Das Buchungssystem Amadeus, das von Reisebüros und Airlines weltweit genutzt wird, war massiven Sicherheitsmängeln ausgesetzt. Ein Datenleck bot Angreifern Zugriff auf sensible Informationen von Millionen Passagieren, darunter Flugnummern, Reservierungsdaten und persönliche Identifikationsnummern.
Das kritische Problem liegt in der Art, wie die Daten gespeichert waren: Sie wurden nicht verschlüsselt oder mit üblichen Sicherheitsmechanismen geschützt in einem Speichersystem abgelegt. Dies ist eine klassische Fehlkonfiguration, bei der sensible Daten unbeabsichtigt öffentlich zugänglich werden. Ein solcher Fehler deutet auf Mängel in den Sicherheitsprozessen bei Amadeus hin.
Die Konsequenzen sind erheblich. Mit diesen Daten können Betrüger gezielte Phishing-Kampagnen durchführen, sich als Reisebüros oder Airlines ausgeben oder Identitätsdiebstahl begehen. Passagiere, deren Daten im Datenleck enthalten sind, werden zu einfachen Zielen für Cyberkriminelle.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat deshalb eine Warnung ausgegeben: Reisende sollten beim Umgang mit Online-Check-in-Bestätigungen, Early-Check-in-Angeboten und ähnlichen E-Mails erhöhte Vorsicht walten lassen. Phishing-E-Mails, die sich als Amadeus-, Airline- oder Reisebüro-Nachrichten ausgeben, werden nun massenhaft versendet.
Für Schweizer IT-Dienstleister und ihre Kunden im Reisegewerbe oder mit Mitarbeitern, die häufig reisen, ist dies ein wichtiger Sicherheitshinweis. Die Schulung von Mitarbeitern zu Phishing-Risiken im Reisekontext sollte intensiviert werden. Unternehmen sollten auch prüfen, ob sie oder ihre Daten im Amadeus-Leck betroffen sind, und entsprechende Vorkehrungen treffen.