Identity Theft bei der Deutschen Bahn

BahnCard 100-Kunden waren bei der Deutschen Bahn seit März 2005 einer erhöhten Gefahr von Identity Theft ausgesetzt, in Folge dessen Fahrkarten auf fremde Rechnung erstanden und vom Angreifer anonym abgeholt werden konnten.

Für die BahnCard 100-Kunden unterhält die Bahn unter dem Namen “bahn.comfort Servicetelefon” eine Servicenummer. Dort können unter Angabe der BahnCard-Nummer, des Namens und des Geburtsdatums bei hinterlegten Konto- oder Kreditkartendaten Fahrkarten für In- und Auslandsreisen gekauft werden, die mit einer Belastung des Bankkontos oder der Kreditkarte bezahlt werden. Der Anrufer erhält eine BahnTix-Nummer, die an jedem beliebigen Fahrkartenautomaten der Deutschen Bahn zur Abholung der Fahrkarten genutzt werden kann.

Durch grobe Versehen in der Handhabung der Kundendaten bei DB Rent – einem Tochterunternehmen der Bahn – waren mit geringem Aufwand alle persönlichen Daten zu einer beliebigen BahnCard 100 Kartennummer abfragbar – inklusive des Namens, der Adresse und des Geburtsdatums. Damit könnte ein Angreifer im Namen unterschiedlicher Kunden telefonisch Fahrkartenkäufe in Höhe von mehreren Hundert Euro tätigen und die Fahrkarten anschließend an einem Automaten abholen, ohne Gefahr zu laufen, gefasst zu werden.

In welchem Ausmaß die Kunden der Deutschen Bahn bereits geschädigt wurden, ist nicht bekannt.

Die Anzahl der BahnCard 100-Kunden beläuft sich laut Drittangaben im Augenblick auf etwa 20.000 (Quelle: Wikipedia), primär betroffen wären jedoch nur diejenigen, die sich für das Lastschriftverfahren im telefonischen oder Online-Fahrkartenverkauf angemeldet haben.

Autor und Kontakt

Recherche und Artikel: Denis Jedig, 2006