Die Sicherheitslücken im Wlan der ICE-Züge sind entgegen früherer Versprechen der Deutschen Bahn nicht gelöst. Bereits kurz nach Start des kostenfreien Wlan-Angebots „WIFIonICE“ der Deutschen Bahn hatte Falk Garbsch vom Chaos Computer Club Hannover vor gravierenden Sicherheitsproblemen gewarnt. Eine Sicherheitslücke erlaubte es Angreifern, umfassende persönliche Daten der Nutzer zu sammeln – wie den Standort, das genutzte Datenvolumen und die Hardware-Adresse des benutzten Gerätes.
Die Deutsche Bahn reagierte schnell und vermeldete, die Schwachstelle per Update behoben zu haben. Die Nutzer könnten wieder unbesorgt surfen. Das ist laut einem Bericht des Chaos Computer Clubs (CCC) falsch. Die Sicherheitslücke besteht weiterhin – eine Problembehebung ist nicht erfolgt. „Dass diese Sicherheitslücke bis heute noch besteht, ist ein peinliches Armutszeugnis. Die Bahn ist offensichtlich mit ihren eigenen Digitalisierungsstrategien vollends überfordert“, kommentiert Garbsch in einer Pressemitteilung.
Nur durch Zufall ist überhaupt ans Licht gekommen, dass die Sicherheitslücke weiterhin besteht. Auf einer ICE-Fahrt war Garbsch zum ersten Mal mit einer Drosselung seiner Internetverbindung konfrontiert. Seit kurzem begrenzt die Deutsche Bahn die Geschwindigkeit für alle Fahrgäste der zweiten Klasse.
100 Millionen Kosten
Das scheint jedoch noch nicht allzu gut zu funktionieren. Garbsch saß in der ersten Klasse und war trotzdem von der Drosselung betroffen, die Social-Media-Abteilung der Deutschen Bahn wusste dafür auch keine Abhilfe. Also schaute Garbsch selber nach – und stieß dabei zufällig auf die bereits bekannte Sicherheitslücke: „Nach einem kurzen Blick auf den Netzverkehr sprangen mir bösartige Queries aus der letzten Analyse ins Gesicht“, schreibt er in einer Erklärung auf der Seite des CCC Hannover. Der einzige Unterschied sei eine Zeile im HTML-Header.
Für die Technologie hinter „WIFIonICE“ hat die Deutsche Bahn übrigens einhundert Millionen Euro ausgegeben.
Update [18.7.2017]: Ein Sprecher der Deutschen Bahn hat die Sicherheitslücke gegenüber netzpolitik.org bestätigt. Eine Analyse hätte gezeigt, dass die bereits bekannte Schwachstelle mit „einer anderen Methode erneut ausgenutzt werden kann“. Die persönlichen Daten seien jedoch nicht für andere Nutzer im Zug zugänglich, erklärte der Sprecher weiter. Die Deutsche Bahn arbeite zusammen mit dem Dienstleister Icomera daran, die Sicherheitslücke zu schließen. Man gehe davon aus, noch heute den Fehler beheben zu können.
Mal ganz höflich. Seit wann gibt es denn sichere WLAN? Und ich kleiner Narr dachte immer, dass ich über WLAN nicht nur ein paar Kennwörter übernehmen könnte. Wenn man mit VPN ins WLAN geht, sollte es sicher sein. Auch das vom ICE, heute schon. Sonst eben nicht. Wobei wahrscheinlich nicht in jedem WLAN böse Hacker lauern.
Auch mein vor vielen Jahren benutzer Rechner (so um 2000 bis 2005), ohne Firewall und Virenscanner, mit dem ich bestimmt nicht nur auf soliden Seiten surfte, war trotzdem nach einer Kontrolle vor ein paar Wochen nicht durch und durch trojaner- oder botnetverseucht. Die Zunahme krimineller Aktivitäten im Netz scheint auffällig mit der Entwicklung der Staatshackerei zu korrellieren. Beweisen wird das nie jemand können, aber der Anfangsverdacht sei vorgebracht.
Das ganze Konzept von ‚offenen‘ Wlan Netzwerken ist nicht sicher.
Ich kann in fast jedem Netzwerk Daten abgreifen.. manipulieren.. und so auch den ein oder anderen Rechner übernehmen.
Ob mit oder ohne Passwort (mit Passwort ist es natürlich dennoch viel sicherer)
Das ganze Wlan muss sich ändern..
Persönliche Keys (wie bei HTTPS, Public- und Private-Keys) sollte es geben.
Erst dann spreche ich überhaupt von Sicherheit.
Einzige Möglichkeit dann wäre ein Man-in-the-Middle Angriff oder ein kompromittiertes System.
Hallo, ich habe als Nicht-Hacker (bloss technisch versierter User) auch den Eindruck, dass dieses WIFIonICE nicht ganz koscher ist. Zum einen reklamierte mein Outlook, dass mit dem Zertifikat meines Mailhosters etwas nicht in Ordnung sei, d.h. es würde nicht mit dem Namen der Webseite übereinstimmen (www.ombord.info).
Weitere Beobachtung ist, dass ich mit meinem Android VPN zwar eine gesicherte Verbindung zu meiner FritzBox herstellen kann, auch die Webseite des Routers mit der privaten IP-Adresse besuchen kann, aber die Telefon-App von AVM NICHT mit der Fritzbox verbinden kann.
Bei der Deutschen Bahn bin ich heute zum letzten Mal ins WLAN gegangen. zum zweiten Mal innerhalb 4 Wochen wahrscheinlicher Versuch von Fremdzugriff. Entweder die Bahn reduziert mal das Risiko für ihre Kunden, gehackt zu werden oder hört mit der Werbung für ihr WLAn auf oder macht auf das Risiko aufmerksam. Eine Unverschämtheit , die Kunden ins offene Messer laufen zu lassen.