Abo
  • Services:
Anzeige
Vor allem Eindecker der BVG speichern Bewegungspunkte auf der VBB-Fahrcard.
Vor allem Eindecker der BVG speichern Bewegungspunkte auf der VBB-Fahrcard. (Bild: Andreas Sebayang/Golem.de)

Wie viele Fahrgäste sind von dem Datenproblem der VBB-Fahrcard betroffen?

Die halbwegs gute Nachricht: Es ist nicht möglich, mehr als zehn Bewegungspunkte auf der Karte zu speichern. Das bestätigte uns der VBB. Das reicht allerdings, um den Arbeitsweg eines Fahrgastes mit dem Umweg über eine Kita für rund zwei Tage zu speichern. Hat der Lebenspartner das Kind auch wie gewünscht zur richtigen Uhrzeit abgeholt? Dank der BVG-Speichersysteme war es jedem möglich, das zu kontrollieren, der Zugang zur Fahrcard hatte.

Anzeige

Wie viele Kunden tatsächlich Bewegungspunkte auf ihren Karten haben, ist schwer einzuschätzen. Nicht viele nutzen die Lesegeräte in den Bussen, es gibt noch keine Pflicht zur Nutzung bei der BVG. Einige Testläufe gab es allerdings, wie vor etwa einem Jahr. Wir waren zufällig dabei, als ein BVG-Mitarbeiter alle Fahrcard-Nutzer einer Flughafen-Buslinie dazu bewegte, ihre Fahrcards an die Lesegeräte zu halten. Auch ist unklar, wie lange genau die BVG die Karte für das Speichern von Bewegungspunkten verwendet hat und wie viele weitere VBB-Mitglieder betroffen waren. Wahrscheinlich ist aber, dass Tausende Kunden betroffen sind.

Denn unsere Recherchen deuten darauf hin, dass das Problem seit Jahren und mindestens bei drei Verbundmitgliedern besteht: Auch die Oberhavel Verkehrsgesellschaft (OVG) und die Ostdeutsche Eisenbahn (ODEG) nutzten das E-Ticket nicht so, wie es vorgegeben wurde.

Auch andere VBB-Mitglieder speicherten Daten

Bei der Kontrolle der Fahrkarten beschrieben mindestens zwei weitere Mitglieder des VBB die Karten mit Daten. Bei der OVG handelte es sich dabei wie bei der BVG um Bewegungspunkte. Es gab einige Hinweise in Blogs und Foren darauf, dass die OVG ebenfalls speicherte, was der VBB uns dann in einer Stellungnahme bestätigte. In Ermangelung einer durch OVG-Busse beschriebenen Karte können wir allerdings nichts davon unabhängig verifizieren. Auch wie die Daten exakt aussehen, wissen wir nicht. Die im Vergleich zur BVG sehr kleine OVG hat laut VBB die Lesegeräte ebenfalls abgeschaltet, so dass weitere Recherchen nicht möglich sind.

Auf Hinweis eines Lesers konnten wir auch nachweisen, dass die ODEG zumindest vor zweieinhalb Jahren Daten auf der Karte gespeichert hat. Die ersten Einträge auf der Karte des Lesers, der regelmäßig mit ODEG-Regionalbahnen nach Berlin fährt, waren von August 2013 - nur acht Monate, nachdem das System als final freigegeben worden war. Die Karte zeigte volle zehn ODEG-Einträge. Es handelt sich allerdings nicht um Bewegungspunkte, sondern um Fehlerdaten, die nicht hätten geschrieben werden dürfen, wie uns die ODEG mitteilte. Was das genau bedeutet, sagte uns die ODEG nicht. Die Beispieldaten, die wir haben, lassen keinen Rückschluss auf die Verwendung zu. Das Feld für Positionsdaten sieht jedenfalls nicht nach einem Positionspunkt aus. Interessanterweise waren die Datensätze mit einer Berechtigungs-ID versehen, die der S-Bahn Berlin GmbH gehört. Ob schon früher als im August 2013 Daten gespeichert wurden, wissen wir nicht, da die letzten Einträge immer mit neuen überschrieben werden.

Die Probleme sind dem VBB schon lange bekannt

Dass die Fahrcards fehlerhaft beschrieben wurden, war der ODEG bereits 2013 bekannt, wie sie uns mitteilte. Noch im selben Jahr besprach sie demnach das Problem mit dem VBB. Zu diesem Zeitpunkt war also auch dem VBB klar: Die Karten sind beschreibbar - und vor allem kann alles Mögliche daraufgeschrieben werden. Die vorgesehenen Felder müssen nicht zwangsläufig mit Positionsdaten beschrieben werden. Es könnte im Prinzip alles gespeichert werden, es ist nur eine Frage der rechtzeitigen Erhebung der Daten. Trotzdem kommunizierte der VBB weiter an die Kunden, es sei technisch nicht möglich, etwa Bewegungsdaten auf den Karten zu speichern.

Genau vor dieser Gefahr warnte der Fahrgastverband IGEB noch im selben Jahr: Der VBB konterte damals aber nur, der IGEB habe nicht die technische Kompetenz, um die Gefahren zu beurteilen und entledigte sich so des Themas. Damals konnte der IGEB das Problem noch nicht beweisen, denn die Daten waren sicher vor fremdem Zugriff auf dem Chip geschützt. Dieser Schutz ist aber dank der Mytraq-App nun dem VBB verloren gegangen.

Ohne Informationen für die Öffentlichkeit wurde noch 2013 die Schreibfähigkeit seitens der ODEG hart abgeschaltet, wie anhand eines Transaktionslogs auch nachvollziehbar ist. Die Nutzung der Berechtigungs-ID kann die ODEG nicht erklären. Der VBB hat der ODEG auch keine ID zugewiesen. Das wundert uns, denn laut ODEG ist der VBB für die "Projektkoordination und technische Prüfung" zuständig. In solchen Systemen ist die Zuordnung von Berechtigungen schon aus Gründen der Fehlerursachensuche notwendig. Allerdings hat auch die BVG monatelang anonym ohne Berechtigungs-ID Karten beschrieben. Dass das überhaupt geht, ist eine Schwäche des Systems. Und die besteht bis heute.

 VBB-Fahrcard: Der Fehler steckt im SystemWer kann das Transaktionslog der Fahrcard auslesen? 

eye home zur Startseite
Proctrap 15. Feb 2016

Hello Troll

claudweb 12. Feb 2016

Habe es gestern ausprobiert, im RMV gibt es auch noch Busse die eine Kontrolle auf dem...

sradi 10. Feb 2016

Hallo, Wenn man die Daten so leicht auslesen kann. Ist es dann auch so einfach eine VBB...

Wechselgänger 10. Feb 2016

Aber das ist dann eben auch teurer. Und die BVG für schlechte Leistung oder...

Wechselgänger 10. Feb 2016

Es ist (bisher) nicht Pflicht, die Karte an die Lesegeräte zu halten. Nach meiner...



Anzeige

Stellenmarkt
  1. Syna GmbH, Frankfurt am Main
  2. ACP IT Solutions AG, Hannover
  3. Daimler AG, Böblingen
  4. Vodafone GmbH, Düsseldorf, Eschborn


Anzeige
Spiele-Angebote
  1. (-15%) 16,99€
  2. 15,99€
  3. 6,99€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation
  2. Globale SAP-Anwendungsunterstützung durch Outsourcing
  3. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes


  1. Raumfahrt

    Chang'e 5 fliegt zum Mond und wieder zurück

  2. Android 7.0

    Sony stoppt Nougat-Update für bestimmte Xperia-Geräte

  3. Dark Souls 3 The Ringed City

    Mit gigantischem Drachenschild ans Ende der Welt

  4. HTTPS

    Weiterhin rund 200.000 Systeme für Heartbleed anfällig

  5. Verkehrsexperten

    Smartphone-Nutzung am Steuer soll strenger geahndet werden

  6. Oracle

    Java entzieht MD5 und SHA-1 das Vertrauen

  7. Internetzensur

    China macht VPN genehmigungspflichtig

  8. Hawkeye

    ZTE will bei mediokrem Community-Smartphone nachbessern

  9. Valve

    Steam erhält Funktion, um Spiele zu verschieben

  10. Anet A6 im Test

    Wenn ein 3D-Drucker so viel wie seine Teile kostet



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Mi Mix im Test: Xiaomis randlose Innovation mit kleinen Makeln
Mi Mix im Test
Xiaomis randlose Innovation mit kleinen Makeln
  1. Xiaomi Mi Note 2 im Test Ein Smartphone mit Ecken ohne Kanten

Donald Trump: Ein unsicherer Deal für die IT-Branche
Donald Trump
Ein unsicherer Deal für die IT-Branche
  1. USA Amazon will 100.000 neue Vollzeitstellen schaffen
  2. Trump auf Pressekonferenz "Die USA werden von jedem gehackt"
  3. US-Wahl US-Geheimdienste warnten Trump vor Erpressung durch Russland

Begnadigung: Danke, Chelsea Manning!
Begnadigung
Danke, Chelsea Manning!
  1. Die Woche im Video B/ow the Wh:st/e!
  2. Verwirrung Assange will nicht in die USA - oder doch?
  3. Whistleblowerin Obama begnadigt Chelsea Manning

  1. Re: Selten so einen schlechten Artikel bei Golem...

    blaub4r | 01:26

  2. Re: Zu schwer? Kontrollierte Beschleunigung würde...

    nachgefragt | 01:18

  3. Gilt wohl nur für offizielles LOS

    Wortschütze | 01:15

  4. Re: Bildzeitungsnivea

    Pjörn | 00:59

  5. Re: Wie soll man dann geschäftlich nach China reisen?

    Ipa | 00:34


  1. 18:19

  2. 17:28

  3. 17:07

  4. 16:55

  5. 16:49

  6. 16:15

  7. 15:52

  8. 15:29


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel