Innenministerium verbietet dem BSI eine Überprüfung der Luca-App

Die Macher der Luca-App sehen sich seit Monaten wegen Schwachstellen scharfer Kritik ausgesetzt, Hessen hatte das BSI zu einer tieferen Analyse aufgefordert. Jetzt hat sich das Bundesinnenministerium in die Sache eingeschaltet und eine Überprüfung untersagt.

Der Bund sieht das BSI nicht in der Verantwortung für eine Überprüfung von Luca

Es ist ein Streit um Verantwortlichkeiten, der im Lichte der weitreichenden Kritik wegen Schwächen der Luca-App natürlich für besondere Aufmerksamkeit sorgt. Wie der Spiegel berichtet, hatte Hessen eine weitreichende Überprüfung der umstrittenen Anwendung "inklusive der dazugehörigen Systeminfrastruktur" beim Bundesamt für Sicherheit in der Informationstechnik (BSI) angefordert. Doch das der Behörde vorstehende Bundesinnenministerium hat jegliche Schritte dieser Art unterbunden. Demnach war das "Ablehnungsschreiben" direkt an BSI-Behördenchef Arne Schönbohm gerichtet.

Auf Anfrage bestätigt das Innenministerium, dass man dem BSI untersagt habe, der Bitte des Landes Hessen nachzukommen. Der Grund: Nicht der Bund, sondern die Länder seien Vertragspartner, Hessen müsse sich mit seinem Wunsch für eine Überprüfung der App an die Entwickler selbst richten - schließlich seien üblicherweise die Hersteller von Anwendungen für die "Gewährleistung der IT-Sicherheit" verantwortlich. Ein Sprecher der Behörde weist außerdem darauf hin, dass Bundesländer für "Quellcodeprüfungen oder Penetrationstests" auf spezialisierte Firmen zurückgreifen könnten.

Was soll und darf das BSI?

Der Fall zeigt einmal mehr, dass es um die Zuständigkeit des BSI immer wieder Streit zwischen Ländern und Bund gibt. Laut Spiegel-Informationen hatte die Behörde bereits vor Monaten eine Untersuchung der mobilen Anwendung mit "begrenzter Prüftiefe" durchgeführt und die Ergebnisse an die Betreiber weitergereicht. Allerdings fand diese Überprüfung wohl nur im Rahmen einer Risikobewertung für die Verwendung der App auf Diensthandys der Bundesverwaltung statt und war darüber hinaus nicht zur Veröffentlichung vorgesehen.

Siehe auch: