Einen Monat lang Urlaub im Nachbarland machen. Kostenlose Mobilität inklusive. In diesen Genuss konnten 18- bis 27-Jährige mit Wohnsitz in Deutschland und Frankreich kommen. Mit dem deutsch-französischen Freundschaftspass. Dazu mussten sie schnell sein, denn die Anzahl an Pässen war begrenzt auf 60.000 – also je 30.000 Tickets für junge Menschen aus den beiden Ländern. Aber die Aussicht, an sieben Tage innerhalb eines Monats kostenlos durch das Nachbarland zu reisen, scheint viele Reiseinteressierte angezogen zu haben.
Technische Probleme haben den Start behindert und die Website zur Registrierung für den Pass war sowohl in Deutschland als auch in Frankreich für längere Zeit nicht erreichbar. Wegen Überlastung. Erst mit großer Verzögerung und oft nach etlichen Anläufen gelang es den Interessierten, sich für eines der Tickets zu registrieren.
Doch wie sich nun rund eine Woche nach Freischaltung des Passes herausgestellt hat, soll es noch eine weitere Panne gegeben haben – und eine gravierende Sicherheitslücke.
Wie das IT-Kollektiv "Zerforschung" berichtet, konnten sich Kund:innen mit gutem technischen Verständnis, nachdem bereits alle Tickets vergeben waren, noch eins ausstellen lassen. Wer den Bestellvorgang begonnen und noch nicht abgeschlossen hatte, konnte über einen per E-Mail versendeten Link den Vorgang noch abschließen.
Das Problem: Den Code konnte man sich wohl auch selbst generieren. Eine Hintertür, über die sich zum Beispiel "Zeit Online", wie sie berichten, gemeinsam mit IT-Sicherheitsforschenden noch am vergangenen Donnerstag einen Pass ausstellen lassen konnten. Erst am Abend soll die Lücke endgültig geschlossen worden sein.
Die Forschenden von "Zerforschung" fanden eine weitere Lücke. Bei der Funktion zum Zurücksetzen des Passwortes sei man auf eine nicht registrierte Seite gekommen, die hätte "gekapert" werden können. Glücklicherweise soll sich aber eine "freundlich gesonnene Person", die den Fehler fand, registriert und den Fehler gemeldet haben. Bei den Nachforschungen fanden die Profis darüber hinaus eine Sicherheitslücke im Zusammenhang mit dem EU-Interrail-Programm "DiscoverEU". Mehr als 245.000 Datensätze sollen abrufbar gewesen sein.
Der Freundschaftspass sei "Opfer seines Erfolges" geworden, hieß es vor rund einer Woche nach den Startschwierigkeiten. Das sieht nicht jede:r so. So schreibt etwa eine Person auf Twitter, der Pass sei stattdessen "Opfer von digitaler Inkompetenz" geworden. "Als junge Person immer so verarscht zu werden ist so anstrengend", heißt es in dem Tweet.
Ein weiterer Nutzer vergleicht die chaotische Antragsstellung mit der Erstellung eines Bafög-Antrags. Der deutsch-französische Freundschaftspass sei "schwerer zu bekommen".
(Mit Material von dpa)