BenBE's humble thoughts Thoughts the world doesn't need yet …

Seit dem Wintersemester 2009/2010 gibt es bei uns an der Hochschule eine zentrale „multifunktionale Chipkarte“, mit der zahlreiche Dinge an der Hochschule erledigt werden können, was gegenüber den 3 Benötigten Charkarten (Biblio, Mensa, Türkarten) doch bereits eine Verbesserung darstellt. Aber wie so oft, krankt es an der Umsetzung heftigst. Und nicht nur, weil die Karte mit RFID ausgestattet ist.

Aber gehen wir der Reihe nach. Wer vor dem WS 2009/2010 angefangen hat, erhielt einen Studentenausweis in Papierform, den er sich als Aufkleber auf eine Stabile Karte anbringen konnte. Dieser beinhaltete als Aufdruck alle nötigen Informationen zu Studiengang, Semester Matrikelnummer und eine Reihe anderer wichtiger Informationen.

Neben diesem Studentenausweis erhielt man für die Nutzung der Bibliothek einen Bibliotheksausweis, der in Form einer Plastikkarte daherkam und die Persönliche Information über einen Barcode auslesbar machte. Außer dem Namen und einer Unterschrift war auf dieser Karte nichts Personenbeziehbares gespeichert, wenn man von den hinter dem Barcode liegenden Angaben absieht. Jemand der den Bibliotheksausweis zufällig in die Hände bekam, konnte mit diesem reichlich wenig anfangen.

Ferner wird nahezu jeder Student eine Mensa-Karte gehabt haben, da es mit dieser gegenüber einer Barzahlung 15 Cent günstiger je Bezahlung in der Mensa war. Angepriesen wurde diese mit „geht schneller“, was sich in der Praxis jedoch nie so wirklich bestätigt hat. Auch bei der Mensa-Karte handelte es sich um eine Plastikkarte, die jedoch einen RFID-Chip beinhaltete. Die auf diesem Chip gespeicherten Informationen waren keinem wirklich klar, dürften aber neben dem Kontostand auch eine Verknüpfung zum Nutzer beinhaltet haben; also auf den Eigentümer zurückführbar gewesen sein.

Zusätzlich gab es, wenn man auch Abends in die Gebäude der Hochschule gelangen können musste (z.B. Zugang für’s Rechenzentrum und Gebäude des Fachbereichs) die Möglichkeit, sich eine Zugangskarte zu organisieren. Auf dieser war lediglich die Kartennummer gespeichert, anhand derer man sich an den Türöffnern authorisieren konnte.

Doch warum schreib ich die alte Situation, wenn es doch jetzt die wunderbare „multifunktionale Chipkarte“ gibt? Kurzum: Weil diese ein Disaster ist – und das nicht nur, weil ich RFID ablehne, sondern weil diese alle oben beschriebenen Funktionen in einer Karte kombiniert und einem dabei die Nutzung aufzwingt.

Konnte man früher in der Bibliothek die Kopierer noch via Münzeinwurf benutzen, muss man nun diese Schnüffelkarte dafür heranziehen, da diese jegliche Bezahlfunktionen der Hochschule kombiniert. Sei es nun Mensa, Bibliothek, Kopierer oder sonstwo: Konnte man sich also früher unabhängig anonym in der Hochschule bewegen, ist man nun jederzeit ein Profil. Es ist erfassbar, wieviel man für welche Dienste der Hochschule ausgibt, wann man wieviel einzahlt und wann man es ausgibt. Klassische Zahlung per Münzeinwurf wurde abgeschafft.

Ebenso die Security. War früher das Login in der Bibliothek lediglich über die Matrikenummer der Hochschule zuzuordnen, ist nun ein gesamtes Nutzerprofil an den Studenten gebunden. Dieses war nach der alten Regelung über die Kartennummer (stand auf dem Bibliotheksausweis) oder die Matrikelnummer erreichbar und besaß ein eigenständiges, frei wählbares Passwort.

Dieser Schutz wurde im Zuge der Einführung der Schnüffelkarte aus technischer Unfähigkeit praktisch abgeschafft, da wegen der Synchronisierung mehrerer Datenbanken das Geburtsdatum des Studenten als Login für die Bibliothek erzwungen wird und regelmäßig automatisch resettet wird. Praktischer Weise stehen alle Benötigten Informationen für ein Login auf der Schnüffelkarte im Klartext: Wer also den Studentenausweis eines Kommolitonen zufällig zu Gesicht bekommt und es schafft, Matrikelnummer und Geburtsdatum zu lesen, hat einen Freibrief, um mit dem Account des Opfers seinen Spaß zu haben. Vorausgesetzt, er erfährt das Geburtsdatum nicht sowieso (Ey, Passwörter sollten NICHT erratbar sein!) und scheitert auch nicht daran, die Matrikelnummer zu ermitteln (auch das stellt mit etwas Recherche kein Hindernis dar).

Zusätzlich zu Geburtsdatum und Matrikelnummer steht auf der Karte der Name und ein Gültigkeitsdatum. Wobei das mit dem Gültigkeitsdatum so ein Lacher für sich ist: Denn dieses ist elektronisch auf der Karte gespeichert und kann vom Studenten selber nach ordnungsgemäßer Immatrikulation selbstständig aktualisiert werden. Nur schade, dass dann das aufgedruckte Datum und der gespeicherte Wert durchaus 3 Jahre divergieren können. Aber was soll’s, bei so viel Technikgläubigkeit wird es sicherlich witzig, sobald jemand mal Schreibzugriff auf der Karte erhält und das dann gleich vollständig anpasst.

Ich jedenfalls verweiger mich dieser Schnüffelkarte und habe lieber für jeden Zweck meine spezifische Karte in der Tasche, statt jederzeit über eine zentrale Datensammelstelle erfassbar zu sein. Und dann nehm ich es auch in Kauf, mir schiefe Blicke von den Bibliotheksangestellten einzufangen, weil ich nicht über eine RFID-Karte am Kopierer bezahlen möchte, und erkläre ihnen auch gerne die zahlreichen Nachteile. Mal ganz davon abgesehen, dass mit etwas Social Engineering man auch ohne die Karte mit zu haben man problemlos Bücher ausgeliehen bekommt, wenn man die Angaben auf seiner Schlüsselkarte auswendig kennt.

P.S.: Anhand der auf der Karte stehenden Informationen kann man jemandem (in Kombination mit paar anderen mehr oder weniger öffentlichen Datenquellen der Hochschule) einen vollständig ausgefüllten Exmat-Antrag schreiben, der nur noch unterschrieben werden muss. Mit dem alten System bedurfte es hierfür zwar auch einem Blick auf den Studentenausweis, dieser war einem jedoch – da nur für die Verwaltung benötigt – wesentlich schwerer zugänglich.