Das "Desperate House-Hacking" soll den Alltag erleichtern. Hierbei werden sinnvolle Tipps gegeben, wie man sich die Pfandrückgabe am modernen Automaten verschönern kann. In mehr Workshop als Vortrag gibt Nils Magnus seine Erfahrungen mit dem Pfandsystem preis.

Das ursprüngliche Ziel der Pfand-Verpackungs-Verordnung (1991-2003 immer weiter entwickelt) ist es, eine umweltschonendere Verfahrensweise beim Pfand zu erzielen. Dabei sind allerdings verschiedenste Flaschen bzw. Dosen vom Pfandgesetz betroffen - Ihre Auswahl ist nicht transparent. Die bisher genutzten Schlupflöcher der Verpackungsindustrie werden dabei Stück für Stück geschlossen.

Das grundlegende Gesetz zur Pfanderstattung ist, dass unter allen Umständen Pfand für einen Getränkebehälter zurückgezahlt werden muss, für den einmal durch einen Kunden Pfand gezahlt wurde. Icons bzw. Auszeichnungen auf den Verpackungen sind keine gesetzlich qualifizierte Auszeichnung für die Pfandart des Behältnisses.

Die Pfandautomaten sollen diese Pfandrückgabe automatisieren, den Workflow für Mitarbeiter verbessern und den Umsatz durch Werbeaktionen steigern. Kriterien für die Identifizierungen von Flaschen sind u.a. das Logo + Barcode, Farbe des Behälters, Form des Behälters, Echtheit der Materielen und das Gewicht des Behälters (mit Toleranzen für Restfüllmengen). Dabei werden komplexe Waag- und Spiegelsysteme mit Pattern-Matching Verfahren eingesetzt.

In der Realität setzen verschiedene Pfandautomaten-Systeme verschiedene Kombinationen dieser Überprüfungen ein. Damit variiert die Sicherheit dieses Systeme sehr stark. Moderne Systeme erkennen z.B. sogar eine Hand, die evt. nach einem bereits eingescannten Behältnis greift und storniert dann den gesamten Vorgang. Eine dünne Schnur kann dieses Sytem allerdings überlisten.

Barcodes auf Getränkebehältnissen werden nach EAN8 oder meistens mit EAN13 codiert. Die damit transskribierten GTINs beinhalten dabeiLand, Hersteller, Produktnr. und Prüfsumme. Abfragen kann man diese Transskriptionen durch Eintippen der Nummer unterhalb des Barcodes unter http://www.gepir.de/v3_client/. Als Ergebnis erhält man einen standardisierten Datensatz über das Behältnis. Eine offene Variante der Datensätze zum Selber Eintragen findet sich bei der Barcodepedia.

Testcases für Pfandautomaten erstellt man am Besten durch Abkleben des Logos, des Barcodes, Einstellen des Behältnisses mit verschiedenen Füllmengen Wasser oder Vertauschung von kompletten Etiketten. Generell kann man als Ergebnis solcher Tests festhalten, dass die Pfandautomaten extrem liberal mit den Behältnissen umgehen und oft Pfand ausgeben.

Do-It-Yourself Pfandbetrug #1 besteht daher aus dem Erstellen und Ausdrucken eines eigenen Barcodes + Logos (HiRes Variante des Logos auf Hersteller-Website verfügbar!). Das Ergebnis klebt man auf einen Getränkebeälter und geht kassieren. Die meisten Pfandautomaten haben keinerlei Sicherheitsüberprüfungen gegen eine solche Art des Angriffs. Der Hauptgrund ist, dass sich es einfach nicht lohnt! Für jeden Betrug erhält man 0.25 Euro - Die investierte Zeit rechtfertigt das Ergebnis also nicht.

Geräte der Neuesten Generation haben allerdings eine Datenbank mit Barcodes im Umlauf und nehmen ausschließlich Behältnisse mit Barcodes zurück, die offiziell im Umlauf sind. Diese Geräte sind jedoch noch selten, da sie ein aufwendiges Backend-System erfordern. Die meisten Supermärkte sehen die Notwendigkeit für eine solche Sicherung nicht.

Rein rechtlich gibt es mittlerweile einen Musterprozess, bei dem durch das Urteil sehr deutlich wurde, dass es sich beim absichtlichen Pfandbetrug nicht um einen Kavaliersdelikt handelt und somit als echter Betrug bestraft wird und 'richtig teuer' werden kann.

Man sollte also eher Pfandautomaten einmalig als Proof-Of-Concept hacken anstatt ernsthaft zu versuchen, sich damit die eigene Geldbörse aufzubessern. Auch die entstehende Warteschlange an Menschen wird bei einem wirklich lohnenden Einsatz von Fälschungen zu einem echten Problem! ;)

Geschrieben am 27.12.2007