Digitalisierung. In einer Pandemie. Im Gesundheitsamt!

rc3 Vorspannmusik

Herald: Als nächstes kommt ein Talk auf
den ich mich schon den ganzen Tag freue.

Und zwar "Digitalisierung. In eriner
Pandemie. Im Gesundheitsamt!". Deutsche

Behörden und Digitalisierung ist ja eher
ein Oxymoron als schöne Wirklichkeit. Und

was man dann erlebt, wenn Gesundheitsämter
in einer Pandemie auf einmal wirklich

relevant werden, das wird uns jetzt Bianca
Kastl erzählen.

Bianca: Guten Abend, mein Name ist Bianca
Kastl und das Thema für die nächsten 40

Minuten bei diesem Talk ist
"Digitalisierung. In einer Pandemie. Im

Gesundheitsamt!". Jo, wer bin ich? Mein
Name ist Bianca, ihr findet mich unter

bkastl.de im Wold Wide Web, bei Twitter
unter @bkastl und bei Mastodon

@[e-mail]. Wenn Ihr zufällig
mein Büro finden solltet, dann steht davor

das Thema "Digitalisierung". Das ist
nämlich mein Büroschild. Und das ist

tatsächlich auch das, was ich beruflich
eigentlich aktuell gerade mache, denn ich

bin, naja, hab so ein bisschen 'ne
Karriere hinter mir in dem Bereich. Ich

bin eigentlich Software-Projektmanagerin,
bin Web-Entwicklerin, habe aber wärend der

Pandemie die digitale
Kontaktnachverfolgung in verschiedenen

Gesundheitsämtern betreut, arbeite aktuell
an einer Digitalisierung im Gesundheitsamt

Frankfurt, wie erwähnt, das war dazu das
Schild, bin die Verfahrensverantwortliche

für das Thema IRIS connect, das ist eine
Schnittstelle für Kontaktnachverfolgung in

aktuell 5 Bundesländern, und ich habe auch
schonmal die Luca App gehackt, vielleicht

kennen mit die einen oder anderen dazu.
Jo, dieser Talk ist eigentlich ein Meta

Talk. Das heißt, dieser Talk geht nicht
auf sehr viele fachliche Details in der

Tiefe ein, geht aber auf sehr viele
verschiedene Bereiche, die alle irgendwas

mit Digitalisierung, Problemen und
Erfahrungen in dem Bereich zu tun haben

ein. Wenn ihr jetzt irgendwelche Luca-
Talks von mir suchen wollt, die gibt's im

am Ende auch im Anhang. Aber das ist jetzt
ersmal so der Versuch, den ich gemacht

habe: "10 Erkenntnisse aus dem Versuch,
die Pandemie mit digitalen Tools besser zu

bewältigen" in relativ kurzer Form
überblicksweise zu vermitteln. Das hat

erstmal keine Priorität, diese 10
Erkenntnisse, sondern das ist erstmal so

eine historische, chronologisch gewachsene
Kenntnis, die man so vielleicht auch ein

bisschen aus der Erfahrung der letzten
Zeit mitgeben kann. Falls ihr euch fragt,

wie ich zu dem Thema digitale
Kontaktnachverfolgung, Gesundheitsämtern

kam, das ist eigentlich eine sehr, sehr
spannende Geschichte, weil irgendwann im

August 2020 wurde ich mal angerufen und es
kam an mich der Auftrag "Ja, Frau Kastl,

Sie müssen uns dabei helfen, die
Zettelwirtschaft im Gesundheitsamt

abzuschaffen.". Das war auch schonmal eine
sehr konkrete Ansage, was ich denn

eigentlich zu tun hätte. Wie ich dann dazu
kam und was dann daraus passiert ist,

werden wir nachher noch mitkriegen, aber
tatsächlich ist mein Einstieg in das Thema

"Digitalisierung von Gesundheitsämtern"
ein sehr praktisches gewesen, nämlich

tatsächlich in dieser Pandemie in dem
Bereich. Wir haben grad Pandemie, wir

haben sehr viele Daten, müssen Kontakt
nachverfolgen, können uns dabei helfen.

Dazu aber später noch ein bisschen mehr.
Erste These, erste Erfahrungen, die man

bei digitaler Kontaktnachverfolgung ganz
besonders hat, aber auch bei anderen

Themen, sei es beim Thema Impfen oder wie
auch immer. Das schlechte

Benutzererfahrung nicht skaliert. Das ist
eigentlich offensichtlich, nur muss man es

glaube ich im Thema der Digitalisierung
idie jetzt in Gesundheitsämtern passiert

dann noch ein bisschen anders sehen. Wir
haben ja so Szenarien, die sich ganz gerne

wiederholen von Benutzerflows. Dann haben
wir zum Beispiel diesen hier. Es kam

neulich mal die Ansage Mitte des Jahres.
Sag mal, du Bianca, wir legen total viele

Kontaktpersonen im gleichen Haushalt an.
Kann man das nicht irgendwie vereinfachen?

Ähm, das ist eigentlich immer der gleiche
Vorgang. Man telefoniert mit einer

positiven Person, die hat meistens dann
halt Corona und frägt die dann: Ja, Sie

sind jetzt positiv. Jetzt haben sie
vielleicht irgendwelche Kontakte. Die

müssten wir jetzt isolieren, damit wir die
Ansteckung eindämmen können. Wer ist denn

da so noch Kontaktpersonen bei Ihnen? Man
wird dann feststellen. Ja, also natürlich,

ich bin, wohne im Haushalt. Dann ist z.B.
meine Familie, die Kinder, ähm,

Lebenspartner, -partnerinnen. Und, und von
denen muss man eigentlich irgendwie Daten

erheben. Weil es geht darum, dass man
natürlich denen einerseits vielleicht

Quarantäne-Bescheide erstellt. Es geht
aber auch um Abrechnungen von, z.B.

Ausfall von Arbeitsleistung. Das ist
eigentlich ein Datenerfassungsvorgang. Das

passiert sehr häufig über Telefon. Das es
sehr wenig digitalisiert. Ich habe

tatsächlich... Mein Einstieg in das Thema
war, diesen Prozess zu digitalisieren.

Aber das ist tatsächlich telefonieren.
Leute fragen, wen sie getroffen haben in

dem relevanten Zeitraum und davon dann die
Daten aufnehmen. Dieser Prozess passiert

bei jedem, bei jedem Fall eigentlich.
Zumindest, als es noch anständige

Kontaktnachverfolgungen in
Anführungszeichen gab. Immer wieder von

vorne. Das heißt, wir haben zum Beispiel
100 Fälle pro Tag. Haben dann die

Erfassung von Kontaktpersonen. Das sind so
4, 5 in der Zeit 2020. Das ist natürlich

in der Zeit, in der wir jetzt leben, mit
vielen Kontakten oder wo wir viele

Kontakte hatten, sind es natürlich sehr
viel mehr. Also heißt das, man macht den

gleichen Benutzerflow, den man auch immer
händisch am Telefon quasi durch

telefoniert und abtippt immer wieder. Der
heißt Ich möchte zu einem Fall eine

Kontaktperson anlegen. Die möchte ich dann
auch noch sagen, ist im gleichen Haushalt.

Die hat dann wahrscheinlich die gleiche
Adresse, wie die Index Person. Also der

positive Corona-Fall. Hat dann vielleicht
auch die gleiche Telefonnummer und sehr

viele Daten werden sich gleichen. Aber
irgendwie fehlt dazu wahrscheinlich so ein

Nutzerflow. Das ist eigentlich in der
Benutzererfahrung relativ einfach zu

lösen, indem man einfach einen Button
schafft, der sagt: Naja, neue

Kontaktperson im Haushalt anlegen. Nun
muss man dazu natürlich diesen Prozess

auch wirklich tatsächlich mal begleiten.
Man muss Leuten zuhören und sie fragen:

Ja, was behindert euch denn bei der
Benutzung von unserer Software denn am

ehesten? Wo könnte man am ehesten
optimieren? Wo können wir denn

kontinuierlich optimieren? Und erst dann
kommen auch so Einsparungen, die sich

tatsächlich aus der Benutzung ergeben, wie
dieses beim Telefonieren die ganze Familie

erfassen. Da würde ein Button helfen, dass
man so eine Software tatsächlich auch

besser macht. Denn Software, damit sie
sinnvoll genutzt werden kann. Und dass

Software oder Dienstleistungen wirklich
sinnvoll genutzt werden können, braucht es

nicht nur gute Konzeption zu Beginn,
sondern es braucht auch immer die Adaption

an die Benutzung und es braucht konstante
Begleitung. Und ich kann euch sagen, dass

als wir diese
Kontaktnachverfolgungssoftware entwickelt

haben, in einem agilen Verfahren. Es war
kein SORMAS. Es tut mir leid. Haben wir da

auch relativ gute Erfahrungen gemacht, zu
sagen: Ja gut, lass uns doch mal gucken,

was haben wir denn für Benutzungsflows,
die wir ständig optimieren können, weil da

wir auch tatsächlich Zeit sparen, weil
sich die wiederholen, da ist Potenzial

drin. Und ja, die haben wir quasi dann
kontinuierlich eigentlich in so einem

agilen Benutzungs-User-Story-Szenario
optimiert und das hatte tatsächlich auch

nachher dann positive Auswirkungen. Wie
gesagt, in einem Gesundheitsamt, in der

Pandemie. Das geht alles. Zweite These:
Softwareprozesse solltest du immer

lauffähig halten. Ein Szenario, was wir im
Januar 2021 hatten, war der erste

B.1.1.7-Fall. Das ist das, was man heute
unter Alpha kennt. Das ist eine

Virusvariante. Die war damals halt quasi
die erste große Virus Variante, die

bedeutend war. Früher gab es den Wildtyp.
Das war nur Corona und dann gab es die

Virusvariante B.1.1.7 und das war damals
im Januar 2021, als es nach Deutschland

kam etwas Besonderes. Weil es war
natürlich noch mal ansteckend, es war

gefährlicher. Und ja, wie passiert sowas
dann? Wie kriegt man so so Mutanten in ein

System rein? Ja gab irgendwann an nem
Donnerstag, gab es einen Anruf, der hieß

dann: Ja, jetzt müssten wir mal schnell
mal das mit den Mutanten da rein kriegen.

Das haben wir dann auch sehr, sehr schnell
aufgenommen, weil wir auch wussten, das

ist natürlich relativ eilig. Das sollte
man auch sinnvoll erfassen, weil sich

dadurch, durch Mutanten auch verschiedene
Containment Strategien daran anschließen.

Weil Mutanten muss man unter Umständen
besser isolieren als normale Fälle. Weil

die ist ja beide irgendwie... schon
schlimm sind, aber Mutanten waren damals

halt noch, nochmal um so schlimmer. Und
dann war die Ansage: Baut mal da dieses

Thema mit Virusvarianten in das System
ein. Und ja, haben wir gemacht, hat drei

Stunden gedauert. Nach drei Stunden waren
wir fertig und haben es dann am Abend

deployed. Ähm. Das klingt jetzt irgendwie
nicht so beeindruckend. Man muss es aber

glaube ich auch so sehen, dass das
natürlich auch, äh, ein laufendes Produkt

war, was man einfach kontinuierlich
erweitern konnten. Und es stellte sich

raus, als wir das am Donnerstag deployt
hatten... Wir dachten uns ja, das haben

jetzt mal sinnvoll erstellt, haben wir
schnell erledigt. War gut. Werden wir

jetzt bald in zwei Wochen brauchen. Ne, es
hat sich rausgestellt: dieses Feature, was

wir am Donnerstag fertiggestellt hatten,
wurde dann am Samstag schon benötigt, weil

es am Samstag den ersten B.1.1.7 Fall gab
in dem Gesundheitsamt, was ich damals

betreut hatte. Und man kann durchaus
sagen, dass wir dann eigentlich so schnell

reagiert haben auf die Veränderungen, die
es eben gab, ähm, dass wir dann...

Eigentlich das Feature als wir das
deployed hatten, war der erste Fall, der

dafür relevant war, schon unterwegs. Das
heißt, das ist auch die Agilität und die

Flexibilität, mit der man auch in
Softwareprozesse rangehen muss. Das war so

ein bisschen wie ein... Ja, was jetzt
aktuell mit log4j so bisschen rumschwirrt.

Da muss man auch schnell reagieren und das
war mit den Virusvarianten tatsächlich in

der Softwareentwicklung genauso. Das geht
aber nur, wenn du lauffähige Prozesse

hast. Das heißt, wenn du auch Deployment,
wenn du Entwicklung, wenn du alles das

aktiv hast und auch relativ schnell wieder
aktivieren kannst. Und es ist nie nur ein

Projekt, wo du sagst, es ist
abgeschlossen, es wird nie wieder

weiterentwickelt, das wird nie wieder
angefasst, sondern es ist immer auch ein

lebendes Produkt Software. Und Projekte
sind immer so abgeschlossene Dinge,

die man nie wieder anfasst. Das ist es
aber nie. Speziell auch nicht in einer

Pandemie. These Nummer drei: Agiles
Arbeiten kann auch in einer Verwaltung

funktionieren. Das klingt so ein bisschen
utopisch. Ähm, Verwaltungen, agil

arbeiten, das passt eigentlich gar nicht.
Ich kann aber bestätigen: es kann

funktionieren. Ähm. Eckdaten dazu: Wir
hatten sechs Monate lang ein agiles

Softwareprojekt. Das war eigentlich fully
remote. Also teilweise waren auch die

Leute in der Verwaltung, die diese
Software genutzt haben und mit uns

entwickelt haben, remote beteiligt an
diesem Projekt. Jetzt hab ich Projekt

gesagt. Naja, an dieser Software. Und wir
haben tatsächlich dann über

Videokonferenzen und voll remote dieses
Thema 6 Monate lang entwickelt. Wir haben

das in Scrum getan. Es gab 2-Wochen-
Sprints. Wir haben es auch mal mit

kürzeren Sprints versucht, weil das Thema
so dynamisch war. Es ging tatsächlich um

Kontaktnachverfolgung und was da eben so
sich auch dynamisch verändert. Und ein

sehr dynamisches Feld übrigens. Und ja,
wir haben dann versucht, mal kürzere

Sprints zu machen. Hat nicht so ganz
funktioniert. 2-Wochen-Sprints sind für ne

Verwaltung eigentlich ganz okay, weil da
ändert sich kontinuierlich was. Aber Leute

können dann Leute auch gegenseitig
schulen, dass sich was verändert. Das hat

ganz gut funktioniert. Und was tatsächlich
auch ganz gut funktioniert hat,

erstaunlicherweise, war softwarebezogene
Kommunikation über GitLab. Das heißt,

Leute in Issues und in Meilensteinen und
in projektbezogene Kommunikation

einzuführen und nicht irgendwelche E-Mails
wüst hin- und her zu schicken, hat

wunderbar funktioniert, wurde wunderbar
angenommen, war für alle Leute gut

einsehbar und war eigentlich ein voller
Erfolg. Ich weiß eigentlich nicht, warum

wir nicht mehr über so Strukturen wie z.
B. GitLab oder Issues, Meilensteine,

Projekt-Boards bei manchen Dingen
arbeiten, scheint in Verwaltungen einfach

noch so ein bisschen verschlafen worden zu
sein. Das Ergebnis dieses ganzen

Softwarevorgehens war, dass wir diese
Kontaktnachverfolgung von Fällen und

Kontaktpersonen messbar auch tatsächlich
zu 90% aller Fälle und Kontaktpersonen

tagaktuell erreicht haben. Das heißt, wir
haben 90% aller Fälle und Kontaktpersonen,

diese Person auch am gleichen Tag
erreicht. Das ist auch das, was du

ansetzen musst, um überhaupt irgendwie
eine Eindämmung in dieser Pandemie zu

erreichen. Da muss alles das, was du
verarbeitest, eigentlich tagaktuell sein.

Wir haben auch eine digitale Einbindung
aller Beteiligten an diesem ganzen Prozess

hinbekommen und zwar über eine Plattform.
Da war beteiligt u. A. das Gesundheitsamt

natürlich. Das Gesundheitsamt ist dafür
zuständig, diese Kontaktperson zu

erfassen, diese Fälle zu erfassen. Aber
das geht dann auch weiter an

Ordnungsämter, die sich dann kümmern um
Quarantänebescheide. Zumindest ist das so

in Baden-Württemberg. Und das geht dann
auch noch an Ortspolizeibehörden, die sich

dann um die Quarantäne-Überwachung
kümmern. Das heißt, wir haben auch noch 23

Gemeinden angebunden an ein System. Das
war durchaus spannend, auch als wir denen

dann erklärt hatten, dass sie jetzt Zwei-
Faktor- Authentifizierung nutzen müssen.

Hat auch funktioniert. Und ja, es war kein
SORMAS. Zu SORMAS aber später noch mehr

vielleicht. Aber wie ihr seht: Es kann
tatsächlich auch in einer Pandemie

funktionieren, digitale Software agil zu
entwickeln, auch in einer Verwaltung, weil

Leute auch gesehen haben: Okay, da sind
sehr viele Daten, da müssen wir unsere

Prozesse irgendwie optimieren und gucken,
dass wir das auch irgendwie besser

hinkriegen. Und wenn du mit vielen Daten
und Leuten und mit einem gewissen Druck,

die auch erkennen, dass sie ihre Prozesse
auch selbstständig beeinflussen können,

zum Besseren wandeln, dann haben die da
auch tatsächlich Lust drauf, das zu tun,

auch wenn sie in der Verwaltung sind. Das
ist die Erkenntnis, die ich jetzt da

mitgeben kann. Ich weiß nicht, ob es
außerhalb dieses Pandemiekontextes so gut

funktioniert hätte. Aber dadurch, dass da
kontinuierlich auch immer eine gewisse

Arbeitslast da war, hat es erstaunlich gut
funktioniert. Ja, gut funktioniert ist

auch so ein Thema. Was glaube ich auch
wichtig ist, wenn man irgendwelche

Learnings hat, wenn man irgendwas Gutes
tut, sollte man auch darüber schreiben.

Ich habe im März 2021 diesen wunderbaren
Artikel verfasst: "Die Corona

Schnittstellenlage und andere Probleme".
Das ist ein Artikel, der beschreibt

eigentlich so ein bisschen, wie die
Systematik mit SORMAS funktioniert, was

ist DEMIS, also DEMIS ist die
Schnittstelle für Labordaten. Dann gibt es

SORMAS zum Beispiel, dann gibt es SurvNet,
wo dann diese Fälle übermittelt werden in

Gesundheitsämtern. Das war eigentlich so
ein Grundlagenartikel. Den

Grundlagenartikel habe ich wie gesagt am
1. März veröffentlicht. Der lag dann so

ein bisschen rum und hatte irgendwie so
ein bisschen Wind aufgenommen. Und dann

kamen relativ spannende Reaktionen zurück.
Ich habe mal Fanpost bekommen von Smudo,

also dem Smudo, der dann nachher dann
versucht, die luca-App zu verkaufen. Der

schreibt jetzt, glaube ich, keine Fanpost
mehr, aber damals gab es Fanpost von ihm.

Es gab relativ viele Reaktionen von
Menschen, die da fachlich auch Ahnung von

hatten. Ich habe ja auch Anfragen von
Menschen bekommen, die einfach mal erkannt

haben: Guck mal, du hast ja von dem Thema
wirklich Ahnung, kannst du mal mir das und

das erklären? Eigentlich nur, weil ich
einen Artikel geschrieben habe. Also den

Artikel, war wohl nachweislich irgendwie
ganz okay. Aber wie ihr merkt, es ist

glaube ich immer sinnvoll, egal in welchen
fachlichen Kontexten ihr unterwegs seid,

da auch über eure Erlebnisse und euer
Wissen das auch zu teilen. Und ich weiß

nicht was passiert wäre, hätte ich diesen
Artikel nicht geschrieben. Ich würde

wahrscheinlich nicht hier sitzen und
diesen Vortrag halten. So kann man es

eigentlich auch sehen. Und ja, also wie
gesagt, wenn ihr gute Sachen tut, schreibt

darüber. So, kommen wir zu dem Thema
Digitalisierung. Mein aktuelles

Lieblingsthema. Und dazu die folgende
These: Sinnvolle Digitalisierung

elektrifiziert nicht einfach nur analoge
Abläufe. Das gab es früher mal unter der

platten Formulierung "Wenn du einen
Scheißprozess digitalisierst, hast du

einen scheiß digitalen Prozess." Ich würde
das jetzt erstmal so formulieren, dass die

Digitalisierung halt mehr ist als das, was
man analog hat irgendwie mit

elektronischen Kommunikationsmitteln
aufzubohren. Man sollte sich bei so

Digitalisierungsthemen auch immer die
Frage stellen: Welches Problem wollen wir

denn eigentlich wirklich lösen? Und dazu
gibt es zwei Beispiele. Das ist die

wunderbare Meldekette. Die nennt sich das
German computerized reporting system. Das

ist eigentlich das, wie die Meldekette von
Corona-Fällen immer noch größtenteils

funktioniert. Das ist entnommen aus einer
Beschreibung von SurvNet aus dem Jahre

2006, eigentlich 15 Jahre alt, aber wir
sehen das zum Beispiel, wenn ein Patient

von einem Labor einen Erregernachweis
bekommt, geht dieser Erregernachweis -

damals ging es noch über Fax, inzwischen
geht er digital - über DEMIS, also eine

digitale Schnittstelle, die auch in dieser
Pandemie geschaffen wurde, an das local

health department, also das
Gesundheitsamt. Das Gesundheitsamt hat

dazu auch noch personenbezogene Daten von
dieser Person, um mit dieser Person in

Kontakt zu treten. Das Gesundheitsamt
schickt dann diese Daten via SurvNet über

eine Art E-Mail, also das ist eine E-Mail
mit Transportdaten, an das state health

department, also meistens das
Landesgesundheitsamt. Und das wiederum

fasst diese Dinge zusammen und schickt
diese Dinge dann, auch wiederum via

SurvNet, ans Robert-Koch-Institut. Am Ende
kommen dann beim RKI immer so diese

Tageszahlen von Coronafällen oder anderen
Infektionskrankheiten,

aber aktuell ist
Corona das, was Leute interessiert. Und

wir sehen dann hier so Themen wie: Da
hatte man mal vom Labor zum Gesundheitsamt

24 Stunden Delay. Das kommt immer noch
ganz gut hin. Der Delay zwischen dem

Gesundheitsamt und dem
Landesgesundheitsamt ist ein bisschen

kürzer geworden, zumindest nicht mehr Tage
und ist auch nicht mehr eine Woche, wo das

Landesgesundheitsamt braucht, um's an's
Robert-Koch-Institut zu schicken. Das

macht es eigentlich inzwischen täglich,
aber der Prozess ist als solcher schon

noch im Wesentlichen der gleiche. Es wird
immer noch über mehrere Ecken dieses Thema

durch die Gegend geschickt und deswegen,
weil es über so viele Ecken durch die

Gegend geschickt wird unabhängig davon,
ob's jetzt SORMAS ist oder nicht, wird es

jetzt auch nicht unbedingt vom Prozess her
schneller und effizienter, sondern es ist

halt immer noch ein Prozess mit sehr, sehr
vielen Fallstricken. Auch wenn du

irgendwann mal SORMAS einsetzen würdest
und sagst "Das finden wir total toll" hast

du immer noch vorne irgendwas, wo du
Falldaten übermitteln musst, hast auch

nachher noch eine Anbindung an SurvNet,
hast manchmal auch eine Anbindung an die

Landesgesundheitsämter. Also wie gesagt,
SORMAS ist einfach nur eine moderne Hülle

für den aktuell eh nicht so wirklich
gelungenen Prozess. Denn die Frage ist

eigentlich: Geht es uns um einen
schnellen, möglichst aktuellen Überblick?

Oder geht es darum, dass wir die
Verwaltungsstrukturen, die wir eigentlich

haben, digital abbilden wollen? Diese
Struktur, die ich euch gerade eben gezeigt

habe mit dieser Meldekette von, ja, geht
erst mal ans Gesundheitsamt, dann geht's

einmal von dem Gesundheitsamt ins
Landesgesundheitsamt und dann jetzt geht's

noch ans RKI, ist einfach eine normale
Verwaltungsstruktur, weil halt so die

Zuständigkeiten in diesem Bereich sind.
Und das hat man digital abgebildet. Dass

das natürlich jetzt nicht wirklich gut
skaliert, dass Meldeketten in Deutschland

so ein bisschen ineffizient sind und so
weiter, liegt aber auch daran, dass

natürlich die technische Reife der Lösung
dazwischen nicht wirklich gut ist, das

nicht wirklich skaliert. Man hat
einfach gesagt: Okay, man nimmt das, was

man als Verwaltungszuständigkeit hat, und
baut so eine Meldekette und macht das dann

digital. Das ginge auch wesentlich
effizienter, schneller. Es ist zum

Beispiel auch sehr spannend, dass diese
Meldeketten von Gesundheitsämtern auch

immer nur einmal am Tag ausgeführt werden.
Das weiß auch kein Mensch, warum, aber das

ist halt so dieser digital nachgebaute
Aktenlauf. Menschen in Gesundheitsämtern

fragen mich, warum sie denn das immer noch
manuell übermitteln müssen, wenn sie den

Fall schon abgeschlossen haben. Ja, man
hat einfach so ein bisschen dieses

Verwaltungsdenken - mit Akten und man
packt die Akten dann auf ein Wägelchen und

schiebt die dann weiter zur nächsten
Stelle - digital abgebildet. Und ja, man

könnte dieses Prinzip auch einfacher
machen. Man könnte da natürlich ein paar

Teile der Kette raus nehmen, effizienter
machen, aber es ist auch irgendwie, nach

außen wirkt es so, als wäre es digital. Es
ist aber eigentlich nur ein

elektrifizierter Aktengang von einer zur
nächsten Behörde und dementsprechend auch

nicht wirklich schnell und auch nicht
wirklich immer sehr resilient. Der nächste

Kandidat für das Thema Elektrifizieren von
Prozessen, den ich habe, ist das

wunderbare Thema Luca. Das ist so eine
Chronologie von dem, wie bei Luca dann

Daten abgefragt werden: Man nimmt die
Meldung vom Gesundheitsamt, dann wird die

Person kontaktiert. Die gibt dann Dinge
frei, die merkt dann: Okay, man muss bei

einer Location dann Dinge anfragen und
dann werden diese Dinge dann freigegeben

und dann kann man von den Check-Ins
gucken, wer dann Kontakt hatte. Man

versucht dann, diese Leute irgendwie zu
kontaktieren, sei es jetzt per Telefon

oder inzwischen seit neuestem wohl auch
per Chat oder per Warnung oder wie auch

immer. Aber es ist ein manuell ausgelöster
Prozess. Dieser Prozess hat natürlich von

dem hier funktioniert, auch mal die große
Frage: Was sollen wir jetzt hier

eigentlich damit tun? Will ich möglichst
schnell Leute bei Risikokontakten warnen?

Das würde einfach implizieren, naja,
positive Personen waren Kontakte,

vielleicht in digital, so wie es zum
Beispiel die Corona-Warn-App tut? Oder

möchte ich diesen Datenerhebungsvorgang,
der quasi bei Luca immer stattfindet? Also

ich habe mich wo eingecheckt, habe mich
registriert und habe dann quasi meine

Daten digital angegeben, schicke die dann
quasi an einen Server, wo die Sachen vom

Gesundheitsamt abgefragt werden und
abgearbeitet werden. Möchte ich den

nachbauen? Wie gesagt, wieder ein
elektrifizierter Prozess nicht wirklich

komplett digital gedacht, sondern einfach
nur ah ja, das was in der Corona-

Verordnung drin stand, bestmöglich
versucht zu digitalisieren. Man hat auch

ein paar Kollateralschäden im Bereich der
IT-Security erzeugt. Super. Aber ja, das

ist nicht wirklich die, die Evolution im
Sinne eines gelungenen digitalen

Prozesses. Wir erkennen: konsequente
Digitalisierung verändert die

Zuständigkeiten teils völlig. Sie gibt
etablierten Strukturen vielleicht sogar

das Gefühl, keine Kontrolle mehr über den
Prozess zu haben. Was meine ich damit?

Dieser eigentlich gelungene dgitale Warn-
Prozess, den wir jetzt zum Beispiel bei

der Corona-Warn App-haben. Ist halt
tatsächlich einer, der hat gar keine

Zwischenhändler von Daten mehr, sondern es
ist quasi immer direkt die

entsprechende Person gibt ihr Testergebnis
frei und warnt damit Andere. Das ist der

direktmöglichste Weg. Das ist aber auch
der, der am schnellsten funktioniert. Und

das ist auch der, der am resilientesten
funktioniert. Weil wenn ein Teil der Kette

rausfällt, dann haben wir jetzt mal nen
Test weniger. Aber die generelle Kette

hängt nicht irgendwie an einzelnen Single
Points of Failure. Ja, aber natürlich: es

sind Gesundheitsämter nicht wirklich davon
begeistert, weil sie über diesen Prozess,

der CWA nicht wirklich mehr Kontrolle
haben, weil sie haben ja nichts mehr

davon. Also die einzigen, die Kundschaft,
die von der CWA kommt, ist dann höchstens

die, die dann positiv testet. Aber bei den
restlichen Personen hat sie ja quasi

keinen Einfluss mehr, weil es sind ja
anonyme Personen. Von daher klärt sich

auch ein bisschen, warum Luca damals bei
den Gesundheitsämtern so ein bisschen gut

ankam; teilweise, nicht bei allen. Weil
sie das Gefühl hatten, die Illusion von

Kontrolle zu haben, weil es kamen dann
plötzlich wieder Daten raus, mit denen

hätte man irgendwas machen können, hätte
man die denn die Zeit gehabt. Aber

gelungener, effizienter digitaler Prozess
ist das natürlich nicht. Auch nicht so

gelungen ist bei dem Thema Luca, das Thema
mit der Sicherheit. Wir haben jetzt... bei

Luca wurde viel geworben mit: Wir haben ja
so alles verschlüsselt, und auch doppelt

verschlüsselt und das ist total sicher.
Aber wir haben gelernt, dass Kryptographie

allein keine Sicherheitsprobleme löst.
Dazu gibt es zwei Sicherheitslücken, die

ich jetzt auch offiziell bestätigt vom
Ministerium für Soziales, Gesundheit und

Integration des Landes Baden-Württemberg,
hier als offiziell bestätigte

Sicherheitslücke zitieren kann. Äh, blos,
falls wieder irgendjemand das abstreiten

sollte. Das Ausspähen von QR-Codes, QR-
Code-Schlüsselanhängern, die Möglichkeit

des Kopieren des Codes auf die Contact
Historie des hinterlegten Codes

zurückzugreifen. Und wir haben noch das
Thema der Code Injection beim Download von

CSV-Dateien durch die Gesundheitsämter.
Das sind zwei Dinge, die gingen eigentlich

komplett an dieser ganzen Verschlüsselung
vorbei. Was ist passiert? Wir haben das

Thema LucaTrack, da war ich mit beteiligt
zusammen mit Tobias Rabenstein. Und was

haben wir da gefunden? Bei Luca gabs so
Schlüsselanhänger, das waren so QR-Codes

wo du dich am Luca-System einchecken
lassen hast können. War zu diesem QR-Codes

allerdings noch einen Endpunkt angelegt,
aus dem man dann auch noch sinnloserweise

von diesen QR-Codes dann beliebig die
Bewegungshistorie dieses QR-Codes auslesen

konnte. Heißt: hatte man den QR-Code,
hatte man auch die gesamte

Bewegungshistorie bei allen mehreren
1000 Schlüsselanhängern. Da bringt dir

auch nichts mehr mit Verschlüsselung. Weil
wenn du den Schlüssel dazu auch noch mit

dazu ablegst, ja dann kannst du dein
Krypto-Konzept auch knicken. Ebenso

knicken kannst du dein Krypto-Konzept wenn
du auf die Idee kommst. Hmm, also

angenommen ich schiebe jetzt in dieses
Luca so Code rein, der vielleicht mit CSV

versucht, Dinge zu erzeugen, also zum
Beispiel in Excel eine Formel aufzulösen.

Krieg ich das dann eigentlich durch? Ja,
das ist damals passiert, als Markus Mengs

dieses Thema mit der CSV-Injection bei
Luca vorgeführt hat. Wir haben Schadcode

in Excel, schreiben ihn in Luca in z.B.
ein Kontaktdatenfeld. Wir nehmen mal die

Postleitzahl weil es besonders absurd ist
und tragen dann noch ein... Wir haben

jetzt natürlich nicht direkt die Formel
eingetragen. Sondern wir tragen da so ein

Komma ein und machen dann noch ne Formel
danach. Das war auch der ganze Witz bei

der Nummer. Und dann kriegen wir das
Gesundheitsamt dazu, dass sie diese Daten

öffnen. Ja, sie müssen die wahrscheinlich
auch öffnen, weil sie wollen ne

Kontaktnachverfolgung machen. Also müssen
Sie mit diesen Daten arbeiten. Machen

diese Daten in Excel auf und tada!
Theoretisch könnte man eine Ransomware auf

ein Gesundheitsamt fahren. Das ist vom BSI
auch als plausibel bezeichnet worden. Man

muss es schon weit treiben, aber es ist
durchaus plausibel. Und da bringt

natürlich auch nichts, wenn du ein Krypto-
Konzept hast. Wenn du als Krypto ein

Konzept, wenn dem Krypto-Konzept
vollkommen egal ist, was denn da

eigentlich an Daten durch die Gegend
geschoben wird. Wir lernen: Kryptographie

ist toll, aber es ersetzt natürlich keine
anderen Sicherheitskonzepte und sonstigen

Sicherheitsmaßnahmen, die man eigentlich
sinnvollerweise tun sollte, bevor man

möglicherweise irgendein Krypto-Konzept
über irgendwas drüber packt und sich sagt:

Ja, toll, ist jetzt sicher wegen Krypto.
Das ist das nämlich seltenst, sondern eher

so ein Add-On. So. Was ich bei Luca auch
so ein bisschen durchgezogen hat durch das

Szenario ist so ein Phänomen, was ich mir
als Digital-Savior-Phänom bezeichnen

würde. Es gibt Menschen, die sagen ich
kann doch hier Digitaltechnik. Ich kann

Software. Damit kann ich jetzt alle
Probleme der Welt lösen. Das ist meistens

Unsinn. Denn Digital Saviors können allein
keine Probleme lösen. Dazu folgendes,

folgende Episode aus meinem Alltag. Ich
hatte im März 2021 die Gelegenheit,

zusammen mit dem Gesundheitsamt am
Bodenseekreis die Luca-App zu pilotieren.

Und wird durften die dann ein bisschen
früher ausprobieren und sollten uns dazu

eine Meinung bilden. Und wir stellten dann
schon relativ früh fest, dass dieses Thema

für Kontaktnachverfolgung, Masse und
Effizienz und was auch immer fachlich

extremst ungeeignet ist. Wir haben noch
ein paar Bugs, ein paar Features, Feature-

Requests, ein sonstige Dinge dem guten
Hersteller auch mitgeteilt. Die meisten

Dinge davon hat er inzwischen davon auch
mal erledigt. Aber er hat durchaus relativ

viel Produktentwicklung Know-How
auch aus Gesundheitsämtern bekommen. Ja,

aber dieses Luca war halt nicht so
wirklich der Weisheit letzter Schluss und

auch nicht so wirklich der große Bringer.
Das war wie gesagt im März 2021 schon,

wurde schon fachlich festgestellt, unter
Mithilfe meiner Person. Das ist auch

zitiert in der ZEIT in diesem wunderbaren
Artikel von Eva Wolfangel. Und was in

diesem Artikel auch aufkam neben diesem
Problem, dass es fachlich einfach Luca das

Produkt relativ ja an der Realität vorbei
entwickelt wurde und es natürlich auch

nicht die Rolle des Gesundheitsamtes ist,
Entwicklungshilfe für private Betreiber zu

leisten, kam natürlich auch noch auf,
dass Gesundheitsämter natürlich diese

Software auch nicht auditieren können.
Weil ein Gesundheitsamt ist eigentlich

nicht in der Lage so ein Audit bei
einzelnen Anbietern zu machen. Dass ich

das dann noch in meiner Freizeit gemacht
habe, ist eine relativ lustige Episode,

weil ich ja einerseits das Thema Luca
fachlich schon mal mit betreut hatte und

dann halt noch... Ja, man möchte natürlich
auch wissen, wie so was technisch

funktioniert als, als gute Nerdin.
Deswegen, habe ich das noch ein bisschen

nebenher angeguckt, wie jetzt, was so die
Technik dahinter ist. Nachdem wir ja

festgestellt haben, dass die fachliche
Thematik ja nicht so wirklich gut

abgedeckt wurde. Und ja, wir merken bei
diesem Thema Luca auch immer wieder, dass

es ... Es gibt so Menschen, die sagen: Ich
löse mit digitalen Tools Probleme. Die

sind aber meistens fachlich sehr ignorant.
Weil sie haben ja ... verstehen ja das

Digitale und dadurch verstehen sie auch
irgendwie die Welt. Aber sie verstehen

meistens die fachliche Dimension nicht.
Auf der anderen Seite gibt es wiederum

fachliche Expert.innen, die oft digital
ignorant sind. Ich kenne durchaus viele

Fachverfahrenshersteller, die sagen: Hier
das ist ein super Fachverfahren. Auch in

Gesundheitsämtern, auch im
Kontaktnachverfolgungskontext, auch in

Fachverfahren für Infektionsoftware,
SORMAS. Die sind fachlich gut, aber

meistens digital nicht so ganz ausgereift.
Wir erkennen aber, dass eigentlich

entstehen erfolgreiche digitale
Anwendungen nur durch fachliche und

digitale Expertise. Und, auch immer ganz
wichtig, natürlich kann man das, kann man

so nen Experten-System bauen. Aber das
alles wird nur dann funktionieren, wenn du

das wirklich auch nutzerzentriert baust.
Sei es für Bürger.innen oder zum Beispiel

auch so eine B2B-Anwendung für deine, ja,
die Anwender.innen in deinen Ämtern,

Verwaltungen oder sonstigen
Expertensystemen. So, wenn man dann jetzt

so zu Anwendungen baut, sollte man
eigentlich erst mal anders denken. Man

sollte nämlich zuerst in Infrastruktur
denken, in APIs, und dann in Anwendungen.

Das ist aber so ein bisschen schwierig,
denn eigentlich wollen ja Leute Apps. Apps

wiederum schießen aber keine
Digitalisierungslücken. Wir haben es bei

Luca irgendwie erwähnt ja, es gibt hier
irgendwie so eine Checkin-App, die

macht dann Check-Ins aber die löst zum
Beispiel bestimmte Probleme ja nicht,

die sich auch vielleicht wiederholen
könnten. Also zum Beispiel das Thema "Wie

kann ich Ende-zu-Ende-verschlüsselt Daten
an ein Amt übermitteln, wenn ich als

Bürger.in Informationen austauschen
möchte, und zwar auf einer abstrakten

Basis?" Ich kann natürlich jetzt sagen,
Luca kann ja jetzt Daten hin-und-

herschieben, aber das ist ja kein offener
Standard, sondern es ist irgendwie so ein

sehr spezielles System, das mit doppelter
Verschlüsselung arbeitet, die auch sehr

speziell ist auf den Anwendungsfall der
Kontaktnachverfolgung. Weil es kommt

tatsächlich echt selten vor, dass du Daten
bei einem Anbieter zwischenparkst um sie

dann an ein Amt zu schicken. Meistens gibt
es einen direkten Austausch. Jetzt ist es

aber so wenn man so eine
Basisinfrastruktur baut und wenn man die

jetzt in einer Pandemie baut, dann wird
die jetzt nicht als besonders innovativ

wahrgenommen. Aber es ist natürlich ein
Problem, wenn sie nicht vorhanden ist,

weil sie dann durch ihr Fehlen die
digitale Innovation verhindert. So,

idealerweise solltest du aber nicht nur
Apps erzeugen, sondern eigentlich solltest

du für digitale Infrastruktur sorgen. Wir
haben das mal mit dem Thema IRIS versucht,

also als Gegenentwurf zu skizzieren. Das
ist die Architektur von IRIS Connect, das

ist ein ähnliches System wie Luca: Das
versucht auch, Gästelisten-Apps an

Gesundheitsämter anzubinden und wir sehen
hier so ein paar Sachen. Wir haben zum

Beispiel einen IRIS Client im
Gesundheitsamt, das ist dieses hier. Und

dann haben wir zum Beispiel einen
zentralen Teil im System, das sind aber im

Prinzip nur Dinge, die notwendig sind, um
Verbindungen herzustellen. Aber eigentlich

haben wir verschiedene Clients in
jeweiligen Gesundheitsämtern. Wir haben

eine Anbindung an entsprechende Apps, wir
haben Zertifikate, wir haben so

Endpunktsysteme. Wir haben die
Möglichkeit, das mit und Public und

Private Proxies an Ämter Daten übermitteln
können, sofern diese sie anfragen und wir

haben eigentlich auf abstrakter Ebene ein
System, was einfach ein digitales

Basisinfrastrukturproblem löst und was
dann halt noch als Nebeneffekt

Gästelisten-Apps anbindet, was aber
eigentlich sehr viel mehr tut, weil es

einfach eine Basisinfrastruktur darstellt.
Das kannst du nachher auch nutzen für

andere Themen. Es müssen keine
Gästelisten-Apps sein, es können

Trinkwasserkontrollen sein, es können was-
auch-immer sein, weil die Infrastruktur

hast du ja. Du hast keine App gebaut,
sondern du hast eine Infrastruktur in Code

gegossen. Und das ist wie gesagt, wir
verstehen IRIS Connect als Anbindung von

Apps, aber auch als Basis öffentlicher
digitaler Infrastruktur. Kommen wir fast

zum Ende zum Thema mit guten Intentionen.
Die schützen nicht vor Problemen. Wir

hatten da im Juni diesen Jahres oder Mai
diesen Jahres eine Anfrage, die hieß:

"Könnt ihr da mal ein Security-Audit
machen?" Es ging um ein Impfportal. Also

"worum geht es denn?" "Ja, wir haben da so
ein paar Tausend Emails von Menschen, die

wollen sich impfen lassen". In diesem
Moment war dann war dann eigentlich auch

schon wieder, schlugen wir die Hände über
dem Kopf zusammen und dachten uns "Ja,

wie, ihr sammelt hier Emails, macht
eigentlich auch noch so eine Art

Impfregister. Habt ihr eigentlich schon
verstanden, was ihr da gerade tut? Also

Ihr sammelt Emails, schickt denen
vielleicht noch irgendwelche Impftermine

bei irgendwelchen Ärzten, Ärztinnen und
loggt auch noch Daten davon mit? Es ist

schon ein Problem, was ihr da gerade
erzeugt." Das Problembewusstsein war nur

bedingt ausgeprägt. Das Bewusstsein für
für die sonstigen Probleme bei solchen

Architekturen war auch nur bedingt
ausgeprägt. Aber mit etwas Beratung und

Support beim Thema Architektur und
sonstigen Dingen konnten wir dann

tatsächlich auch dieses Rescue Project
auch noch so unterstützen, dass es auch

noch gewisserweise retten konnten. Falls
ihr euch fragt, was das für ein Portal

war: Das Portal nannte sich "sofort-
impfen.de". Die haben durchaus auch sehr,

sehr viele Daten eingesammelt, haben sehr,
sehr viele Ärzte ongeboarded, haben auch

versucht, sehr sehr viele Impfungen zu
vermitteln. Aber tatsächlich ist es auch

so: selbst wenn du ein ein Rescue Projekt
hast und du versuchst mit irgendwie mit

digitalen Kenntnissen Probleme in der Welt
zu verbessern, musst du dir auch gewahr

sein, dass du deine guten Intentionen auch
auch Nebenwirkungen haben können. Im

Bereich Datenschutz, im Bereich IT-
Sicherheit, im Bereich Liability, im

Bereich sonst irgendwie. Es ist nicht
immer nur an Rescue Project, sondern es

ist auch immer Verantwortung, die du
übernimmst; dem solltest du dir immer

gewahr sein. So als Erkenntnis von sofort-
impfen.de. Was mich zu der letzten Folie

führt, zur letzten These: Es gibt immer so
ein bisschen Frust über den kaputten Stand

der Digitalisierung. Es ist vollkommen
fein, diesen Frust zu nehmen und zu sagen

"Lass es uns besser machen". Nimm deinen
Frust, mach's besser, und das ist jetzt

auch das Ende meines Vortrags und ich
würde mich dann Fragen stellen.

Herald: Ja, danke Bianca für diesen
aufschlussreichen Vortrag. Falls ihr jetzt

noch Fragen habt, könnt ihr die gerne auf
Twitter oder Mastodon unter dem Hashtag

#rc3cwtv, also chaos west stage TV,
stellen und dann können mir Sie auch jetzt

gleich im Anschluss beantworten. Die erste
Frage wäre: Wie stehen die Chancen, dass

andere Verwaltungen, Organisationen,
Bürgeramt, diesem Beispiel folgen in der

Digitalisierung? Insbesondere: Gibt es
Kontakte zu ITDZ, also in Berlin, oder

wollen die alles alleine machen?
Bianca Kastl: Grundsätzlich sind die

Chancen, dass Best Practices abgeguckt
werden, eigentlich grundsätzlich gut. Aber

man muss vielleicht auch ein bisschen
gucken, was war davon jetzt besonders

pandemiegetrieben und was war ein bisschen
improvisiert? Was hätte man vielleicht

unter anderen Voraussetzungen ein bisschen
anders gemacht? Aber ich denke, man hat

zumindest mal verstanden, dass man sowas
tatsächlich auch agil machen kann. Es

kommt aber, glaube ich, immer so ein
bisschen auf die jeweilige Kommune an, das

jeweilige Ministerium, ob geht es
tatsächlich auch wirklich alle wollen. Und

in der Pandemie wollten es alle, deswegen
hat es ganz gut funktioniert.

H: Wie ist es mit Open Data? Im Grunde
sind die Daten ja wohl auch

veröffentlichbar. Journalist.innen würden
sich auch dafür interessieren. Und es gab

da auch mal Beschwerden, weil das RKI dann
ein Format mal unangekündigt am Wochenende

änderte.
B.K.: Also grundsätzlich können alle diese

Daten, die Gesundheitsämter, rausgeben
oder sie auch übermitteln. Die haben ja

irgendwann dann auch keinen Personenbezug
mehr. Das heißt, man könnte theoretisch

auch in Richtung Open Data gehen. Es gibt
auch Kommunen, die machen das zum

Beispiel, dass sie zumindest ihre
Tagesfallzahlendaten und sonstige Daten

auch irgendwie als CSV zur Verfügung
stellen. Es gibt jetzt allerdings nicht so

eine hübsche REST-API, in der man
irgendwie Open Data ausliefern könnte. Das

hat z.B. auch SORMAS nicht, SORMAS es ist
eher mal so gedacht als internes

Fachsystem, was dann halt bei Bedarf Daten
exportiert. Aber die sind nicht so ganz im

API-Zeitalter angekommen, dass man das
sinnvoll mit Open Data integrieren könnte,

leider.
H: Kannst du eine Einordnung geben, ob ein

Impfregister mit der aktuellen Datenlage
machbar ist?

B.K.: Also rein fachlich gesehen ist es
so, dass viele Gesundheitsämter aktuell

ein bisschen das Problem haben, dass sie,
wenn jetzt jemand natürlich sagt, er ist

geimpft, weil er der Quarantäne entgehen
will, dann ist die Nachweisbarkeit relativ

schwierig, weil eigentlich - es gibt
keinen keinen sinnvollen Weg, diese Daten

sicher zu ermitteln. Also verschlüsselte
E-Mails sind in den Gesundheitsämtern

nicht verfügbar, Fax ist auch nichts. Und
oftmals greift man halt dann Daten per

Telefon ab, Chargennummern oder sonstige
Dinge, um zumindest zu verifizieren, ob

diese Impfung sinnvoll ist. Das wäre von
dem Aufbau eines solchen Registers ein

ziemlich umständlicher Weg. Das wäre
einfach händisches Nacharbeiten. Wenn man

so ein Register aufbauen wollen würde -das
ist aber wirklich nur die theoretische

Möglichkeit, ich persönlich habe da
Zweifel - würde man das wahrscheinlich bei

irgendeiner größeren Aktion machen, die eh
stattfindet, sei es irgendwelche

Auffrischimpfung, sonstige Dinge, das wäre
wahrscheinlich einfacher, so was zu tun.

H: Wenn du als Spezialistin ein Problem
bearbeitest und dir Informationen fehlen,

wo wirst du außerhalb deines eigenes
Landkreises oder Bundeslandes zuerst

fündig? Beim Bund oder in einem anderen
Bundesland?

B.K.: Das ist ein bisschen schwierig, da
die Informationen zu finden. Es gibt so

diese Bundesregularien, die man beim Bund
relativ gut findet, wenn sie für den Bund

gelten. Es gibt natürlich auch immer diese
ganzen Landesnummern. Also das, was ich

mit Ordnungsämter und Ortspolizeibehörden
erklärt hatte, das war so in Baden-

Württemberg-Sondernummer, die musst du
dann immer beim Land finden, weil das Land

hat eine Abweichung von dem was im Bund
gilt. Und auch bei allem, was mit Corona

zu tun hat, gab es immer die Corona-
Landesverordnungen, im Vergleich zum Bund.

Also es ist eigentlich immer: erst beim
Land gucken, und dann gucken ob es

vielleicht noch eine Bundesverordnung
gibt, die dann irgendwie dem noch

entgegensteht. Aber meistens ist es das
Land, tatsächlich.

H: Zum Thema Land und Bund: Gefühlt will
da gerade keiner seine Zuständigkeit

abgeben. Wenn zum Beispiel auf Ebene des
Bundeslandes ist, führt es dazu, dass

jedes Bundesland sein eigenes Süppchen
kocht, weil sich die nicht auf etwas

einigen können oder wollen. Irgendwelche
Ideen, wie man diesen gordischen Knoten

durchschlagen kann? Hilft ja nichts, wenn
jeder das Rad neu erfindet und dann nichts

zusammenpasst.
B.K.: Es ist ein bisschen doof, dass man

jetzt im SORMAS als Negativbeispiel für so
was bringen muss, weil es war ja

tatsächlich die Bundeslösung, zu sagen:
"Wir haben eine Bundes-Investitionsschutz-

Anwendung", die dann aber nicht wirklich
funktioniert hat. Ich glaube, man kann den

Leuten schon beibringen, dass ein
Austausch von Daten über Bundeslandgrenzen

hinweg, speziell auch zum Beispiel
Investitionsschutz, eine sinnvolle Idee

ist. Man muss aber Leute tatsächlich auch
immer so ein bisschen da abholen, wo sie

sagen können: Okay, hier ist eine
Grundsoftware, die könnt ihr aber noch

nach euren Landesspezifika und sonstigen
Dingen noch ein bisschen anpassen. Weil

irgendwie brauchen das so Länderfürsten,
das irgendwie noch ihre Spezialitäten in

der Software drin haben, weil sie einfach
das Bundesland sowieso sind. Und im Sinne

von von leicht anpassbarer Software,
leicht anpassbaren Standards, kriegt man

das hin. Man sollte aber nicht davon
ausgehen, dass man oben Software reinwirft

und dass die dann für alle super
funktionieren wird; das geht leider nicht.

H: Die nächste Frage wäre Ist die Luca-App
aus deiner Sicht jetzt tot?

B.K.: Technologisch ja und von der Wirkung
einer Pandemie auch, weil es gibt de

facto, wenn in Gesundheitsämtern keiner
mehr dazu kommt, die Luka-App auszulösen,

Daten abzufragen, passiert auch nichts.
Das heißt, eigentlich ist jetzt die

Arbeitslast so hoch, dass man sagen kann,
sie hat keine Wirkung mehr. Und das hatten

wir eigentlich auch schon zu Beginn dieser
Pandemie gesagt. Dass wir das relativ

selten nutzen werden. Man hat es uns dann
nicht geglaubt, hat erst mal ein paar

Monate ein paar Millionen ausgegeben. Was
schade ist, aber irgendwie lernt man

glaube ich nur doch durch
Geldverschwendung. Ansonsten, ich wüsste

jetzt nicht, was die noch für einen Nutzen
haben soll, speziell mit Fallzahlen, wie

sie vielleicht mit Omikron passieren
könnten.

H: Was war denn das wichtigste
Kommunikationsmittel? GitLab?

B.K.: In der Kommunikation mit, wie wir
agil entwickelt haben, tatsächlich Gitlab,

GitHub, je nachdem, in welchen Projekten
das war. Und was tatsächlich auch

spannend war, in der Verwaltung gibt es
auch so Tendenzen, dass Menschen auch

beginnen zu chatten und zwar tatsächlich
über die VoIP-Anlage. Klingt komisch, aber

wenn das VoIP-Programm auch noch chatten
kann, ist es für Leute tatsächlich

schneller als eine Email zu schreiben. Das
hat es auch gegeben.

H: Macht für dich Infektionsschutz auf
Landesebene Sinn?

B.K.: Ich glaube, Infektionsschutz auf
Landes- oder dezentraler Ebene ist schon

sinnvoll, weil, man muss tatsächlich auch
an den Menschen nah dran sein. Es gibt da

Spezifika, die man glaube ich auch nur
rausfindet in irgendwelchen

Datenzusammenhängen, die man nur kennt,
wenn man Ortskenntnis hat. Ob man jetzt in

jedem Land noch eigene Coronaverordnungen
oder sonstige Dinge braucht, bin ich mir

jetzt unsicher, würde ich mal eher sagen:
Nein. Aber ich glaube, dass man das auch

sehr lokal - Zumindest in der Ausführung
ist es glaube ich wichtig, bei den

gesetzlichen Regularien, kann man durchaus
auch eher eine Vereinheitlichung

anstreben, weil das vielleicht dann doch
irgendwie ein bisschen einfacher zu

handhaben ist in ganz Deutschland.
H: Du hast von der Einbindung von

Gemeinden, Ordnungsämtern mit 2-Faktor-
Authentifizierung gesprochen. Wie lief das

denn? Die fragenstellende Person kann sich
das nicht mit ausreichendem Datenschutz

vorstellen.
B.K.: Ja, das ist eine Baden-Würtemberg-

Sondernummer. Normalerweise ist es so,
dass die Gesundheitsämter auch diese

Aufgaben in Union ausführen, also quasi
die Ortspolizeibehörden sind quasi die,

die die Quarantäne auch überwachen. Und
das wird ja in dem Fall - in Baden-

Württember ist es so: die Polizeibehörde
überwacht quasi die Quarantäne und

übermittelt auch auch die Unterlagen dazu.
Dafür gibt es in Baden-Württemberg auch

eins mit der Datenschutzbehörde
abgestimmtes Tool dazu. Das hat auch

seinen rechtlichen Rahmen und es wurde mit
dem Datenschutz auch abgestimmt. Auch der

Kommunikationsweg ist abgestimmt und so
weiter. Das ist aber tatsächlich eine

Baden-Württemberg-Spezialität.
Normalerweise läuft es zentral über das

Gesundheitsamt des jeweiligen Kreises.
H: Da interessiert sich noch wer dafür -

Die Frage ist: "Ich wüsste gerne mal, wie
die Corona-Warn-App die Daten der

Impfzertifikate ablegt. Sind die gegen
Zugriff durch andere Apps vernünftig

gesichert?
B.K.: Ja, das ist ein ganz tolles Thema,

weil das hat sich jetzt nämlich gerade
verändert. Normalerweise ist es so, dass

die Corona-Warn-App tatsächlich die Daten
sinnvollerweise auch nur auf dem Device

speichert und Zugriff durch die anderen
Apps ist meines Wissens nicht möglich. Nun

hat die Corona-Warn-App mit Version 2.15
noch ein Update rausgebracht, in der es

dann möglich ist, mit Ticket-Buchungen
online das Impfzertifikat zur Prüfung an

einen Prüfprovider zu übermitteln, in dem
Fall die Telekom - da hat auch Lilith in

der Keynote davon gesprochen. Das heißt,
aktuell kann ich nicht abschließend sagen,

dass es sicher ist, weil es gibt diese
Funktion, dass Impfzertifikate an Online-

Prüfprovider übermittelt werden, die sie
dann an ein Ticket-Provider weiterleiten

kann und sagen kann: "guck mal hier, ist
geprüft", aber ich kann im aktuellen

Zustand nicht sagen, dass das vollständig
sicher ist, weil es gibt diese Möglichkeit

zur Ausleitung an diese Prüfprovider.
H: Schade. Weiß man ob Bundesländer schon

ihre Luca-Lizenzen verlängert haben oder
ob die das alle auslaufen lassen?

B.K.: Also gibt es zum Beispiel, in Baden-
Württemberg - da weiß ich es relativ gut,

weil ich sitze hier in Stuttgart - da gibt
es die Option, dass diese Lucageschichte

auf zwei Jahre läuft. Und wenn das Land
jetzt nicht kündigt, wird es sich

verlängern und es ist, glaube ich, in den
meisten Bundesländern so. Es gibt durchaus

Bundesländer, die haben jetzt auch von den
Regularien umgestellt darauf, dass auch

die Corona-Warn-App möglich ist, zum
Beispiel Baden-Württemberg oder auch

Brandenburg oder Bremen. Da deutet sich
an, dass zumindest eine Verlängerung nicht

angestrebt wird. Es gibt aber
Bundesländer, in denen wird das vielleicht

unter Umständen weiter gehen. Aber das
wird sich, glaube ich, erst dann so Anfang

des Jahres bis zum April zeigen, wenn die
Verträge dann tatsächlich auslaufen.

H: Haben die Gesundheitsämter aus deiner
Sicht etwas gelernt und sind auf künftige

Pandemien besser vorbereitet? Und ich
würde gern noch anhängen: Kann man

vielleicht aus diesem Prozess sogar auf
andere Behörden schließen und die besser

in der Digitalisierung mitnehmen?
B.K.:Also ich glaube, Gesundheitsämter,

oder Behörden generell, haben verstanden,
dass Digitalisierung tatsächlich auch

etwas nutzen kann. Das ist, weil ich
glaube, früher gab es eine so eine

Geschichte, man wird jetzt nicht in eine
Situation kommen, wo man dann plötzlich

irgendwie vernetzte, dezentrale
Remoteoffices braucht und so weiter, wo es

total sinnvoll wäre. Die haben schon
verstanden, dass das mit der

Digitalisierung jetzt nicht so komplett
falsch ist, dass es sie auch nutzen kann

und dass man es auch zu seinem Vorteil
nutzen kann. Das Problem, was man

natürlich hat, ist, dass man jetzt aber
nicht von null auf hundert irgendwie

plötzlich dann hundert Digitalexpert.innen
im Amt hat, sondern man muss immer nach

den gleichen Ressourcen arbeiten, die man
hat: Es ist zu wenig Personal, das

Personal ist schlecht bezahlt, es fehlt an
Kompetenz, es fehlt an Fortbildungen, es

fehlt an vielen Dingen. Um da einen
wirklichen Wandel auszulösen, müsste man

mehr tun um dieses
Digitalisierungs-Flow, den man in der

Pandemie gelernt hat, in die
nachpandemische Zeit zu überführen. Also

ich glaube, in Gesundheitsämtern hat man
das erkannt, aber ich glaube da scheitert

es an den Ressourcen. In anderen Ämtern
hat man es vielleicht auch erkannt, dass

es schon ganz gut wäre, wenn man
vielleicht auch mal Homeoffice oder

sonstwas machen könnte und so weiter und
wenn man das mit diesen Portalen ganz gut

funktionieren würde. Aber da gibt es ein
Resourcenproblem und ich glaube, den

Spirit kann man mitnehmen, aber es hängt
an vielen Ressourcen, die einfach -

teilweise ist dieser Ressourcenmangel auch
hausgemacht.

H: Du sprichst öfter von wir. Mit wem
arbeitest du denn zusammen?

B.K.: Ja, es ist ein bisschen kompliziert,
das in diesem Talk ausführlich zu

erklären. Im Prinzip ist es so: Dieser
Talk ist eigentlich zweigeteilt. Ich habe

dieses Thema mit der Kontaktnachverfolgung
im Bodenseekreis gemacht mit meiner Firma

damals in Stuttgart, das ist die Firma
cron. Das Thema IRIS ist zusammen mit dem

InÖG entwickelt worden und der Björn-
Steiger-Stiftung und das Thema mit den

Securitysachen mit Leuten zusammen, wie
man das halt so macht.

H: Cool. Das war auch schon die letzte
Frage. Danke Bianca für deinen Einsatz und

dass du dich auch in deiner Freizeit so
viel mit solchen Dingen beschäftigst, die

uns alle beschäftigen. Das war auch hier
auf der chaos-west- stage schon der letzte

Tag für heute und ich wünsche euch allen
noch einen vergnüglichen rC3.

Abspannmusik

Untertitel erstellt von c3subtitles.de
im Jahr 2021. Mach mit und hilf uns!