Am 23. September 2025 startete der Softwareentwickler Riley Walz – bekannt für Scherz-Websites – Find My Parking Cops, eine Seite im Stil von Apples Find My, die die Echtzeit-Routen der Parkraumüberwacher von San Francisco zeigte. Die Idee entstand aus dem Bußgeld seines Mitbewohners: Walz bemerkte, dass jedes Ticket eine neunstellige Bußgeldnummer trägt, erkannte, dass die Nummern vorhersehbar sind, und begriff, dass er sie effizient abrufen konnte.
Das Muster, so schrieb er: addiere 11, außer addiere 4, wenn die letzte Ziffer 6 ist – kein Ticket kann also auf 7, 8 oder 9 enden. Es ging um echte Beträge: San Francisco stellte im vergangenen Jahr über eine Million Tickets aus, mehr als 100 Millionen Dollar an Bußgeldern, wobei Verstöße gegen die Straßenreinigungsregeln jeweils 90 Dollar kosteten.
Weil die Beamten offenbar Kontingente von Ticketnummern beanspruchen, zeichnete jede neu ausgestellte Bußgeldnummer, die auf einer Karte eingetragen wurde, die Route dieses Beamten durch die Stadt nach. Ein Autobesitzer konnte die Aktivität der Streifen beobachten und sehen, ob sich eine seinem Viertel näherte – bevor er hinausging, um das Auto umzuparken.
Die Seite wurde am Tag ihres Starts viral und funktionierte einige gute Stunden lang. Dann erlosch der Echtzeit-Datenfeed: „In seltener Blitzgeschwindigkeit änderte die Stadtverwaltung von SF ihre Website innerhalb von Stunden, nachdem diese Seite live gegangen war“, verkündete Walz auf der Seite. Ein Vertreter der SFMTA sagte, Bußgelder „sorgen für die Einhaltung der Parkgesetze“ und die Stadt begrüße „kreative Nutzungen von Technologie“, benötige aber, dass ihre Mitarbeiter „sicher und ohne Störung“ arbeiten könnten.
Bußgeld-IDs schreiten nach einer festen Regel voran (addiere 11, addiere 4, wenn die letzte Ziffer 6 ist), sodass das Abfragen des öffentlichen Feeds die Route jedes Beamten offenlegt, sobald Tickets eingehen
Bußgeldnummern sind fortlaufend und vorhersehbar, sodass die öffentliche Ticketdatenbank so schnell durchlaufen werden kann, wie Beamte Tickets schreiben.
Beamte scheinen zu Schichtbeginn Kontingente von Ticketnummern zu beziehen, was Nummernbereiche mit bestimmten Streifen und Routen verknüpft.
Die Seite zeichnete nur Daten neu auf, die die Stadt selbst veröffentlicht hatte; eine Infiltration war nicht nötig.
Die Stadt baute ihre Website innerhalb von Stunden um – eine indirekte Bestätigung, dass die Karte etwas Reales auslas.
Fortlaufende IDs sind ein Datenschutzleck: Alles, was der Reihe nach nummeriert ist, lässt sich durchlaufen. Und Institutionen reparieren Rechenschaftswerkzeuge mit der Geschwindigkeit der Peinlichkeit – der Feed erlosch innerhalb von Stunden.
Der Feed wurde am selben Tag abgeschnitten, an dem die Seite live ging, und Find My Parking Cops funktionierte nicht mehr. Walz dokumentierte die Methode in einem Blogbeitrag, und der Vorfall wurde zu einer Fallstudie darüber, wie schnell öffentliche Stellen die Datenexposition neu konfigurieren, wenn daraus Echtzeit-Rechenschaft wird.
DEN BELEGEN FOLGEN
Die Quellen
- For One Glorious Morning, a Website Saved San Francisco From Parking Tickets WIRED · wired.com ·