Die Billetautomaten sollen ab 2035 abgeschafft werden, zum Wohle digitaler und kostengünstigeren Vertriebskanälen. Das Bundesamt für Verkehr (BAV) hat in einem Schreiben an die Branche des öffentlichen Verkehrs seine Vorgaben zu den Vertriebskanälen für Tickets präzisiert. Dabei wurde insbesondere die Anforderungen an «anonymes Reisen» spezifiziert. Die Digitale Gesellschaft sieht die guten Absichten, bezweifelt jedoch, dass bei wörtlicher Umsetzung wirklich anonymes Reisen möglich ist und fordert Nachbesserung.
Warum anonymes Reisen?
Aus längerfristigen Bewegungsdaten lässt sich statistisch herauslesen, wer sich mit wem wo trifft. Die Möglichkeit, sich in der Schweiz zu bewegen, ohne dass dies für jemanden nachvollziehbar ist, gilt jedoch als elementarer Grundstein einer freien Gesellschaft. Es liegt auch in der Erwartung der Bürgerinnen und Bürger, dass wir nicht ohne spezifischen Verdacht beobachtet werden. Fühlen wir uns beobachtet, sind wir automatisch vorsichtiger und engagieren uns gesellschaftlich und politisch weniger. Dies ist eine grosse Gefahr. Nicht nur für eine liberale Demokratie sondern beispielsweise auch für Journalist:innen, die Missstände aufzudecken versuchen. Zu was die Sammlung und Auswertung von massenhaften Personendaten führen kann, ist zu erkennen beispielsweise mit einen Blick nach China oder neuerdings in die USA.
Ist die Schweiz an diesem Punkt? Nein, vermutlich nicht. Dennoch dürfen wir nicht die technische Grundlage hierzu legen. Die Geschichte zeigt: früher oder später werden diese Systeme und die gesammelten Daten für weitere Zwecke als ursprünglich vorgesehen ge- oder gar missbraucht. Polizei-Einheiten im In- und Ausland werden öfters dabei erwischt, wie sensible Personendaten für persönliche Zwecke abgefragt werden, beispielsweise zum Ausspionieren des Ex-Freunds. Solche Datensammlungen haben in politischen oder wirtschaftlichen Krisen mit Protesten das Potential, zur Überwachungsmaschinerie ausgebaut zu werden.
Und was hat das jetzt mit Tickets im ÖV zu tun? Auf Schweizer Autobahnen werden bereits automatisch Nummernschilder gescannt und mit Datenbanken abgeglichen. Damit können Reisen Personen zugeordnet werden. Und auch wenn man sich ein Auto von einer Bekannten leiht, lassen sich längerfristig statistisch Bewegungsprofile erstellen. Damit ist der ÖV Stand heute die letzte Option für längere, anonyme Reisen in der Schweiz.
Nun will die Branche, zusammengeschlossen in der Alliance SwissPass, ab 2035 die Billetautomaten aus Kostengründen abschaffen und auf digitale Lösungen setzen. Das heisst eine App fürs Smartphone. Abgesehen davon, dass dies für ungefähr einen Fünftel der Schweizer Bevölkerung keine Option ist (Digital Literacy, physische oder psychische Einschränkungen, Kosten für Smartphone oder mobiles Internet etc.), hinterlassen diese Apps eine erhebliche Datenspur. Neben den Risiken des Auswertens lässt die digitale App nicht intuitiv nachvollziehen, welche Informationen genau von wem gesammelt werden.
Was bedeutet «Anonymität»?
«Anonymes Reisen» wird verschieden verstanden. Für die einen bedeutet es, ohne das Wissen ihrer Familie zu reisen, für andere, dass die Transportunternehmen keine personalisierte Werbung schalten.
Die Digitale Gesellschaft geht weiter: Sie will garantiert anonym reisen können, ohne sich auf Privacy-by-Design zu verlassen. Das bedeutet, dass selbst bei einer Zusammenarbeit der involvierten Parteien, vom Ticketverkäufer bis Mobilfunkanbieter, keine Deanonymisierung stattfinden kann. Es soll nicht möglich sein, Rückschlüsse darauf zu ziehen, wer mit einem Ticket ÖV gefahren ist. Und nicht nur das: Es darf auch keine Verfolgung über mehr als eine Reise hinaus möglich sein, wie es beispielsweise über einzigartige Identitätsnummern von Prepaid-Karten der Fall wäre. Zudem muss intuitiv nachvollziehbar sein, warum die Privatsphäre vollumfänglich gewährleistet ist. Dafür kann auch einen höherer Preis für das Ticket in Kauf genommen werden, etwa den Verzicht auf Vielfahrer:innen-Rabatte.
Für wen wären solch starke Anonymitätsgarantien wichtig? Zum Beispiel für eine Journalistin, die sich mit einer Quelle treffen will, die über einen gravierenden Missbrauch in einer polizeilichen oder nachrichtendienstlichen Behörde berichten möchte. Genau jene Behörden also, die unter Umständen auf die gesammelten Reisedaten zugreifen und diese mit Daten aus anderen Quellen vernetzen könnten. Aber auch für politische Gruppierungen. Oder einfach aus Prinzip.
Diese Anforderungen führt jedoch zu Einschränkungen. Über die Bezahlung der Tickets darf keine Rückverfolgung möglich sein, was derzeit leider alle gängigen, digitalen Zahlungsmittel ausschliesst. Das heisst, es muss bar bezahlt werden können. Zudem darf auch keine mobile Internetkommunikation stattfinden, da diese vom Netzwerkanbieter deanonymisiert werden kann.
Faktisch wird aus diesen Gründen die Verwendung eines persönlichen Smartphone nahezu ausgeschlossen. Es stellt sich daher die Frage, auf welches Trägermedium (Gerät, Pre-Paid-Karte etc.) das Ticket geladen werden soll, wenn die Papiertickets 2035 abgeschafft werden. Verständlicherweise sind auch Abonnemente wie GA oder Halbtax mit diesen Anforderungen schwierig zu verwenden, da sie personengebunden sind und sich erst nach mehrmaligem Reisen lohnen.
Zurück zur zuvor angesprochene Journalistin. Nehmen wir an, sie will nun die Quelle anonym treffen und muss daher das Ticket bezahlen, ohne personalisierte Zahlungswege wie Bankkarten zu benutzen. Sie muss das Ticket lösen, ohne dass der Kauf rückverfolgt werden kann. Sie muss das Ticket der Kontrolle vorzeigen können, ohne ihre Identität preisgeben zu müssen, und sie muss am Ende ihrer Reise alle Verbindungen zum Ticket entsorgen können, sodass kein Tracking über mehrere Reisen möglich ist.
Dies sind hohe Anforderungen, die nicht jeder in Anspruch nehmen wird. Um die Debatte um verschiedene Anforderungen als Ganzes abbilden zu können, hat die Digitale Gesellschaft vier Anforderungsprofile, sogenannte Personas – von «sorglos» bis «analog» – erstellt und analysiert (PDF) (siehe Box «ÖV Personas und ihre Anonymitätsansprüche»)
▶ ÖV Personas und ihre Anonymitätsansprüche (auf- / zuklappen)
Die Digitale Gesellschaft hat verschiedene Personengruppen mit ihren jeweiligen Ansprüchen identifiziert, welche den ÖV benutzen. Diese beginnen beim Personentyp «sorglos», welcher dem rechtlichen Datenschutz vertraut und gerne auch Dienstleistungen in Anspruch nimmt, die auf der zentralen Verwertung seiner Daten basieren. Er vertraut dem Anbieter, dass kein Missbrauch seiner Personendaten stattfindet.
Als nächstes folgt die Gruppe «datenschutzaffin», welche technischem Datenschutz vertraut und keine verwertbaren Personendaten teilen und damit verbundene Services nutzen möchte. Diese Persona vertraut der technischen, Privacy-By-Design Umsetzung des Systems, und dass damit der Missbrauch der Daten deutlich erschwert wird. Sie benötigt keine intuitiv nachvollziehbaren Garantien.
Weiter besteht die Gruppe «analog», welche kein eigenes Smartphone besitzt oder keine «fremden» oder proprietären Apps installieren will oder benutzen kann.
Der letzte Typ «grundrechtsaffin» will nachvollziehbar keine Daten preisgeben. Er nimmt dafür auch einen höheren Preis für das Ticket in Kauf (z.B. keine Vielfahrer:innen-Rabatte). Dieser Typ will garantiert anonym reisen können und verlässt sich nicht auf Privacy-By-Design. Die im Text angesprochene Journalistin wäre in dieser Kategorie.
Die beiden letzten Gruppen würden heute ein Ticket am Automaten mit Barzahlung beziehen.
Für all diese vier Personas fordert die Digitale Gesellschaft jeweils geeignete Lösungen.
Sehen wir nun, was das BAV zum anonymen Reisen geschrieben hat.
Was schreibt das Bundesamt vor?
In einem Schreiben legt das Bundesamt für Verkehr die am 1. Januar 2026 in Kraft getreten Bestimmungen im Personenbeförderungsgesetz zu den Vertriebskanälen von Tickets aus. Auf das Anliegen des eidgenössischen Datenschutzbeauftragen, wonach das «anonyme Reisen» mit dem öffentlichen Verkehr zu ermöglichen sei, wird gesondert eingegangen. Laut Gesetz müssen Transportverträge ohne Bearbeitung von Personendaten zu vergleichbaren Bedingungen wie mit Verarbeitung jener angeboten werden. Doch wie so oft liegt der Teufel im Detail.
Im Schreiben wird auf die verschiedenen Etappen des Tickets von Kauf bis zur Kontrolle eingegangen. Es wird über digitale E-Tickets sowie über solche für «non-digitals» gesprochen (benötigen kein Smartphone oder PC). Ebenso werden Arten des Kaufs besprochen, wie direkt vor der Reise oder mit Vorbereitungszeit in mehreren Abstufungen.
Doch uns interessiert das «anonyme» Reisen.
- Grundsätzlich. Aus dem Schreiben zitiert: «Damit die Kosten des Vertriebssystems in einem vertretbaren Rahmen gehalten werden können, müssen Tickets für Non-Digitals nach Auslegung des BAV nicht zwingend das anonyme Reisen garantieren.» Das sagt ziemlich direkt, dass anonymes Reisen nur digital möglich sein wird, also ein Widerspruch zur Position der Digitalen Gesellschaft. Dies wird im nächsten Satz spezifiziert mit: «Die Kombination von anonymen Reisen und nicht digitalem Ticketerwerb ist mit den Ticketautomaten, -Entwertern und Schalter heute gewährleistet und muss zukünftig ‹geplant› [d.h. nicht spontan und mit Vorbereitungsverzögerung] auch weiterhin möglich sein.» Dies impliziert, dass anonymes Reisen auch nach der Abschaffung der Billetautomaten mit nicht-digitalen Tickets möglich sein muss. Wird es jedoch wörtlich genommen, wird nur von Ticket-«Erwerb» gesprochen und für weitere Schritte wie Kontrolle etc. könnte das Ticket in ein digitales System geladen werden müssen. Letzteres könnte die Nachvollziehbarkeit der Anonymitätsgarantieren selbst für Expertinnen stark erschweren und für Laien verunmöglichen.
- Ticketbezahlung. Dazu steht «ein Fahrausweis, welcher mit personalisierter Karte (z.B. Kreditkarte) bezahlt wird, wird vom BAV als anonym betrachtet, wenn der bezahlte Reiseweg durch die Transportunternehmen nicht mit der zahlenden Person verknüpft werden kann.» Digitale Zahlungsmittel sind jedoch hochgradig personalisiert und können mit entsprechenden Befugnissen leicht deanonymisiert werden. Zudem muss hier als Kund:in dem Ticketanbieter vertraut werden, dass diese Daten nicht gespeichert werden. Später im Text steht etwas widersprüchlich dazu: «Allerdings sind Lösungen, die nur mit persönlichen Debit- oder Kreditkarten funktionieren, nicht akzeptabel. Die von der Branche im Dezember 2025 eingeführte öV-Prepaid-Karte erachten wir als genügend. Hingegen erwarten wir, dass an bedienten Schaltern und an anderen geeigneten Bezugsstellen die Reisenden Tickets und die öV-Prepaid-Karte mit Bargeld kaufen bzw. letztere auch aufladen können.» Die öV-Prepaid-Karte scheint also Bargeldzahlung von Tickets indirekt zu ermöglichen.
- Reise. Wenn wir nun digital mit E-Ticket und vermutlich dazugehöriger App anonym reisen wollen, dann steht im Schreiben folgendes: «Eine IP-Adresse alleine, die von den Transportunternehmen nicht mit einer Person oder ihrem Wohnort verknüpft werden kann, wird vom BAV nicht als Personendatum betrachtet.» Das ist zwar technisch richtig, doch eine IP-Adresse kann vom Internetanbieter ohne grossen Aufwand für berechtigte Behörden mit einer reisenden Person (resp. ihrem Anschluss oder Handy) in Verbindung gebracht werden. Das bricht die versprochene Anonymität schnell.
- Kontrolle. Und wenn wir im ÖV kontrolliert werden, steht folgendes: «Wenn die Reisen identifizierbarer Reisender nicht gespeichert werden, gilt der Transportvertrag als ohne Bearbeitung von Personendaten abgewickelt ([und gilt damit als] ‹anonymes Reisen / anonyme Tickets›).» Wahrend diese Einschränkung unter Umständen für die «anonyme» Kontrolle von personalisierten Abonnementen wie Halbtax oder GA notwendig ist, öffnet sie doch ziemlich viele Hintertüren.
- Abschluss. Wie das anonyme Trägermedium zurückgegeben werden kann, beispielsweise im Falle einer pfandpflichtigen Pre-Paid-Karte, wird nicht angesprochen.
Wir fassen zusammen:
- Anonymes» Reisen bedeutet fürs BAV lediglich, dass keine Personendaten beim Anbieter gespeichert werden. Anfallen können sie, und dabei müssen wir darauf vertrauen, dass keine Fehler und kein Missbrauch stattfinden.
- Die anfallenden Meta-Daten, wie IP-Adressen, Geräte IDs oder Zahlungsdaten, dürften genügen, um eine Person deanonymiseren zu können, gelten aber laut dem Schreiben als «anonym».
Positiv ist zu erwähnen, dass das BAV erwartet, dass für Personen, die das Ticket nicht digital lösen wollen/können, Möglichkeiten zum Erwerb eines gültigen Tickets bestehen bleiben, und dass Tickets für Non-Digitals keinen Aufpreis beinhalten dürfen. Wie die Anforderungen umgesetzt werden, ist der Branche überlassen.
Während das Schreiben durchaus die Grundlage legt, komplette Anonymität für unsere Journalistin von weiter oben zu ermöglichen (Papierticket, Bargeld, keine Rückverfolgbarkeit), wird dies nicht explizit gefordert. Die Digitale Gesellschaft erkennt die guten Absichten, fürchtet jedoch, dass bei einer wörtlichen und minimalen Umsetzung des Schreibens zukünftig keine ausreichende Anonymität mehr gewährleistet werden kann. Spezifisch bezüglich der Unklarheit zu anonymen nicht-digitalen Reisen (oben erster Punkt «Generell») sollte das BAV noch klarstellen, wie die Formulierung im Schreiben genau gemeint ist.
Es steht Anonymität drauf, es ist aber keine drin.
Die Digitale Gesellschaft versteht das Bedürfnis der ÖV-Anbieter: Papiertickets und Automaten sind teuer. Digitale Lösungen bringen Kostenvorteile sowie die Möglichkeit für bessere, personalisierte Dienstleistungen und genauere Statistiken der Streckennutzung. Gleichzeitig müssen Beanstandungen von Kunden zuverlässig und mit minimalem Missbrauchspotential abgewickelt werden können. All dies ist deutlich einfacher mit detaillierten Fahrgastdaten.
Auf der anderen Seite ist anonymes Reisen ein elementarer Grundstein einer freien Gesellschaft. Dieser muss auch in einer digitalisierten und vernetzen Welt erhalten bleiben.
Die Digitale Gesellschaft unterstützt die Digitalisierung. Die Anforderungen des BAV sind ihr aber nicht spezifisch genug. Mindestens die direkte Forderung nach einem Weg, ein Ticket mit Bargeld ohne Preisgabe von Personendaten und ohne technische Rückschlussmöglichkeiten auf die Identität der Reisenden lösen zu können, muss gestellt werden.