Bahn-Sammelthread

[HAM76]

ANZEIGE

direkter Hackerangriff vielleicht nicht, aber das Mitschneiden in offenen WLan-Netzen und das Verwenden dieser Daten ist auch schon ein Hack.

Das gibt es heute aber so gut wie gar nicht mehr... So gut wie alle Webseiten verwenden https, also eine Verschlüsselung zwischen deinem Gerät und dem Webserver, die unabhängig ist von einer Verschlüsselung auf WLAN Ebene. Das gilt auch für bahn.de.

 

[red_travels]

Das gibt es heute aber so gut wie gar nicht mehr... So gut wie alle Webseiten verwenden https, also eine Verschlüsselung zwischen deinem Gerät und dem Webserver, die unabhängig ist von einer Verschlüsselung auf WLAN Ebene. Das gilt auch für bahn.de.

wenn du wüsstest… es gibt schon gute Mittel um das mitzuschneiden. Auch bei HTTPS lassen sich einige Details herausfinden und für ein schwaches Passwort ist es nur eine Frage der Zeit bis das herausgefunden wird, wenn die Gegenseite unendlich viele Versuche zulässt.

dazu kommt noch, dass Unmengen an gestohlenen Serverdaten im Darkweb schwirren und viele ihre Passwörter mit E-Mail mehrfach verwenden und nie wechseln bzw. erst aufwachen, wenn es schon geknallt hat.

 

[HAM76]

wenn du wüsstest… es gibt schon gute Mittel um das mitzuschneiden. Auch bei HTTPS lassen sich einige Details herausfinden und für ein schwaches Passwort ist es nur eine Frage der Zeit bis das herausgefunden wird, wenn die Gegenseite unendlich viele Versuche zulässt.

Ich kann schon mit Wireshark umgehen... Das gleiche Protokoll wie bei https wird auch bei VPN Tunneln eingesetzt. Klar kannst Du den https Traffic mitschneiden. Nur nützt dir der erstmal genauso wenig wie der VPN Traffic, den Du ja auch mitschneiden kannst. Du weißt, was der Endpunkt der Verbindung ist und kannst ungefähr die Datenmenge abschätzen, die ausgetauscht wird.

Das es neben dem früher erfolgreichen Mitschneiden von WLAN Verkehr heute zahlreiche andere Möglichkeiten gibt, steht außer Frage, war aber nicht mein Punkt.

 

[red_travels]

naja dafür soll das 2FA doch da sein. Damit ist die Bahn nun auch nicht allein.

in der App bin ich weiterhin angemeldet und es ist kein 2FA nötig, wie es beim Kauf aussieht, erfahre ich erst morgen (NV Kauf)

2FA springt in der App natürlich nicht an, wenn man eine Fahrkarte kauft und bereits eingeloggt ist.

 

[Biohazard]

Das gibt es heute aber so gut wie gar nicht mehr... So gut wie alle Webseiten verwenden https, also eine Verschlüsselung zwischen deinem Gerät und dem Webserver, die unabhängig ist von einer Verschlüsselung auf WLAN Ebene. Das gilt auch für bahn.de.

Man-in-the-Middle, SSL Offloading - insbesondere letzteres ist easy umzusetzen und viele DAUs unbedarfte Nutzer verbinden sich am Bahnhof, Flughafen oder im Hotel mit allen möglichen offenen Hotspots, weil mobiles Internet ja so teuer und langsam ist. Wenn da dann mal ne kleine Zertifikatsmeldung auftaucht, die auf das SSL Offloading aufmerksam macht, wird diese ignoriert und weggeklickt, man könnte ja irgendwas bei WhatsApp oder Instagram verpassen.

 

[VBird]

Hat ein Kenner einen hilfreichen Rat für mich ?

Ich MUSS morgen abend meinen Flug ab CPH erreichen.
Hatte schon vor langem ein Zugticket gebucht, aber ohne Sitzplatzreservierung wegen dauernder Probleme mit solcher in letzter Zeit. Wollte eine hinzufügen, FALLS es nahe am Abfahrtsdatum eng werden sollte.

Jetzt hat mich das blühende Leben überholt - der IC 394 ist ausgebucht !
Die Hotline hat mir eben versichert, dass ich NICHT aus dem Zug verwiesen würde; nur eben stehen müsse.

Wie gehe ich am besten vor? In den dritten Wagon in den Fahrradraum; in der Hoffnung, dass nicht alle Fahrradplätze belegt sind und ich da ein freies Stück Fussboden erhaschen kann ?

 

[Münsterländer]

Hat ein Kenner einen hilfreichen Rat für mich ?

Ich MUSS morgen abend meinen Flug ab CPH erreichen.
Hatte schon vor langem ein Zugticket gebucht, aber ohne Sitzplatzreservierung wegen dauernder Probleme mit solcher in letzter Zeit. Wollte eine hinzufügen, FALLS es nahe am Abfahrtsdatum eng werden sollte.

Jetzt hat mich das blühende Leben überholt - der IC 394 ist ausgebucht !
Die Hotline hat mir eben versichert, dass ich NICHT aus dem Zug verwiesen würde; nur eben stehen müsse.

Wie gehe ich am besten vor? In den dritten Wagon in den Fahrradraum; in der Hoffnung, dass nicht alle Fahrradplätze belegt sind und ich da ein freies Stück Fussboden erhaschen kann ?

Da das ein Zug der DSB ist, gibt es keine so großen Fahrradabteile.

Hast du es wegen der Sitzplatzreservierung auch schon mal bei der DSB selber probiert?

 

[VBird]

Auch MIT Platzreservierung hätte ich aktuell keinen Sitz im 394, da die Dämlichen Blödiane meinen Zubringer in HH erst mit über 10 min Verspätung losgeschickt haben.
Bin mit R7 bis nach Flensburg, und habe gerade Grenzkontrolle hinter mir.

 

[geos]

Wie eine Berlinerin auf eine Betrugsmasche bei der Deutschen Bahn hereinfällt

„Best of Wochenende“: Betrüger kaperten den DB-Account der Neuköllnerin Lena S. und kassierten bei ihr ab. Der Fahrgastverband Pro Bahn äußert sich.

www.berliner-zeitung.de

ich raten jedem, auf bahn.de keine Zahlungsmittel zu hinterlegen. So gigantisch groß ist der Aufwand nicht, bei jeder Buchung seine Kreditkartendaten einzugeben.

Seit wann wird dort eigentlich 2FA angeboten?

 

[geos]

Hat die DB eigentlich die Wageninformationen (Information zur Reihung der Wagen der Züge, im Schaukasten aushängend) für Fernzüge an den Bahnhöfen abgeschafft?

 

[loennermo]

Hat die DB eigentlich die Wageninformationen (Information zur Reihung der Wagen der Züge, im Schaukasten aushängend) für Fernzüge an den Bahnhöfen abgeschafft?

Zumindest in Fulda: ja!

 

[SWINE]

Hat die DB eigentlich die Wageninformationen (Information zur Reihung der Wagen der Züge, im Schaukasten aushängend) für Fernzüge an den Bahnhöfen abgeschafft?

Die hat doch eh nie gestimmt also wozu für den Bullshit Papier verschwenden?

 

[Biohazard]

Seit wann wird dort eigentlich 2FA angeboten?

Das habe ich mich auch schon gefragt und bin etwas recherchieren gegangen. Während die FAQ auf bahn.de (https://www.bahn.de/hilfe/kundenkonto/kundenkonto-2fa) keinerlei Datumshinweise liefert (Erstellt/aktualisiert am ...), habe ich einen Artikel auf notebookcheck.com vom 17.02.2022 gefunden, in welchem es um ein Update der Bahn-Navigator-App geht, auf das die Bahn hinweist.

Möglicherweise hängt das mit der Zwei-Faktor-Authentifizierung der Deutschen Bahn zusammen. Es ist bereits möglich einen zweiten Faktor einzurichten.

Deutsche Bahn fordert zum Update der DB-Navigator-App aus Sicherheitsgründen auf

Wer die mobile App der Deutschen Bahn nutzt, der soll sie bis zum 24. Februar 2022 unbedingt aktualisieren, wie aus einer E-Mail hervorgeht, die Notebookcheck.com vorliegt. Möglicherweise besteht ein Zusammenhang mit der Zwei-Faktor-Authentifizierung (2FA), die die Deutsche Bahn anbietet. Eine...

www.notebookcheck.com

Richtig interessant wird es dann aber auf 2fa.directory - einer Homepage, die sich 2FA verschrieben hat und eine Übersicht bietet, welcher Dienst (kategorisiert) 2FA anbietet oder eben auch nicht. Deutsche Bahn wird mit "SMS + Software token" aufgeführt.

https://2fa.directory/de/#transport

Gepflegt wird die Seite über github, indem Nutzer einen "pull request" stellen.

Adding a website to 2fa.directory is easy! All you need to do is edit a few lines of text and create a pull request.

Home

List of sites with two factor auth support which includes SMS, email, phone calls, hardware, and software. - 2factorauth/twofactorauth

github.com

Der pull request für Deutsche Bahn ist vom 17.10.2021

Update Deutsche Bahn by phallobst · Pull Request #6204 · 2factorauth/twofactorauth

github.com

Also gibt es 2FA bei der DB schon seit >6 Monaten. Aktiv beworben wird es wohl nicht, das findet auch der oben verlinkte notebookcheck.com-Artikel:

Sonderlich bekannt ist die Funktion anscheinend nicht. Selbst auf Twitter sind nur vereinzelt Tweets zu dem Thema zu finden.

 

[HAM76]

ich raten jedem, auf bahn.de keine Zahlungsmittel zu hinterlegen. So gigantisch groß ist der Aufwand nicht, bei jeder Buchung seine Kreditkartendaten einzugeben.

Oder eine Karte wie Revolut, die man ohne Probleme ausschließlich für die eigene Buchung entsperren und gleich wieder online sperren kann und trotzdem unzulässige Buchungsversuche mitbekommt.

Was man sich vermutlich mehr ins Bewusstsein rufen sollte: E-Mail Konto und SIM Karte sind mittlerweile die Schlüssel zum eigenen Leben. So gut wie jeder Dienst, selbst Banken, lassen Änderungen von Kennwörtern und anderen Kontaktdaten über diese beiden Kanäle zu. Auf dem Handy sind im Regelfall auch noch beide Kanäle zusammengeführt. Trotzdem kann man immer wieder sehen, wie sorglos die eigene PIN auf dem Handy eingegeben wird. Die PIN, mit der auf Apple Pay problemlos mehrere tausend Euro an Kartenzahlungen autorisiert werden können.

 

[schlepper]

Hat die DB eigentlich die Wageninformationen (Information zur Reihung der Wagen der Züge, im Schaukasten aushängend) für Fernzüge an den Bahnhöfen abgeschafft?

Ja.

 

[Minowa]

Ja.

Warum?
Weil es eh oft nicht gestimmt hat?

 

[schlepper]

Warum?
Weil es eh oft nicht gestimmt hat?

Sicher auch das. Man spart sich aber hier unter dem Deckmantel des Nachhaltigkeitsgedanken eine Menge Arbeit, diese Pläne mehrmals im Jahr zu verteilen und zu wechseln, zuzüglich ein wenig Papier.

Wenn ich jedoch sehe, wie oft Zugreihung auch aktuell falsch kommuniziert wird, denke ich, das Problem könnte woanders liegen.

 

[geos]

Man kann es auch einfach "Kostensenkung durch Servicereduzierung" nennen. Kennt man aus anderen Branchen.

 

[red_travels]

Sicher auch das. Man spart sich aber hier unter dem Deckmantel des Nachhaltigkeitsgedanken eine Menge Arbeit, diese Pläne mehrmals im Jahr zu verteilen und zu wechseln, zuzüglich ein wenig Papier.

Wenn ich jedoch sehe, wie oft Zugreihung auch aktuell falsch kommuniziert wird, denke ich, das Problem könnte woanders liegen.

mittlerweile funktioniert es ja auch öfters in der App bzw. mit anderen Tools wie https://marudor.de/

 

[Minowa]

Schade. Ich fahre nicht so oft mit der Bahn, habe aber (oder gerade deshalb) diese Pläne gern genutzt. Die “umgekehrte Wagenreihung” - wenn vorher angezeigt - ist intellektuell beherrschbar.
Beim Eintreffen des Zuges den Bahnsteig abzurennen oder mit Gepäck im Zug Wagen um Wagen zu durchqueren ist keine tolle Vorstellung.

 

[jotxl]

Schade. Ich fahre nicht so oft mit der Bahn, habe aber (oder gerade deshalb) diese Pläne gern genutzt. Die “umgekehrte Wagenreihung” - wenn vorher angezeigt - ist intellektuell beherrschbar.
Beim Eintreffen des Zuges den Bahnsteig abzurennen oder mit Gepäck im Zug Wagen um Wagen zu durchqueren ist keine tolle Vorstellung.

der DB-Navigator ist ja nicht nur für Fernverbindungen nützlich und sollte eigentlich eine StandardApp für jeden sein. . Und die dort angezeigte Wagenreihung ist sehr aktuell und stimmt fast immer.

 

[TPA]

An vielen Bahnhöfen wird die detaillierte Wagenreihung doch inzwischen auch auf der Abfahrttafel angezeigt.

Da kann man auf die gedruckten Wagenstandsanzeiger mit teilweise 3-4 Abbildungen pro Zug je nach Wochentag doch eigentlich gut verzichten.

 

[NikSeib]

Mal ne Frage an die Rechtsverdreher unter euch (echt nicht böse gemeint)

Vor einer Weile ist mir auch ein Sparpreis stoniert worden der Gutschein ist natürlich weg.
Weil es dann die Sparpreisaktion gab bin ich auf nicht einmal 10 Euro Schaden sitzen geblieben.

Im Forum der Bahn wird geschrieben die Bahn könnte haftbar sein weil sie sich am Betrug beteiligt weil sie die Passwörter so einfach rausgibt und daran ja sogar mitverdient.
Ist da was dran oder totaler Unsinn?

Mir kanns ja egal sein aber andere haben ja Schäden die vierstellig sind und das weil die deutsche Bahn keine Sicherheitsstandards hat die 2022 üblich sind.

 

[red_travels]

Im Forum der Bahn wird geschrieben die Bahn könnte haftbar sein weil sie sich am Betrug beteiligt weil sie die Passwörter so einfach rausgibt und daran ja sogar mitverdient.
Ist da was dran oder totaler Unsinn?

wie willst du das beweisen, dass gerade dein Passwort so rausgegeben wurde und nicht du das Passwort verloren hast, weil du es bspw. mehrfach verwendest?

 

[NikSeib]

wie willst du das beweisen, dass gerade dein Passwort so rausgegeben wurde und nicht du das Passwort verloren hast, weil du es bspw. mehrfach verwendest?

Muss ich das überhaupt?
Ich kann ja verlangen das die Bahn ihre Aufzeichnungen von der Hotline als Beweis raus gibt um genau das beweisen zu können?
Hatte ich schon mal als es drum ging ob ich ne Versicherung abgeschlossen hab oder nicht danach wollten die plötzlich kein Geld mehr und haben die Klage beendet.

Und ja ich hab nur dort das Passwort ich hab nämlich ein Muster dass die ersten 12 Zeichen immer gleich aber die letzten vier nur jeweils dort verwendet wurde.