39C3: Massive Schwachstellen erlauben Betrug beim Deutschlandticket

Träge Bankensysteme, gestohlene Schlüssel und offline arbeitende Scanner: Das digitale Deutschlandticket leidet unter massiven Mängeln. Forscher zeigen nun, wie Kriminelle diese Lücken systematisch für Betrügereien in dreistelliger Millionenhöhe nutzen.

Systematischer Betrug beim Deutschlandticket

Zwei IT-Sicherheitsforscher haben nach eigenen Angaben gravierende Schwachstellen im System des digitalen Deutschlandtickets entdeckt. Nach ihren Analysen könnten dadurch Betrugsfälle in dreistelliger Millionenhöhe möglich sein.

Hinweise auf Sicherheitsprobleme gab es bereits zuvor, das nun beschriebene Ausmaß fällt jedoch deutlich größer aus. Die Forschenden Maya "551724" Boeckh und Q Misell wollen ihre Ergebnisse Ende Dezember 2025 auf dem 39. Chaos Communication Congress (39C3) in Hamburg vorstellen.


Nach ihren Angaben liegt das zentrale Problem in der verzögerten Verarbeitung von Zahlungsdaten. Viele Verkehrsunternehmen und Drittanbieter stellen das Ticket unmittelbar nach Vertragsabschluss in der App bereit. Die Prüfung der Bankverbindung per SEPA-Lastschrift dauert im Bankensystem jedoch bis zu sechs Tage. In diesem Zeitraum können mit gefälschten, zunächst plausiblen Kontodaten Tickets erstellt werden.

Diese werden häufig über Messenger-Dienste weiterverkauft und genutzt, bevor die Lastschrift scheitert und das Ticket gesperrt wird. Wie Q Misell in einem Interview mit der Taz erklärte, identifizierten die Forschenden rund drei Millionen potenziell betrügerische Tickets. Die angenommene Schadenssumme im dreistelligen Millionenbereich ergibt sich aus einer Hochrechnung sowie aus dem Vergleich offizieller Verkaufszahlen mit Umfragen zur tatsächlichen Nutzung des Deutschlandtickets.

Probleme mit der digitalen Signatur

Zusätzlich stellten die Experten technische Mängel bei der Absicherung der Tickets fest. Diese werden in der Regel als QR- oder Aztec-Codes ausgegeben und kryptografisch signiert. Nach den Recherchen wurden die dafür benötigten privaten Schlüssel bei einzelnen Ausgabestellen nicht ausreichend geschützt. Gelangen solche Schlüssel in fremde Hände, lassen sich beliebige Tickets erzeugen, die von Kontrollgeräten als gültig erkannt werden. Infografik: Cyberkriminalität in Deutschland bleibt auf hohem Niveau

Offline-Kontrolle als Schwachstelle

Ein Fall betrifft ein Busunternehmen aus Sachsen-Anhalt, das offenbar die Kontrolle über seinen privaten Signaturschlüssel verlor. Dritte konnten damit Tickets im Namen des Unternehmens ausstellen. Da die derzeitigen Regelungen des Deutschlandtarifs keine klare Haftung für solche Sicherheitsversäumnisse vorsehen, entstand dem Unternehmen kein direkter Schaden. Die Kosten tragen andere Verkehrsunternehmen, die die gefälschten Tickets kontrollieren und Fahrgäste befördern, ohne entsprechende Einnahmen zu erhalten.

Erschwert wird die Betrugsbekämpfung durch die notwendige Offline-Fähigkeit der Kontrollsysteme. Die Technik des Deutschlandtickets, die auf VDV-KA-Standards oder UIC-Spezifikationen basiert, muss auch ohne Internetverbindung funktionieren, etwa in Bussen oder auf ländlichen Strecken.

Gesperrte oder ungültige Tickets werden über Sperrlisten erkannt, die auf die Kontrollgeräte übertragen werden müssen. Nach Angaben der Forscher geschieht dies häufig unregelmäßig oder verspätet. Solange ein Ticket nicht auf der lokalen Sperrliste vermerkt ist und die Signatur gültig erscheint, wird es auch nach einer geplatzten Lastschrift akzeptiert.

Kompetenzstreit bremst Lösungen

Obwohl die grundlegenden Probleme seit Oktober des Vorjahres bekannt sind, kommen Gegenmaßnahmen nur langsam voran. Der Deutschlandtarifverbund arbeitet an zentralen Verfahren für Rückrufe und Signaturen. Bislang haben jedoch nur zwei Unternehmen das entsprechende Sicherheitsportal vollständig umgesetzt.

Nutzt ihr das digitale Ticket oder setzt ihr lieber auf die klassische Chipkarte? Wir sind gespannt, wie ihr die Sicherheit des Systems einschätzt. Schreibt es uns in die Kommentare!


Siehe auch: