Dann ergänze ich mal mit Fefe und seiner Sicht sowie der Nachreicht dazu bei Heise.
Ganz so krass scheint das also doch nicht zu sein.
Ein solcher Angriff wäre wahrscheinlich nur koordiniert von einer Gruppe von Angreifern durchzuführen, da man ja nicht nur eine positive Diagnose fälschen, sondern sein Smartphone auch noch in Bluetooth-Reichweite von möglichst vielen anderen Geräten bringen muss.
Bedeutet also nicht, dass es nicht möglich ist, aber es ist schon ein ziemlicher Aufwand, um einen Einzelnen oder wenige Anwender zu kompromittieren.
Andererseits zeigt es abseits der Entwicklungskosten die Vorteile von Open-Source, weil dann eben solche Lücken auch schnell gefunden werden und nicht über umständliches Reverse Engineering, welches auf dem Papier noch die "Rechte" irgendeiner Softwareklitsche verletzt.
Geldverschwendung die schon nach Strafbarkeit riecht.
Das ist doch so oder so bezahlt, ob nun jetzt an SAP/Telekom oder einen Baukasten-Anbieter mit Closed-Source und noch zweifelhafterem Hintergrund. Geld bringt es dann, wenn das Ding gegen Bezahlen installiert werden muss. Das dürfte aber dem "freiwilligen" Nutzen geringfügig entgegenstehen.
Spannend wird es erst, wenn die App nach oder neben Corona für andere Fälle genutzt wird und aus freiwillig ein wie auch immer durchgesetzter Zwang wird. Bis dahin ist es erstmal nur ein Mittel und aus meiner bescheidenen Sicht ein wenig nützliches dazu.