Luca (App)

Die Freiheitshalle Hof informiert über die Registrierungsmöglichkeit per Luca-App

Während der COVID-19-Pandemie mussten bestimmte Unternehmen nach den entsprechenden Verordnungen der Bundesländer die Kontaktdaten aller Gäste erfassen.[8][9][10] Dies betraf die Gastronomie und – je nach Bundesland – Fitness-Studios, sonstige Sportveranstalter, Frisöre, Kinos, Theater, Konzertsäle, Senioren- und Pflegeheime, Kirchen etc. Diese Einrichtungen werden im Folgenden als Locations bezeichnet. Die Locations sollten im Infektionsfalle den Gesundheitsämtern Auskunft über Kontaktdaten erteilen. Dies sollte den Gesundheitsämtern ermöglichen Kontakte nachverfolgen zu können (s. u.), um Infektionsketten zu unterbrechen und die Ausbreitung von COVID-19 einzudämmen.

Gastronomen, Konzertveranstalter sowie andere Unternehmer, im Folgenden als Location-Betreiber bezeichnet, konnten die Kontaktdaten ihrer Gäste mit der Luca-App digital erfassen.[11]

Jeder Gast registrierte sich in der Luca-App einmalig mit vollem Namen und Anschrift, ggf. E-Mail-Adresse sowie einer Mobilfunknummer. Die Mobilfunknummer wurde dabei mit einer TAN verifiziert.[12] Für den Gast erzeugte die Luca-App einen QR-Code, der sich minütlich änderte.[13] Diesen QR-Code konnte der Location-Betreiber beim Eintritt des Gastes scannen, um die Anwesenheit des Gastes zu erfassen. Alternativ konnten auch Betreiber für eine Location einen QR-Code erstellen, den die Gäste beim Eintritt scannen konnten.[11]

Bei der Erfassung der Anwesenheit wurden die verschlüsselte Gast-ID, die Information über die Location sowie Datum und Uhrzeit gespeichert.[14] Auf diese personenbezogenen Daten konnten nur die Gesundheitsämter zugreifen, nachdem die Daten durch den Location-Betreiber freigeben wurden. Weder der Location-Betreiber noch der Betreiber der Luca-App konnten auf die Daten zugreifen.[6]

Die Luca-App konnte über Geofencing den Anwender auch selbständig an Locations ausbuchen. Dafür musste die Freigabe der Standortdaten im Mobiltelefon über die Systemeinstellungen aktiviert sein.[12]

Außerdem konnte ein Anwender mit der Luca-App einen Code für ein privates Treffen (Familien- oder private Feier, Verabredung, spontane Treffen u. ä.) erstellen. Mit diesem Code konnten sich dann die anderen Teilnehmer für das Treffen registrieren.[13]

2022 wurde die Kontaktdatenerfassung zur Infektionsverfolgung abgeschafft. Daher wird diese Funktionalität von der Luca App nicht mehr angeboten.

Epidemiologen und Virologen empfehlen, ein sogenanntes Kontakt-Tagebuch zu führen.[15] Dabei sollten vor allem sog. Cluster-Situationen notiert werden, d. h., Situationen, von denen absehbar eine erhöhte Ansteckungsgefahr ausgeht, weil sich mehrere Menschen, z. B. in einem Innenraum, treffen. Das Kontakt-Tagebuch soll als Gedankenstütze dienen, mit deren Hilfe ein Infizierter dem Gesundheitsamt (oder direkt den Freunden, Verwandten oder Bekannten) mitteilen kann, wo bzw. mit wem er sich in den letzten 14 Tagen aufgehalten hat, damit das Gesundheitsamt eine Kontaktnachverfolgung (s. u.) durchführen kann.

Die Luca-App erzeugt aus den o. g. Check-Ins auf dem Smartphone des Anwenders eine sog. Historie,[12] die dem empfohlenen Kontakt-Tagebuch entspricht. In der Historie werden diese Check-Ins gespeichert. Checkt ein Benutzer per Webinterface oder Schlüsselanhänger (s. o.) ein, wird die Historie auf einem Server des Luca-Systems angelegt.[13] Die Daten der privaten Treffen werden im Infektionsfall nicht an das Gesundheitsamt übertragen, sondern dienen nur als Gedankenstütze.

Kontaktverfolgung (Kontaktpersonennachverfolgung, engl. “contact tracing”) ist das Ermitteln und Nachverfolgen von Kontaktpersonen von Infizierten, also Personen, die Kontakt zu einem Infizierten hatten und sich daher infiziert haben könnten. Ziel ist, solche Kontaktpersonen zu finden und zu isolieren, bis entweder bestätigt ist, dass sie nicht infiziert sind (Freitesten), oder sie nicht mehr ansteckend sind (Quarantäne). Auf diese Weise sollen Infektionsketten unterbrochen werden.

Mit dem Luca-App-System können die Gesundheitsämter Kontaktpersonen von Infizierten schneller ermitteln: Wird ein Anwender der Luca-App positiv auf SARS-CoV-2 getestet, kann er seine Historie (Kontaktdatenbuch) dem Gesundheitsamt mittels einer zwölfstelligen Transaktionsnummer (TAN) freigeben. Dadurch sendet die Luca-App des Getesteten alle Veranstaltungsorte der letzten 14 Tage (laut der Programm-Historie) an das Luca-System.[16] Ausnahme sind private Treffen (s. o.).

Das Gesundheitsamt fordert dann über das Luca-System die entsprechenden Veranstalter auf, die Kontaktdaten aller Gäste, die zur selben Zeit wie der Meldende am jeweiligen Veranstaltungsort waren, ans Gesundheitsamt zu übertragen. Die Veranstalter können dieser Aufforderung über das Webinterface des Luca-App-Systems folgen. Anschließend stehen die Kontaktdaten dem Gesundheitsamt über ein Webinterface zur Verfügung[16] und können entweder in dieser Webanwendung verwendet oder in dessen System zur Kontaktnachverfolgung übernommen werden.[13] Die o. g. Verifizierung der Mobilnummer soll sicherstellen, dass zumindest diese Nummer korrekt ist.

Damit erhält das Gesundheitsamt die Kontaktdaten aller Gäste, die in den letzten 14 Tagen zur selben Zeit am selben Ort wie der Meldende angemeldet (“checked in”) waren. Das Befragen des Infizierten, eventuelle Erinnerungslücken sowie das aufwendige und zeitintensive Beschaffen, Entziffern und Abgleichen handschriftlicher Gästelisten entfallen.

Die Risikokontakt-Warnung soll Menschen warnen, die Kontakt mit einem Infizierten hatten und möglicherweise dadurch infiziert wurden, damit sie sich isolieren, testen und ggf. frühzeitig in Behandlung geben können.

Über die Luca-App werden im Zuge der Kontaktnachverfolgung (s. o.) Anwender alarmiert, die zur selben Zeit am selben Ort wie der Meldende registriert waren. Diese Alarmierung wird durch das jeweilige Gesundheitsamt ausgelöst. Falls ein Anwender die App nach dem jeweiligen Check-In deinstalliert hat, wird er per SMS informiert.[13]

Die Kontaktnachverfolgung durch die Gesundheitsämter kann über das Webinterface des Luca-App-Systems für Gesundheitsämter erfolgen.[13]

Zusätzlich gibt es eine Anbindung an die in den Gesundheitsämtern verwendeten Systeme zur Kontaktnachverfolgung. Diese erfolgt entweder über die Schnittstelle des jeweiligen Systems oder über Ex- und Import über bestimmte Standardformate.[13] Das Luca-System ist nicht an die Schnittstellen von z. B. SORMAS[17][18] oder OctoWare TN[13] angeschlossen, sondern nutzt die Möglichkeit Standardformate zu importieren.

Damit Veranstalter das Registrieren (Einchecken) mit der Luca-App anbieten können, muss das örtliche Gesundheitsamt ans Luca-System angeschlossen sein (siehe Verbreitung).[13]

Anwender können die Luca-App nutzen, auch wenn das örtliche Gesundheitsamt noch nicht angeschlossen ist, entweder bei Reisen in Regionen, in denen die Veranstalter ans Gesundheitsamt angeschlossen sind oder für private Treffen (s. o.).[13]

Personen, die kein kompatibles Smartphone haben oder die Luca-App nicht installieren wollen, können ihre Daten in einem Restaurant z. B. über ein Kontaktformular des Web-Interfaces der Luca-App eingeben. Die Luca-Web-App erzeugt daraus den Check-In. Alternativ können Anwender einen Schlüsselanhänger mit einem QR-Code erwerben, über den sie eingecheckt werden (beim Bestellvorgang werden dann die gleichen Daten wie in der App angegeben und auf dem Server des Systems hinterlegt[14]).

Ohne die App können keine private Treffen (s. o.) initiiert werden, aber ein Ersteller privater Treffen kann Teilnehmer mit QR-Code-Schlüsselanhänger einchecken. Gäste, die die Luca-App auch nicht per Webinterface oder Schlüsselanhänger nutzen möchten, müssen sich weiterhin handschriftlich in Gästelisten eintragen.[13]

13 von 16 Bundesländern kauften die Lizenzen der Luca App. Thüringen, Nordrhein-Westfalen und Sachsen entschieden sich gegen die App.[80][53] Kritik erhielten die Bundesländer, weil sie Lizenzen für die Luca App kauften, obwohl diese erhebliche Sicherheits- und Datenschutzmängel aufweist. Außerdem wurden den Bundesländern Manipulationen bei der Vergabe vorgeworfen; gewöhnlich gibt es öffentliche Ausschreibungen, die Bundesländer verzichteten in diesem Fall darauf. Das OLG Rostock entschied im November 2021 mit dem Aktenzeichen 17 Verg 4/21 rechtskräftig, dass der Kauf von Luca durch das Land Mecklenburg-Vorpommern rechtswidrig war.[66] Mecklenburg-Vorpommern hatte als erstes Bundesland eine Lizenz für 440.000 € erworben.[53][64]

Der Betreiber des Luca-App-Systems hat das System auf seiner Website und zusätzlich die sicherheitsrelevanten Informationen in einem Sicherheitskonzept veröffentlicht.[81] Es wird kritisiert, dass das Sicherheitskonzept in kritischen Punkten unkonkret bleibt.

Als Reaktion auf die anhaltende Kritik seitens IT-Sicherheitsexperten fingen die Betreiber an, Teile des Quelltexts der App zu veröffentlichen.[82] Am 31. März 2021 legte der Entwickler mit der Android-App einen ersten Teil des Quelltexts unter der Open-Source-Lizenz GPLv3 offen. Der Quelltext für die iOS-App wurde am 12. April und für die Server-Anwendung und die Web-Benutzeroberflächen am 14. April 2021 veröffentlicht.[83][84] Patrick Hennig, CEO der neXenio GmbH, kommentierte „Das ist ein sicherheitskritisches System; da veröffentlicht man nicht nebenbei den Quellcode.“[85]

Das Prinzip Security through obscurity ist sehr umstritten. So rät das National Institute of Standards and Technology (NIST), Sicherheitssysteme nicht auf dieser Basis zu konzipieren: “System security should not depend on the secrecy of the implementation or its components.”[86] Auf diesem Prinzip beruhende Systeme sind intransparent für dessen Anwender und damit wenig geeignet, Vertrauen in Sicherheit zu schaffen: „Security by Obscurity ist ein Prinzip, das nicht nur ungeeignet als Sicherungsprinzip bleibt, es ist obendrein kundenfeindlich.“[87]

Ferner wird kritisiert, dass das System von einem privatwirtschaftlichen Unternehmen[88] mit Gewinnerzielungsabsicht betrieben werde, das eine nach außen nicht transparente Finanzierungsstruktur aufweise.

Insbesondere wird in diesem Zusammenhang kritisiert, dass Betreiber bzw. Entwickler durch die Vermarktung der Funktionen Gästeregistrierung, Datenlieferung für Kontaktnachverfolgung und Risikokontaktwarnungen an die öffentliche Verwaltung, und das ohne Ausschreibung (s. u.), mithilfe von öffentlichen Geldern eine große installierte Basis bei Anwendern wie auch bei Locations erreichen werden, um dann darüber hinausgehende Funktionen (z. B. Ticketing, Reservierung, u.v.m.) an die Nutzer anbieten zu können oder die Plattform an Dritte verkaufen.[89] Die Anwender hätten der Nutzung ihrer personenbezogenen Daten aber für weitergehende Funktionen nicht wissentlich zugestimmt.

Der CCC dazu:[90]

„Obwohl Steuergelder großzügig eingesetzt werden, verbleiben Daten, App und Infrastruktur selbstverständlich in den Händen der privatwirtschaftlichen Betreiber. Dabei gelten die teuren Lizenzen nur für ein Jahr – genug Zeit, um die Luca-App zum de-facto-Standard für Einlass-Systeme zu machen. Mecklenburg-Vorpommern hat die Nutzung bereits offiziell im Rahmen der Infektionsschutzverordnung verpflichtend angeordnet.

Für die Zeit nach der Finanzierung durch den Steuerzahler haben die Eigentümer schon heute Pläne zur weiteren Kommerzialisierung der Kontaktverfolgung: Neben der Anbindung in Ticketing-Systeme hofft man auf breite Verbindung mit unterschiedlichen Geschäftsmodellen. Die Marke ‚Luca‘ wurde mit unternehmerischer Weitsicht unter anderem für ‚Zutrittskontrolle, Besuchermanagement, gedruckte Eintrittskarten, sowie für die Reservierung von Tickets für Veranstaltungen, insbesondere für Kultur- und Sportveranstaltungen, politische Veranstaltungen, Veranstaltungen für Bildungs- und Fortbildungszwecke und für wissenschaftliche Tagungen‘ im Markenregister[91] eingetragen.“

Kritisiert wird die zentrale Speicherung der Check-in-Daten mit individuellen Kontaktdaten. Dies wecke Begehrlichkeiten eines illegalen Zugriffs auf diese Daten. Allein die Metadaten verrieten viel über die Nutzer, so dass es sich für kriminelle Hacker selbst dann lohne, diese zu erbeuten, wenn dies aufwendig sei. Diese Kritik teilt auch die Juristin Kirsten Bock. Nach Bock sei die zentrale Speicherung der Daten unabhängig von einer Verschlüsselung problematisch. Troncoso sieht hier auch das Problem der indirekten Erfassung sensibler Daten durch die Erfassung der Orte und Veranstaltungen, an die das Luca-System gekoppelt ist.

Theresa Stadler, Wouter Lueks, Katharina Kohls und Carmela Troncoso, Datensicherheitsforscher an der Eidgenössischen Technischen Hochschule Lausanne (EPFL/ETHL) und Mitentwickler des Protokolls für eine anonyme Risikokontaktwarn-Lösung CrowdNotifer,[92] haben am Sicherheitskonzept des Betreibers[81] denkbare Schwachstellen festgestellt,[93] die ohne veröffentlichten Quelltext nicht falsifiziert werden können. Wesentliche Basis der möglichen Schwachstellen sei dabei die zentrale Datenhaltung: Auf den Backend-Servern des Betreibers läge eine sehr große Menge sensibler, personenbezogener Daten. Aus diesen wie auch aus Metadaten, wie IP-Adresse und verwendete Geräte, könnten grundsätzlich Personen- und Bewegungsprofile, z. B. auch die Zugehörigkeit zu Menschengruppen, oder die Tatsache, dass Personen infiziert sind, abgeleitet werden. Diese Informationen könnten für den System-Betreiber, einen missbräuchlichen Anwender, einen Angreifer oder Strafverfolgungsbehörden[94] von großem Wert sein. Troncoso sagte dazu: „Ich finde es gefährlich, wenn Daten über Events in einer zentralen Datenbank gesammelt werden“, denn Veranstaltungen könnten auch religiöse, politische Versammlungen oder vertrauliche Treffen sein.[28]

Unter bestimmten Umständen könnten auch Nutzer de-anonymisiert und eine Historie eines Anwenders abgeleitet werden.[95] Auch Peter Schaar, bis 2013 Bundesbeauftragter für den Datenschutz und die Informationsfreiheit, kommt zu der Einschätzung, dass eine Kombination aus Risikokontaktdaten und Check-In-Daten die Gefahr einer De-Anonymisierung erhöhe.[28]

Die Datenschutzaktivistin Lilith Wittmann spricht von gravierenden Mängeln im Bereich der Verschlüsselung, die sie entdeckt habe: Verwaltung der Schlüssel im Browser sowie die fehlende Erkennbarkeit des Inhabers des jeweiligen Schlüssels.[96] Zudem wird kritisiert, dass es unter Umständen möglich sein könnte, mittels anderer Daten (z. B. IP-Adressen oder Geräte-Daten) Rückschlüsse auf die Personen zu ziehen (Fingerprinting).[28]

Der Hersteller wirbt auf seiner Website[97] mit einer „anonymen, sicheren und digitalen Kontaktdatenübermittlung“, die ausschließlich von den Gesundheitsämtern entschlüsselt werden könne. Da den Gesundheitsämtern die Zuordnung von Daten zu einer Person möglich ist, kann tatsächlich lediglich von einer Verschlüsselung gesprochen werden.[98] „Eventuell wären noch eine weitergehende pseudonyme Nutzung und weitere Verbesserungen möglich“, sagte der frühere Datenschutzbeauftragte Schleswig-Holsteins.[99]

Ein System, das den Anforderungen der Anonymität gehorcht, wie z. B. die Corona-Warn-App (s. o.), kann prinzipbedingt keine Daten für eine Kontaktnachverfolgung liefern, weil personenbezogene Daten nicht erfasst und nicht gespeichert werden können.

Kritiker bemängeln, die Datenschutzerklärung sei in Teilen unklar. So könnten gemäß der Datenschutz-Erklärung der App Fingerabdruckdaten (s. o.) zur Verfügung gestellt werden, die bei einer Übertragung abgefangen werden könnten.

Ferner wird kritisiert, dass es keine eigentlich vorgeschriebene Datenschutzfolgenabschätzung gäbe. Nach Angaben von neXenio gibt es eine Datenschutzfolgenabschätzung, „die sich gerade [9.4.21] in Abstimmung mit der Berliner Datenschutzbehörde befindet.“[100]

Zudem wird kritisiert, dass das System nicht zu allen Smartphones kompatibel sei.[101] Die App ist für Android und iOS verfügbar (s. o.), Checkins sind alternativ mittels Webinterface und Schlüsselanhängern möglich (s. o.).

Da die Verifikation der Telefonnummer auf dem Client stattfindet, ist es möglich diese z. B. mittels eines manipulierten Web-Clients zu umgehen und so beliebige Telefonnummern zur Registrierung zu verwenden.[102] Auch in der App selbst ist es möglich, sich mit falschem Namen, Postadresse oder E-Mail-Adresse zu registrieren. Eine SMS-TAN-Verifzierung der Mobilnummer kann umgangen werden.[103] Zudem ist es möglich, sich anhand von Fotos, die einen QR-Code zeigen, in einer Location anzumelden, ohne tatsächlich dort zu sein.[104] Ferner ist es möglich, sich mit einem Foto von einem QR-Code auf einem Schlüsselanhänger in einer Location als fremde Person einzuloggen. Die Android-App ermöglicht die anonyme Registrierung mit Benutzerdaten, die im Quellcode zu Testzwecken hinterlegt wurden.[105]

Die Luca App nutzt Geofencing, durch das sich die Anwendung an Orten automatisch ausbuchen kann. Viele Datenschützer und IT-Sicherheitsexperten sehen diese Funktion aufgrund der damit verbundenen laufenden Positionserfassung kritisch.[106] Der Benutzer muss im Betriebssystem für die App das Recht zur Ortung erteilen. Geschieht dies nicht, müssen sich die Anwender manuell ausbuchen.

Der Deutsche Blinden- und Sehbehindertenverband kritisiert, dass die Luca-App nicht barrierefrei ist.[107]

Im April 2021 deckten Bianca Kastl und Tobias Ravenstein eine Schwachstelle auf, mit der Bewegungsprofile von Anwendern aufgezeichnet werden können, die statt der App den Schlüsselanhänger verwenden.[108]

Marcus Mengs, Bianca Kastl und weitere Personen veröffentlichten im Mai 2021 eine gravierende Sicherheitslücke. Demnach kann ein normaler Nutzer den Datenexport des Gesundheitsamts manipulieren und so nicht nur die persönlichen Daten aller an einem Ort eingecheckten Personen bekommen, sondern auch die IT-Systeme des jeweiligen Gesundheitsamts angreifen. Somit ist ein Remote-Code-Execution-Angriff über Microsoft Excel möglich.[109][110][111]

Veranstalter in Halle (Saale) hatten bei der Erstellung von Locations mit der Luca App Probleme. Die App war nicht in der Lage Sonderzeichen, wie Klammern, zu verarbeiten, wenn über das Adress-Feld der App Orte verarbeitet werden müssen, die Sonderzeichen enthalten. Dies führte zu Problemen, wie etwa dem Ausfall des automatischen Checkouts.[112]

Seit Anfang Juli 2021 forderte die Android-Luca-App ihre Nutzer auf, die Luca-App im App-Store von innerhalb der App zu bewerten. Dabei verwendete sie eine missverständliche Formulierung, wodurch die Nutzer fälschlich zum Beispiel das Restaurant, in dem sie gerade gegessen haben, bewerten anstatt die Luca-App selbst. Dies führte dazu, dass die durchschnittliche Bewertung der Luca-App im Google-Play-Store von weniger als drei Sterne auf viereinhalb bis fünf Sterne hoch schnellte.[113]

Mehr als 70 führende deutsche IT-Sicherheitsforscher kritisierten die Luca-App in einer gemeinsamen Stellungnahme, nachdem mehrere Bundesländer die Applikation teuer eingekauft hatten.[114] Sie sprachen sich gegen einen „De-facto-Zwang zur Nutzung einer Lösung“ aus, weil die App „grundlegende Entwicklungsprinzipien eklatant verletzt.“ Unter anderem beklagten sie die Intransparenz des Systems und dass „selbst leicht zu findende Sicherheitslücken“ erst bei der Inbetriebnahme gefunden worden seien. Weitere Punkte der Kritik waren Erfassung von Bewegungs- und Kontaktdaten in großem Umfang. Diese Daten dann an einer zentralen Stelle aufzubewahren sei ein großes Risiko; selbst große Firmen haben große Schwierigkeiten, eine solch zentrale Stelle vor Angriffen zu schützen: „Es ist nicht zu erwarten, dass dies einem Start-up, das bereits durch zahlreiche konzeptionelle Sicherheitslücken, Datenleaks und fehlendes Verständnis von fundamentalen Sicherheitsprinzipien aufgefallen ist, besser gelingen sollte.“[115] Das Luca-System erfülle keines der vier Grundprinzipien, welche die IT-Sicherheitsforscher bereits vor einem Jahr in der Debatte um die Corona-Warn-App aufgestellt hatten: Zweckbindung, Offenheit und Transparenz, Freiwilligkeit und Risikoabwägung.[114] Die mit dem Luca-System verbundenen Risiken erschienen „völlig unverhältnismäßig, da sie den erwarteten Nutzen deutlich überwiegen“.[116] Der Nutzen bleibe zweifelhaft.[117]

In einer öffentlichen Stellungnahme des Chaos Computer Clubs (CCC) vom 13. April 2021 beschrieb der deutsche Verein die Luca App wie folgt: „[z]weifelhaftes Geschäftsmodell, mangelhafte Software, Unregelmäßigkeiten bei der Auftragsvergabe: Der Chaos Computer Club (CCC) fordert das sofortige Ende der staatlichen Alimentierung von Smudos Steuer-Millionengrab ‚Luca-App‘.“ Es wurden „eklatante Mängel in Spezifikation, Implementierung und korrekter Lizenzierung […] aufgedeckt.“ Der CCC attestierte dem Hersteller einen „grundlegenden Mangel an Kompetenz und Sorgfalt“ auf Grund der „nicht abreißenden Serie von Sicherheitsproblemen“ und den „unbeholfenen“ Reaktionen darauf. Die App erfüllt dabei kein einziges der zehn Kriterien des CCC für eine Contact Tracing App. Weitere Kritikpunkte des CCC waren:

• die fragwürdige Vergabepraxis der Bundesländer unter Umgehung der Ausschreibungspflicht
• erhebliche staatliche Subventionen für eine Lizenz, die nur ein Jahr gilt und deren Code, Daten, App und Infrastruktur privatwirtschaftlich hantiert wird; dabei werde durch das massive Eingreifen des Staates in die freie Marktwirtschaft die App zu einem de-facto-Standard für Einlasssysteme
• Alternativen wurden ignoriert
• fragwürdiger Nutzen und begrenzte Anwendungsmöglichkeit
• zentrale Datenspeicherung, was eine erhebliche Sicherheitslücke darstellt und aus Datenschutzgründen problematisch ist

Unter einer Rubrik, wo sie die „bisher gefundenen Schwachstellen und Peinlichkeiten [der] Luca-App [als] bunte[n] Strauß der Inkompetenz“ beschrieben, listeten sie sechs weitere Kritikpunkte auf. Der CCC forderte einen sofortigen Stopp und eine lückenlose Aufklärung:[118]

Bezüglich der Veröffentlichung der Schwachstelle um die Möglichkeit einer Code-Injection, hat sich auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) öffentlich eingelassen. Über ihren offiziellen Twitter-Kanal teilte das BSI die Auffassung, dass das Angriffsszenario einer Code-Injection plausibel sei. Zwar war dem BSI eine Ausnutzung der Schwachstelle nicht bekannt, die Bundesbehörde reagierte allerdings auf den Umgang des Betreibers der Luca-App mit der Schwachstelle, die Gesundheitsämter und Drittanbieter von Software in der Pflicht sahen. Das BSI stellte klar, dass die alleinige Verantwortung zur Unterbindung etwaiger Schwachstellen bei den Machern der Luca-App liegt.[119]

Mehrere Gesundheitsämter beklagen die mangelnde Effizienz der Luca-App aufgrund der zum einen fehlenden Möglichkeit, bei großen Locations (z. B. bei Außengeländen) zu bewerten, mit welchen Abständen Personen zueinander zugegen waren, aber auch weil die Kontaktdatenerfassung fehlschlägt.[70][120] Hierbei ist aufgrund widersprüchlicher Darstellung unklar, ob die Betreiber ihre Schlüssel verlegt hatten oder ob die Übertragung der Daten nicht funktioniert hat.[121][122][123] Auch beklagen sich Gesundheitsämter über die Nichterreichbarkeit des Supports.[124]