ZVV-App: Funktionen, Datenschutz und potenzielle Gefahren

Die ZVV-App des Zürcher Verkehrsverbunds (ZVV) ist ein unverzichtbares Werkzeug für viele Pendler im Grossraum Zürich. Mit Funktionen wie Echtzeit-Fahrplanauskunft, Ticketkauf und der innovativen Check-in-Funktion erleichtert sie die Nutzung des öffentlichen Verkehrs erheblich. Doch hinter der benutzerfreundlichen Oberfläche lauern potenzielle Risiken: von Tracking über Datenmissbrauch bis hin zu unbeabsichtigtem Schwarzfahren. In diesem Artikel analysieren wir die Funktionen der App, untersuchen die gesammelten Daten und beleuchten kritisch die damit verbundenen Gefahren. Ziel ist es, Nutzern ein umfassendes Bild zu vermitteln, damit sie informierte Entscheidungen treffen können.

Funktionen der ZVV-App: Was kann sie?

Die ZVV-App, kostenlos für iOS und Android verfügbar (nicht für Tablets), bietet eine Vielzahl von Funktionen, die den öffentlichen Verkehr in der Schweiz, insbesondere im ZVV-Gebiet, komfortabler machen sollen:

• Echtzeit-Fahrplanauskunft: Nutzer erhalten aktuelle Verbindungen für Züge, Trams, Busse, Schiffe und Seilbahnen, inklusive personalisierter Vorschläge und Echtzeit-Updates.
• Ticket- und Abonnementkauf: Die App ermöglicht den Kauf von Einzel-, Tages- oder Monatstickets sowie Abonnements, auch für Mitreisende, Hunde oder Fahrräder.
• Check-in-Ticket: Eine innovative Funktion, bei der Nutzer vor der Fahrt einchecken und nach der Fahrt auschecken. Die App berechnet automatisch den Fahrpreis basierend auf der zurückgelegten Strecke und berücksichtigt bestehende Abonnements.
• Push-Benachrichtigungen: Nutzer können Verkehrsmeldungen für bestimmte Linien oder Routen abonnieren.
• SwissPass-Integration: Tickets können auf einem physischen oder digitalen SwissPass gespeichert werden.
• Zusatzfunktionen: Dazu gehören eine Umgebungskarte mit nächsten Abfahrten und die Möglichkeit, Favoriten für häufig genutzte Verbindungen zu speichern.

Die App wird von Fairtiq AG betrieben, einem Schweizer Unternehmen, das die Check-in-Technologie entwickelt hat. Mehr Details zur App finden Sie auf der offiziellen ZVV-Website.

Welche Daten sammelt die ZVV-App?

Um diese Funktionen zu ermöglichen, sammelt die ZVV-App eine Vielzahl von Daten. Laut der Datenschutzerklärung des ZVV umfassen diese:

• Kundendaten: Name, Vorname, Geburtsdatum, Mobilnummer, E-Mail-Adresse, Geräteinformationen (z. B. Modell, Betriebssystem), User-ID und IP-Adresse.
• Reisedaten: Routen, Standort- und Bewegungsdaten (bei Check-in), Fahrpläne, Check-in- und Check-out-Zeiten.
• Kaufdaten: Tickettyp, Preis, Klasse, Datum und Uhrzeit des Kaufs.
• Zahlungsmitteldaten: Diese werden von Datatrans AG verarbeitet und nur als anonymisierte Transaktionsreferenz für 18 Monate gespeichert.
• Anonyme Nutzungsdaten: Leistungs- und Fehlerprotokolle (via New Relic Mobile SDK und Sentry), die bis zu 90 Tage gespeichert werden.

Die Datenverarbeitung erfolgt grösstenteils durch Fairtiq AG, mit Unterauftragnehmern in der Schweiz, der EU und teilweise in den USA, stets unter Einhaltung der Schweizer Datenschutzgesetze und der DSGVO. Daten werden nach 12 Monaten anonymisiert oder auf Anfrage gelöscht, und Nutzer können der Verarbeitung widersprechen.

Potenzielle Gefahren der ZVV-App

Trotz der praktischen Funktionen und der scheinbar robusten Datenschutzmassnahmen gibt es potenzielle Risiken, die Nutzer kennen sollten. Im Folgenden analysieren wir die wichtigsten Gefahrenbereiche: Tracking, Datenmissbrauch und Schwarzfahren.

Tracking und Stalking

Die Check-in-Funktion der ZVV-App erfordert die Erfassung von Standortdaten, um den Fahrpreis basierend auf der zurückgelegten Strecke zu berechnen. Diese Daten könnten theoretisch missbraucht werden, um die Bewegungen von Nutzern zu verfolgen oder sogar Stalking zu ermöglichen. Obwohl keine bekannten Fälle von Stalking oder Tracking im Zusammenhang mit der ZVV-App dokumentiert sind, bleibt das Risiko bestehen, insbesondere bei einem potenziellen Datenleck.

Risiken und Szenarien

• Datenlecks: Sollten die Server von Fairtiq AG oder ZVV gehackt werden, könnten Standortdaten in falsche Hände geraten.
• Missbrauch durch Dritte: Wenn Unterauftragnehmer in den USA oder anderswo nicht den gleichen Datenschutzstandards folgen, könnten Daten unbefugt weitergegeben werden.
• Soziale Ingeniosität: Ein Angreifer, der Zugriff auf das Smartphone eines Nutzers erhält, könnte Bewegungsprofile einsehen.

Schutzmassnahmen

• Der ZVV betont, dass Standortdaten nur während der Reise gesammelt und nach 12 Monaten anonymisiert werden.
• Nutzer können die Check-in-Funktion deaktivieren und anonym reisen, indem sie Tickets direkt an Fahrkartenautomaten kaufen.
• Empfehlung: Verwenden Sie starke Passwörter und schützen Sie Ihr Gerät mit einem Sperrcode.

Datenmissbrauch und Betrug

Da die ZVV-App finanzielle Transaktionen ermöglicht, besteht ein Risiko für Betrug, insbesondere bei unbefugtem Zugriff auf Nutzerkonten. Folgende Risiken denkbar:

• Phishing-Angriffe: Cyberkriminelle könnten gefälschte E-Mails oder SMS im Namen des ZVV versenden, um Zugangsdaten oder Zahlungsinformationen zu stehlen.
• Kontoübernahme: Schwache Passwörter oder unsichere Geräte könnten es Angreifern ermöglichen, auf Nutzerkonten zuzugreifen und Tickets auf Kosten des Nutzers zu kaufen, was bei SwissPass bereits vorgekommen ist.
• Datenlecks bei Drittanbietern: Obwohl Zahlungsmitteldaten von Datatrans AG verarbeitet werden, könnten Schwachstellen bei Unterauftragnehmern zu Datenkompromittierungen führen.
• Updates: Nutzer sollten die App und ihr Gerät regelmässig aktualisieren, um Sicherheitslücken zu schliessen.
• Empfehlung: Überprüfen Sie regelmässig Ihre Kontoauszüge auf unbefugte Transaktionen und nutzen Sie sichere Netzwerke für App-Transaktionen.

Schwarzfahren durch technische oder nutzerseitige Fehler

Die Check-in-Funktion birgt ein einzigartiges Risiko: unbeabsichtigtes Schwarzfahren. Wenn Nutzer vergessen, sich auszuchecken, oder technische Probleme (z. B. GPS-Fehler oder App-Abstürze) auftreten, kann die Reise nicht korrekt abgerechnet werden. Laut den FAQs zum Check-in-Ticket kann dies zu Strafen führen, da Kontrolleure ein gültiges Ticket verlangen.

Risiken und Szenarien für Schwarzfahren und Fehler durch den Benutzer

• Technische Fehler: GPS-Ungenauigkeiten oder App-Abstürze können dazu führen, dass Check-in oder Check-out nicht registriert werden, was als Schwarzfahren gewertet werden kann.
• Nutzerfehler: Vergessen des Check-outs oder falsche Bedienung der App kann zu ungültigen Tickets führen.
• Strafen: In der Schweiz können Schwarzfahrer mit Bussgeldern (oft über 100 CHF) belegt werden, was für Nutzer der App ein weiteres finanzielles Risiko darstellt.

Es lohnt sich durchaus, zu überlegen, ob man nicht ein paar Franken mehr ausgeben möchte, um ein anonymes Ticket am ZVV-Automaten zu kaufen. Ebenso gibt es unpersönliche, übertragbare Monatsabonnements. Wie viel Ihnen Ihre Anonymität und der Schutz Ihrer Daten wert sind, muss jeder für sich selbst entscheiden.