Onlineticket

Ein Online-Ticket der Deutschen Bahn. Das Zertifikat befindet sich in der ersten Zeile rechts oben unterhalb des Aztec-Codes.

Ein Online-Ticket ist eine Eintritts- oder Fahrkarte, die auf elektronischem Wege (meistens über das Internet) erstanden und selbst ausgedruckt werden kann. Die Gültigkeit des Tickets kann beispielsweise anhand eines auf dem Ticket aufgedruckten digitalen Zertifikates und einer persönlichen Identifikation (z. B. Kreditkarte, Mitgliedsausweis oder Personalausweis) überprüft werden^[1].

Prinzip

Der Verkäufer benutzt Informationen über den Verwendungszweck und bei personalisierten Tickets auch die Identifizierung des Käufers, wie eine Kreditkartennummer, um ein digitales Zertifikat zu erstellen. Mit dem Zertifikat kann der Verkäufer bei der Kontrolle des Tickets überprüfen ob es sich um ein gültiges Ticket handelt und ob der Benutzer berechtigt ist, das Ticket einzulösen.

Sicherheit

Es bestehen theoretisch verschiedene Möglichkeiten ein Online-Ticket zu fälschen. Neben der räumlichen und zeitlichen Einschränkung der Gültigkeit gibt es noch weitere Möglichkeiten die Tickets vor Missbrauch und Fälschung zu schützen.

Mehrfachnutzung

Die einfachste Möglichkeit wäre die Mehrfachnutzung eines Tickets. Da das Ticket vom Kunden selbst ausgedruckt wird oder sogar nur in elektronischer Form bei ihm vorliegt, kann er beliebig viele Kopien davon anfertigen. Wenn er die identischen Tickets nacheinander nutzt, bemerkt dies der Verkäufer spätestens beim Abgleich der geprüften Tickets mit den verkauften Tickets. Das kann bei mobilen Kontrollgeräten, wie sie beispielsweise für Fahrkartenkontrollen in Zügen verwendet werden, erst am Abend oder am nächsten Tag sein, sobald das Gerät zum Datenabgleich mit der zentralen Datenbank verbunden wird. Gegen diese Möglichkeit ist die Assoziierung des Tickets mit einer persönlichen Identifikation gerichtet. Dadurch kann im Regelfall der Betrüger zurückverfolgt werden. Gleichzeitig wird verhindert, dass mehr als eine Person die Fahrkarte zeitgleich nutzen.

Nutzung mit anderer Identität

Eine weitere Möglichkeit ist der Diebstahl eines gültigen Zertifikats von einem regulären Käufer. Das fällt auf, sobald ein Ticket mehrfach in der Kontrolle auftaucht. Bei personalisierten Tickets genügt dieser Diebstahl nicht, sondern es muss auch noch die Identifizierung des regulären Käufers gestohlen werden. Dadurch gerät der reguläre Käufer in den Verdacht einer Mehrfachnutzung, den er nicht ohne Weiteres entkräften kann.

Diebstahl des Zertifizierungsverfahrens

Gelingt es einem Betrüger das Zertifizierungsverfahren und die zugehörigen digitalen Schlüssel unbemerkt zu entwenden, so ist er ebenso wie der Verkäufer des Tickets in der Lage formell gültige Zertifikate und somit gültige Tickets zu erstellen. Gegen diese Form des Betrugs hilft allein eine Registrierung aller verkauften Tickets in einer Datenbank und der Abgleich der kontrollierten Tickets mit dieser Datenbank. Der Betrüger ist dann allerdings nur dingfest zu machen, wenn der Abgleich online erfolgt.

Zufallstreffer

Eine theoretische Möglichkeit, ein gültiges Online-Ticket durch Betrug zu erlangen wäre, dass ein zufällig ausgewählter Code gültig ist. Die Wahrscheinlichkeit dafür kann der Verkäufer verringern, indem er den Coderaum, also die Anzahl möglicher Codes, so groß wie möglich macht. Der Coderaum ist in der Praxis allerdings beschränkt: Die Codelänge wächst proportional zum Logarithmus aus der Anzahl möglicher Codes. Längere Codes sind für den Kunden unhandlich und beanspruchen mehr Speicherplatz in Kontrollgeräten und Datenbanken.

Die Wahrscheinlichkeit für einen Zufallstreffer beträgt bei einem Online-Ticket der Deutschen Bahn rund 1 : 4,7·10¹⁸ (1 : 4.700.000.000.000.000.000).

Das OnlineTicket bei der Deutschen Bahn

In Deutschland besonders gebräuchlich sind die Online-Tickets bei der Deutschen Bahn. Sie wurden zum 25. Oktober 1999 eingeführt und zunächst nur im Rahmen des mittlerweile eingestellten Sonderangebots Surf&Rail ausgegeben (davor gab es jedoch bereits die Möglichkeit sich Platzreservierungen am heimischen Computer zu erstellen und zu bezahlen). Dabei wurden 111 Direktverbindungen zwischen 25 Städten zu Sonderkonditionen angeboten^[2].

Bei diesen Surf&Rail-Online-Tickets (welche an die Benutzung bestimmter Züge gebunden waren) kam jedoch ein anderes Verfahren zur Anwendung als heute, als Legitimation reichte ein Personalausweis oder Reisepass, die Zugbegleiter führten Listen mit sich auf welchen alle Buchungen für den jeweiligen Zug verzeichnet waren (Surf&Rail wurde nur für Fernverkehrszüge angeboten). Seit dem 1. April 2002 werden Online-Tickets auch flächendeckend für den Normaltarif angewendet (d. h. auch für Verbindungen welche Nahverkehrszüge enthalten), außerdem wurde ein neues Legitimationsverfahren eingeführt (seither muss die BahnCard bzw. Kreditkarte, mit der das Ticket gebucht wurde, als Legitimation vorgelegt werden). Die neuen Online-Tickets wurden zunächst nur für Strecken ab 101 Kilometer Entfernung ausgegeben, ein paar Jahre später wurde diese Mindestentfernung dann auf 51 Kilometer gesenkt. Unabhängig von dieser Mindestentfernung wurden die Online-Tickets zum Normaltarif aber bereits von Beginn an auch für reine Nahverkehrsverbindungen ausgegeben, also auch für Reisen bei denen im gesamten Verlauf keine Fernverkehrszüge (IC oder ICE) benutzt werden. Als Besonderheit können bestimmte Sonderangebote wie das Schönes-Wochenende-Ticket, die regionalen Ländertickets und Fahrradkarten nicht als Online-Ticket zum selbst ausdrucken gebucht werden. Insgesamt verkaufte das Unternehmen 2006 nach eigenen Angaben 7,7 Millionen Reisen als Online-Ticket, dies entspricht 17 % der Fahrscheinverkäufe im Fernverkehr.^[3]

Im Matrixcode des Tickets sind Informationen zu Abfahrtsbahnhof, Zielbahnhof, Strecke, Züge, Anzahl der reisenden Personen, Tarif, Reisedatum und Wagenklasse gespeichert^[4]. Die Identifizierung des Reisenden erfolgt durch eine BahnCard, EC- (heute Maestro-) oder Kreditkarte und wird nur zur Überprüfung der Berechtigung verwendet, muss dafür aber nicht dauerhaft gespeichert werden. In den mobilen Kontrollgeräten der Bahn ist ein Kontrolldatensatz mit Informationen zum Zug, in dem das Online-Ticket kontrolliert wurde, gespeichert. Dieser enthält aber keine personenbezogenen Daten.

Zunächst konnten Online-Tickets der Deutschen Bahn nur per Kreditkarte erworben werden. Später wurde es möglich, das Ticket auch per Lastschrifteinzug zu bezahlen; hier besteht jedoch anfangs eine Wartezeit von 9 Tagen, in welcher die Bankverbindung geprüft werden müsse.

Literatur

1. ↑ Alexander Nouak: Online Ticket, Fraunhofer-Institut für Graphische Datenverarbeitung IGD, Februar 2003, [1]
2. ↑ Meldung Fahrkarten aus dem Internet. In: Eisenbahntechnische Rundschau. 48, Nr. 11, 1999, S. 705.
3. ↑ heise online: Online-Tickets bei der Deutschen Bahn immer beliebter, 16. Januar 2007
4. ↑ Daten-Speicherung.de: Datenschutz bei Online-Tickets der Deutschen Bahn [2]