Im Frühjahr gab es einen regelrechten Hype um die Luca-App. Da sie im Gegensatz zur Corona-Warn-App (CWA) des Bundes direkt mit den Gesundheitsämtern verbunden ist, sollte eine effizientere Kontaktnachverfolgung möglich sein. Das überzeugte Ministerpräsident Markus Söder, der die CWA als „zahnlosen Tiger“ bezeichnet hatte. Bayern kaufte für fünf Millionen Euro Lizenzgebühren, zwölf andere Bundesländer gaben zusammen weitere 15 Millionen Euro aus. Jetzt könnte sich das als Steuermittelverschwendung erweisen.

Kürzlich ist es zum Beispiel dem Sicherheitsforscher Marcus Mengs gelungen, über die Luca-App Erpressungstrojaner in Gesundheitsämter einzuschleusen. Andere IT-Fachleute berichteten, Bewegungsdaten von Nutzer*innen seien theoretisch für Fremde abrufbar gewesen. Der Chaos Computer Club wirft den Betreibern vor, ihr eigenes Verschlüsselungskonzept nicht zu verstehen und fordert eine „Bundesnotbremse“ für die App.

Das bayerische Digitalministerium gibt sich gelassen. „Schwachstellen hat der Hersteller des Luca-Systems umgehend geschlossen“, sagt eine Sprecherin. Parallel dazu überwachten die bayerischen Datenschutzbehörden das Vorgehen der App auf mögliche Verstöße. Auch der Quellcode liege dem Ressort von Digitalministerin Judith Gerlach (CSU) vor.

NRW hat die Pflicht zur Kontaktnachverfolgung bereits abgeschafft

Neben den Sicherheitsbedenken gibt es allerdings weitere Probleme. Laut einer bundesweiten Spiegel-Umfrage hat von 114 Gesundheitsämtern mit Luca-Anschluss die Hälfte noch nie Daten der App abgefragt. Als Grund werden unter anderem technische Probleme genannt. Die App liefere nur „Datenwust“ ab, sagt etwa die Leiterin des Münchner Gesundheitsreferats, Beatrix Zurek.

Das bayerische Gesundheitsministerium hingegen betont, die Daten der Luca-App könnten „schnell, einfach und fehlerfrei“ von den Ämtern übernommen werden. Die niedrigen Abrufzahlen erklärt das Haus von Gesundheitsminister Klaus Holetschek (CSU) mit den niedrigen Inzidenzen. Anfang August wurden innerhalb von 14 Tagen nur 4021 Personen durch die Luca-App über mögliche Risikokontakte informiert.

Die FDP-Fraktion im Bayerischen Landtag hält den Kauf der Luca-App für „überflüssig“. Die CWA oder die Corona-App des Bayerischen Hotel- und Gaststättenverbands Darfichrein seien vollkommen ausreichend gewesen. Und wenn die Anbindung an die Gesundheitsämter so hilfreich sei, sollte diese doch bitte allen App-Anbietern offenstehen, sagt FDP-Digitalexperte Helmut Kaltenhauser. So hat es zum Beispiel Nordrhein-Westfalen gemacht.

NRW ist eines der wenigen Bundesländer, die nicht auf die Marketingversprechen der Luca-Verantwortlichen reingefallen sind. Seit dort die 3G-Regel in Kraft getreten ist, wurde die Kontaktnachverfolgung mit nervigen Zetteln oder Apps ganz abgeschafft. In Bayern wird das wohl noch dauern: Der Luca-Vertrag läuft noch bis mindestens Ende April 2022.
(David Lohmann)