Auf der Ticketverkaufsplattform sind eine Million Informationen durchgesickert

Ein Ausfall der Ticketing-Plattform des öffentlichen Verkehrs verursachte das Leck von rund einer Million Daten. Inzwischen sei das Leck gestopft, teilten die SBB und die Allianz Swisspass am Montag mit. Kunden kamen nicht zu Schaden.

Betroffen ist die zentrale Vertriebsplattform Nova (Netzweite ÖV-Anbindung) für den ÖPNV. Es wird von der SBB im Auftrag von Alliance Swisspass betrieben.

Von außen gemeldet

SBB und Alliance Swisspass wurden von einem externen IT-Spezialisten auf den Leak aufmerksam gemacht. Diese hätten es geschafft, in wenigen Januartagen rund eine Million Daten abzufragen.

Das entspreche 0,2 Prozent aller Anmeldungen, lesen Sie am Montag die Medienmitteilung von Allianz SwissPass und SBB. Inzwischen hat der Mann die heruntergeladenen Daten „unwiderruflich“ gelöscht.

Die geleakten Daten enthielten Informationen über gekaufte Tickets und/oder die Gültigkeitsdauer von Abonnements. Etwa die Hälfte der Daten betrafen ausschließlich Nachnamen, Vornamen und Geburtsdaten der Kunden.

Angaben zu Wohnort, Zahlungsmitteln, Passwörtern und E-Mail-Adressen wurden nicht gemacht. Die andere Hälfte der Daten enthielt unpersönliche Informationen über Tickets, die an Verkaufsautomaten gekauft wurden.

In ihrer Stellungnahme entschuldigen sich die SBB und die Allianz Swisspass bei den Kunden. Um diesen Rückschlag zu erklären, müssen wir bis Ende 2020 zurückgehen, als die CFF die Sicherheit des Abonnementverlängerungsprozesses über diese Plattform verstärkte.

Bundeswart

Da Kunden mehrerer ÖV-Unternehmen ihr Abo nicht mehr ohne Weiteres verlängern konnten, stellte die SBB im Dezember 2021 den Zugang mit dem alten Mechanismus wieder her. Dieser Entscheid erwies sich als unglücklich: Er schuf eine Sicherheitslücke.

Dadurch, dass der externe Experte die SBB informierte, konnte die Lücke geschlossen werden, heisst es in der Mitteilung. Ab sofort können keine Daten mehr unbefugt eingesehen werden.

Die SBB informierte umgehend den Eidgenössischen Informations- und Datenschutzbeauftragten und die betroffenen ÖV-Unternehmen. Eine interne Untersuchung wurde eingeleitet.

/ATS