Achtung! Probleme beim Bezahlen im ICE

Kostenloses WLAN WIFIonICE

In ausgewählten ICE-Zügen bietet die Deutsche Bahn seit geraumer Zeit ein kostenloses WLAN an. Wie heise.de unter Berufung auf Leserstimmen nun mitteilte, lieferte deren gesicherte Verbindung zu PayPal im WLAN seltsame Fehlermeldungen. Ein Phänomen, das besorgniserregend klingt und nicht für die Sicherheit solcher Verbindungen spricht. Wie es weiter dazu heißt hat heise.de diese Erscheinung selbst in einem ICE nachvollzogen.

Hierzu berichtete heise.de von einem Kurztest auf einem Notebook mit folgendem Ergebnis:

Statt der erwarteten HTTPS-gesicherten Verbindung zu Paypal zeigte der Web-Browser eine Fehlermeldung, dass die Verbindung nicht sicher sei, weil der Name des Servers nicht stimme. Eine genauere Inspektion des Zertifikats zeigte dann auch, dass es von Symantec im Januar für ein dänisches Logistik-Unternehmen namens Maersk Line ausgestellt wurde. Der sogenannte Common Name des Zertifikats lautet apid.maerskline.com – das klingt nach einem Firmen-WLAN. Wie das in die HTTPS-Verbindung zu Paypal geraten konnte, ist ein Rätsel, das wohl nur die Deutsche Bahn auflösen kann.

Weitere Tests mit diversen anderen Seiten waren unauffällig und bauten sich normal auf. Mit dem Wechsel der Verbindung zu Mobilfunk (LTE-Tethering) wurde auch die gesicherte PayPal –Verbindung erreicht.

IPhone-Verhalten rätselhaft

In diesem Zusammenhang wurde auch das iPhone getestet. Dort zeigte der iPhone-Browser Safari im WIFIonICE die angeblich sichere HTTPS-Paypal-Seite an, das Zertifikat war aber nicht überprüfbar. Ein Test mit Chrome auf dem gleichen iPhone erbrachte jedenfalls wieder einen SSL-Fehler.

Was sind die Ursachen?

Der Grund für Zertifikatsfehler, von dem heise-Leser unabhängig berichteten, ist nicht so leicht zu verifizieren. Vermutet wir als Ursache eine Fehlkonfiguration im DNS, die die Verbindung zu einem falschen Server umleitet.

Neu gewonnene Erkenntnisse von einem zugfahrenden Leser zeigten, dass im WIFIonICE der Name www.paypal.com zu einem Content-Delivery-Server von Akamai mit der IP-Adresse 23.46.119.241 aufgelöst wird.

Die Deutsche Bahn ließ zwischenzeitlich mitteilen, dass man den Fehler habe nachvollziehen können und an der schnellstmöglichen Behebung arbeite.