Anti Corona-Warn-App: Die peinliche "Späher-App" der AfD

Auf wie vielen Smartphones in der Umgebung ist eigentlich die Corona-Warn-App der Bundesregierung aktiv? Die Antwort auf diese Frage kann interessant sein, wenn man beispielsweise wissen will, ob man im Café trotz der inzwischen 15,2 Millionen Downloads vielleicht doch deren einziger Nutzer ist. Absurd wird es jedoch dann, wenn die Tracing-Apps aufgespürt werden sollen, weil man eine dubiose Angst vor einer staatlichen Überwachung hat.

Um die Corona-Apps zu detektieren, reicht ein Bluetooth-LE-Mapper aus, der kostenlos in den Appstores verfügbar ist. Doch als Alternative bietet ein AfD-Politiker nun für Android-Geräte eine kostenpflichtige "Späher-App" an. Entwickeln ließ sie der stellvertretende Vorsitzende der AfD-Bundestagsfraktion, Peter Felser, in seinem App-Verlag.

Die App scannt den Angaben zufolge die Umgebung nach Sendern auf der Basis von Bluetooth Low Energy (LE) und verfolgt die Kontakte. Dabei schätzt sie die Entfernung und gibt an, wie lange ein Kontakt gedauert hat. Die App kostet im Playstore 1,19 Euro.

Abstandsangaben nicht zuverlässig

Kostenlose Bluetooth-LE-Mapper wie Ramble können ebenfalls sämtliche Sender der Umgebung ermitteln. Um die Datenpakete der Corona-Warn-App herauszufiltern, muss lediglich der Wert "0xfd6f" als Service-UUID der Bluetooth-Schnittstelle von Google und Apple eingegeben werden. Dann werden bei Livescans die Bluetooth-Signale sowie die Signalstärke angezeigt. Der Messverlauf wird ebenfalls aufgezeichnet. Inzwischen wird von der App die Service-UUID auch als "Exposure Notification" erkannt.

• 

Die Späher-App schätzt die Entfernung zu Geräten mit der Corona-Warn-App der Regierung. (Screenshot: Golem.de)

Die Späher-App hingegen wandelt die gemessene Signalstärke offenbar direkt in eine Entfernung um. Zudem gibt sie die maximale Dauer der Kontakte an. Das dürfte in beiden Fällen nur eingeschränkt möglich sein. Denn zum einen wird laut Schnittstellen-Spezifikation (PDF) die Übertragungsleistung als verschlüsseltes Metadatum (Associated Encrypted Metadata, AEM) gesendet, um die Abstandsmessung zu verbessern. Diesen Wert kann die Späher-App nicht verwenden. Zum anderen ändern die Geräte etwa alle 15 bis 20 Minuten ihre Kennung, den sogenannten Rolling Proximity Identifier (RPI).

Verschiedene RPIs können erst dann einem einzigen Gerät zugewiesen werden, wenn ein Infizierter seine Schlüssel hochgeladen hat und mögliche Kontaktpersonen diese Schlüssel heruntergeladen haben. Dann lassen sich aus den Schlüsseln wiederum die RPIs generieren und die gemessenen Kontaktdaten auswerten. Das kann nur die Schnittstelle von Google und Apple.

Wozu also die Späher-App?