Sicherheitslücke - 16-Jähriger trickst SBB aus und kann unbegrenzt gratis fahren

Systeme testen und Fehler suchen, um diese dann den Firmen melden zu können – das macht der heute 16-jährige Jordan Unegbu in seiner Freizeit. Vor ungefähr einem halben Jahr, im Alter von 15 Jahren, kam er erstmals auf die Idee, wie man die SBB überlisten und gratis Tickets generieren könnte. «Ich fand es selber etwas seltsam, dass das tatsächlich geklappt hat», sagt er gegenüber 20 Minuten.

Nach diversen Tests ist er überzeugt: Sein Vorgehen funktioniert, er kann nach Belieben Gratistickets generieren – egal ob per Bahn, Bus oder Schiff, in der ersten oder zweiten Klasse und auf welcher Strecke. «Also habe ich mich hingesetzt und mir überlegt, wie man die Sicherheitslücke schliessen könnte. Mittlerweile habe ich dafür eine simple Lösung gefunden», sagt Jordan.

20 Minuten lädt den jungen Programmierer auf die Redaktion ein. Wie genau er das Ticket generiert, will er nicht verraten. Er bietet aber an, auf dem Handy einer Mitarbeiterin ein solches Ticket zu generieren. Und tatsächlich: Er verbindet das Handy der Mitarbeiterin mit seinem PC, nach wenigen Minuten bekommt sie es mit einem Ticket darauf zurück. Noch am selben Abend wird die Mitarbeiterin – die zusätzlich ein GA hat – mit dem Ticket im Zug von Zürich nach Basel kontrolliert. Alles funktioniert reibungslos, Kosten fallen keine an.

Jordan betont: «Mir geht es nie darum, jemandem zu schaden und ich habe immer ein gültiges Ticket gekauft, wenn ich die Tests durchgeführt habe.» Er würde die SBB gerne über die Lücke informieren und ihnen eine Lösung präsentieren. «Ich hoffe natürlich, dass ich dafür eine Belohnung erhalte.»

Bei den SBB ist das Problem bekannt, wie Mediensprecherin Jeannine Egi sagt: «In den AGB des entsprechenden Angebots ist festgehalten, dass es sich bei dieser Methode, um sich Tickets zu erschleichen, um Missbrauch handelt. Wer diesen Trick nutzt, macht sich strafbar. Die SBB verurteilt ein solches Verhalten aufs Schärfste.»

Jordan sei den SBB auch schon aufgefallen, sagt Egi: «Unser System überprüft automatisch, ob Unregelmässigkeiten vorkommen, die auf Betrugsfälle hindeuten. Verdächtige User werden gesperrt.» Das wäre laut Egi auch bei Jordan demnächst der Fall gewesen.

Wie viele Personen sich die Lücke zunutze machten und wie hoch der Schaden sei, der den SBB dadurch entstanden ist, verrät Egi nicht. Auch nicht, wie lange das Problem schon bekannt ist. «Seit wir das Problem erkannt haben, arbeiten wir mit Hochdruck an einer Lösung zur Behebung.»

Karin Blättler ist Präsidentin von Pro Bahn. Um den Fall im Detail beurteilen zu können, brauche sie mehr Informationen, sagt sie. Generell lasse sich aber sagen: «IT-Fehler und -Sicherheit sind ein grundsätzliches, und nicht nur ein SBB-spezifisches Problem. Eine hundertprozentig fehlerfreie Software gibt es nicht.» So scheine es auch in diesem Fall zu sein: «Wenn sich das tatsächlich so zugetragen hat, dann ist es wichtig, dass die Verantwortlichen diesen Fehler mit Hochdruck ausmerzen.»

Jordan ist auf Instagram, Twitter und bei artist.ink zu finden.