Bei der Corona-Kontaktnachverfolgung des Luca-Systems, die auch über Schlüsselanhänger durchgeführt werden kann, gibt es offenbar schwere Mängel bei der Registrierung dieser Schlüsselanhänger.

Mehrere Medien berichten im Internet, dass sich die Anhänger, die anstelle der Smartphone-App genutzt werden können, komplett ohne Registrierung verwenden lassen. Außerdem soll auch die Freischaltung über eine Transaktionsnummer (TAN) mit beliebigen sechsstelligen Zahlen möglich sein.

Aktuell setzen schon mehrere Bundesländer wie beispielsweise Mecklenburg-Vorpommern die Luca-App des Anbieters Nexenio als Alternative zur Kontaktnachverfolgung mit von Hand geführten Listen und Zetteln ein.

Dazu müssen sich die Nutzer mit ihren persönlichen Daten registrieren. Bei der Registrierung wird nur mit einer SMS überprüft, ob die angegebene Telefonnummer auch stimmt.

Zutritt auch mit nicht registrierten Schlüsselanhängern

Laut den Berichten ist es aber problemlos möglich, mit einem nicht registrierten Schlüsselanhänger Zutritt zu einer Veranstaltung oder in einen Geschäft zu erhalten.

Das soll inzwischen auch der Informatiker und Geschäftsführer der Fraktion Rostocker Bund der dortigen Bürgerschaft Roger Schmidt aus Rostock getestet haben. „Ich empfinde das Ganze als mehr als erklärungsbedürftig. Solch gravierende Sicherheitslücken dürfen nicht vorkommen“, sagte Schmidt zu der Sicherheitslücke.

Nach dem Bericht kann man die Registrierung außerdem recht einfach austricksen. Demnach soll sie mit jeder beliebigen sechsstelligen Zahl als Bestätigungs-TAN funktionieren.

Auf Nachfragen dazu reagierte Hersteller Nexenio vor Ostern noch nicht. Allerdings ist es bei der Registrierung per App nicht möglich, eine beliebige Zahl einzugeben.

Schlüsselanhänger als App-Ersatz ist eine Notlösung

Darüber hinaus gibt auch noch ein weiteres Problem mit den Schlüsselanhängern in Rostock: Die Infrastruktur zum Scannen des QR-Codes soll noch nicht ausreichend ausgebaut sein. In einem Spielwarenladen sagte eine Mitarbeiterin: „Wir nutzen dafür ein Desktop-Programm und eine Laptop-Kamera an der Kasse.“

Nur das Einchecken mit der App sei unproblematisch. Die Stadtverwaltung Rostock bezeichnet die Nutzung der Schlüsselanhänger in einem Infozettel (PDF) nur als eine „Notlösung“, die nicht überall einsetzbar sei.

Nach Angaben in der FAQ der Luca-Betreiber werden diese Schlüsselanhänger zum Teil schon von Gemeinden und Landkreisen vertrieben, und ab Ende April 2021 soll man sie auch über den Webshop von Luca bestellen können.