Der Spion, der mich blitzte

Radarfallen sind eine feine Sache. Also zumindest für den Staat. Autofahrer sehen das traditionell anders. Die Slowakei möchte jetzt mit 279 neuen Anlagen ihre Einnahmen aus Verkehrsstrafen verzehnfachen. Oder anders ausgedrückt: Wo ein politischer Wille ist, ist bald auch eine 30er-Zone.

Dummerweise haben die vorgesehenen Geräte ein kleines Problem. Sogar mehrere. Die slowakische Sicherheitsbehörde NBU stellte fest, dass die vermeintlich aus Zypern bzw. Kroatien stammende Technik gar nicht aus Zypern oder Kroatien kommt, sondern aus Russland. Vom dortigen Hersteller Simicon. Anderer Aufkleber auf dem Gehäuse, aber drinnen das gleiche Gerät. Noch merkwürdiger wurde es, als die Experten genauer hinschauten. Die Software, die offiziell geprüft und zugelassen worden war, war zwar auf der Festplatte im Gerät vorhanden, für die eigentliche Geschwindigkeitsmessung wurde aber eine andere verwendet. Die hatte keine Zulassung, war nicht geeicht und es war auch total unklar, wie damit der Speed berechnet wurde. Spätestens an dieser Stelle könnte man noch großzügig von einem Zertifizierungsproblem sprechen. Schlecht dokumentiert, schlampig umgesetzt und einfach nur technischer Murks.

Leider hatten die Prüfer gerade erst angefangen. Neben einer WLAN-Schnittstelle für die Beamten zum Auslesen der Blitzerfotos fanden sie noch weitere, nicht dokumentierte Kommunikationsmöglichkeiten und Zugänge, über die sich das Gerät sogar aus der Ferne ansprechen ließ. Teilweise waren dafür Zugangsdaten bereits fest eingebaut. Besonders pikant: Im System waren russische Telefonnummern hinterlegt, von denen das Gerät Befehle per SMS akzeptieren konnte. Eine Radarfalle also, die nicht nur blitzt, sondern im (hybriden) Krieg dem Gegner auch noch als Überwachungskamera dienen kann.

Fairerweise bedeutet all das noch nicht, dass Russland tatsächlich slowakische Autofahrer beobachtet oder Radarfallen fernsteuert. Eine Hintertür beweist noch keinen Einbrecher. Und in chinesischen Geräten kam sowas ja auch schon öfter vor. Manchmal ist miserable IT-Sicherheit schlicht miserable IT-Sicherheit. Und dafür braucht es nur miese Softwareentwickler und keinen Geheimdienst. Allerdings sollte staatliche Infrastruktur auch nicht auf Vertrauen basieren. Entscheidend ist nicht, ob Moskau oder Peking tatsächlich zugreifen, sondern ob irgendjemand zugreifen könnte. Bei einem Gerät, das Kennzeichen erfasst, Geschwindigkeiten misst und staatliche Bußgelder auslöst, darf »wird schon keiner machen« nicht das Sicherheitskonzept sein.

Die Slowakei will vorerst keine weiteren Geräte dieses Typs installieren und alles nochmal prüfen lassen. Vielleicht ist das auch besser so. Schließlich stellen wir Radarfallen an den Straßenrand, weil wir Autofahrern nicht zutrauen, sich an die Regeln zu halten. Dumm nur, wenn wir ausgerechnet dem Kontrollgerät das auch nicht zutrauen. Übrigens: ein Gutes hat das ganze ja. Das Geld für die App »blitzer.de« kann man sich sparen. Zumindest in der Slowakei. Bis das alles geklärt ist, blitzt da nix. Gute Fahrt!