Nach den vorsorglichen Passwort-Zurücksetzungen bei der hvv switch App liegt nun eine Einordnung der Hamburger Hochbahn vor. Die HOCHBAHN betreibt die hvv switch App für die Unternehmen im hvv und spricht nach aktueller Bewertung von automatisierten unberechtigten Login-Versuchen nach dem Muster des sogenannten Credential Stuffing. Nach aktuellem Kenntnisstand gibt es keine Hinweise darauf, dass die hvv switch App, Systeme der HOCHBAHN oder Systeme des hvv kompromittiert wurden. Auch eine Schwachstelle in der App nennt die HOCHBAHN nicht als Ursache.
Zugangsdaten offenbar aus externen Quellen
Credential Stuffing bedeutet, dass Dritte versuchen, sich mit bereits bekannten Zugangsdaten bei einem Dienst anzumelden. Solche E-Mail-Passwort-Kombinationen stammen häufig aus Datenlecks anderer Online-Dienste. Genau in diese Richtung ordnet die Hamburger Hochbahn den Vorfall ein. Die unberechtigten Zugriffe seien nicht über eine Schwachstelle in der App erfolgt, sondern durch die Verwendung gültiger Zugangsdaten einzelner Kundenkonten, die mutmaßlich aus externen Quellen stammen.
Zunächst betroffene Konten geschützt, dann alle Passwörter zurückgesetzt
Nach Angaben des Unternehmens idientifizierte man zunächst betroffene Konten und schützte diese. Nachdem erneut eine erhöhte Anzahl unberechtigter Login-Versuche festgestellt wurde, habe man vorsorglich die Passwörter aller hvv switch Kunden zurückgesetzt. Die Maßnahme sei erfolgreich umgesetzt worden. Die Sicherheit der Kundenkonten habe Vorrang vor möglichem Komfortverlust gehabt. Kunden wurden per E-Mail sowie über weitere Kundenkanäle informiert und können über die Funktion „Passwort vergessen“ ein neues Passwort einrichten.
Neues Login- und Identitätsmanagement kommt
Interessant ist auch der Ausblick auf kommende Sicherheitsfunktionen. Die Hamburger Hochbahn arbeitet nach eigener Aussage bereits seit längerer Zeit an einer Weiterentwicklung des Login- und Identitätsmanagements für hvv switch. Mit einem kommenden Update der App soll ein neues Loginverfahren und ein neues Identitätsmanagementsystem eingeführt werden. Der Release läuft nach Angaben der HOCHBAHN bereits und soll in den kommenden Wochen erfolgen. Damit schafft man die technische Grundlage, um künftig weitere moderne und sichere Anmeldeverfahren anbieten zu können.
Passkeys und zusätzliche Faktoren geplant
Dazu zählen laut HOCHBAHN auch zusätzliche Authentifizierungsfaktoren sowie perspektivisch passwortlose beziehungsweise phishing-resistente Verfahren. Genannt werden ausdrücklich Passkeys auf Basis moderner Standards wie FIDO2 und WebAuthn. Die App-Entwicklung dafür sei bereits weit fortgeschritten. Aktuell befinde sich das Vorhaben im Test- und Release-Prozess. Damit reagiert die HOCHBAHN auf ein grundsätzliches Problem klassischer Passwörter. Selbst starke Passwörter schützen nur begrenzt, wenn Nutzer dieselbe Kombination bei mehreren Diensten verwenden und diese Zugangsdaten an anderer Stelle abfließen.
Schutzmaßnahmen gegen auffällige Login-Muster
Bereits heute setzt die HOCHBAHN nach eigenen Angaben zusätzliche technische Schutzmaßnahmen zur Erkennung und Abwehr auffälliger Login-Muster ein. Konkrete Details zu Mechanismen, Schwellenwerten oder Abwehrmaßnahmen nennt das Unternehmen aus Sicherheitsgründen nicht. Solche Informationen könnten von Dritten missbraucht werden.
