Nahverkehr: 18 jähriger E-Ticket-Hacker in Ungarn festgenommen

Wer eine Sicherheitslücke an ein Unternehmen meldet, sollte es dafür eigentlich nicht mit der Polizei zu tun bekommen. Doch ein Schüler in Ungarn wurde festgenommen, nachdem er Schwachstellen im neuen E-Ticket-System der Budapester U-Bahn gefunden hatte.

Artikel veröffentlicht am 24. Juli 2017, 14:00 Uhr, Hauke Gierow

Die U-Bahn in Budapest. (Bild: Attila Kisbedenek/AfP/Getty Images)

Ein 18-jähriger Schüler aus Ungarn hat eine Schwachstelle im E-Ticketing-System der Nahverkehrsbetriebe in der ungarischen Hauptstadt Budapest gefunden und wurde kurz nach Meldung der Probleme an das Unternehmen festgenommen. Das System wird von T-Systems Hungary betrieben. Das Unternehmen gehört zum ungarischen Telekommunikationsanbieter Telekom Hungary.

Dem Schüler gelang es, einen beliebigen Preis für ein Monatsticket festzulegen und sich ein gültiges Ticket auszustellen. Statt 9.500 Forint (etwa 30 Euro) bezahlte er mit 50 Forint nur noch etwa 16 Cent für das Ticket. Diesen Fehler meldete er ohne vorherige öffentliche Bekanntmachung an den Nahverkehrsbetreiber BKK (responsible disclosure). Trotzdem wurde er am Tag nach der Meldung vorübergehend festgenommen. Mittlerweile ist er wieder auf freiem Fuß. Unklar ist, ob ihm nun eine Anklage droht.

Betreiber sah Angriff auf IT-Systeme

Offenbar hatte der Betreiber des Systems, die Firma T-Systems Hungary (Ungarn) die ungewöhnlichen Anfragen des Schülers als Angriff interpretiert und im Rahmen der ungarischen Meldepflicht für IT-Vorfälle an die Behörden gemeldet. Dazu gehöre eine Anzeige gegen unbekannt, wie ein Sprecher der T-Systems International Golem.de sagte. T-Systems Hungary gehörte zum internationalen Konzern, wurde jedoch vor einigen Jahren an die Hungary Telekom verkauft. An der Hungary Telekom wiederum hält die Deutsche Telekom 59 Prozent der Anteile, der Rest der Anteile gehört dem ungarischen Staat.

Das E-Ticketing-System der BKK ist derzeit offenbar abgeschaltet und wird vermutlich überarbeitet, genauere Informationen dazu liegen uns jedoch bislang nicht vor. Laut eines Blogposts, der die Geschichte des Schülers erstmals öffentlich machte, soll T-Systems Hungary pro Monat rund 80.000 Euro für den Betrieb des Ticketing-Systems erhalten. Für diese Information gibt es jedoch keine offizielle Bestätigung.

Das System soll weitere Schwachstellen haben. Die Passwörter werden angeblich im Klartext gespeichert und Nutzern bei einer Passwort-vergessen-Anfrage auch im Klartext per Mail übersendet. Ob das dafür verantwortliche System ebenfalls von T-Systems Hungary oder einem anderen Zulieferer stammt, ist derzeit nicht bekannt.