Der spanische Technologie- und Reservierungssystemanbieter Amadeus hat das Vorhandensein einer Sicherheitslücke in seinen Systemen eingeräumt, über die unbefugte Dritte Zugriff auf sensible Reisebuchungsdaten erlangen konnten.
Der Vorfall betrifft das globale Vertriebssystem (Global Distribution System, GDS) des Unternehmens, das von zahlreichen Fluggesellschaften weltweit für die Verwaltung von Reservierungen, Passagierdaten und Ticketverkäufen genutzt wird. Wie eine Sprecherin des Unternehmens bestätigte, betraf die Schwachstelle eine spezifische Darstellungsumgebung für Reisebuchungen. Nach derzeitigem Ermittlungsstand gibt es keine Hinweise darauf, dass Zahlungs- oder Finanzdaten wie Kreditkarteninformationen kompromittiert wurden oder ein Angriff mit Erpressungssoftware (Ransomware) stattfand. Dennoch werfen Meldungen verschiedener Fluggesellschaften sowie Berichte über früher aufgetretene Systemschwachstellen Fragen zur Dauer des Datenabflusses und zum Umfang der betroffenen Passagierdatensätze auf.
Technische Details der Systemschwachstelle und Gegenmaßnahmen
Nach Angaben von Amadeus betraf das Datenleck eine Darstellungsumgebung, die für die Bereitstellung und Anzeige von Reservierungsinformationen zuständig ist. Über diese Schnittstelle konnten Unbefugte auf spezifische Fluggastdaten zugreifen. Der Dienstleister teilte mit, dass unverzüglich Korrekturmaßnahmen eingeleitet wurden, um die Sicherheitslücke zu schließen und die technischen Schutzzäune zu verstärken.
Zusätzlich wurden nach Unternehmensangaben die Überwachungs- und Erkennungsmechanismen im gesamten Netzwerksystem intensiviert. Amadeus steht nach eigenen Äußerungen in direktem Austausch mit den betroffenen Fluggesellschaften sowie den zuständigen Datenschutz- und Regulierungsbehörden. Angaben zur genauen Anzahl der betroffenen Buchungen oder der betroffenen Einzelpersonen machte der Konzern bislang nicht, da die forensischen Untersuchungen der IT-Sicherheitsexperten noch andauern.
Auswirkungen auf internationale Fluggesellschaften und betroffene Datensätze
Mehrere internationale Luftfahrtunternehmen informierten in den vergangenen Tagen ihre Kunden über den Cybersicherheitsvorfall bei ihrem Systemdienstleister. Dazu zählen unter anderem Malaysia Airlines, Cathay Pacific und Asiana Airlines. Malaysia Airlines gab bekannt, dass Daten betroffen sein könnten, die in einem Zeitraum von über einem Jahr – konkret zwischen August 2023 und September 2024 – im Reservierungssystem verarbeitet wurden. Die betroffenen Datenumfänge beinhalten in der Regel Passagiernamen, Buchungscodes (PNR), Flugverbindungen, Kontaktdaten sowie Vielfliegernummern.
Auch in Europa betrifft die Problematik den Flugverkehr. Bereits im Vorfeld des aktuellen Eingeständnisses wiesen Berichte von Fachmedien wie dem Technologieportal Heise auf Sicherheitslücken in Systemstrukturen von Amadeus hin. In jenen Fällen betrafen die abrufbaren Datensätze unter anderem Buchungen von Fluggesellschaften der Lufthansa Group, der Fluggesellschaft Condor sowie zahlreicher Partner-Airlines. Zudem wurden hunderte Office-IDs von Reisebüros und Buchungsstellen in Deutschland in den offen einsehbaren Datenbeständen identifiziert, was Risiken für gezielte Phishing-Angriffe auf Passagiere und Reisevermittler erhöht.
Fragen zur zeitlichen Dimension und Historie der Sicherheitsmängel
In der Fachwelt sorgt der Vorfall für Diskussionen über den Zeitpunkt der Entdeckung und das Ausmaß der Sicherheitsmängel. Es bleibt unklar, ob das aktuell von Amadeus eingeräumte Datenleck in direktem Zusammenhang mit den bereits im Oktober untersuchten Sicherheitslücken steht oder ob es sich um eine neu identifizierte Schwachstelle handelt. Zu Anfragen bezüglich möglicher Überschneidungen mit früher aufgetretenen Mängeln äußert sich der Technologiekonzern bislang nicht detailliert.
Datenschutzexperten verweisen darauf, dass Buchungsdaten in Kombination mit Passagiernamen und Flugrouten ein erhebliches Missbrauchspotenzial bieten. Selbst ohne den Abfluss von Kreditkartendaten können Angreifer solche Informationen für Phishing-Kampagnen nutzen, um gefälschte Benachrichtigungen über Flugplanänderungen an Passagiere zu senden und so weitere Zugangsdaten oder Geldzahlungen zu erschleichen.
Bedeutung für die Systemarchitektur der Zivilluftfahrt
Der Vorfall unterstreicht die hohe Konzentration von Risiken im Bereich der globalen Luftfahrt-IT. Ein Großteil des weltweiten Passagierverkehrs wird über wenige zentrale Reservierungssysteme wie Amadeus, Sabre oder Travelport abgewickelt. Sicherheitslücken bei einem dieser zentralen Dienstleister wirken sich zeitgleich auf Dutzende Fluggesellschaften und Millionen von Fluggästen aus.
Die Regulierungsbehörden in der Europäischen Union und den USA verfolgen den Fall im Rahmen der gesetzlichen Pflichten zur Meldung von Datenschutzverstößen. Für die betroffenen Fluggesellschaften bedeutet der Vorfall neben dem administrativen Aufwand zur Aufklärung eine Belastung des Kundenvertrauens, da die Hoheit über die Verarbeitung der Kundendaten bei den beauftragten IT-Dienstleistern liegt.