Ende letzten Jahres stellte es sich heraus, dass die in Berlin und Brandenburg eingesetzte VBB-fahrCard entgegen offizieller Angaben Bewegungsprofile speichern kann, die mit herkömmlichen Smartphones und der App mytraQ ausgelesen werden können.
Die Piratenfraktion im Berliner Abgeordnetenhaus hat dazu eine Anfrage gestellt. Der Verkehrsverbund Berlin-Brandenburg hatte bis zur Veröffentlichung des Datenlecks in Infobroschüren behauptet:
Es ist weder technisch noch organisatorisch möglich, sogenannte Bewegungsprofile auf der Karte oder im System zu speichern. Bei der Kontrolle wird lediglich geprüft, ob Ihr elektronischer Fahrausweis gültig ist. Es werden keine personenbezogenen Daten gespeichert.
Die Berliner Verkehrsbetriebe (BVG), die mit dem VBB zusammenarbeiten, haben dem Senat Antworten auf die Anfrage der Piraten übermittelt. Darin wird ausgeführt, dass die Kontrollgeräte für Fahrkarten in Bussen bis zur Abschaltung der Funktion 2015 auch den Zeitpunkt der Prüfung, die Haltestellennummer und die Nummer des prüfenden Terminals auf die Karte schrieben. Damit ließ sich für alle Busfahrten nachvollziehen, wo und wann ein Fahrgast eingestiegen ist. Das ermöglichte Bewegungsprofile, zumindest für die Nutzer von Nahverkehrsbussen, bei allen anderen Verkehrsmitteln und Kontrollgeräten erfolgte nach derzeitigem Wissen keine Speicherung der Ortsdaten.
Interessanterweise versteht die BVG das datenschutzrechtlich bedenkliche Mitprotokollieren dieser nicht als Fehler:
Es handelt sich hier nicht um ein Leck bzw. einen Systemfehler. Die BVG hat zwar beim Hersteller diese Funktion nicht beauftragt, jedoch hat dieser die in der (((e‑Ticket-Deutschland-Spezifikation beschriebenen Funktionen spezifikationskonform in das Testsystem implementiert.
„It’s not a bug, it’s a feature“ will man damit wohl ausdrücken. Dass die BVG und VBB nicht bemerkt haben wollen, dass diese Funktion aktiviert war, deutet auf die Vernachlässigung einer sorgfältigen Prüfung des Produkts hin. Und steht in deutlichem Widerspruch zu folgender Aussage:
Die BVG testet mit den anderen im VBB verkehrenden Unternehmen permanent die Funktionen des VBB-fahrCard-Systems und stimmt sich mit ihnen über die Funktionen ab. Datenschutzrechtliche Aspekte werden gemeinsam mit dem Landesdatenschutz der Länder Berlin und Brandenburg im Vorfeld untersucht.
Einer der Fragesteller, Andreas Baum von der Piratenfraktion, kommentiert:
Der Umgang mit dem Bewegungsprofil-Datenleck der VBB-fahrCard zeigt, dass die BVG den Schutz personenbezogener Daten nicht ausreichend gewährleistet.
In Informationsbroschüren und selbst auf Nachfrage wurden Kund*innen darauf verwiesen, dass keinerlei Ortsdaten erhoben, erstellt oder verarbeitet würden. Gleichzeitig wurde auf technischer Seite aber genau das getan, indem auf den VBB- fahrcards gespeichert wurde, wann und wo die Kund*innen in den Bus eingestiegen sind. Hinzu kommt, dass jede und jeder mit einem NFC-fähigen Smartphone diese Daten auslesen konnte. Damit waren während des gesamten Jahres 2015 die technischen Möglichkeiten gegeben, dass sowohl die BVG als auch Dritte diese Daten zu Bewegungsprofilen weiterverarbeiten konnten.
Erst die Recherche vom Fahrgastverband IGEB deckte das Datenleck auf, doch selbst jetzt verschließt die BVG die Augen und erklärt, es handele sich hier nicht um ein Leck bzw. einen Systemfehler.
Auf eine wenig ambitionierte Sicherheits- und Datenschutzprüfung deutet auch hin, dass die BVG keinerlei Aussagen dazu machen kann, welche kryptographischen Vorkehrungen getroffen werden, um die Fahrkarten dem Terminal gegenüber zu authentifizieren. Sie sei „lediglich Anwender des Standards“, rechtfertigt man sich. Spätestens nach der Meldung, dass die Logeinträge auf den Karten von jedem NFC-fähigen Smartphone ohne Weiteres im Nahbereich ausgelesen werden konnten, wäre ein generelles Interesse an den Datenschutzvorkehrungen angebracht. „Höchste Sicherheitsstandards“, wie angepriesen, sehen anders aus.
Der Senat selbst, an den die Anfragen gerichtet waren, beantwortet keine davon, auch wenn explizit nach seiner Einschätzung – nicht der der BVG – gefragt wird. Fragesteller Baum kritisiert:
Dass der Senat die an ihn gerichteten Fragen gleich gar nicht beantwortet, zeigt das mangelnde Interesse dieses Senats am Schutz der persönlichen Daten der Fahrgäste der BVG. Senator Geisel muss ein datenschutzpolitisches Konzept vorlegen und erklären, wie er solche Vorfälle in Zukunft vehindern will.
Laut Angaben der BVG wurde der Hersteller der Bus-Kontrollterminals dazu aufgefordert, die Implementierung der Speicherung von Bewegungsdaten zurückzunehmen. In der Zwischenzeit wurden die Prüfgeräte in Bussen außer Betrieb genommen. Ab Anfang Februar – also jetzt – soll es Kunden der BVG möglich sein, an Kundeninformationsterminals die auf den Karten gespeicherten Logeinträge ansehen und löschen zu können. Falls jemand von euch interessante Erfahrungen dabei machen sollte, nehmen wir die gerne über die üblichen Kanäle entgegen.
Update: Zufällig ist heute bei golem.de auch ein sehr ausführlicher, lesenswerter Artikel zum Thema VBB-Fahrcard erschienen.