Amadeus-Panne bei Buchungen: Was die Airlines bisher mitgeteilt haben

Die Straits Times berichtete am 3. November, dass die 46.000 Datensätze bei Singapore Airlines mit der Amadeus-Schwachstelle zusammenhingen. Es ist die jüngste belastbare Zahl in einer Geschichte, die sich seit Tagen aufbaut. Und es ist das bislang klarste Zeichen dafür, dass es sich nicht um einen Vorfall bei einer einzelnen Airline handelt, sondern um ein Problem eines gemeinsamen Anbieters.

Amadeus betreibt eine Reservierungsplattform, die Hunderte Airlines nutzen. Mehrere Berichte legen nahe, dass eine Schwachstelle in dieser Plattform über einen langen Zeitraum unbemerkt blieb. shattered.io beschrieb die Exposition als 38 Monate Airline-Daten. PYOK, in der zusammengefassten Berichterstattung zitiert, nannte die Panne eine Angelegenheit über drei Jahre. Amadeus hat die Lücke inzwischen geschlossen, berichtete NST Online am 2. November. Was weiterhin fehlt, ist eine einzige verlässliche Darstellung, wie viele Passagiere betroffen waren und was genau abgegriffen wurde. Jede Airline hat nach ihrem eigenen Zeitplan informiert, mit eigenen Zahlen. Manche haben betont, ihre eigenen Systeme seien unberührt geblieben.

Cathay Pacific und die 53.000 Buchungen

Cathay Pacific nannte als eine der größeren Airlines zuerst eine Zahl: 53.000 kompromittierte Buchungen, laut Bangkok Post vom 2. November. IDNFinancials und Aviation A2Z berichteten ebenfalls diese Zahl. Die Mitteilung rahmte den Vorfall als Cyberangriff auf den Anbieter ein, nicht auf die Airline. Das ist wichtig dafür, wie Passagiere die Hinweise lesen sollten.

Malaysia Airlines wählte eine andere öffentliche Linie. Die Airline erklärte, ihre IT-Systeme seien von der Amadeus-Panne nicht betroffen, berichtete PenangToday am 2. November. Sie räumte ein, dass Kunden dennoch betroffen sein könnten, so die Bangkok Post. The Star zitierte die Airline mit der Aussage, das eigene System sei trotz der Sicherheitslücke beim Anbieter nicht kompromittiert.

Die beiden Aussagen widersprechen sich nicht, sind aber leicht falsch zu lesen. Die eigene Infrastruktur einer Airline kann sauber sein, während die Reservierungsebene, die sie von einem Zulieferer mietet, es nicht ist. Qantas prüfte unterdessen noch eine mögliche Betroffenheit von Buchungsdaten, berichtete Airways Magazine am 2. November. News.com.au zählte Qantas zu mehreren großen Airlines, die von der Panne getroffen wurden. News24 vermerkte, dass Airlines betroffen waren, die australische Flughäfen anfliegen und von dort starten. Japan Airlines erscheint in der Berichterstattung als eine der Gesellschaften, die in den Vorfall verwickelt sind, so die am 2. November veröffentlichte Übersicht.

Warum ein Anbieter so viele Airlines erreicht

Buchungssysteme sind der am wenigsten sichtbare und am stärksten geteilte Teil der Airline-IT. Ein Passagier kauft ein Ticket bei einer Marke. Der Buchungsdatensatz liegt aber oft in einer Plattform, die ein Dritter betreibt und die Dutzende Marken gleichzeitig bedient. Fällt diese Ebene aus, bestimmt die Kundenliste des Anbieters den Radius. Kein Sicherheitsbudget einer einzelnen Airline legt ihn fest.

Das ist der strukturelle Punkt hinter der Schlagzeile von Insurance Business am 2. November. Sie rückte das Cyberrisiko bei Zulieferern in den Fokus, als die Panne Airlines weltweit traf. PhocusWire berichtete am selben Tag, dass mehrere Airline-Partner betroffen waren. Das Muster kennt man aus anderen Branchen: Das schwächste Glied ist selten die Marke auf der Bordkarte.

Amadeus hat die Schwachstelle geschlossen, so NST Online, doch die Mitteilungen der einzelnen Airlines trafen in den Tagen danach weiter ein.

Für Reisende sind die praktischen Fragen enger. Welche Datensätze wurden geöffnet, welche Felder enthielten sie, und entsteht aus einem kompromittierten Buchungsdatensatz ein Risiko für Betrug oder Kontoübernahme? Die meisten bisherigen Mitteilungen beantworten nicht alle drei. Cathays Zahl von 53.000 und die 46.000 von Singapore Airlines zählen Buchungen, nicht zwangsläufig Personen. Eine einzelne Buchung kann eine Familie umfassen.

Dazu kommt ein zeitliches Problem. Wenn die Exposition tatsächlich 38 Monate lief, wie shattered.io berichtete, dann sind manche betroffenen Passagiere vielleicht geflogen und haben die Reise längst vergessen. Airlines, die nur aktuelle Kunden benachrichtigen, könnten ältere uninformiert lassen. Die Frist von 180 Tagen, die in anderen Zusammenhängen für manche Plattformbetreiber gilt, lässt sich auf diesen Fall nicht sauber übertragen. Keine der Berichterstattungen belegt einen einheitlichen Benachrichtigungsstandard über alle Airlines hinweg.

Das Muster der Mitteilungen ist die Geschichte

Ein Blick auf den Kalender. Cathays Zahl tauchte um den 30. Oktober auf, laut South China Morning Post. Die Erklärung von Malaysia Airlines kam am 1. und 2. November. Qantas prüfte noch am 2. November. Die 46.000 von Singapore Airlines kamen am 3. November. Das ist eine langsame, gestaffelte Veröffentlichung, bei der jede Airline ihre eigene Botschaft abwägt. Eine zusammengefasste Bilanz hat niemand veröffentlicht.

Business Traveller fragte am 2. November, ob Hacker an Flugdaten gelangt seien. Das ist die Frage, die die meisten Passagiere tatsächlich umtreibt. Die ehrliche Antwort aus der öffentlichen Aktenlage lautet: bei manchen Airlines ja, in irgendeiner Form; bei anderen läuft die Untersuchung noch. Die Beharrlichkeit von Malaysia Airlines, dass ihre Systeme unberührt blieben, berichtet von KLSE Screener und PenangToday, ist eine nützliche Erinnerung. "Betroffen" kann in diesen Geschichten mehrere verschiedene Dinge bedeuten.

Nichts davon ist einzigartig fürs Reisen. Dasselbe Konzentrationsrisiko bei Dritten zeigt sich im Zahlungsverkehr, in der Lohnabrechnung und beim Cloud-Hosting. Was Airline-Buchungen besonders macht, sind die Daten: Namen, Kontaktdaten, Reiserouten und manchmal mehr. Diese Daten werden für Millionen Menschen gehalten, die den Anbieter nie gewählt haben.

Amadeus hat keine vollständige Darstellung des Vorfalls veröffentlicht. Bis das geschieht, werden die Zahlen weiter eintreffen, eine Airline nach der anderen.