Hacker über Deutschlandticket: „Die Sicherheitsstandards sind sehr lax“
Die Hacker Q Misell und maya haben Sicherheitslücken beim Deutschlandticket entdeckt. Sie rechnen mit einem Schaden in dreistelliger Millionenhöhe.
taz: Q Misell, wie kommen Sie darauf, dass die öffentlichen Verkehrsunternehmen im großen Maßstab Opfer eines Betruges mit dem Deutschlandticket wurden?
Q Misell: Es gibt zwei Gründe dafür. Einer besteht in technischen Fehlern, der andere in Verfahrensfehlern.
taz: Sie sprechen von Verlusten in dreistelliger Millionenhöhe. Wie kommen Sie zu dieser Schätzung?
Q Misell: Das basiert auf betrügerischen Tickets, die wir zählen konnten. Drei Millionen solcher Tickets konnten wir identifizieren. Den Rest haben wir extrapoliert aus einem Vergleich der Leute, die in Umfragen angaben, mit dem Deutschlandticket zu reisen, mit den von den Verkehrsunternehmen verkauften Tickets.
Vom 27. bis 30. Dezember trifft sich die Hacker-Szene zum 39. Chaos Communication Congress des Chaos Computer Clubs in Hamburg. Das Programm umfasst an die 200 Einzelveranstaltungen. Q Misell und Maya sprechen über „All my Deutschlandtickets gone: Fraud at an Industrial Scale. Hamburg, Kongresszentrum CCH
taz: Wie gingen die Betrüger vor?
Q Misell: In Deutschland ist es üblich, dass man per Direktüberweisung bezahlt. Dabei gibt es aber kein Verfikationsverfahren. Sie können echt aussehende, aber nicht existierende Bankkonten erzeugen. Viele Verkehrsunternehmen stellen Ihnen sofort ein Deutschlandticket aus, wenn Sie den Vertrag abschließen. Es kann aber sechs Tage dauern, bis die Bank die Zahlung verarbeitet hat und feststellt, ob es das Konto gibt und ob es gedeckt ist. Doch zu diesem Zeitpunkt ist das Ticket ja bereits ausgestellt worden, und es ist schwierig, es zurückzuholen, weil es von den Betrügern weiterverkauft wurde.
taz: Wo liegen die technischen Fehler?
Q Misell: Die Tickets werden mit Barcodes ausgestattet und digital signiert, wobei Kryptografie mit öffentlich-privaten Schlüsseln verwendet wird. Die Sicherheitsstands für den privaten Teil der Schlüssel sind sehr lax. Wie haben mindestens einen Fall gefunden, wo ein Verkehrsunternehmen die Kontrolle über seinen privaten Schlüssel verloren hat. Das war ein kleines Busunternehmen aus Sachsen-Anhalt. Wir vermuten, dass es wegen seiner Größe nicht viel Erfahrung mit Datensicherheitstechnologie hat. Das ermöglichte es, den Schlüssel zu stehlen und Tickets in dessen Namen auszustellen.
taz: Wurde das Unternehmen dadurch direkt geschädigt?
Q Misell: Nicht wirklich. In einer idealen Welt gäbe es Strafen dafür, bei der Informationssicherheit so zu schludern. Aber bis heute gibt es keine Regeln in der Vereinbarung zum Deutschlandticket, die Unternehmen für betrügerische Tickets haftbar machen. Den Schaden trugen alle Unternehmen davon, die diese Tickets akzeptierten und die Leute damit reisen ließen, ohne dass es dafür eine Kompensation aus dem Topf aller verkauften Deutschlandtickets gab.
forscht am Max-Planck-Institut für Informatik in Saarbrücken, speziell zu Internet-Architektur und -Sicherheit. In der Freizeit betreibt Q das Web-Hosting-Unternehmen und Domain-Verzeichnis Glauca Digital. Q bezeichnet sich als krassen Bahn-Nerd.
taz: Was wäre zu tun, um so einen Betrug in Zukunft zu verhindern?
Q Misell: Es wird an höheren Sicherheitsstands gearbeitet, indem Verfahren, die Schlüssel zu schützen, formalisiert werden. Nicht so viel ist unternommen worden, um Verbesserungen beim Zahlungsverfahren zu formalisieren. Das ist immer noch sehr die Sache der einzelnen Firmen. Der Deutschlandtarifverbund arbeitet an einem Verfahren, das es ermöglicht, ein Ticket zurückzuholen und zu entwerten. Er bemüht sich auch darum, das Signieren der Tickets zu zentralisieren, weil der Tarifverbund besser organisiert ist und mehr Sicherheits-Knowhow hat als die einzelnen Unternehmen. Das entsprechende Sicherheitsportal des Verbundes ist aber bisher nur von zwei Unternehmen angenommen worden.
taz: Sie sagten, niemand wäre bereit, Verantwortung für diese Mängel zu übernehmen …
Q Misell: Wir haben an diesem Thema seit Oktober vergangenen Jahres gearbeitet. Die allgemeine Tendenz war, zu sagen: Das ist nicht unser Problem. Die Politiker sagen, das sei das Problem der Verkehrsunternehmen, die Verkehrsunternehmen sagen: „Wir tun nur, was uns vorgeschrieben ist“, und dann gibt es in der Mitte den Tarifverbund, der sagt: „Wir haben nicht die Macht, das zu regulieren.“ Alle zeigen mit dem Finger aufeinander.
Gemeinsam für freie Presse
Als Genossenschaft gehören wir unseren Leser:innen. Und unser Journalismus ist nicht nur 100 % konzernfrei, sondern auch kostenfrei zugänglich. Alle Artikel stellen wir frei zur Verfügung, ohne Paywall. Gerade in diesen Zeiten müssen Einordnungen und Informationen allen zugänglich sein. Unsere Leser:innen müssen nichts bezahlen, wissen aber, dass kritischer, unabhängiger Journalismus nicht aus dem Nichts entsteht. Dafür sind wir sehr dankbar. Damit wir auch morgen noch unseren Journalismus machen können, brauchen wir mehr Unterstützung. Unser nächstes Ziel: 50.000 – und mit Ihrer Beteiligung können wir es schaffen. Setzen Sie ein Zeichen für die taz und für die Zukunft unseres Journalismus. Mit nur 5,- Euro sind Sie dabei! Jetzt unterstützen
meistkommentiert