In diesem Beitrag meiner Beitragsreihe zur polygoCard werde ich die polcgoCard pay, eine Karte mit zusätzlicher Kreditkartenfunktion auf Guthabenbasis näher beleuchten. Sie wird derzeit nur optional von der SSB angeboten, d.h. der SSB-Kunde muss sich bei der Bestellung der polygoCard entscheiden, ob er sie mit oder ohne kontaktloser Bezahlfunktion haben möchte.

Außerdem möchte ich die diversen, in den letzten Wochen erschienenen Artikel der Stuttgarter Zeitung zum Thema polygoCard unter die Lupe nehmen und einzelne Aussagen daraus kommentieren.

Wir wurden übrigens gefragt, was die polygoCard mit der S-Bahn zu tun hat und warum sich S-Bahn-Chaos.de damit beschäftigt. Nun, direkt hat die polygoCard nichts mit der S-Bahn zu tun, aber indirekt natürlich schon. Wir untersuchen und berichten über die polygoCard weil wir es können und weil es sonst niemand macht. Wir wollen auch in Zukunft immer wieder Randthemen im Dunstkreis der S-Bahn Stuttgart aufgreifen und hoffen, dass dies auch im Sinne unserer Leserschaft ist.

Was ist die „polygoCard pay“?

Auf dieser derzeit nur von der SSB in Kooperation mit der BW Bank angebotenen speziellen Form der polygoCard befindet sich eine zusätzliche Electronic Purse Anwendung, die aus der Karte eine kontaktlose Bezahlkarte auf Guthabenbasis macht.

Es handelt sich um eine MasterCard® PayPass™ Kreditkarte, die nicht mit einem Girokonto verknüpft ist, sondern mit einem Prepaid-Konto. Erst nachdem man dieses PrePaid-Konto per Überweisung aufgeladen hat, kann man maximal diesen Betrag für Bezahlungen nutzen. Dass diese Überweisungen auf das Prepaid-Konto bis zu 3 Arbeitstage in Anspruch nehmen, hat in der heutigen Zeit sicher keine technischen Gründe, sondern dient nur der Gewinnmaximierung der beteiligten Geldinstitute.

Da die Bezahlfunktion über die selbe NFC-Hardware der polygoCard läuft, erbt sie auch deren Fähigkeit über eine Entfernung von max. 4 cm mit einem Lesegerät oder Smartphone zu kommunizieren. Diese maximale Entfernung von 4 cm entspricht der Dicke eines Stapels aus 4 normalen CD-Hüllen und soll anhand des folgenden Bildes verdeutlicht werden:

Wie schon bei der eTicket-Funktion der normalen polygoCard gibt es auch für diese Bezahlfunktion entsprechende Smartphone Apps, um kontaktlos die Daten aus der Karte auszulesen. Als Beispiel möchte ich an dieser Stelle die Android-App Scheckkarteleser NFC (EMV) nennen, mit der es z.B. für jedermann möglich ist, die 16-stellige Kreditkartennummer, das Ablaufdatum der Karte und die mit der Karte getätigten Zahlungen auszulesen. Gegen eine Spende wird eine weitere Funktion in der App freigeschaltet, mit der zusätzliche, verschlüsselte Informationen auf der Karte entschlüsselt werden sollen. Die sich daraus ergebende Problematik wurde z.B. in der SWR-Sendung Marktcheck thematisiert.

Falls es Smartphone Apps geben sollte, die auch Zahlungen von diesen Karten entgegen nehmen können, wird die Karte für Betrüger noch interessanter. Da Beträge unter 25 € von der Karte abgebucht werden können, ohne dass der Kartenbesitzer eine PIN eingeben oder eine Unterschrift leisten muss, würde dann ein Taschendiebstahl ermöglicht werden, ohne dass der Dieb in die Tasche greifen muss. Die gute Nachricht ist, dass man rechtlich wohl gute Chancen hat, unrechtmäßig abgebuchtes Geld wieder zurückzubekommen, da die Banken in der Beweispflicht sind und kaum beweisen können, dass man selbst die Zahlung getätigt hat.

Was zum Thema polygoCard so alles in der Zeitung stand …

In diesem Beitragskapitel möchte ich einige Aussagen aus Zeitungsartikeln der Stuttgarter Zeitung zum Thema polygoCard kommentieren.

Debatte über Polygocard – VVS weist Vorwürfe wegen Datenspeicherung zurück

Gegenüber dieser Zeitung wies Stammler aber bereits zurück, dass Bewegungsprofile der Bus- und Bahnnutzer erfasst würden. Dies sei gar nicht möglich.

Wir haben nie behauptet, dass Bewegungsprofile von S-Bahn und Stadtbahn-Nutzern erfasst werden, sondern dass dies nur beim Einstieg in Busse erfolgt. Obwohl Herr Stammler erst generell bestreitet, dass Bewegungsprofile erfasst werden (können), gibt er weiter unten im Artikel zu, dass mehrere Busunternehmen bis Februar 2016 Einstiege in Ihre Busse auf die polygoCard geschrieben haben und dass der RBS dies bis auf weiteres noch so praktiziert.

Zudem versichert Stammler, dass die Daten der Transaktion, wenn überhaupt, nur auf die Karte geschrieben würden. „Sie werden nicht verarbeitet und in keinem Fall an Dritte weitergegeben“, sagt er.

Den Wahrheitsgehalt dieser Aussage können wir natürlich nicht nachprüfen, sie deckt sich aber zum Teil mit den seit Ende April 2016 auf der polygoCard-Seite des VVS nachzulesenden Informationen. Dort steht aber unter der Überschrift „Welche auf der Karte vorhandenen Daten werden vom Einstiegskontrollsystem gespeichert und was passiert dann damit?“ aber auch der folgende Satz:

Die Übermittlung von Kontrolldatensätzen an ein zentrales Hintergrundsystem in anonymisierter Form wird derzeit noch nicht umgesetzt.

Eine Weitergabe der Kontrolldatensätze – immerhin in anonymisierter Form – wird also irgendwann kommen.

Kommentar zur Polygocard – Genau hinschauen

Doch selbst damit lässt sich kein Bewegungsprofil des Nutzers erstellen, zumal dessen persönliche Daten – anders als bei einem papierenen Verbundausweis – verschlüsselt sind.

Auf einer polygoCard ist der Name wie beim alten VVS Verbundpass aufgedruckt. Wenn ich also eine polygoCard in die Hand bekomme und mit dem Smartphone auslese, kann ich die ausgelesenen Daten dieser Person zweifelsfrei zuordnen. Auch wenn ich die Daten einer Karte aus der Hosentasche oder Tasche einer Person auslese, kann ich sie dieser Person zuordnen.

Auf der polygoCard ist der Bereich der ÖPNV-Kundendaten mit Vorname, Nachname, Geburtsdatum und Geschlecht des Kartenbesitzers zwar verschlüsselt und zugriffsgeschützt, er kann aber von den ÖPNV-Unternehmen ausgelesen und entschlüsselt werden. Bei der Menge der im Einsatz befindlichen Kontrollgeräte ist es wohl nur eine Frage der Zeit, bis der für die Entschlüsselung benötigte Schlüssel einem solchen Gerät entlockt und allgemein bekannt wird.

E-Ticket im VVS – Regionalräte sehen Datenschutz bei Polygocard erfüllt

Die Regionalräte im Verkehrsausschuss halten das System für datenschutzrechtlich okay, bei der Linken bleiben Bedenken.

Die Mehrheit der Regionalräte im Verkehrsausschuss konnte oder wollte sich nicht mit dem Thema befassen und winkte es nach kurzer Aussprache durch. Für viele war das Thema wohl einfach zu abstrakt. Wer es gewohnt ist über Dinge zu sprechen die man sehen kann, tut sich mit unsichtbaren Daten und deren Verarbeitung halt schwer.

Die SPD sah zumindest Handlungsbedarf, war aber mit den vom VVS gestarteten Maßnahmen zufrieden. Die Fraktion der Linken/Piraten hielt an ihrer Kritik fest und der Vertreter der AFD forderte sogar die Totalüberwachung der Fahrgäste bei jedem Ein- und Ausstieg in ein ÖPNV-Verkehrsmittel. Die restlichen Parteien (Grüne, FDP, Freie Wähler und CDU) sahen keinen Bedarf für einer Aussprache über das Thema.

Nach diesem bundesweiten Standard gebe es die technische Möglichkeit, dass die letzten zehn Transaktionen (Ein- und Ausstiege oder Kontrollen) gespeichert würden. „Das ist nichts anderes als das, was heute mit Entwertestempeln der Mehrfachkarten geschieht“, so Stammler.

Auf einer VVS polygoCard sind nur Zeitkarten (Monats- und Jahres-Tickets), aber keine Mehrfachkarten gespeichert. Also ist des Speichern von Buseinstiegen auf den polygoCards sehr wohl etwas anderes als das Entwertestempeln der Mehrfachkarten. Oder wurde früher jede durchgeführte Fahrt auf den alten Verbundpass oder die Wertmarke gestempelt?

„Da das der Standard ist, haben wir dagegen keine Handhabe“, sagte Stammler. Er sehe da auch grundsätzlich keine Probleme – die Einzelabrechnung diene dem Verbraucherschutz, damit die Kunden nachvollziehen könnten, was abgerechnet werde.

Noch einmal: Es gibt im Zusammenhang mit den polygoCards keine Einzelabrechnung von Fahrten. Mit dem „Schweinegeld“, welches man für ein Monats- oder Jahres-Ticket beim VVS abdrücken muss, sind alle Fahrten in den gekauften Zonen abgegolten. Eine Erfassung der Fahrten auf der Karte oder auch zentral ist nicht notwendig und hat deshalb aus Gründen der Datensparsamkeit (ein elementarer Datenschutzgrundsatz) zu unterbleiben.

Wenn der VVS gegen das Protokollieren der Buseinstiege auf die polygoCard keine Handhabe hat, warum verzichten dann alle Verkehrsunternehmen im VVS außer dem RBS darauf? Verstossen alle diese Verkehrsunternehmen gegen den Standard der VDV-Kernapplikation?

Ich meine, auch der RBS könnte auf das Schreiben dieser Daten auf die polygoCard verzichten, wenn er nur wollte. Die RBS Lesegeräte können die polygoCards nämlich bereits sehr wohl von den in Heilbronn und Schwäbisch Hall verwendeten Karten unterscheiden und sie unterschiedlich behandeln. Die Art der auf Karte geschriebenen Transaktion ist bei der polygoCard nämlich „Kontrolle“, bei den in Heilbronn und Schwäbisch Hall verwendeten Karten aber „Check-In“ bzw. „Check-Out“. Die einzige notwendige Änderung gegenüber dem jetzigen Zustand wäre, bei polygoCards gar nichts mehr auf Karte zu schreiben. Eine winzige Softwareänderung, die sicher auch im Rahmen des aktuellen VDV-Standards möglich wäre.

Zusammenfassung:
VVS-Geschäftsführer Horst Stammler ist sichtlich bemüht die Sache in der Öffentlichkeit herunterzuspielen, im Hintergrund hat der VVS aber schon viel unternommen um das Problem in den Griff zu bekommen und dies muss als Eingeständnis gesehen werden, dass es ein Problem gibt.

Es ist ja richtig, dass das Problem beim VVS nicht ganz so groß war wie bei den Berliner Verkehrsbetrieben (BVG), die dafür den Negativpreis Big Brother Award erhalten haben. Beim BVG wurden alle Einstiege in Busse auf die Karte protokolliert, beim VVS war das nicht bei allen Bussen der Fall. Der BVG hat aber mittlerweile das Schreiben auf Karte komplett deaktiviert und bietet das Löschen der früher geschriebenen Transaktionen von den Karten der Kunden an. Der VVS hingegen lässt den RBS weiter auf die polygoCards schreiben und eine Möglichkeit der Löschung dieser Daten steht auch noch aus.