Amadeus-Panne: Singapore Airlines meldet 46.000 Datensätze

Der Vorfall kann Namen, Reiseroute und Buchungsklasse aller Personen offengelegt haben, die zwischen August 2023 und September 2026 bei einer betroffenen Fluggesellschaft gebucht haben. Bei einer kleineren Gruppe kamen zudem Pass-, Telefon- und Vielfliegernummern abhanden. Eine Gesamtsumme hat keine Airline veröffentlicht. Wer die Mitteilung einer einzelnen Airline liest, kann nicht erkennen, wie weit der Vorfall reicht. Offen ist weiterhin, ob Amadeus eine eigene Erklärung zum Umfang abgibt und was die Aufsichtsbehörden als Nächstes tun.

Singapore Airlines nennt eine Zahl

Bei etwa 620 der 46.000 Datensätze wurden mehr Daten offengelegt. Ein Sprecher sagte AsiaOne und The Straits Times, eine unbefugte Partei habe möglicherweise auch E-Mail-Adressen, Telefonnummern, Angaben zu Reisedokumenten und KrisFlyer-Mitgliedsnummern abgerufen.

Amadeus hat bestätigt, dass der Vorfall keine Bank- oder Kreditkartendaten offengelegt und keine Buchung verändert hat. Singapore Airlines erklärte, der Vorfall sei auf die Plattform von Amadeus beschränkt geblieben. Niemand sei in die eigenen IT-Systeme der Airline eingedrungen. Die Airline kontaktiert betroffene Kunden mit bevorstehenden Reisen, damit sie ihre Buchungsreferenznummern ändern. Nach eigenen Angaben hat sie die zuständigen Behörden informiert.

Ein Zulieferer, viele Airlines, keine Summe

Cathay Pacific teilte mit, der Vorfall betreffe rund 53.000 Buchungen. Die meisten dieser Datensätze enthielten Buchungsreferenzen, Passagiernamen und Flugdaten. Japan Airlines und Japan Transocean Air meldeten etwa 92.000 betroffene Kunden. All Nippon Airways gab rund 37.800 Kunden an, darunter 1.700, deren Datensätze zusätzliche persönliche Informationen enthielten.

Malaysia Airlines erklärte, der Vorfall könne Informationen betroffen haben, die zwischen August 2023 und September 2026 über Amadeus verarbeitet wurden. Eine Kundenzahl nannte die Airline nicht. Korean Air und Asiana Airlines haben unbefugten Zugriff gemeldet. Wie viele Kunden betroffen sind, teilte keine der beiden mit. Qantas hat keine Zahl veröffentlicht. Die Airline prüft nach eigenen Angaben mit Amadeus, ob der Vorfall Buchungsdaten ihrer Passagiere kompromittiert hat.

Die Zahlen summieren sich nicht, und das liegt nicht am Runden. Cathay zählt Buchungen, die japanischen Airlines zählen Kunden. Eine Buchung kann mehrere Reisende abdecken. Eine Summe würde daher keine verlässliche Gesamtzahl der Passagiere ergeben.

Wie der Zugriff lief

Nach der Darstellung von Cathay Pacific nutzte eine unbefugte Partei Anmeldedaten eines Amadeus-Systemkontos, um an Reservierungsdaten zu gelangen. Amadeus beschrieb eine Schwachstelle in einer Umgebung zur Anzeige von Reisebuchungen. Durch die Schwachstelle waren bestimmte Daten aus der Buchungsanzeige zugänglich.

Das Unternehmen erklärt, die Schwachstelle geschlossen und die Überwachung und Erkennung verstärkt zu haben. Es gebe zudem keine Hinweise darauf, dass jemand auf Zahlungs- oder Finanzdaten zugegriffen habe. Auch für eine Nutzung der Lücke für Erpressungssoftware fand das Unternehmen keine Anzeichen.

Die Benachrichtigungen gingen in Wellen hinaus. Cathay Pacific erhielt am 28. Oktober einen Hinweis und bekam weitere Einzelheiten am folgenden Tag. Qantas erklärte, Amadeus habe die Airline im September 2026 darüber informiert, dass das Problem eingedämmt sei. Die eigenen Systeme und Datenbanken von Qantas seien weiterhin sicher, hieß es.

Für Singapore Airlines ist es nicht das erste Mal

Singapore Airlines war schon einmal betroffen. Berichten zufolge ist der Amadeus-Vorfall der dritte Datenschutzverstoß bei der Airline seit Februar 2021. Der erste ereignete sich in jenem Jahr. Eine Panne beim IT-Dienstleister für den Luftverkehr Sita gab Mitgliedsnummern und Statusstufen von 580.000 KrisFlyer- und PPS-Mitgliedern preis. Im Jahr 2022 traf ein Phishing-Angriff den Bordverkäufer KrisShop der Airline und legte Daten von 4.749 Kunden offen.

Die 46.000 Datensätze hier sind weniger als der Wert von 2021. Der Unterschied liegt beim Weg: Diesmal lagen die Daten bei einem Zulieferer, den viele Airlines gemeinsam nutzen.

Was weiterhin offen ist

Die Gesamtzahl der betroffenen Kunden über alle Airlines hinweg ist unbekannt. Malaysia Airlines sagte nicht, wie viele Kunden betroffen sind und welche Kategorien personenbezogener Daten betroffen waren. Amadeus beantwortete eine Frage der Straits Times nicht, wie viele Daten der Vorfall betraf. Die Mitteilungen der Airlines belegen einen gemeinsamen Zulieferer. Sie zeigen aber nicht, dass jede Airline dieselbe betroffene Anwendung oder dasselbe Konto genutzt hat.

Mehrere betroffene Airlines haben Kunden geraten, auf verdächtige E-Mails, betrügerische Anrufe und andere Nachrichten zu achten, die persönliche oder finanzielle Angaben verlangen. Amadeus erklärt, die Untersuchungen liefen weiter. Das Unternehmen stehe in direktem Kontakt mit Kunden und zuständigen Behörden.