Der spanische Reise-IT-Dienstleister Amadeus ist von einer Sicherheitslücke betroffen, in deren Rahmen unbefugte Dritte Zugriff auf Fluglisten und Reservierungsdaten mehrerer internationaler Fluggesellschaften erlangt haben.
Zu den betroffenen Carriern gehört die finnische Nationalfluggesellschaft Finnair, die von Amadeus über den Vorfall in Kenntnis gesetzt wurde. Laut den der Fluggesellschaft übermittelten Angaben umfasst der Vorfall Buchungsdaten von rund 116.000 Finnair-Reservierungen. Davon wurden schätzungsweise 750 Datensätze von den Angreifern gezielt geöffnet, darunter 30 Buchungen des konzerneigenen Reiseveranstalters Aurinkomatkat.
Nach Angaben des Softwareanbieters konnte die unautorisierte Aktivität gestoppt werden. Von den betroffenen und gezielt eingesehenen Datensätzen war nur ein geringer Teil zum Zeitpunkt des Zugriffs aktiv. Für diese aktiven Buchungen hat Finnair neue Reservierungsnummern vergeben, um einen Missbrauch im Kundenportal zu verhindern. Untersuchungen zeigten, dass nach derzeitigem Kenntnisstand keine Zahlungskartendaten oder Passwörter abgeflossen sind. Die eigenen IT-Systeme von Finnair waren von dem Vorfall nicht direkt betroffen.
Amadeus tritt in der Abwicklung der betroffenen Buchungssysteme als datenschutzrechtlich Verantwortlicher auf und hat den Vorfall gemäß der Datenschutz-Grundverordnung (DSGVO) bei der zuständigen Datenschutzbehörde eines EU-Mitgliedstaates gemeldet. Zudem benachrichtigte Finnair das Nationale Zentrum für Cybersicherheit in Finnland (NCSC-FI). Betroffene Kunden, deren Kontaktdaten vorliegen, werden per E-Mail informiert. Der Vorfall fügt sich in eine Reihe weltweiter Sicherheitsvorfälle bei Buchungsdienstleistern ein, bei denen Schnittstellen zwischen Airlines, Reisebüros und globalen Distributionssystemen (GDS) Ziel von Cyberangriffen wurden.
Die Betroffenheit internationaler Fluggesellschaften verdeutlicht die Abhängigkeit der Zivilluftfahrt von zentralisierten IT-Dienstleistern im Reservierungs- und Ticketing-Bereich. Trotz der Entwarnung bezüglich sensibler Finanzdaten erhöht ein Abfluss von Namen, Flugstrecken und Kontaktdaten das Risiko gezielter Phishing-Versuche gegenüber Fluggästen. Für die betroffenen Fluggesellschaften und den Systemanbieter entstehen durch die Abwicklung des Vorfalls und die Anpassung von Datenprozessen zusätzlicher Überprüfungsaufwand und rechtliche Informationspflichten.