Kolumbien verfolgte Covid-Kontakte über mobile Werbe-IDs statt eine Tracing-App zu entwickeln

Im Jahr 2020 mussten Bogotá und das kolumbianische Departamento Antioquia Covid-19-Kontakte nachverfolgen, doch weltweit kämpften spezielle Contact-Tracing-Apps mit niedrigen Download- und Opt-in-Raten, was ihre Reichweite untergrub. Beide Regierungen beauftragten das lokale Unternehmen Servinformación, das vorschlug, ganz auf eine neue App zu verzichten und stattdessen die mobile Werbeinfrastruktur zu nutzen, die bereits auf den meisten Telefonen lief.

Jedes Telefon trägt eine Werbe-ID, die von Google oder Apple vergeben wird und die Werbenetzwerke nutzen, um Nutzer app-übergreifend zu erreichen. Servinformación glich dieses ID-System mit bestätigten Patienten ab: Jede Woche schickten die Behörden Patientenadressen, und das Unternehmen ermittelte, welche IDs regelmäßig dort übernachteten, und dann, welche anderen IDs sich mehr als 30 Minuten lang innerhalb von 10 Metern von diesen Geräten aufhielten. Statt eine App zu entwickeln, kaufte es geotargetete Anzeigen und SMS-Massenversände über Netzwerke, die diese Telefone bereits erreichten, und warnte vor einer möglichen Exposition mit einem Link zu einem Formular zur Symptomprüfung.

Das System erforderte keinen Download, keine Installation und keinen aktiven Zustimmungsschritt – es funktionierte bei jedem, dessen Telefon bereits die standardmäßige Werbe-ID trug, also bei nahezu jedem mit einem Smartphone. Die Gesundheitsbehörden in Antioquia nutzten die aggregierten Standortdaten außerdem, um epidemiologische Teams gezielt in bestimmte Stadtblöcke mit Häufungen exponierter IDs zu schicken, statt breit zu testen.

Die bereits auf jedem Telefon vorhandene Ad-Tech-ID wiederverwenden, statt eine App zu entwickeln, die die Leute installieren müssen

Die Nutzung der Werbe-IDs bedeutete null Einstiegshürden – es gab keine App zum Herunterladen, sodass die Reichweite der Zahl der Telefone entsprach, auf denen bereits werbefinanzierte Apps liefen, also nahezu allen.

Der Näherungsabgleich über 10 Meter und 30 Minuten nutzte ein bestehendes Targeting-Primitiv der Ad-Tech-Branche, statt neue Standortverfolgungssoftware entwickeln und einsetzen zu müssen.

Die Ergebnisse über bestehende Werbenetzwerke und SMS-Gateways zurückzuspielen bedeutete, dass der Kontaktkanal bereits aufgebaut war und die Zieltelefone bereits erreichte.

Die Aggregation exponierter IDs nach Stadtblock ermöglichte es den Gesundheitsbehörden, Testteams geografisch gezielt einzusetzen, statt das schwierigere Problem zu lösen, jeden möglichen Kontakt einzeln zu identifizieren und zu testen.

Wenn die Akzeptanz der Engpass ist, prüfen Sie, ob die benötigte Infrastruktur bereits zu einem anderen Zweck auf den Zielgeräten installiert ist – das ist besser als eine eigens entwickelte App, da niemand zustimmen muss.

Zu dem Zeitpunkt, als Rest of World über die Geschichte berichtete, erklärten Beamte aus Antioquia, sie hätten seit April 2020 mehr als 411.000 Anzeigen und Textnachrichten versendet, die über 1.600 Anrufe bei Gesundheitsdiensten ausgelöst hätten – eine Antwortquote von 0,4 %, knapp unter dem Benchmark von 0,5–0,7 % für digitale Marketingkampagnen. Datenschutzforscher der Karisma Foundation und der Electronic Frontier Foundation warnten, dieselbe ID-Abgleichstechnik könne auch der Überwachung dienen, da die Kenntnis der Wohnadresse eines Patienten es leicht mache, abzuleiten, welche Werbe-ID zu ihm gehört.