Dieser Vortrag bietet ein Update zu den Entwicklungen im Bereich europäischer Fahrkartensysteme und Barcode-Standards, präsentiert von Maya (551724) und Craftbite Ana, beides Cybersecurity-Experten und „Zug-Nerds“. Es werden die Ergebnisse von Freedom of Information (FOI)-Fällen in Großbritannien und Slowenien erörtert, Neuerungen im Zusammenhang mit der Deutschen Bahn Ticketbetrugsprävention vorgestellt und die Einführung sowie technische Details des DoseyPass-Standards behandelt. Ein wesentlicher Fokus liegt auf dem BT4PT-Projekt (Barcode-Ticketing for Public Transport) unter CEN/CENELEC, das die Schaffung eines einheitlichen, europäischen, multimodal nutzbaren Fahrkartenstandards zum Ziel hat. Die historische Entwicklung von Barcode-Standards wie SSBV1, TLB und FCB wird detailliert dargestellt, ebenso wie die Herausforderungen bei der Implementierung und der Umgang mit bürokratischen Prozessen.
Wichtigste Punkte & Zeitstempel
0:01:25 FOI-Fälle (Freedom of Information): Der UK-Fall bezüglich Barcode-Spezifikationen wurde zugunsten der Antragsteller entschieden, was zur Veröffentlichung von Spezifikations-PDFs und Excel-Dateien führte (verfügbar auf Q's Webseite bei rspecs). Die öffentlichen Schlüssel wurden jedoch nicht freigegeben. Ein ähnlicher Fall in Slowenien, bei dem ein Gutachter ChatGPT nutzte, ist noch anhängig, aber ein Bericht besagt, dass die Veröffentlichung von Spezifikationen kein Risiko darstellt.
0:03:34 Deutsche Bahn Ticketbetrug: Alle UIC-konformen Deutsche Bahn Tickets müssen nun zentral über das DTVG UIC-Sicherheitsportal ausgestellt werden, was die Verwendung privater Betreiberschlüssel (außer Deutsche Bahn) beendet. Eine Positivliste statt einer Sperrliste für gültige Tickets und eine zentrale Scan-Prüfungs-API zur Erkennung von Barcode-Sharing (z.B. Scans an zwei Orten gleichzeitig) wurden eingeführt, was zwar die Betrugserkennung verbessert, aber auch die Nachverfolgung von Personen ermöglicht.
0:04:39 DoseyPass-Einführung:Interrail-Tickets verwenden als erste internationale Fahrkarten den neuen DoseyPass-Standard, der im Mai eingeführt wurde, nachdem er zuvor verschoben werden musste, weil viele Bahnbetreiber nicht bereit waren. Aktuell sind die Barcodes noch statisch und nicht gerätegebunden, trotz implementiertem Screenshot-Schutz in der App. Deutsche Bahn hat im Juli 2026 die digitale Bahncard 100 eingeführt, die als statischer Barcode auch als PDF erhältlich ist, aber zukünftig ebenfalls DoseyPass nutzen soll. Eine Open-Source-Bibliothek für dynamische DoseyPass-Barcodes wurde entwickelt.
0:06:39 Seitenquest-Ära & UIC FCBUG-Beteiligung: Die Referenten beteiligen sich seit Februar 2025 aktiv an der UIC FCBUG (Flexible Content Barcode User Group). Ihre App "Tuki" hat diese Entwicklung maßgeblich angestoßen. Sie sind auch bei anderen UIC-Gruppen wie der Ticket-Sicherheitsgruppe involviert und präsentierten Projekte wie UICA (Zertifikatsautorität für die UIC) und UIC Star (kurzfristige, automatisch erneuerte Zertifikate für Fahrkartenautomaten).
0:08:41 Multimodale Ticketdaten (MMTD): Von Oktober bis Dezember 2025 wurde die UIC Real Ticket Data V4 in MMTD umbenannt und ihre Datenstruktur vollständig überarbeitet. Sie integriert nun Reiseabschnitte und -bedingungen, um Multimodalität (Züge, Straßenbahnen, Busse, Ride-Sharing, E-Scooter) zu unterstützen und ist zertifikatsbasiert. Interessante Änderungen umfassen die Abschaffung von Passagiergeschlecht, die Definition von Erwachsenen als „Personen“ und die technische Klassifizierung von Fahrrädern und Haustieren als Passagiere.
0:09:54 BT4PT-Projekt (Barcode-Ticketing for Public Transport): Seit Januar 2026 läuft das von der Europäischen Innovationsrat finanzierte Projekt unter CEN/CENELEC TC278 WG3, um eine europaweite, multimodale Fahrkarte zu entwickeln. Ziel ist ein modularer, sicherer und abwärtskompatibler Barcode-Standard für alle Transportmittel und Betreiber in Europa.
0:11:02 UIC-Standard der 90er: Erster physischer Standard für internationale Fahrkarten.
0:11:34 SSBV1 (Small Structured Barcode): Nutzte CRC32 statt kryptographischer Hashes und DSA. Wird noch von Finnland verwendet.
0:12:39 SSB2/SSB3: Implementierte grundlegende Tickettypen (NRT, IRT, Gruppenticket, Rail Pass) und erlaubte benutzerdefinierte Formate. Wird noch von SNCF für nationale Tickets genutzt.
0:14:13 TLB (Ticket Layout Barcode): Speichert Druckanweisungen für Textfelder direkt im Barcode. Ermöglichte benutzerdefinierte Erweiterungen, erzwingt aber weiterhin DSA, was als kryptographisch unsicher gilt. Beispiele sind Deutsche Bahn's 0080 VU (VDV-Barcode-Mapping) und Österreichs 118199 (JSON-Inhalt).
0:16:11 Französisches ELB (Electronic Label Barcode): Fester Breitenstandard für PDF417-Barcodes, inspiriert von IATA-Boarding-Pässen, da Drucker an Flughäfen genutzt wurden. Verwendet keine Signaturen (Ausnahme: TSA Pre-Check in den USA), außer bei Eurostar-Diensten. Nutzt eine ungewöhnliche Hex-Kodierung.
0:18:13 FCB (Flexible Content Barcode): Entwickelt, um die Schwierigkeiten beim automatischen Parsen von TLB-Textfeldern zu überwinden, indem die Ticketfelder in ein maschinenlesbares Format überführt wurden. FCB V1 (auch RTDV1) digitalisiert verschiedene Tickettypen, blieb aber primär auf Bahndokumente beschränkt.
0:20:11 DoseyPass & FCB: Der DoseyPass wurde parallel zum FCB eingeführt. Er steht für „Doubly Signed Package Structure“ und nutzt neue, unaligned packed encoding rules. Er ermöglicht dynamische Barcodes und zweilagige Signaturen mit spezifizierbaren Algorithmen für Zukunftssicherheit.
0:25:56 BT4PT-Ziele und Deliverables: Das Projekt soll einen europäischen Standard (EN-Nummer) für Barcode-Ticketing entwickeln, der nahtloses, multimodales Reisen über mehrere Betreiber hinweg ermöglicht. Es soll bestehende UIC-Spezifikationen ersetzen und vollständig abwärtskompatibel sein. Lieferobjekte sind eine technische Spezifikation (CEN TS) und ein technischer Bericht (CEN TR) mit Governance- und Wartungsrichtlinien.
0:30:29 BT4PT-Zeitplan & Herausforderungen: Der Prozess umfasst die Zusammenstellung eines Expertenteams, die Veröffentlichung von TS und TR, und eine Überprüfung durch die Europäische Kommission und CEN/CENELEC. Die Implementierung durch die Mitgliedsstaaten soll bis 2031 erfolgen, mit einer möglichen Verlängerung bis 2035.
0:33:09 BT4PT-Teilnehmerstruktur: Das Projektteam besteht aus UIC MMTD-Gruppenmitgliedern, Vertretern nationaler/regionaler Verkehrsunternehmen und den Referenten selbst. Es ist in vier Untergruppen unterteilt: multimodales Ticketing (ÖPNV), multimodales Ticketing (Schiene), Datenkodierung und Sicherheit.
0:35:12 Zeithorizont & Offene Entwicklung: Die Überprüfung des Standards soll bis Anfang 2028 abgeschlossen sein, die Einführung in 2030, und eine vollständige Akzeptanz in der EU bis 2031 (mit Zeitpuffer bis 2035). Entwürfe und ASN1-Dateien sind öffentlich auf GitHub verfügbar, um Feedback und Pull Requests für die Abbildung nationaler Tickets zu ermöglichen.
0:38:13 Datumsdarstellung & Rückwärtskompatibilität: Im neuen Standard werden Daten nicht als 32-Bit-Unix-Zeitstempel gespeichert, sondern als Jahr und Tag im Jahr, um das Jahr-2038-Problem zu umgehen. Die Rückwärtskompatibilität mit älteren Systemen, die 32-Bit-Zeitstempel verwenden, bleibt jedoch eine Herausforderung.
0:39:14 Kontext zur EU-Bahnpolitik: Das Projekt entstand vor dem neuesten europäischen Bahn-Paket, ist aber Teil einer breiteren Brancheninitiative zur Verbesserung des Ticketing. Bestehende Standards wie OSDM (Open Sales and Distribution Model), eine REST API für Ticketing, werden bereits von Bahnbetreibern implementiert. Frankreich zum Beispiel adoptiert FCB mit DoseyPass für den lokalen Verkehr und TJ soll DoseyPass bis Sommer 2027 nutzen.
Glossar
ASN1 (Abstract Syntax Notation One): Eine Standardsprache, die eine Methode zur Beschreibung von Datenstrukturen für die Darstellung, Kodierung, Übertragung und Dekodierung von Daten in Telekommunikations- und Computernetzwerken definiert.
BT4PT (Barcode-Ticketing for Public Transport): Ein Projekt unter CEN/CENELEC, das darauf abzielt, einen einheitlichen europäischen Standard für multimodale Fahrkarten auf Barcode-Basis zu entwickeln.
CEN (Europäisches Komitee für Normung): Eine der drei europäischen Normungsorganisationen, die europäische Standards in verschiedenen Sektoren entwickelt.
CENELEC (Europäisches Komitee für elektrotechnische Normung): Eine der drei europäischen Normungsorganisationen, zuständig für die europäische Normung im elektrotechnischen Bereich.
CEN TS (CEN Technical Specification): Eine technische Spezifikation, die von CEN herausgegeben wird, wenn ein Dokument zwar für die Veröffentlichung als Europäische Norm (EN) geeignet ist, aber noch keine ausreichende Reife erreicht hat.
CEN TR (CEN Technical Report): Ein technischer Bericht, der informative Inhalte liefert, die nicht als Norm oder technische Spezifikation gelten.
CRC32 (Cyclic Redundancy Check 32-Bit): Eine Prüfsummenfunktion, die zur Fehlererkennung in digitalen Netzwerken und Speichermedien verwendet wird. Sie ist nicht kryptographisch sicher und kann leicht manipuliert werden.
DSA (Digital Signature Algorithm): Ein US-Bundesstandard (FIPS 186) für digitale Signaturen. Im Kontext des Vortrags wird seine kryptographische Unsicherheit bei neueren Anforderungen kritisiert.
DoseyPass (Doubly Signed Package Structure): Ein moderner Barcode-Standard, der dynamische Barcodes und zweilagige, algorithmisch spezifizierbare Signaturen unterstützt, um die Sicherheit und Zukunftsfähigkeit von Fahrkarten zu gewährleisten.
DTVG (Deutsche Tourismusverband Service GmbH): Eine Organisation im Kontext der Deutschen Bahn, die an der Implementierung zentraler Ticketing-Systeme beteiligt ist.
EEPROM (Electrically Erasable Programmable Read-Only Memory): Eine Art nichtflüchtiger Speicher, der elektrisch gelöscht und neu programmiert werden kann. Wird oft zur Speicherung von Konfigurationsdaten oder Laufzeitprotokollen verwendet.
ELB (Electronic Label Barcode): Ein französischer Barcode-Standard für Fahrkarten, der für PDF417-Barcodes entwickelt wurde und fixe Datenfelder verwendet. Ursprünglich von Flughafen-Ticketdruckern beeinflusst.
FCB (Flexible Content Barcode): Ein Barcode-Standard, der entwickelt wurde, um die Validierung von Fahrkarten durch die direkte Kodierung von maschinenlesbaren Feldern anstelle von Textlayouts zu erleichtern.
FCBUG (Flexible Content Barcode User Group): Eine Benutzergruppe der UIC, die sich mit der Implementierung und Weiterentwicklung des FCB-Standards befasst.
FOI (Freedom of Information): Das Recht auf Zugang zu Informationen, die von öffentlichen Stellen gehalten werden. Die Referenten diskutieren Fälle, in denen sie FOI-Anfragen gestellt haben, um Spezifikationen für Fahrkarten-Barcodes zu erhalten.
IRT (Integrated Reservation Ticket): Ein Fahrkartentyp, der sowohl die Berechtigung zur Reise als auch eine Sitzplatzreservierung kombiniert.
MMTD (Multimodal Ticket Data): Eine Weiterentwicklung der UIC Rail Ticket Data, die darauf abzielt, eine Datenstruktur für Tickets zu schaffen, die verschiedene Transportmittel (Züge, Busse, Straßenbahnen etc.) und Reiseabschnitte abdeckt.
NRT (Non-Reservation Ticket): Ein einfacher Fahrkartentyp, der zur Reise berechtigt, aber keine Sitzplatzreservierung beinhaltet.
NetX (Network Exchange): Ein potenzielles Datenformat für den Datenaustausch im Verkehrssektor, erwähnt im Kontext von TC278 WG3.
OSDM (Open Sales and Distribution Model): Eine offene REST API (Representational State Transfer Application Programming Interface), die von der Bahnindustrie entwickelt wurde, um den standardisierten Verkauf und die Verteilung von Fahrkarten zu ermöglichen.
PDF417: Ein gestapelter linearer Barcode im Format einer rechteckigen Fläche, der große Datenmengen kodieren kann und in verschiedenen Anwendungen, z.B. bei Bordkarten, eingesetzt wird.
REST API (Representational State Transfer Application Programming Interface): Eine Architektur für webbasierte Dienste, die es Systemen ermöglicht, über standardisierte HTTP-Anfragen zu kommunizieren und Daten in einem lesbaren Format auszutauschen.
RTDV1 (Rail Ticket Data Version 1): Die erste Version des Datenmodells, das im FCB-Container für Bahntickets verwendet wird.
SNCF (Société nationale des chemins de fer français): Die staatliche französische Eisenbahngesellschaft.
SSBV1/SSB2/SSB3 (Small Structured Barcode Version 1/2/3): Frühere Barcode-Standards der UIC für Fahrkarten, die eine strukturierte Datenkodierung aufwiesen und sich über mehrere Versionen weiterentwickelten.
TC278 (Technical Commission 278): Eine technische Kommission des CEN/CENELEC, die sich mit Transportinformatik und digitalem Ticketing befasst.
TC278 WG3 (Technical Commission 278 Working Group 3): Eine Arbeitsgruppe innerhalb des TC278, die an spezifischen Projekten zur Normung im Bereich Ticketing und Datenformate arbeitet.
TJ: Wahrscheinlich eine Abkürzung für ein Transportunternehmen (z.B. ÖBB Traktion GmbH in Österreich oder ein ähnlicher regionaler Betreiber), das DoseyPass einführen soll.
TLB (Ticket Layout Barcode): Ein älterer Barcode-Standard, der hauptsächlich Layout- und Druckanweisungen für die Fahrkarte enthielt und Textfelder auf dem Gerät des Schaffners rendern sollte.
TTL (Transistor-Transistor Logic): Eine Familie von Logik-Schaltkreisen, die in digitalen Systemen häufig zur Steuerung und Signalübertragung verwendet wird; hier als einfaches An-/Aus-Steuersignal für LEDs.
UICA (UIC Certificate Authority): Eine geplante Zertifikatsautorität innerhalb der UIC, um die Ausstellung und Verwaltung von digitalen Zertifikaten für Bahnsysteme zu standardisieren.
UIC (Union Internationale des Chemins de fer): Der Internationale Eisenbahnverband, der sich mit der Standardisierung und Zusammenarbeit im Eisenbahnwesen befasst.
UIC Star: Ein Projekt der UIC für kurzlebige, automatisch erneuerte Zertifikate, die für Fahrkartenautomaten vorgesehen sind.
VDV (Verband Deutscher Verkehrsunternehmen): Der Verband deutscher Verkehrsunternehmen, der eigene Standards für Ticketing (z.B. VDV-Barcode) entwickelt.
VU (Verkehrsunternehmen): Ein allgemeiner Begriff für Verkehrsunternehmen, hier im Kontext eines spezifischen Mappings von VDV-Barcodes durch die Deutsche Bahn.