Nach unserer Analyse der britischen NHSX-Tracking-App im Mai, der Nachricht, dass Großbritannien auf die Exposure-Tracking-APIs von Apple und Google umsteigt, und dem jüngsten Auftauchen der Kontaktverfolgung auf dem iPhone teile ich meine Analyse dessen, was seither passiert ist.
Bei der Kommunikation der britischen COVID-Maßnahmen war reichlich Politik im Spiel, und es gibt eine Reihe verbreiteter Missverständnisse.
Das erste Missverständnis lautet, die Regierung habe sich darauf festgelegt, einen „Alleingang“ zu verfolgen. Es stimmt, dass sie angekündigt hat, genau das zu versuchen, aber es ist ebenso eine Tatsache, dass sie auch einen Auftrag vergeben hat, eine Implementierung auf Basis der APIs von Apple und Google zu bauen. Das geschah am 6. Mai 2020, und der Vertrag kann hier eingesehen werden. Das war vor dem Test auf der Isle of Wight und vor jeder externen Analyse der NHSX-App.
Das zweite Missverständnis lautet, die NHSX-App sei unzureichend getestet worden. Als der Test auf der Isle of Wight begann, stellte NHSX seine App als Open Source zur Verfügung und teilte eine Reihe von Dokumenten dazu, wie sie gebaut und getestet wurde. Viele Journalisten fragten mich, ob wir der Meinung seien, dass diese Dokumente eine angemessene Testmethodik belegten. Die Entdeckung, die Reincubate gemacht und beschrieben hat, war, dass das NHSX-Team eine neuartige Technik gefunden hatte, um die Schwächen der australischen Kontaktverfolgungs-App anzugehen, aber es war unklar, wie gut sie funktionieren würde.
Kommentatoren, Fachanalysten und die von der BBC beauftragte Cybersicherheitsfirma waren sich bei allem unsicher, außer dass der Ansatz mit der Apple-/Google-API technische Vorteile hatte und dass sich nur durch einen Test feststellen ließe, wie wirksam diese Technik trotz ihrer Einschränkungen sein würde.
Der ideale Test für ein so komplexes System besteht natürlich darin, es für eine angemessene Zahl von Nutzern auszurollen, um Daten aus der Praxis darüber zu sammeln, wie gut es funktioniert hat. Genau das wurde getan, und es ist merkwürdig, dass manche Kommentatoren den Test auf der Isle of Wight mit einem Rollout verwechselt haben, der kein Test war.
Drittens gibt es das Missverständnis, die NHSX-App sei Geldverschwendung gewesen oder habe dazu geführt, dass die Regierung eine „funktionierende“ App erst später ausgerollt hat. Das ist aus zwei Gründen falsch. Wie ich bereits im Mai geschrieben habe, war der Einsatz einer App auf Basis der API von Apple oder Google keine praktikable Option. Ich nannte die folgenden vier Punkte:
- iOS 13.5 ist noch nicht veröffentlicht und wird es möglicherweise erst in einigen Wochen sein
- Bis gestern hatte die letzte iOS-13.5-Beta eine schwerwiegende Sicherheitslücke, was darauf hindeutet, dass in Apples Entwicklerteams noch viel Arbeit anfällt
- Nach der Veröffentlichung wird es voraussichtlich Monate dauern, bis die Mehrheit der iOS-Nutzer das Update installiert hat (ungewöhnlicherweise könnte die Verbreitung bei Android schneller gehen)
- Ältere iOS-Geräte wie das iPhone 6 können iOS 13 nicht ausführen und werden die Technik von Apple nicht nutzen können
Seitdem hat sich nicht viel geändert. iOS 13.5 wurde am 20. Mai mit den „Exposure Notification“-APIs veröffentlicht. Statscounter meldete bis Ende des Monats eine Verbreitung von 2,2 % für 13.5 und für iOS 13.4 vom März nur 37 %. iPhones, die noch 2015 verkauft wurden, können iOS 13 nicht ausführen, und es wird wohl gegen Ende 2020 werden, bis eine nennenswerte Zahl von Nutzern 13.5 verwendet. (Stand Juni 2020 zeigen die Daten von Apple, dass 92 % der Geräte iOS 13 nutzen, wobei Geräte, die älter als 4 Jahre sind, ausgenommen sind.)
Angesichts der Bedeutung der Verbreitung für das Funktionieren der Technologie wäre es daher womöglich erst Anfang 2021 machbar, die APIs von Apple einzusetzen. Wenn Großbritannien in ein paar Monaten kein auf der Apple-/Google-API basierendes Werkzeug hat, könnte man das vielleicht als Verzögerung betrachten. (Singapur verteilt eigene Hardwaregeräte an seine Bevölkerung, um dieses Problem zu lösen.)
Inzwischen ist jedoch der Test auf der Isle of Wight abgeschlossen, ebenso wie Tests der APIs von Apple und Google. Die Daten sind für beide Ansätze wenig hilfreich, und die London Assembly diskutiert Probleme bei der Entfernungsmessung. Die BBC hielt fest:
Specifically, the software registered about 75% of nearby Android handsets but only 4% of iPhones. By contrast, the Apple-Google model logged 99% of both Android mobiles and iPhones. But its distance calculations were weaker. In some instances, it could not differentiate between a phone in a user’s pocket 1m (3.3ft) away and a phone in a user’s hand 3m (9.8ft) away.
Der Vorwurf der „Geldverschwendung“ ist ungewöhnlich. Wenn eine Regierung damit konfrontiert ist, dass ihre Bürger sterben, welchen Preis sollte sie dann für Investitionen in technologische Forschung und Entwicklung ansetzen, um Leben zu retten? Hätte sie auf die Lösung von Apple warten sollen (oder, praktisch gesehen, immer noch warten)? Hätte sie darauf gewartet und wäre dann auf Probleme bei der Entfernungsmessung und der Verbreitung von iOS 13.5 gestoßen, wäre es wohl gar nicht so schlimm, Millionen Pfund dafür auszugeben, zu erkunden, ob ein anderer Ansatz funktionieren könnte. So gesehen wirkt der zweigleisige Ansatz Großbritanniens wie der Goldstandard — nicht untätig dazusitzen und auf etwas zu warten, das von den Tech-Giganten vielleicht gar nicht funktioniert.
Schließlich zeichnet sich ein neues Bild ab: Technologie wird kein Allheilmittel für die Kontaktverfolgung sein. Keiner der beiden verwendeten Ansätze — weder der von NHSX noch der von Apple und Google — funktioniert so gut wie erhofft.
Das Problem scheint vierfach zu sein:
- Verbreitung (Nutzer haben nicht die iOS-Updates oder die Android-Software, die für den Einsatz der Technologie nötig sind)
- Hardwarefähigkeit (iPhones von 2015 können die App nicht ausführen, und das durchschnittliche Android-Gerät hat eine schwache Bluetooth-Qualität, die Entfernungen nicht gut erfasst)
- Datenschutz (Nutzer haben Bedenken, die Apps zu installieren oder ihnen Zugriff zu gewähren — dass Apple das Einstellungsmenü für sein System aktivierte, reichte aus, um Ende Juni in Großbritannien für Bestürzung zu sorgen)
- Verhalten (Nutzer werden COVID-Meldungen oder Testanforderungen nicht unbedingt nachkommen, damit die Apps funktionieren — schon jetzt gibt es Bedenken, dass viel einfachere Abstandsregeln missachtet werden)
Obwohl einige Länder mit ihren Kontaktverfolgungs-Apps von begrenztem Erfolg berichtet haben, sind die Daten spärlich, und die Frage, ob die Technologie funktioniert, ist inzwischen eindeutig eine politisch geführte — und keine technologische — Erzählung. Ich denke, das Beste, was Nutzer von diesen Technologien erwarten können, ist eine teilweise zutreffende Benachrichtigung über Risikokontakte, die sich von echter Kontaktverfolgung unterscheidet.
Vielleicht stellt sich heraus, dass keiner der Ansätze letztlich wirksam dabei ist, die Ausbreitung von COVID-19 nachzuverfolgen und einzudämmen, aber es lässt sich schwer bestreiten, dass es sinnvoll ist, in mehrere technische Lösungen zu investieren, um genau das zu erreichen.
