Oder: Wie ich in nur 90 Minuten meine BahnCard100 in Lindau erstand. Von Winfried Wolf. – Vorbemerkung Albrecht Müller: Winfried Wolf beschreibt hier einen alarmierenden Vorgang. Er passt aber erstens ins Bild unseres totalen US-Vasallentums. Zweitens belegt der Autor das Wirken einer typischen US-Einflussperson und damit ein Phänomen, das die Politik in Deutschland im Innern und nach außen wesentlich bestimmt. Der Text enthält auch sonst noch viel Interessantes.

Deutsche Bahn wird ab sofort über eine US-Cloud gesteuert

Oder: Wie ich in nur 90 Minuten meine BahnCard100 in Lindau erstand.

Am 28. Oktober konnte man im „Handelsblatt“ lesen:

„Deutsche Bahn verlagert ihre komplette IT in die Cloud […] Davon profitieren Amazon und Microsoft.“

Berichtet wird, dass die Deutsche Bahn AG sich „eigentlich“ für den „grundlegenden Umbau ihrer Computer-Infrastruktur Zeit bis zum Jahr 2022 genommen“ habe. Doch dann habe man sich anders entschlossen. Gewissermaßen im Schutze der Corona-Cloud ist die gesamte IT des Bahnkonzerns in die von US-Konzernen kontrollierte Cloud abgewandert. Dazu der zitierte Bericht:

„Noch in diesen Tagen werden im Bahn-Rechenzentrum Berlin-Mahlsdorf die letzten Rechner abgebaut […] Die eigenen Bahn-Server gibt es nun nicht mehr. Alles kommt aus der Cloud. Das sind Rechenzentren von Microsoft und Amazon, die mit ihren Diensten Azure und AWS Speicherplatz und Rechenleistungen über das Internet bereitstellen.“

Zitiert wird dazu die IT-Chefin der Deutschen Bahn, Christa Koenen, wie folgt:

„Wir haben quasi unter dem rollenden Rad die IT-Anwendungen in die Cloud gehoben und dann weiter optimiert.“

Nun hieß es noch vor 16 Monaten, unter Berufung auf dieselbe DB-AG-Managerin Christa Koenen, wie folgt:

„Schon seit 2016 verfolgt die Bahn eine konsequente Cloud-first-Strategie. Bis Juni 2020 sollen alle IT-Anwendungen in die Public Cloud migriert sein, berichtet Koenen, ein Großteil sei bereits geschafft. Für die entstehende “DB Enterprise Cloud” setzt der Konzern auf die großen Cloud-Provider Amazon Web Services (AWS) und Microsoft mit Azure. Die Inte­gration von innovativen Applikationen und Modulen in die Systeme und Prozesse der Bahn will DB Systel allerdings in der eigenen Hand behalten. Das gilt auch für den operativen Betrieb und das Management der rund 650 IT-Anwendungen.“[1]

Inzwischen soll aber, so Frau Koenen laut Handelsblatt, „die letzte Anwendung unser Rechenzentrum verlassen“ haben. Man werde jetzt dort „den Rückbau starten“. Von den 1000 Mitarbeitern, die im Rechenzentrum beschäftigt waren, hätten „wir fast alle behalten und weiterbilden“ können.

Alles super verschlüsselt

Natürlich betont die Deutsche Bahn, dass man bei diesem Vorgang „einen ganz besonderen Fokus auf Sicherheit und Datenschutz gelegt“ habe. Und klar doch: „Wir verschlüsseln alle Daten. Und nur wir können sie entschlüsseln. Nur wir haben Zugriff auf die Schlüssel und nicht die Cloud-Provider.“ So könne die Bahn auch „Anwendungen, bei denen der Datenschutz eine wichtige Rolle spielt, in der Cloud betreiben.“

Jetzt konnte man noch nie erleben, dass man Verschlüsseltes nicht entschlüsseln könnte.

Spätestens seit der Entschlüsselung der deutschen Verschlüsselungsmaschine Enigma – ganz ausgezeichnet und spannend beschrieben im Roman von Robert Harris[2] – ist diese Erkenntnis Allgemeingut. Die Briten konnten die NS-Verschlüsselungen lesen, die US-Regierung konnte alle japanischen Verschlüsselungen lesen. Die Japaner lasen die US-Codes.

Heute sind solche Entschlüsselungen nochmals einfacher, da moderne Computer und KI dazu eingesetzt werden. Und, ganz banal: Notfalls kauft man sich aus dem DB-AG-Management ein paar Figuren heraus. Das kann so teuer nicht sein. Wobei es in der Zeit der NS-Diktatur auch Überzeugungstäter wie Richard Sorge in Tokio gab, die wichtige Beschlüsse der Achsenmächte 1:1 durchreichen konnten, damals nach Moskau. Und natürlich wird es Verschlüsselungstechniker geben, die ihr Wissen – aus welchen Gründen auch immer – an die „Gegenseite“ durchreichen werden.

„Das ist doch allgemein so üblich“

Jetzt lässt sich sagen, dass die Abgabe von IT an die Cloud Stand der Technik sei, und dass diese Cloud überwiegend von US-Konzernen beherrscht werde. Dass der ganze Vorrang doch „allgemein üblich“ sei.

Tatsächlich dürften viele Unternehmen so verfahren. Allerdings müsste man dabei konkret werden und Namen nennen. Interessant wäre, ob die deutschen Geheimdienste oder die Bundeswehr oder die Bundesregierung oder die Bundesbank oder die EZB so handeln. Und wenn sie dies tun, weil „transatlantisch“ gepolt, dann ist es nochmals eine andere Sache, ob deutsche staatliche oder EU-Institutionen so verfahren – oder ob deutsche oder französische, britische, spanische usw. Unternehmen, die sich in Konkurrenz zu US-Konzernen befinden, derart verfahren. Die Frage also lautet: Verfahren die Deutsche Bank oder Total oder Fiat oder Daimler oder Repsol oder Voest – oder auch die Nachbarbahnen SBB oder SNCF – auf die gleiche Weise? Lagern diese ihre IT komplett in eine Cloud aus, die von US-Konzernen kontrolliert wird?

Vor allem gibt es wohl wenige Unternehmen, die hinsichtlich der Auswirkungen derart sensibel sind, bei denen eine solche Auslagerung mit potentieller Entschlüsselung und möglicher Fremdsteuerung derart weitreichende Folgen hat, wie dies auf den Deutschen Bahnkonzern zutrifft.

Es geht dabei nicht allein und vielleicht nicht einmal vor allem um das Entschlüsseln, welche Bundesbürger wohin reisen und wo sie welche Kreditkarte einsetzen bzw. in welchem Hotel sie dann absteigen. Es geht darum, dass auf diese Weise vom Ausland aus und von privaten ausländischen, US-amerikanischen Konzernen (konkret: Amazon und Microsoft) auf die STEUERUNG EINER zentralen deutschen INFRASTRUKTUR zugegriffen werden kann. Eine Infrastruktur, mit der täglich ziemlich exakt 7,15 Millionen Bürgerinnen und Bürger befördert und täglich 4240 Güterzüge mit einigen hunderttausend Tonnen Gütern bewegt werden. All dies noch ohne die Bahntöchter Schenker Logistics und Arriva.

Diese Leistungen können nun von weit “außerhalb” gestört, verlangsamt und was auch immer werden. Wenn das neue elektronische Sicherungssystem für den Bahnverkehr ETCS (European Train Control System) einmal weitgehend flächendeckend eingeführt ist – aktuell ist es erst auf ersten Strecken in Funktion – dann ist die entsprechende Verwundbarkeit eine nochmals größere.

Wobei man sich diese Einflussnahme nicht immer als eine derart direkte vorstellen muss. Es geht vielleicht gar nicht um die Horrorvorstellung, dass da Amazon oder Microsoft irgendwann einen Schalter umlegen und dann gilt: „Alle Züge stehen still, weil der starke Google-Arm das will“. Ein US-Bericht über die Bedeutung der Entschlüsselung der NS-Chiffriermaschine Enigma beschrieb die Meta-Ebene, die eine solche Entschlüsselung hat, wie folgt:

„Ultra [besagte Entschlüsselung von Enigma; W.W.] schuf in der Militärführung und an der politischen Spitze [in London und Washington; W.W.] ein Bewusstsein, das die Art und Weise der Entscheidungsfindung veränderte. Das Gefühl, den Feind zu kennen, ist höchst beruhigend. Es verstärkt sich unmerklich im Laufe der Zeit, wenn man regelmäßig und aufs Genaueste seine Gedanken und Gewohnheiten und Handlungsweisen beobachten kann. Wissen dieser Art befreit das eigene Planen von allzu großer Vorsicht und Angst, man wird sicherer, kühner und energischer.“[3]

Seit 2016 geplant?

Die Deutsche Bahn lässt nun, zur Beruhigung der Gemüter, mitteilen, es handle sich bei dieser Auslagerung der DB-IT in die Cloud um einen seit 2016 beschlossenen Prozess. Das dürfte so sein. Allerdings ist auch deutlich, dass der Bahnkonzern einiges unternahm, um die Tragweite dieses Vorgangs zu verdecken oder zu verheimlichen.

Im Geschäftsbericht 2017 der Deutschen Bahn AG gibt es mehrere Stellen, an denen diese Entscheidung auftauchen müsste – und wo sie indirekt angesprochen oder wo „um diese Entscheidung herumgeschrieben“ wird. So gibt es dort einen ganzen Abschnitt zum Thema “Digitalisierung und Innovation (DB02)”. Dort findet sich jedoch kein Wort zum Ziel Auslagerung (S.33). Im Bericht des Aufsichtsrats (S.20f) liest man dann vage das Folgende: “Schwerpunkte der Beratung im Plenum (des AR; W.W.) bildeten … die wesentlichen Beteiligungsprojekte…” Und: “Im Rahmen dieser Sitzung (= “gesonderte Strategiesitzung der Strategie des DB-Konzerns”, so die wörtliche Bezeichnung; ein Datum wird nicht genannt; W.W.) wurde die Digitalisierungsstrategie … intensiv diskutiert.” (S.21).

Wenn diesen Satz ein Linguistik-Fachmann untersucht, wird er sagen: Daran wurde so lange herumgefeilt, bis der Satz mit seinen sechs Zeilen und drei Mal das Wort „Strategie“ und drei Mal das Wort „Digitalisierung“ zwar sprachlich verunglückt ist, aber erreicht wurde, was das Ziel war, nämlich nichts auszusagen. Im Bericht zur Tätigkeit des Vorstands heißt es dann auf Seite 25, dass „am 22. März 2017″ das “Vorstandsressort Technik&Qualität” erweitert und umbenannt wurde in “Digitalisierung und Technik”, ein Bereich, der zunächst kommissarisch von Dr. Richard Lutz und dann – ein Datum findet sich hier nicht – “von Frau Prof. Sabina Jeschke” geführt wurde. Diese Digitalisierungs-Top-Frau – Chefin der eingangs zitierten Frau Koenen – hat dann den für das Führungspersonal der Deutschen Bahn AG typischen beruflichen Werdegang: Sie hatte vor ihrem Einflug im Bahnkonzern noch nie etwas mit Schiene zu tun gehabt, sie erwies sich jedoch als autoaffin. Wobei hinzukommt, dass sie in den USA u.a. im Umfeld der NASA aktiv war.[4]

In diesem Geschäftsbericht gibt es auch einen ausführlichen „Konzern-Lagebericht“. Dieser beginnt auf Seite 41. In diesem gibt es eine Reihe von Kapiteln, in denen etwas über diese beabsichtige Auslagerung zu lesen sein müsste. Etwa im Abschnitt “Digitale Schiene” (S.60). Dann eventuell unter „Beteiligungen und Partnerschaften für mehr Digitalisierung” (S.64). Oder ab Seite 140 im Rahmen des Berichts zum “Geschäftsmodell Netze”. Doch nirgendwo ein Wort dazu.

Die heiße Meldung selbst findet sich dann versteckt im Abschnitt “Beteiligungen/Sonstiges” (ab S. 148). Und da steht das Folgende: “Nach einer internationalen Ausschreibung hat die Penta Berlin GmbH den Zuschlag für den Kauf des Rechenzentrums Berlin-Mahlsdorf zum 1. Januar 2018 erhalten. Das Rechenzentrum wird zunächst noch drei Jahre durch DB Systel betrieben. Mit dem Verkauf geht die Migration von DB-Anwendungen in ein neues, zukunftsgerichtetes Cloud-System einher. Das Cloud-System wird von DB Systel gemanaged und von Amazon Webservices betrieben. Bis Ende 2021 sollen mehr als 1000 Anwendungen überführt sein.“[5]

Einmal abgesehen davon, dass das im 250-seitigen Geschäftsbericht geradezu professionell versteckt wurde und dass es heißt, der Umzug finde erst 2021 statt, so steht dort nichts davon, dass die GESAMTE DB-IT abgeschaltet und dass ALLE IT-Vorgänge in diese Cloud und zu einer von einem US-Konzern verwalteten Cloud abwandern würden. Die Rede ist davon, dass gewissermaßen irgendwelche “DB-Anwendungen” transatlantische Migration betreiben. Auch müsste irgendwo ein Betrag genannt werden, was der Bahnkonzern dafür erhalten hat. Es muss sich dabei um einen mindestens dreistelligen Millionen-Betrag gehandelt haben. Eigentlich, um den Hartmut-Mehdorn-Sprech aufzugreifen, wäre dies zu ergänzen um die Frage, ob es dafür “Möhrchen” für diejenigen gab, die den IT-Ausverkauf eingestielt haben.[6]

Dass dieser Verkauf an eine Cloud mit Provider im Ausland auch der Deutschen Bahn AG unangenehm ist, zeigt die Pressemitteilung der DB AG vom 28. Oktober 2020, in der der Vorgang mit blumigen Worten wie folgt beschrieben wird: „Davon profitieren die Reisenden, weil die Systeme auch unter extremer Last laufen, zum Beispiel die Fahrplanauskunft bei einem Sturm“. Das ist echt witzig: Da läuft dann die Auskunft stabil, aber der Zugverkehr bleibt oft ganz aus. Und dann steht da als Schlusssatz und in direktem Widerspruch zum Bericht im Handelsblatt und zur Eigendarstellung im Geschäftsbericht 2017 unter „Sonstiges“:

„Die Daten der DB werden datenschutzkonform verschlüsselt und ausschließlich auf europäischen Servern in Deutschland und den Niederlanden gespeichert.“

Das Handelsblatt betont nicht nur, dass die beiden US-Konzerne diese Cloud kontrollierten. Dort heißt es auch:

„Anbieter aus Deutschland oder Europa gingen [bei der Ausschreibung; W.W.] leer aus.“

Im Übrigen befindet sich die Deutsche Bahn AG zu 100 Prozent im Eigentum des Bundes. Damit muss die Bundesregierung als Vertreterin des Eigentümers Bund von dem Ausverkauf Kenntnis gehabt haben.

G5 und Nordstream II

Es gab in jüngerer Zeit lange Debatten, wonach „die Chinesen” nicht via G5 und Huawei auf die deutsche Telekommunikation Zugriff bekommen dürften. Da wurde – unter anderem seitens Huawei – auch dagegen argumentiert, dass doch alle Daten in Deutschland lägen und dass diese verschlüsselt seien. Dem hielt unter anderem die US-Regierung entgegen, dass es irgendwelche kleinen Tools in der G5-Technik geben könnte, mit deren Hilfe “die Chinesen” dann an das entsprechende Wissen kämen. Wobei die Regierungen vieler Länder – darunter weitgehend auch die Bundesregierung – dann den entsprechenden US-Anforderungen Folge leisteten und Huawei ganz oder weitgehend von der G5-Technik ausschließen oder ausschließen wollen.

Im Fall Nordstream wird vergleichbar argumentiert. Hier heißt es, man dürfe sich bei der Energieversorgung nicht von “den Russen” abhängig machen. Auch da ist die Abhängigkeit eine eher weit hergeholte, da es Alternativen in der Energieversorgung gibt. Und erneut droht auch in diesem Fall das Argument des Fremdeinflusses zu obsiegen.

Doch all das gilt bei der DB-AG-IT nicht. Da sollen US-Konzerne letzten Endes eine zentrale deutsche IT zumindest potentiell kontrollieren können. Da wird es auch keine Rückfallebene mehr geben. Man schließt das Rechenzentrum und wirft die Schlüssel für den IT-Zugang in den Atlantik.
Formal allerdings wird argumentiert, dass man auch mal wie Rumpelstilzchen mit dem Fuß aufstampfen und die ausgelagerte IT zurückholen könne. Es sei “absolut nicht ausgeschlossen, dass wir auch mal den Cloud-Provider wechseln” – heißt es bahnoffiziell.

Das dürfte jedoch eine Beruhigungspille sein. Die Verträge, die diesem Ausverkauf zugrunde liegen, dürften derart sein, dass die DB AG nicht so schnell aus diesen herauskommt.

Aktuelle Anwendungen

Kurz vor seinem Abgang sagte der damalige Bahnchef Grube, wie wertvoll “doch die Daten der Bahn” seien, und dass man da verstärkt aktiv werden würde. Das war im Herbst 2016. Ende 2016 wurde eingeführt, dass alle, die eine DB Lounge betreten, sich, wenn verfügbar, mit ihrer BC50- oder BC100-BahnComfort-Karte “ausweisen” und diese durch ein elektronisches Lesegerät ziehen müssen.

Seit mehr als zwei Jahren gibt es den elektronischen “Komfort-Check-in”, der „die Fahrkartenkontrolle ersetzen“ soll. Vor zwei Wochen teilte der Bahnkonzern mit, dass die „Reisebegleiter” (die in jedem Zug seit mehr als 20 Jahren ausliegenden Faltblätter mit Wiedergabe des Zugverlaufs, den Umsteigeverbindungen usw.) abgeschafft wurden. Man möge sich ab sofort im Netz informieren.
Und seit wenigen Wochen gibt es im Bordrestaurant keine Speisekarten mehr (bzw. nur noch ein Exemplar einer solchen; für Notfälle). Man möge sich die Speisekarte elektronisch einlesen.

Bei all diesen Vorgängen geht es nicht darum, Zeit und Personal zu sparen. Meist ist das Gegenteil der Fall. Es geht allein um das eine: Daten&Daten&Daten.

Meine jährliche  BC100-Erfahrung – in diesem Jahr im schönen Lindau am Bodensee

Am 7. September war es wieder soweit. Meine BC100 war abgelaufen; ich musste eine neue Karte erstehen. Und dies im Bahnhof Lindau. Ich war gerade am Bodensee auf Veranstaltungstour. Wie seit vielen Jahren bezahle ich diese Karte immer bar: bewaffnet mit einer dicken Tüte und vielen Scheinen. Da ist die Chefin meiner örtlichen brandenburgischen Sparkasse immer really amused. Und meist freut sich auch die eine und andere Bahn-Bedienstete an einem der verbliebenen DB-AG-Schalter. Irgendwie muss man ja, wenn auch auf lächerliche, kindische Art und Weise, Sand ins IT-Getriebe werfen.

In Lindau nun war der Bahnbedienstete hinter dem Schalter, als ich ihn fragte, ob er sich das antun wollte, eine BC100 mir direkt zu besorgen und bar bezahlt zu bekommen, begeistert. In echt. Es handelte sich ersichtlich noch um einen echten Bahnbeamten und um einen engagierten Bahner. Er tat mir gleich kund, warum er mein Ansinnen so gut fände: Sein Schalter werde nämlich in Bälde geschlossen. Wenige Stunden vor meiner Ankunft vor dem Schalter sei die “Chefin“ – von der Bahntochter Station und Service – vor Ort gewesen und habe mitgeteilt, dass der gesamte DB-AG-Service aus dem wunderbaren Jugendstil-Bahnhof Lindau hinausverlagert werde … in einen Container. Das erfüllte die beiden Männer vor und hinter dem Schalter mit einigem Grimm. Der hinter dem Schalter kämpft um seinen Arbeitsplatz und den seiner Kolleginnen und Kollegen. Der vor dem Schalter kämpft seit vielen Jahren, zusammen mit Freunden vor Ort, gegen die Auflösung des Jugendstilbahnhofs auf der Insel.[7]

Ich benötigte dann für den Erwerb meiner BC100-Karte ziemlich genau 95 Minuten. Zwei Mal unterbrachen wir die Angelegenheit, um die Schlange, die sich hinter mir bildete, wieder abzuarbeiten. Einmal musste der Bahnbeamte mir sein Handy durch die (Corona-Plastik-Schutzwand) hindurchreichen, da die BahnComfort-Zentrale mit mir direkt reden wollte…

Ich musste dann wieder – wie in jedem Jahr – ein rund 65 Zentimeter langes Papier-Formular ausfüllen. Der Bahnbeamte war sich zunächst sicher, er könne das Ganze über seinen PC und die DB-AG-IT machen. Doch das ging nicht. Eben weil ich die Dienstleistung am Schalter haben und nicht „ins Netz gehen“ wollte. Also ging alles “zu Fuß”, handschriftlich. Auf Print. Mit allen meinen Daten. Obgleich ich eine Art Goldene BahnCard100 haben müsste, weil ich seit 1985 durchgängig eine Netzkarte respektive eine BC100 habe.

Wie üblich erhielt ich nach besagten eineinhalb Stunden (die ich im Übrigen so auch bereits zuvor eingeplant hatte) eine provisorische BC100. Ein ziemlich windiger Wisch, im Aussehen wie eine einfache 14-Euro-50-Fahrkarte. Darauf der Hinweis, dass ich in rund zwei Wochen meine Plastikkarte zugesandt bekommen würde.

Stattdessen erhielt ich 16 Tage später einen Brief von BahnComfort. Dort die Mitteilung: Die DB könne mir die Plastikkarte nicht zustellen, da ich nicht erkenntlich bezahlt hätte. Ich müsse das belegen. Ich nannte via E-Mail Ort und Zeit und Bahnhof, wo ich bezahlt hätte. Und dies in bar. Antwort: Das reiche nicht. Ich musste dann meine vorläufige BC100 kopiert und per Brief einer Bahn-Comfort-Firma, immerhin noch in Frankfurt am Main angesiedelt, zusenden. Sodann erhielt ich – fünf Wochen nach dem Kauf meiner BC100 im schönen Lindau am Bodensee – meine Plastikkarte.

Natürlich bin ich jetzt gespannt, wie das am 9. September 2021 laufen wird. Und ob ich dann mit einer freundlichen Dame in Kalifornien oder einem Call Centre in Neu Dehli telefonieren darf. Und am Ende Post aus Paris, Texas, bekomme.