Die Luca-App

Die Corona-Warn-App war bereits seit Juni 2020 auf Millionen Smartphones installiert. Entwickelt im Auftrag des Robert Koch-Instituts, dezentral, anonym — der Nutzer blieb Nutzer, kein Datenpunkt in einer zentralen Datenbank.

Neun Monate später kauften 13 von 16 Bundesländern trotzdem eine zweite App. Eine andere App. Eine, die genau das tat, was die erste bewusst nicht tat.

Das ist keine Fußnote. Das ist die eigentliche Geschichte der Luca-App.

Vorher: Der Zettel

Bevor es Apps gab, gab es Zettel. Die Kontaktdatenpflicht in Gastronomie und Veranstaltungen war eine politische Entscheidung — keine epidemiologisch belegte Maßnahme. Sie schufen eine Pflicht ohne Infrastruktur: Name, Adresse, Telefonnummer, handschriftlich, auf Listen, die offen auf Tresens lagen.

Wer wollte, konnte die Einträge der Vorbesucher lesen. Und die Polizei nutzte diese Zettel für eigene Ermittlungen — ohne Rechtsgrundlage, längst bevor irgendjemand von einer Luca-App gehört hatte.

„Mickey Mouse" und „Angela Merkel" standen auf Tausenden dieser Listen. Das System war erkennbar wirkungslos. Es existierte trotzdem — und es etablierte etwas: die Gewohnheit, beim Betreten öffentlicher Räume die eigene Identität zu melden.

Zwei Apps — ein entscheidender Unterschied

Die Corona-Warn-App funktionierte dezentral. Kontakte wurden auf dem Gerät des Nutzers gespeichert, nicht auf einem Server. Kein Unternehmen, keine Behörde konnte nachvollziehen, wo sich jemand aufgehalten hatte. Das war politisch gewollt — und zivilgesellschaftlich erkämpft.

Die Luca-App funktionierte zentral. Klarnamen, Adressen, Telefonnummern — verschlüsselt, aber auf Servern der Betreiberfirma gespeichert. Gesundheitsämter konnten, wenn nötig, darauf zugreifen. Und — wie sich zeigen sollte — auch andere.

Der Chaos Computer Club stellte früh fest: Die Corona-Warn-App hätte mit einer technischen Erweiterung dieselbe Check-in-Funktion übernehmen können. Name und Telefonnummer waren ohnehin für das Schnelltestprofil einzutragen. Eine Zusammenführung wäre ohne Weiteres möglich gewesen.

Warum also Luca?

Der Auftritt bei Anne Will

Im März 2021 erschien der Mitgründer der App in der ARD-Sendung „Anne Will" und erklärte: „Wir haben den Feuerlöscher da, er ist fertig und er ist jetzt zu benutzen." Die Corona-Warn-App des RKI sei „nicht so erfolgreich wie gewünscht", Luca könne die Kontaktverfolgung schnell in Fahrt bringen.

Noch während der Sendung crashte die App wegen zu vieler Downloads — was die Tagesschau und andere Medien als Beweis für den Erfolg vermeldeten. Armin Laschet, damals Ministerpräsident von NRW, hatte bereits die Woche zuvor öffentlich für die App geworben.

Kritische Fragen? Keine.

Dass die Fantastischen Vier mit 22 Prozent an der Betreiberfirma beteiligt waren, erwähnte die Tagesschau nicht. Dass der CCC dieselbe Woche die „Bundesnotbremse für die Luca-App" forderte und die bisherigen Schwachstellen als „bunten Strauß der Inkompetenz" bezeichnete, erwähnte die Tagesschau nicht. Dass keine einzige Ausschreibung stattgefunden hatte, erwähnte die Tagesschau nicht.

Was sie erwähnte: Der Feuerlöscher ist fertig.

30 Millionen Euro — ohne Ausschreibung

13 von 16 Bundesländern kauften Lizenzen. Reguläre Vergabeverfahren wurden mit dem Hinweis auf Dringlichkeit übersprungen. Das Oberlandesgericht Rostock urteilte später, die Direktvergabe durch Mecklenburg-Vorpommern sei unwirksam gewesen — ein Wettbewerbsverstoß.

Bayern zahlte 5,5 Millionen Euro für eine Jahreslizenz — und war das einzige Bundesland, das überhaupt eine Ausschreibung durchgeführt hatte.

Die neXenio GmbH kassierte nach verfügbaren Daten mehr als 30 Millionen Euro an Steuergeldern. Was die Länder vertraglich an Wirksamkeitsnachweis verlangten: nichts. Bis Ende April 2021 hatten die allermeisten angeschlossenen Gesundheitsämter die App laut einer CCC-Umfrage gar nicht benutzt.

Das gebrochene Versprechen

Das Infektionsschutzgesetz, Paragraph 28a, war eindeutig: Die Daten dürfen ausschließlich zur Kontaktnachverfolgung erhoben werden. Eine Weitergabe zu anderen Zwecken ist „ausgeschlossen."

29. November 2021, Mainz. Ein Mann stürzt nach einem Kneipenbesuch so schwer, dass er zehn Tage später stirbt. Die Kripo will Zeugen finden. Niemand meldet sich auf öffentliche Aufrufe.

Die Polizei wendet sich ans Gesundheitsamt: Sie will die Luca-Daten aller Gäste jenes Abends. Das Gesundheitsamt liefert. 21 Personen werden als Zeugen kontaktiert — und erfahren erstmals, dass ihre „nur für Gesundheitszwecke" gespeicherten Daten an Ermittler weitergegeben worden waren.

Die Staatsanwaltschaft räumte ein: Das Vorgehen war illegal.

Es war kein Einzelfall. Auch die Staatsanwaltschaft Bochum und weitere Behörden hatten Luca-Daten angefragt. Das Muster war dasselbe: Das Verbot stand im Gesetz. Der Zugriff erfolgte trotzdem. Eine wirksame technische Sperre gegen Strafverfolgungsbehörden hatte es nie gegeben.

Das Ende

Anfang 2022 kündigten die Bundesländer reihenweise. Ein Landespolitiker nannte Luca ein „Jamba-Abo der Corona-Zeit — wenig Nutzen, hohe Kosten." Die Bremer Gesundheitssenatorin: Der Mehrwert habe sich nicht gezeigt.

Die Betreiber versuchten noch, die App umzuwidmen — als Event-Tool, als Gastro-Reservierungssystem. Die Marke „Luca" war laut CCC bereits früh für Zutrittskontrolle, Besuchermanagement und Ticketing eingetragen worden. Steuergelder hatten die Installationsbasis aufgebaut. Die Infrastruktur blieb privatwirtschaftlich. 2024 wurde die Corona-Funktionalität endgültig eingestellt.

Die Frage, die bleibt

Warum kauften 13 Bundesländer eine zentrale, klarnamenbasierte App — obwohl eine dezentrale, anonyme bereits existierte und technisch dieselbe Funktion hätte übernehmen können?

Eine Antwort liegt in dem, was passierte, als die Polizei Mainz die Daten abfragte: Sie konnte es tun.

Bei der Corona-Warn-App wäre das nicht möglich gewesen.

Dies ist der zweite Teil einer Serie. Teil 1: 220 Millionen. Keine Daten. Kriegen wir hin. — Teil 3: Der Generalschlüssel