Interview zur Unicard: "Irgendwann muss der alte Schrott weg"

Carolin Buchheim

Die Unicard hat ein Problem: Sie lässt sich mit wenig Aufwand hacken: Man kann sie kopieren, mit virtuellem Geld beladen und sich Zutritt zu Räumen beschaffen, in die man nicht darf. Im Interview erklärt Prof. Gerhard Schneider vom Uni-Rechenzentrum wie die Uni reagieren will, wann die Karten ausgetauscht werden - und wie sicher die Uni noch ist:



Herr Schneider, wer hat die Unicard schon gehackt?

Wir selbst zum Beispiel, vor drei Jahren – ohne dem Studierendenwerk Bescheid zu geben. Auf eine Karte haben wir Geld gebucht, von einer anderen Geld abgebucht. Dann waren wir damit einkaufen gegangen.  Nach 18 Stunden klingelte das Telefon, weil sie es bemerkt hatten.

Seit wann wissen Sie, dass die Karte unsicher ist?

Die ersten Gerüchte gab es 2011. Wir wollten es genau wissen und haben die Sache einem Seminaristen in die Hand gedrückt – der hat keine 24 Stunden gebraucht. Geärgert hat mich nur, dass wir nicht selbst herausgefunden haben, dass sie unsicher ist. Das hätte unsere Mikrosystemtechnik auch gekonnt.

Warum hat die Uni die Karte noch nicht abgeschafft?

Man muss einen möglichen Schaden mit den Kosten eines überhasteten Austauschs gegenrechnen. Was kann man schon groß einkaufen in der Mensa? Da gibt es ja nichts von Armani! Jeder Schaden ist gering und sehr schnell sichtbar. Wir kennen das Risiko und stellen uns auf einen Tag X ein, an dem wir sofort austauschen, weil das Risiko nicht mehr zu tragen ist. Mit den Lesegeräten sind wir quasi bereit. Andere Hochschulen sind sofort in Panik geraten, wir gehen sorgsamer mit dem Geld um und stellen gleitend um, mit geringeren Kosten.

Die Karte sichert auch Schließsysteme. Bereitet Ihnen das keine Sorgen?

Die Sicherheitsfunktion der Schließanlage sehe ich als nicht so gefährdet an. Unsere Anlage benutzt einen Unique Identifier (UID) auf dem Chip, der nicht so einfach zu hacken ist. Dass jemand die Tür öffnen kann, steht nicht, wie bei der Bezahlfunktion, auf der Karte, sondern in einer Datenbank.

Die Karte kann aber auch aus unmittelbarer Nähe heraus ausgelesen und dann kopiert werden.

Das stimmt. Das haben wir auch ausprobiert, und eine Karte in China im Internet bestellt, die hat 25 Euro gekostet. Die Frage ist: Wie hoch ist die kriminelle Energie auf der anderen Seite? Und macht man das, um in ein Gebäude hineinzukommen, das sowieso zwölf Stunden am Tag offen ist? Heiklere Bereiche der Uni, wie zum Beispiel Chemielabore, wo jemand hinein wollen könnte, um Material für eine Bombe zu klauen, sind zusätzlich mit einer PIN gesichert. Da reicht nicht die Karte allein – weil wir ja wissen, dass sie angreifbar ist. Mit Metallschlüsseln geht die Gesellschaft gut um, die akzeptiert jeder. Mit der Chipkarte stehen wir sicher leicht besser da.  Wir sind kein Hochsicherheitsbereich – außer in gewissen Ecken.

Von den Problemen mit der Karte sind auch viele andere Hochschulen betroffen. Tauscht man sich da aus?

In Baden-Württemberg gibt es einen regen Austausch. Die Karlsruher zum Beispiel wollen als technische Hochburg die Karte komplett selbst machen. Ich  kaufe solche Technik lieber ein, um teure Personalstellen zu sparen. In 20 Jahren haben wir vielleicht eine völlig andere Technologie. Warum muss man eine physische Karte haben?  Smartphones haben heute NFC-Chips, auch die kann man so nutzen. Wir haben gerade eine Kommission eingesetzt, die sich neue Schließsysteme anschaut, damit wir keine Metallschlüssel mehr brauchen. Wenn wir uns für ein System entschieden haben, schauen wir, ob das mit der Desfire-Karte kompatibel ist – dann fangen wir an. Ob es in diesem Wintersemester passiert, kann ich nicht versprechen. Wenn es im nächsten nicht der Fall ist, würde ich mich wundern.

Frustriert es Sie, dass die Uni teure Technik gekauft hat, die so unsicher ist?

Es sollte einem in anderen Bereichen zu denken geben. Zum Beispiel wenn der Bundesinnenminister sagt, dass der Chip des Personalausweises sicher sei. Man darf Technik nicht blind vertrauen. Wenn der Chip tatsächlich sicher ist, dann sollten die Pläne der Öffentlichkeit zugänglich gemacht werden. Mifare hat behauptet, einen sicheren Chip zu haben, und das Management hat es geglaubt. Das kann ich gut verstehen, schließlich benutzen die Verkehrsbetriebe in Amsterdam und London das System auch. Dort kalkuliert man ein, dass bei Millionen Nutzern am Tag eine Handvoll manipulieren.

Geht ihnen der Wechsel zu langsam vonstatten?

Selbst wenn der Tag X nicht kommt: Irgendwann muss der alte Schrott weg. In vier Jahren will ich nicht mehr darüber reden, ob die Unicard sicher ist. Dann kann man sie vielleicht mit der Apple Watch hacken.

Zur Person

Gerhard Schneider , 59, ist Mathematiker, Informatiker und Direktor des Rechenzentrums der Universität Freiburg. Er leitet den Lehrstuhl  für Kommunikationssysteme.