Singapurs Datenschutzbehörde prüft Amadeus-Panne, während die Zahl der Airlines wächst

Die Panne hat womöglich Namen, Buchungsreferenzen und Reiserouten von Fluggästen offengelegt, die zwischen August 2023 und September 2026 bei Airlines mit Amadeus gebucht haben. Bei einer kleineren Gruppe fiel mehr an.

Der Angriffspunkt lag außerhalb der eigenen Netze der Airlines. Deshalb meldeten mehrere Gesellschaften binnen weniger Tage. Und deshalb betont jede Erklärung, die internen Systeme seien sicher gewesen.

Singapore Airlines nennt eine Zahl

SIA erklärte am 3. November, Daten aus etwa 46.000 Buchungsdatensätzen seien abgerufen worden. Betroffen seien Namen, Buchungsreferenznummern, Reiserouten und Buchungsklassen der Kunden. Bei rund 620 Datensätzen könnten zudem E-Mail-Adressen, Telefonnummern, Angaben zu Reisedokumenten und KrisFlyer-Mitgliedsnummern offengelegt worden sein. Amadeus bestätigte, dass die betroffenen Daten keine Bankkonten oder Kreditkartendaten umfassen. Auch wurden laut Amadeus keine Buchungen verändert. Die Airline kontaktiert Kunden mit bevorstehenden Reisen, um deren Buchungsreferenznummern zu ändern. Die zuständigen Behörden seien informiert.

Ein Anbieter, mehrere verschiedene Zahlen

Cathay Pacific beziffert die eigenen Fälle auf etwa 53.000 Buchungen. Die meisten enthielten Buchungsreferenzen, Passagiernamen und Flugdaten. Japan Airlines und Japan Transocean Air meldeten rund 92.000 betroffene Kunden. All Nippon Airways nannte etwa 37.800 betroffene Kunden. Bei rund 36.100 davon könnten Namen, Buchungsreferenzen, Reisedaten, Strecken und Kabinenklassen offengelegt worden sein. Bei etwa 1.700 könnten Passnummern, Staatsangehörigkeit und Kontaktdaten betroffen sein. ANA erklärte, Kreditkartennummern und Kontopasswörter seien nicht betroffen.

Diese Zahlen ergeben keine Gesamtsumme. Cathay zählt Buchungen, die japanischen Gesellschaften zählen Kunden. Amadeus hat keine Gesamtzahl veröffentlicht.

Wie der Zugriff zustande kam

Cathay Pacific zufolge lief der unbefugte Zugriff über Anmeldedaten, die einem Systemkonto bei Amadeus zugeordnet waren. Amadeus informierte die Airline am 28. Oktober. Weitere Einzelheiten folgten am nächsten Tag. Amadeus teilte mit, bestimmte Buchungsanzeigedaten seien über die Schwachstelle erreichbar gewesen. Hinweise auf einen Einsatz von Erpressungssoftware im Zusammenhang mit der Lücke gebe es nicht. Cathay nannte als Gegenmaßnahme unter anderem das Zurücksetzen eines Passworts.

Cathay Pacific erklärte, Amadeus habe keine Belege für einen Missbrauch der betroffenen Daten gefunden.

Malaysia Airlines hat nicht mitgeteilt, wie viele Kunden betroffen sind.

Amadeus spricht nach eigenen Angaben direkt mit seinen Kunden und den zuständigen Behörden.

Qantas und die Airlines, die noch zählen

Qantas teilte mit, Amadeus habe das Problem im September eingedämmt. Die Airline arbeite mit dem Anbieter daran, die Folgen für Qantas-Buchungen zu klären. Die eigenen Systeme und Datenbanken seien weiterhin sicher. Qantas habe das Australian Cyber Security Centre und das Office of National Cyber Security informiert. Einen Zugriff auf Passagierdaten hat das Unternehmen nicht bestätigt.

Korean Air und Asiana Airlines erhielten am 20. Oktober eine Benachrichtigung. Wie viele Kunden betroffen sind, haben beide nicht bekannt gegeben. Malaysia Airlines erklärte, die Panne habe die eigenen IT-Systeme nicht kompromittiert. Hinweise auf einen Zugriff auf Finanzdaten gebe es nicht. Singapore Airlines teilte mit, der Vorfall sei auf die Plattform von Amadeus beschränkt geblieben.

Malaysia Airlines bezeichnet Amadeus als Anbieter der Reservierungstechnik. ANA und die beiden japanischen Gesellschaften nennen das Unternehmen ihren Anbieter für Passagierabfertigungssysteme.

Was als Nächstes geschieht

Die Personal Data Protection Commission in Singapur erklärte, ihre Untersuchung laufe noch. Amadeus setzt seine eigenen Ermittlungen nach eigenen Angaben fort.

Mehrere betroffene Airlines haben Kunden aufgerufen, auf verdächtige E-Mails und Anrufe zu achten, die persönliche oder finanzielle Angaben verlangen.