freundlich. 4/
Die zentrale Architektur der #LucaApp stufen Expert:innen nämlich als gefährlich ein. Das betonen EPFL-Forscherinnen @thsStadler und @carmelatroncoso, die Datenschutzkonferenz - und sogar der Dienstleister ENRW (Screenshot), den #Luca selbst für den Pentest beauftragt hat. 5/
Wieso geben Bundesländer mehr als 10 Millionen Euro für die #LucaApp aus (10,5 Millionen sind nur die bekannten Kosten von 6 Ländern. Bundesweit dürfte mehr als das Doppelte anfallen, pro Jahr) – obwohl immer mehr Fachleute vor ihr warnen? Hier kommt das Marketing ins Spiel 6/
Und damit Smudo, der uns im Interview freimütig berichtet hat, wie er seine Kontakte nutzt, um seine Botschaft zu verbreiten: dass uns die #LucaApp aus dem Lockdown holt, die Kulturbranche rettet. Seine Auftritte und Versprechungen u.a. in drei Talkshows haben Druck aufgebaut…7/
...dem Politiker:innen gerne nachgeben. Das zeigen diverse interne Unterlagen, die uns in der Recherche um die #LucaApp vorlagen, unter anderem aus Thüringen. Dort hatte man seit November offenbar daran gearbeitet, Vergaberichtlinien zu umgehen. Der Höhepunkt: 8/
Eine E-Mail der Digitalagentur an Luca-CEO @patrick_hennig: es sei wichtig, "die Voraussetzungen für eine Nichtnotwendigkeit einer öffentlichen Ausschreibung sattelfest zu bekommen". Und Hennigs Bestätigung, dass es keine vergleichbare Lösung auf dem Markt gebe. 9/
Rechtliche Bedenken haben in Thüringen schließlich doch noch zum Umdenken geführt. Doch diese Dokumente zeigen, dass im Hintergrund bereits seit Herbst entsprechend verhandelt wird. Womöglich auch in Mecklenburg-Vorpommern, wo wir ebenfalls Einblick in die Vergabe hatten: 10/
In einem internen Vergabe-Dokument des Ministeriums für Energie, Infrastruktur und Digitalisierung MV wird ein Vergleich zwischen der #LucaApp und acht anderen Check-In-Apps angestellt – mittels von deren Website kopierter Textblöcke. Gespräche fanden offenbar keine statt. 11/
Die Vergabe in Mecklenburg wird derzeit rechtlich geprüft – denn andere finden schon, dass es Vergleichbares auf dem Markt gibt: Etwa 50 weitere Startups haben Check-in-Apps entwickelt, von denen mindestens eines aktuell die Vergabe juristisch anficht. 12/
Das könnte spannend werden für 10 Bundesländer, die Lizenzen der #LucaApp auf Basis von Verhandlungen des IT-Dienstleisters Dataport kaufen – ohne Ausschreibung, wie mir Dataport bestätigte. Die Direktvergabe basiere zudem auf der „Markterkundung eines unserer Trägerländer“ 13/
Mecklenburg-Vorpommern ist meines Wissens nach das einzige der Dataport-Trägerländer, das eine eigene Markterkundung gemacht hat. Haben elf Bundesländer Lizenzen der #LucaApp gekauft ohne Ausschreibung und auf Basis von online zusammen kopierten Textblöcken? 14/
Dataport wollte mir nicht sagen, wessen Markterkundung die Basis war - aus gutem Grund, wie wir jetzt wissen: ein Behördenvertreter aus Niedersachsen hat es versehentlich verraten: Mecklenburg-Vorpommern. 15/
Diese "Markterkundung" aus MV, die nun Basis für die Entscheidung von elf Bundesländern für die #LucaApp ist, ist nicht nur aus dem Internet zusammenkopiert, sie enthält auch zahlreiche Fehler, wie mir Dominik Wörner von @darfichrein bestätigt hat. 16/
TLDR: Eine App, die Bewegungsdaten von Millionen Deutschen verarbeiten soll und die Expert:innen als unsicher einstufen, wird auf Basis zweifelhafter Marketingversprechen und guter Kontakte eines Popstars ohne öffentliche Debatte und Ausschreibung für zig Millionen gekauft. 17/17
• • •
Missing some Tweet in this thread? You can try to
force a refresh
Ich habe mich SCHON WIEDER in fremde #Webex-Konferenzen eingeklinkt, diesmal bei einer deutschen Behörde (dem BAMF) und einer Krankenkasse. Und wenn ihr jetzt denkt, das hier ist "Und täglich grüßt das Murmeltier" kann ich nur sagen: Es ist noch schlimmer. 1/
#cybersecurity
Diesmal waren vermutlich alle Webex-Kund:innen betroffen (also nicht mehr nur OnPremise), wir haben zehntausende Meetings europäischer Behörden - von Bundeskanzleramt bis BSI - und Unternehmen offen im Netz gefunden und viele waren ohne Passwort-Schutz. 2/
Nach der Bundeswehr und der SPD mit ihrer On-Premise-Lösung hat es nun die Bundesregierung, das BSI und viele andere getroffen, die Webex in der Cloud nutzen und sich in falscher Sicherheit gewogen haben.
Frage ans #TeamDatenschutz: Darf mir ein Gericht einfach so Namen, Adressen und jede Menge anderer Daten von indirekt Beteiligten eines Verfahrens zuschicken? Diese alle (und ich) sind nur "Objekte" eines Streits zweier Parteien (nämlich der Rentenversicherung und eines Verlags).
(ich habe nicht danach gefragt, ich wusste nicht einmal, dass dieses Verfahren überhaupt läuft - bis ich ein Paket des Sozialgerichts erhielt mit den privaten Daten zig anderer freier Journalist:innen und Details zu deren Arbeits(nicht)verhältnis beim betreffenden Verlag.)
Als eine, die ihre Privatadresse schützen will, finde ich das keine besonders gute Nachricht, wenn die an x Journalist:innen verschickt wird.
Ich verrate die normalerweise niemandem, auch keinen Verlagen (manchmal muss ich dafür behaupten, ich würde im Coworking-Space wohnen 🤪)
Thread zur aktuellen Recherche (€): @ReneReh1 und ich haben den Unis und Hochschulen auf den Zahn gefühlt. Das Ergebnis ist erschreckend: Wir haben viele kritische Sicherheitslücken gefunden. Und Daten, die wirklich niemand zu Gesicht bekommen sollte. zeit.de/2023/04/it-sic…
Wir haben 73 Hochschulen getestet - die Wikipedia-Liste aller dt Hochschulen, sortiert nach Größe. Eine erste kühne Idee war, alle 421 zu testen. Aber die Recherche lief völlig aus dem Ruder, weil 15 der ersten 73 (jede fünfte Uni!) schon teils massive Sicherheitslücken aufwiesen
Bei mindestens drei Unis fanden wir potentielle Einfallstore für #Ransomware-Banden mit teils unverschlüsselt abgelegten Passwörtern etc. Viele Unis hatten massive Datenlecks. Die Daten zu sichten und vor allem die Lücken zu melden, war extrem zeitaufwendig. Und schockierend.
Hatte übrigens gerade Kontakt mit einer #OZG-Leistung und kann nur sagen: Die macht alles sehr viel komplizierter als es vorher war. Usability: Zero. Nutzen für andere außer der Verwaltung: minus 10.
Haha ok, ich sehe schon, ihr wollt es genauer wissen. Ich musste eine Rechnung an eine Behörde stellen (für eine Moderation). Dafür drei Seiten Formular, Millionen Felder, teilweise unklar, was da rein muss. Alle nötigen Angaben habe ich natürlich auf meinem Rechnungsformular -
aber ich darf mein Rechnungsformular hier nicht verwenden, ich muss alle Angaben in diese Usability-Wüste eintragen. Nicht alle meine Ausgaben wurden angenommen - zb meine Fahrtkosten (obwohl ich sie eingetragen habe, erschienen sie einfach nicht in der Zusammenfassung). Dann
Sonntag! Zeit für die langen nachdenklicheren Texte. Dieser ist mir heute hängen geblieben, kann ich empfehlen: "Ziviler Ungehorsam ist also schon Klima-Terrorismus", schreibt @berndulrich - und warnt vor der Aggressivität der Vertreter solcher Argumente. zeit.de/2022/45/klimab…
"Zunächst mal müsste man sich von der Rechtsbruch-ist-Rechtsbruch-Apodiktik verabschieden und von dem Wort kriminell. Habermas hat schon vor vier Jahrzehnten die Redeweise, wie sie jetzt von Söder, Buschmann und vielen anderen wieder geübt wird, "autoritären Legalismus" genannt."
"Tatsächlich geht es bei der Klimakrise um eine potenzielle Menschheitskatastrophe, die die Mehrheitsregel ganz gefährlich an den Grenzen ihres eigenen Geltungsbereichs jonglieren lässt. Mehrheitsentscheidungen müssen nämlich im Prinzip reversibel sein,
Mich würde ernsthaft interessieren, wieso so viele seriöse Unternehmen in einem dubiosen #Cyber-Verein mit offenbar schon länger gut belegten Kontakten zum russischen Geheimdienst sind. Was übersehe ich? (vertrauliche Hinweise gerne auch per Threema oder Signal). #cyberclown
Ich habe inzwischen knapp 20 dieser Mitglieder gefragt - und teils interessante Antworten erhalten (demnächst auf @zeitonline). Eine Strategie des #Cybersicherheitsrat scheint auch zu sein, möglichst "große Namen" auf der Webseite zu zeigen, um seriöser zu wirken. Dabei ist es
dann zweitrangig, ob das aktive Mitglieder sind. Manche hatten ganz vergessen, dass sie beigetreten sind. Der Verein hat die Mitgliederliste inzwischen von der Website gelöscht - zum Glück habe ich heute früh noch ein paar Screenshots gemacht. #cyberclown