Luca App: Schlüsselanhänger funktionieren ohne Registrierung

Die Kontaktnachverfolgung des Luca-Systems kann auch über Schlüsselanhänger durchgeführt werden. Es gibt dabei aber offenbar schwere Mängel bei der Registrierung von Schlüsselanhängern.

Nach mehreren Medienberichten lassen sich die Anhänger, die anstelle der Smartphone-App genutzt werden können, komplett ohne Registrierung verwenden. Darüber hinaus soll auch die Freischaltung über eine Transaktionsnummer (TAN) mit einer beliebigen sechsstelligen Zahl möglich sein.

Inzwischen setzen schon mehrere Bundesländer wie zum Beispiel Mecklenburg-Vorpommern die Luca-App des Anbieters Nexenio als Alternative zur Kontaktnachverfolgung mit händisch geführten Listen und Zetteln ein. Dazu müssen die Nutzer sich mit ihren persönlichen Daten registrieren. Bei der Registrierung wird lediglich per SMS überprüft, ob die angegebene Telefonnummer stimmt.

Den Berichten zufolge ist es aber problemlos möglich, mit einem nicht registrierten Schlüsselanhänger Zutritt zu einer Veranstaltung oder in einen Geschäft zu erhalten. Das soll auch der Informatiker und Geschäftsführer der Fraktion Rostocker Bund in der dortigen Bürgerschaft Roger Schmidt aus Rostock getestet haben. „Ich empfinde das Ganze als mehr als erklärungsbedürftig. Solch gravierende Sicherheitslücken dürfen nicht vorkommen“, sagte Schmidt.

Laut dem Bericht lässt sich die Registrierung außerdem recht einfach austricksen. Demnach soll jede beliebige sechsstellige Zahl als Bestätigungs-TAN funktionieren. Auf Nachfrage reagierte der Hersteller Nexenio vor Ostern noch nicht. Bei der Registrierung per App ist es allerdings nicht möglich, eine beliebige Zahl einzugeben.

Schlüsselanhänger als App-Ersatz nur Notlösung

Es gibt auch noch ein weiteres Problem mit den Schlüsselanhängern in Rostock: Die Infrastruktur zum Scannen des QR-Codes sei noch nicht ausreichend ausgebaut. In einem Spielwarenladen sagte eine Mitarbeiterin: „Wir nutzen dafür ein Desktop-Programm und eine Laptop-Kamera an der Kasse.“

Das Einchecken mit der App sei aber kein Problem mehr. Die Stadtverwaltung Rostock nennt die Nutzung der Schlüsselanhänger in einem Infozettel (PDF) nur eine „Notlösung“, die nicht überall einsetzbar sei.

Nach der FAQ der Luca-Betreiber werden diese Schlüsselanhänger zum Teil von Gemeinden und Landkreisen vertrieben. Ab Ende April 2021 soll man sie auch über den Webshop von Luca bestellen können.