Re: [Nrw-ak-datenschutz] Unverschluesselte Kundendaten auf VRR eTickets

[Andreas Gärtner <konfuziuseins AT yahoo.de>]

moin auch

neu ist das Problem ja nunmal nicht.. AK-Vorrat und CCC haben zu diesem
Thema ja schon einiges gesagt

grüße 4ndy

On 28.11.2011 19:17, Tobias Feldmann wrote:
> Moin liebe Liste,
> 
> nachdem ich nunmehr 2 Monate in Düsseldorf und somit im Bereich des
> VRR wohne, habe ich mich über das kürzlich erworbene Ticket schlau
> gemacht.
> 
> Das eTicket hat verschiedene Daten auf dem RFID Chip gespeichert,
> darunter auch Daten, welche unter die informelle Selbstbestimmung 
> fallen. Konkret handelt es sich um folgendes:
> 
> "    Name
> "    Vornahme
> "    Geburtsdatum
> "    Gültigkeitszeitraum des Tickets
> "    Tarif des Tickets
> "    Besteller des Tickets (z.B. Arbeitgeber)
> 
> Das BSI gibt an, dass RFID Chips bis auf 2 Meter bitgenau ausgelesen
> werden können:
> https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/ElekAusweise/RFID/Abh_RFID_pdf.pdf?__blob=publicationFile
> 
> Der VRR gibt das sog. IT-Sicherheitskit heraus, welches ein RFID
> Lesegerät beinhaltet. Mit diesem kann ein jedes eTicket in ca. einer
> Sekunde ausgelesen werden, auch ohne das Wissen des Besitzers. Dieses
> widerspricht m.M.n. eindeutig dem Grundrecht auf Gewährleistung der
> Vertraulichkeit und Integrität informationstechnischer Systeme. Der
> eTicket Inhaber hat keinerlei Möglichkeit nachzuvollziehen, in welchem
> Umfang seine Daten ausgelesen wurden.
> 
> Ich habe den VRR heute angeschrieben, in wieweit die Daten seiner
> Kunden verschlüssel gespeichert werden. Ich habe eine Antwort
> erhalten, die Daten werden komplett unverschluesslt gespeichert und
> bereit gestellt. Die E-Mail vom VRR (Herr Omers) liegt mir vor.
> 
> (alter Text: Sollte sich hierbei rausstellen (wie schon 2007:
> http://www.kruedewagen.de/blog/2007/12/21/rfid-tickets-beim-vrr/) dass
> die Daten gänzlich unverschlüssel gespeichert sind, würde ich hier
> gerne zumindest eine PM rausbringen.)
> 
> Schön ist auch der VRR, der zwar angibt man könne ein Bewegunsprofil
> der Kunden erstellen, verzichtet aber darauf:
> http://www.vrr.de/de/global/hilfe_faq/fragen_und_antworten/01029/index.html#j7
> 
> Gibt es hierzu bereits eine Initiative? Gefunden habe ich bei meinen
> Recherchen leider nichts.
> 
> Passend dazu habe ich ein Pad eroeffnet, vielleicht will und kann
> jemand was an der PM verbessern? http://piratenpad.de/VRR
> 
> Und nach dem Fussball bin ich heute auch wieder zu Hause :)
> 
> Grüße, Tobi