Die Sicherheitslücken im Wlan der ICE-Züge sind entgegen früherer Versprechen der Deutschen Bahn nicht gelöst. Bereits kurz nach Start des kostenfreien Wlan-Angebots „WIFIonICE“ der Deutschen Bahn hatte Falk Garbsch vom Chaos Computer Club Hannover vor gravierenden Sicherheitsproblemen gewarnt. Eine Sicherheitslücke erlaubte es Angreifern, umfassende persönliche Daten der Nutzer zu sammeln – wie den Standort, das genutzte Datenvolumen und die Hardware-Adresse des benutzten Gerätes.
Die Deutsche Bahn reagierte schnell und vermeldete, die Schwachstelle per Update behoben zu haben. Die Nutzer könnten wieder unbesorgt surfen. Das ist laut einem Bericht des Chaos Computer Clubs (CCC) falsch. Die Sicherheitslücke besteht weiterhin – eine Problembehebung ist nicht erfolgt. „Dass diese Sicherheitslücke bis heute noch besteht, ist ein peinliches Armutszeugnis. Die Bahn ist offensichtlich mit ihren eigenen Digitalisierungsstrategien vollends überfordert“, kommentiert Garbsch in einer Pressemitteilung.
Nur durch Zufall ist überhaupt ans Licht gekommen, dass die Sicherheitslücke weiterhin besteht. Auf einer ICE-Fahrt war Garbsch zum ersten Mal mit einer Drosselung seiner Internetverbindung konfrontiert. Seit kurzem begrenzt die Deutsche Bahn die Geschwindigkeit für alle Fahrgäste der zweiten Klasse.
100 Millionen Kosten
Das scheint jedoch noch nicht allzu gut zu funktionieren. Garbsch saß in der ersten Klasse und war trotzdem von der Drosselung betroffen, die Social-Media-Abteilung der Deutschen Bahn wusste dafür auch keine Abhilfe. Also schaute Garbsch selber nach – und stieß dabei zufällig auf die bereits bekannte Sicherheitslücke: „Nach einem kurzen Blick auf den Netzverkehr sprangen mir bösartige Queries aus der letzten Analyse ins Gesicht“, schreibt er in einer Erklärung auf der Seite des CCC Hannover. Der einzige Unterschied sei eine Zeile im HTML-Header.
Für die Technologie hinter „WIFIonICE“ hat die Deutsche Bahn übrigens einhundert Millionen Euro ausgegeben.
Update [18.7.2017]: Ein Sprecher der Deutschen Bahn hat die Sicherheitslücke gegenüber netzpolitik.org bestätigt. Eine Analyse hätte gezeigt, dass die bereits bekannte Schwachstelle mit „einer anderen Methode erneut ausgenutzt werden kann“. Die persönlichen Daten seien jedoch nicht für andere Nutzer im Zug zugänglich, erklärte der Sprecher weiter. Die Deutsche Bahn arbeite zusammen mit dem Dienstleister Icomera daran, die Sicherheitslücke zu schließen. Man gehe davon aus, noch heute den Fehler beheben zu können.
