Datenleck bei Amadeus: 46.000 Buchungen von Singapore Airlines betroffen

Die Straits Times berichtete am 3. November, dass bei dem Datenleck beim Reiseanbieter Amadeus rund 46.000 Buchungsdatensätze von Singapore Airlines unrechtmäßig abgerufen wurden. Mit dieser Zahl gehört SIA zu den bislang größten bekannten Betroffenen. Sie folgt drei Tage, nachdem Cathay Pacific seine eigene Zahl mit 53.000 Buchungen angegeben hatte.

Die Bangkok Post nannte Cathays Zahl am 30. Oktober, IDNFinancials wiederholte sie in derselben Woche. Keine der beiden Fluggesellschaften hat mitgeteilt, auf welche Datenfelder die Angreifer zugegriffen haben. Amadeus hat keine technische Darstellung der Lücke veröffentlicht. Das Muster ist bei allen Fluggesellschaften gleich: Jede nennt einen Ausschnitt aus einem gemeinsamen Reservierungssystem, das sie nicht selbst kontrolliert. Cathays 53.000 und SIAs 46.000 sind Buchungsdatensätze, nicht zwangsläufig Passagiere. Die beiden Zahlen lassen sich nicht direkt vergleichen, solange nicht bekannt ist, wie jede Gesellschaft einen Datensatz zählt. Jede bisherige Meldung lässt dasselbe aus: welche Datenfelder tatsächlich gelesen wurden.

Qantas bestätigte, dass mögliche Offenlegungen von Buchungsdaten geprüft werden, meldete Airways Magazine am 2. November. Malaysia Airlines teilte Kunden mit, dass sie betroffen sein könnten, berichtete die Bangkok Post am 1. November. PenangToday und KLSE Screener veröffentlichten beide die Erklärung der Airline, ihre eigenen IT-Systeme seien unberührt geblieben.

Dieser Unterschied ist wichtig: Die Airline erklärt, die Kompromittierung habe beim Dienstleister gelegen, nicht in ihrem eigenen Netzwerk. Japan Airlines taucht in Berichten von InfotechLead und anderen in der Liste betroffener Fluggesellschaften auf. Eine Zahl der betroffenen Buchungen wurde für sie nicht veröffentlicht. Neun Tage nach den ersten Meldungen ist die öffentliche Bilanz weiterhin unvollständig.

Drei Jahre, eine Schwachstelle

Das schwerwiegendste Detail ist die Dauer. PYOK berichtete am 30. Oktober, dass der Angriff auf den Softwareanbieter, der Buchungen für hunderte internationale Fluggesellschaften verwaltet, drei Jahre lang lief. Shattered.io beschrieb die Lücke als 38 Monate Airline-Daten betreffend. Amadeus hat die Schwachstelle inzwischen behoben, meldete NST Online am 2. November.

Das Unternehmen hat nicht erklärt, wie der Zugriff so lange unbemerkt bleiben konnte. Kein Medium hat die Ursache veröffentlicht.

"Vendor cyber risk in focus as Amadeus breach hits airlines globally" lautete die Schlagzeile bei Insurance Business am 2. November, die die Geschichte so einordnet, wie der Versicherungsmarkt sie langsam sieht.

Diese Einordnung ist nicht rhetorisch. Eine Reservierungsplattform steht zwischen der Fluggesellschaft und ihrem Kunden. Sie speichert Passnummern, Kontaktdaten und Reiserouten, und jede Fluggesellschaft, die sich mit ihr verbindet, kann darauf zugreifen. Wenn sie versagt, bleibt das Versagen nicht auf eine Marke beschränkt. Die Fluggesellschaften, die dort einkaufen, erben die Exposition, ohne die Daten jemals selbst zu halten.

Was die Fluggesellschaften den Passagieren mitteilen

Malaysia Airlines warnte Kunden nach dem Datenleck, wie aus Berichten unter anderem von VnExpress International und der Bangkok Post hervorgeht. Qantas bezeichnete seine Untersuchung am 2. November noch als vorläufig, so Airways Magazine. Zu diesem Zeitpunkt hatte die Airline den Umfang einer möglichen Offenlegung nicht bestätigt. News.com.au berichtete am 2. November, dass Qantas und andere große Fluggesellschaften in den Vorfall verwickelt seien. News24 meldete am selben Tag, dass Fluggesellschaften betroffen seien, die australische Flughäfen anfliegen und von dort starten.

Der Beitrag von Business Traveller vom 2. November befasste sich mit der Frage, die Passagiere tatsächlich stellen: ob ihre Flugdaten abgerufen wurden.

Für Reisende ist der praktische Rat unverändert und unspektakulär. Achten Sie auf Phishing, das eine echte Buchungsreferenz zitiert, denn genau diese Daten sind jetzt im Umlauf. Weder Amadeus noch die hier genannten Fluggesellschaften haben mitgeteilt, wie viele Datensätze insgesamt betroffen sind. Jede einzelne Zahl ist die Zählung einer Airline, nicht der Umfang des Vorfalls. Travel Daily News International berichtete am 3. November, dass Paxport und ITT einen Leitfaden zu Risiken der Airline-Konnektivität veröffentlicht hätten. Die Reaktion der Branche geht eher in Richtung Beschaffungschecklisten als in Richtung Details zum Vorfall.

Die ungeklärte Frage ist vertraglicher Natur. Fluggesellschaften kaufen Reservierungsdienste bei einer Handvoll Anbieter. Die Meldungen von SIA und Cathay zeigen, wie schnell aus einer einzigen Lücke bei einem Anbieter ein Offenlegungsereignis über mehrere Fluggesellschaften wird. Amadeus und die ermittelnden Behörden haben noch nicht veröffentlicht, was zwischen dem ersten unbefugten Zugriff und der Behebung geschah. Bis dahin bleibt die Zahl von 38 Monaten der schwerwiegendste und am wenigsten erklärte Fakt der Geschichte.