Eingeloggte User von Bahn.de gefährdet

Bei der durch Zufall gefundenen Lücke auf bahn.de handelt es sich um eine sogenannte Cross-Site-Scripting-Lücke (XSS-Lücke), die es Angreifern möglich macht, eigenen Code zu übergeben und ausführen zu lassen. Damit lassen sich dann beispielsweise Login-Tokens auf einen externen Server transferieren und anschließend auch nutzen, wie es bei netzpolitik.org heißt. Das Gefährdungspotenzial sei damit ähnlich wie bei Firesheep: Gekaperte Session-Cookies erlauben die Verwendung fremden Accounts, von der Änderung der Passwörter bis hin zur Buchung von Tickets.

Den Missbrauch dieser Sicherheitslücke wollte Manuel Blechschmidt verhindern und meldete sie daher bei der Deutschen Bahn. In seinem Brief machte er auf die Bedeutung der Lücke aufmerksam und wünschte sich eine Rückmeldung innerhalb einer Woche. Eigentlich nicht zu viel verlangt und ausreichend Zeit, um die Sicherheitslücke schließen zu lassen. Dennoch hatte die Bahn Verspätung und reagierte nicht innerhalb einer Woche. Vielleicht gab es wichtigere Dinge, wir wissen es nicht.

Erst nach dem Artikel auf netzpolitik.org reagierte die Bahn mit einem Tweet:

Kommentar zur Sicherheitslücke auf bahn.de:

Im täglichen Bahnverkehr gibt es immer wieder Vorkommnisse, die die Deutsche Bahn nicht beeinflussen kann, so dass man dort auch mit den wiederkehrenden Verspätungen leben muss. Ein im Sturm auf die Schienen gekippter Baum muss halt erst beseitigt werden. Das macht die Bahn dann auch mit hoher Dringlichkeit und nach maximal zwei Stunden kann der Verkehr in der Regel wieder fließen.

Für die Sicherheit einer Website, die täglich von sehr vielen Kunden genutzt wird, sollte ebenfalls die höchste Dringlichkeitsstufe gelten und Sicherheitslücken als auf den Gleisen liegender Baum eingestuft werden. Verspätungen in diesem Bereich sollten vermieden werden, denn sonst wäre schnell ein Sturm das Ergebnis und nicht die Ursache.

Update: Die Sicherheitslücke auf bahn.de ist geschlossen

Jetzt hat es also doch nicht lange gedauert und die Deutsche Bahn hat die Sicherheitslücke auf ihrer Website Bahn.de geschlossen:

Weiterführende Links zum Thema Bahn:

• Bahn.de: XSS-Sicherheitslücke - netzpolitik.org
• Spaß mit @DB_Bahn – Heute: Die muskulöse Bulldogge - t3n News
• Deutsche Bahn setzt auf Twitter für Beschwerden - t3n News
• Deutsche Bahn wagt sich ins Social Web – ob das wohl gut geht? - t3n News
• Social Media: Heftige Kritik an Facebook-Aktion „Chefticket“ der Deutschen Bahn - t3n News