Abo
  • Services:
Anzeige
Die VBB-Fahrcard kann Bewegungspunkte speichern, obwohl dies laut VBB technisch unmöglich sein soll.
Die VBB-Fahrcard kann Bewegungspunkte speichern, obwohl dies laut VBB technisch unmöglich sein soll. (Bild: Andreas Sebayang/Golem.de)

VBB-Fahrcard: Berlins elektronische Fahrkarte speichert Bewegungsprofile

Die VBB-Fahrcard kann Bewegungspunkte speichern, obwohl dies laut VBB technisch unmöglich sein soll.
Die VBB-Fahrcard kann Bewegungspunkte speichern, obwohl dies laut VBB technisch unmöglich sein soll. (Bild: Andreas Sebayang/Golem.de)

Mit der überwiegend in Berlin, aber auch in Brandenburg eingesetzten VBB-Fahrcard können laut VBB keine Bewegungsprofile gespeichert werden. Wie sich nun herausgestellt hat, stimmt das nicht. Lesegeräte in BVG-Bussen speichern Bewegungspunkte auf der Fahrcard.
Von Andreas Sebayang

Wie der Fahrgastverband IGEB herausgefunden hat, lässt die VBB-Fahrcard entgegen den Aussagen der Herausgeber die Speicherung von Bewegungsprofilen zu. Laut einem PDF-Vorabbericht der Signal 6/2015 reicht es, die App Mytraq sowie ein NFC-fähiges Smartphone zu besitzen, um die Daten auszulesen. Der IGEB ist dafür testweise mit einem Bus der Linie 245 durch Berlin gefahren, dessen Lesegeräte offenbar auch Schreibfähigkeiten haben. Im Anschluss wurden die durch die Busse geschriebenen Daten ausgewertet. Im Ergebnis ließ sich nachvollziehen, wo der Fahrgast ein- und umstieg.

Anzeige

Diese Möglichkeit wurde bisher vom Verkehrsverbund Berlin-Brandenburg (VBB) dementiert. Dem IGEB wurde eigenen Angaben zufolge sogar technisches Unwissen vorgeworfen. Zudem: Selbst wenn die Daten gespeichert würden, wären sie sicher, hat der IGEB vom VBB erfahren. Beides hat sich als unwahr herausgestellt, denn mit einer App, die jeder herunterladen kann, lassen sich die Daten auslesen. Das verwundert. Uns erklärte Hersteller NXP schon früher, dass das Sicherheitsniveau ähnlich hoch sei wie beim neuen Personalausweis. Sprich: Tatsächlich dürfte niemand die unberechtigt geschriebenen Daten auch noch unberechtigt auslesen können.

Auch die Berliner Morgenpost bestätigt das Datenschutzproblem

Bestätigt wird der Bericht von der Berliner Morgenpost, die nach dem IGEB-Bericht einen eigenen Testlauf durchführte und auch eine Stellungnahme der BVG erhielt. Derzufolge wird die BVG jetzt innerhalb von zwei bis drei Tagen alle betroffenen Lesegeräte abschalten und den Hersteller um das Lösen des Problems bitten. Der Schwachpunkt sind offenbar die Bus-Lesegeräte, die die Daten schreiben. Andere Geräte sind nach derzeitigem Stand nicht betroffen. Voraussetzung ist allerdings, dass die Anwender der Karte diese auch an einem Lesegerät vorbeiführen. Dass Fahrcard-Besitzer das tun, ist aber unwahrscheinlich. Zum einen fehlt der Zwang und zum anderen sind die Lesegeräte unserer Erfahrung nach seit Monaten unzuverlässig. Wir sahen nur selten Nutzer, die aus Neugierde die Karte vorbeiführten. Dementsprechend dürften nur wenige Nutzer in der Praxis tatsächlich Bewegungsdaten gespeichert haben.

Für Anwender ist derzeit unklar, wie die auf der VBB-Fahrcard gespeicherten Daten gelöscht werden können. Ein Anruf von uns beim Service Center der BVG half nicht. Dort wusste man nichts von dem Problem mit den Bewegungsprofilen, hörte aber schon von dem Morgenpost-Artikel. Auch der Schichtleiter der Hotline war überrascht, wie man uns beim Support sagte. Man beteuerte trotzdem, nach derzeitigem Kenntnisstand sei es technisch unmöglich, Bewegungspunkte zu speichern. Die Mitarbeiter konnten sich gar nicht vorstellen, wie die Daten dort gespeichert werden sollen.

Der VBB versprach zu viel

Das beteuert auch der VBB seit Jahren. Die VBB-Fahrcard wird seit September 2011 getestet und seit September 2013 allgemein verteilt. In den mittlerweile vier Jahren Betrieb wurde die grundsätzliche Schwachstelle allerdings nie entdeckt, nämlich dass ein Verkehrsbetrieb sehr wohl entgegen den Vorgaben des Verkehrsverbundes mit der richtigen Hardware Daten speichern kann. Der VBB warb mit "höchsten Sicherheitsstandards" um Vertrauen, die einen Missbrauch unmöglich machen sollen. Weiter heißt es in dem alten PDF-Flyer: "Es ist weder technisch noch organisatorisch möglich, sogenannte Bewegungsprofile auf der Karte oder im System zu speichern". Tatsächlich muss diese Funktion von Anfang an vorgesehen gewesen sein, sonst wäre die missbräuchliche Speicherung von Bewegungspunkten nicht möglich.

Die Fahrcard ist kaputt

Das System hat also grundsätzliche Schwächen und wurde nicht, wie angegeben, so entwickelt, dass es unmöglich ist, Bewegungsprofile zu speichern und erst recht nicht, dass ein Nutzer eines NFC-Telefons an Daten herankommt, die - wenn überhaupt - nur ein berechtigtes Gerät auslesen dürfte. Die VBB-Fahrcard kann damit als kaputt eingestuft werden.


eye home zur Startseite
Sandeeh 30. Dez 2015

Und was soll daran das Problem bzw. der Missbrauch sein? Oder ist mit den Karten ein...

Vestkystdreng 30. Dez 2015

Hhm, riecht nach der dänischen "Rejsekort". Die ist auch NFC basiert, macht es möglich...

as (Golem.de) 29. Dez 2015

Hallo, Fahrcards werden bei der BVG in der Regel nicht kontrolliert, sondern der Leser...

KPG 29. Dez 2015

;-) Nicht genug. Ich kenne das Wort schon seit 30 Jahren und finde es recht witzig.

thorsten... 29. Dez 2015

Ist bei Mensa-Karten einiger Unis heute noch so, dass die diesen veralteten Mifare...



Anzeige

Stellenmarkt
  1. dSPACE GmbH, Paderborn
  2. Deutsche Hypothekenbank AG, Hannover
  3. Smartsteuer GmbH, Hannover
  4. JOB AG Industrial Service GmbH, Kassel


Anzeige
Spiele-Angebote
  1. 9,99€
  2. 17,99€
  3. 16,99€

Folgen Sie uns
       


  1. Liberty Global

    Giga-Standard Docsis 3.1 kommt im ersten Quartal 2018

  2. Apache-Sicherheitslücke

    Optionsbleed bereits 2014 entdeckt und übersehen

  3. Tianhe-2A

    Zweitschnellster Supercomputer wird doppelt so flott

  4. Autonomes Fahren

    Japan testet fahrerlosen Bus auf dem Land

  5. Liberty Global

    Unitymedia-Mutterkonzern hat Probleme mit Amazon

  6. 18 Milliarden Dollar

    Finanzinvestor Bain übernimmt Toshibas Speichergeschäft

  7. Bundestagswahl

    Innenminister sieht bislang keine Einmischung Russlands

  8. Itchy Nose

    Die Nasensteuerung fürs Smartphone

  9. Apple

    Swift 4 erleichtert Umgang mit Strings und Collections

  10. Redundanz

    AEG stellt Online-USV für den 19-Zoll-Serverschrank vor



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Zukunft des Autos: "Unsere Elektrofahrzeuge sollen typische Porsche sein"
Zukunft des Autos
"Unsere Elektrofahrzeuge sollen typische Porsche sein"
  1. Concept EQA Mercedes elektrifiziert die Kompaktklasse
  2. GLC F-Cell Mercedes stellt SUV mit Brennstoffzelle und Akku vor
  3. ID Crozz VW stellt elektrisches Crossover vor

Optionsbleed: Apache-Webserver blutet
Optionsbleed
Apache-Webserver blutet
  1. Open Source Projekt Oracle will Java EE abgeben

Kein App Store mehr: iOS-Nutzer sollten das neue iTunes nicht installieren
Kein App Store mehr
iOS-Nutzer sollten das neue iTunes nicht installieren
  1. Betriebssystem Apple veröffentlicht Goldmaster für iOS, tvOS und WatchOS
  2. iPhone iOS 11 bekommt Schutz gegen unerwünschte Memory-Dumps
  3. IOS 11 Epic Games rettet Infinity Blade ins 64-Bit-Zeitalter

  1. Re: ALAC im Store?!?

    Infamouson | 04:36

  2. Re: Beweise?

    teenriot* | 03:54

  3. Re: CO2 Ausstoß dieses Akkus bei der Produktion?

    Onkel Ho | 03:36

  4. Re: Apple schafft das, was Microsoft nie...

    plutoniumsulfat | 02:54

  5. Re: Und darum brauchen wir eine echte...

    quasides | 02:36


  1. 18:10

  2. 17:45

  3. 17:17

  4. 16:47

  5. 16:32

  6. 16:22

  7. 16:16

  8. 14:28


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel