Amadeus-Lücken: BSI rät zu Vorsicht bei Early-Check-in-Mails & Co.

Was geschehen ist – die Kernmeldung ausführlich

Ein schwerwiegender Sicherheitsvorfall beim IT-Dienstleister Amadeus hat das Vertrauen in die Sicherheit digitaler Reisebuchungen erschüttert. Wie bekannt wurde, ermöglichte eine Schwachstelle in einem Buchungssystem des Unternehmens den unbefugten Zugriff auf sensible Passagier- und Buchungsdaten. Dabei waren Informationen verschiedener Fluggesellschaften, darunter prominente Anbieter wie Lufthansa und Condor, in einem ungeschützten Speicherabzug – einem sogenannten Heap-Dump – für Dritte einsehbar. Die Daten lagen dabei teilweise im Klartext vor, was die Schwere des Vorfalls unterstreicht. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat auf diese Entwicklung reagiert und rät Reisenden nun zu erhöhter Vorsicht. Insbesondere bei E-Mails, die sich auf ausstehende Zahlungen, Early-Check-in-Optionen oder ähnliche reisebezogene Themen beziehen, ist höchste Skepsis geboten. Die Lücke betraf eine Spring-Boot-Anwendung, deren Endpunkt ohne jegliche Authentifizierung erreichbar war. Dies erlaubte nicht nur den Zugriff auf Buchungsinformationen, sondern auch auf Authentifizierungstoken und Administratorpasswörter, die theoretisch weitreichende Eingriffe in das globale System ermöglicht hätten. Der Vorfall verdeutlicht die Risiken, die von zentralen IT-Schnittstellen in der global vernetzten Reisebranche ausgehen, wenn Sicherheitsstandards nicht konsequent umgesetzt werden.

Die Einzelheiten – Zahlen, Namen und Fakten

Die technischen Details des Lecks sind alarmierend. Der ungeschützte Heap-Dump enthielt neben vollständigen Namen und Geburtsdaten auch PNR-Codes (Passenger Name Record), Kontaktinformationen sowie Ausweis- und Reisepassdaten. Ein besonderes Merkmal war die Möglichkeit, Datensätze gezielt über Nachnamen zu durchsuchen. Zudem waren Hunderte Office-IDs von Reisebüros und Buchungsstellen in Deutschland in den Daten enthalten. Diese Kennungen ließen sich durch automatisierte Abfragen weiter aufschlüsseln, wodurch eine direkte Zuordnung zu konkreten Agenturen möglich wurde. Amadeus, ein Konzern, der im Jahr 2025 einen Umsatz von rund 6,5 Milliarden Euro erwirtschaftete, bestätigte, am 21. September auf die Schwachstelle aufmerksam geworden zu sein. Das Unternehmen betonte, dass es sich um eine „Anzeigeumgebung für Reisebuchungen“ gehandelt habe. Während Amadeus angibt, dass keine Finanz- oder Zahlungsdaten abrufbar waren, bleibt die Liste der betroffenen Fluggesellschaften lang. Neben den bereits genannten Airlines Lufthansa und Condor sind weitere Partner-Airlines betroffen. Die Schwachstelle ist nach Angaben des Anbieters mittlerweile geschlossen, und die Überwachungsmechanismen wurden verstärkt. Dennoch bleibt die genaue Anzahl der betroffenen Datensätze und Personen unklar, da das Unternehmen hierzu keine offiziellen Zahlen nannte.

Hintergrund – Der Verlauf und die Entdeckung

Der Vorfall kam durch Hinweise von Lesern an das IT-Magazin heise online ans Licht. Bei einer ersten Überprüfung der Sicherheitslage bestätigte sich, dass aktuelle Buchungsdaten tatsächlich abrufbar waren. Die Sicherheitslücke war das Ergebnis einer fehlerhaften Konfiguration einer Spring-Boot-Anwendung, die sensible Speicherinhalte über einen Endpunkt ohne Authentifizierung preisgab. Dies ist kein isolierter Vorfall in der Geschichte des Unternehmens. Bereits im Jahr 2019 hatten Sicherheitsforscher eine Lücke im Amadeus-System identifiziert, die es erlaubte, Buchungsdaten von 141 Fluggesellschaften nicht nur einzusehen, sondern auch aktiv zu manipulieren. Die aktuelle Problematik fügt sich in eine Reihe von Sicherheitsvorfällen in der Tourismusbranche ein. Auch der Dienst „iHotelier“ von Amadeus war kürzlich Ziel eines Vorfalls, bei dem Reservierungsdaten von Maritim-Hotelgästen entwendet wurden. In diesem Fall wurden 8716 E-Mails an betroffene Gäste versandt, deren Aufenthalte zwischen dem 1. August 2026 und dem 30. September 2027 geplant waren. Diese Häufung von Vorfällen bei zentralen Dienstleistern zeigt die systemische Anfälligkeit der Branche, die zunehmend zum Ziel für Cyberkriminelle wird, die es auf die wertvollen persönlichen Daten der Reisenden abgesehen haben.

Die Beteiligten – Wer ist betroffen und wer entscheidet

Im Zentrum des Geschehens steht der IT-Dienstleister Amadeus, der als zentrales Bindeglied zwischen Fluggesellschaften, Hotels und Reisebüros fungiert. Auf behördlicher Seite ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) involviert, welches die Meldung im Rahmen seines Prozesses zur koordinierten Offenlegung von Schwachstellen (CVD) bearbeitete und den Anbieter informierte. Betroffen sind in erster Linie die Passagiere der betroffenen Fluggesellschaften, deren sensible Daten ungeschützt waren. Auch die Reisebüros, deren Office-IDs in den Daten auftauchten, sind indirekt betroffen, da ihre Identität und ihre internen Kennungen offengelegt wurden. Ebenfalls in den Kontext des Vorfalls rückt die Landesbeauftragte für Datenschutz und Informationsfreiheit in Nordrhein-Westfalen, Bettina Gayk, die vor den allgemeinen Betrugsgefahren durch erbeutete Hoteldaten warnt. Die Kommunikation nach außen erfolgt durch Amadeus, das den Vorfall untersucht, sowie durch die betroffenen Fluggesellschaften, die als Partner des Dienstleisters fungieren. Die Rolle der Sicherheitsforscher und Hinweisgeber, die das Leck entdeckten, war entscheidend, um den Prozess der Schließung der Sicherheitslücke überhaupt erst in Gang zu setzen.

Einordnung – Was das bedeutet

Einzuordnen ist dieser Vorfall als ein erhebliches Sicherheitsrisiko für Reisende. Den Berichten zufolge ist die Gefahr nicht mit der Schließung der technischen Lücke beendet. Das BSI warnt explizit davor, dass zwischen einem Datenleck und einer tatsächlichen Phishing-Kampagne oft ein erheblicher Zeitverzug liegt. Die erbeuteten Daten dienen Kriminellen als Grundlage für hochgradig personalisierte Betrugsversuche. Wenn ein Angreifer exakt weiß, wann ein Reisender wohin fliegt und wie sein Buchungscode lautet, wirken E-Mails, die eine „ausstehende Zahlung“ oder einen „Early-Check-in“ thematisieren, täuschend echt. Die Qualität der erbeuteten Informationen – insbesondere Passdaten und Buchungscodes – erhöht die Erfolgschancen für Phishing-Attacken massiv. Es handelt sich hierbei nicht um einen bloßen IT-Fehler, sondern um eine Bedrohung für die Privatsphäre und die finanzielle Sicherheit der Kunden. Die Tatsache, dass Administratorpasswörter in einem Heap-Dump zu finden waren, deutet zudem auf eklatante Mängel im internen Sicherheitsmanagement des Dienstleisters hin, was die Vertrauenswürdigkeit der IT-Infrastruktur in der Reisebranche insgesamt in Frage stellt.

Offene Fragen – Was der Quelltext nicht beantwortet

Trotz der vorliegenden Informationen bleiben zentrale Fragen unbeantwortet. Der Quelltext macht keine präzisen Angaben dazu, wie viele Datensätze insgesamt von dem Vorfall betroffen waren. Es bleibt unklar, ob und in welchem Umfang tatsächlich Unbefugte auf die Daten zugegriffen haben, bevor die Lücke geschlossen wurde. Auch die Dauer, über die der Speicherabzug für Dritte erreichbar war, wird nicht konkret benannt. Ebenso wenig ist bekannt, welche spezifischen Maßnahmen Amadeus ergriffen hat, um die betroffenen Reisebüros über die Offenlegung ihrer Office-IDs zu informieren. Es bleibt offen, ob die betroffenen Passagiere direkt von den Fluggesellschaften kontaktiert wurden oder ob dies in der Verantwortung von Amadeus lag. Auch die Frage, ob die Sicherheitslücke bereits aktiv für Betrugsversuche ausgenutzt wurde, kann zum jetzigen Zeitpunkt nicht abschließend beantwortet werden. Die Untersuchung des Vorfalls durch Amadeus dauert laut Unternehmensangaben noch an, weshalb viele Details zum genauen Ausmaß der Kompromittierung weiterhin im Dunkeln bleiben.

Wie es weitergeht – Angekündigte Schritte

Die Aufarbeitung des Vorfalls läuft auf verschiedenen Ebenen. Amadeus hat nach eigenen Angaben die Schwachstelle behoben und die Überwachungs- und Erkennungsmechanismen verstärkt, um künftige Vorfälle dieser Art zu verhindern. Das Unternehmen führt zudem eine fortlaufende Untersuchung durch, um das volle Ausmaß des Datenlecks zu verstehen. Das BSI empfiehlt Betroffenen, Informationen von Hotels und Reisedienstleistern über Datenlecks ernst zu nehmen und bei verdächtigen E-Mails, die sich auf Buchungen beziehen, extrem vorsichtig zu sein. Im Zweifelsfall sollten Reisende den Vorgang direkt über eine offizielle Kontaktstelle des jeweiligen Hotels oder der Airline verifizieren, anstatt auf Links in E-Mails zu klicken. Auch die Aufarbeitung des Vorfalls bei Maritim Hotels, bei dem 8716 Gäste informiert wurden, ist noch nicht abgeschlossen; hier versucht das Unternehmen gemeinsam mit dem Dienstleister, die Ursache zu klären. Für Reisende bedeutet dies, dass sie in den kommenden Monaten bei jeder Kommunikation, die ihre Reisepläne betrifft, eine erhöhte Wachsamkeit an den Tag legen müssen, da die Gefahr durch Phishing-Kampagnen, die auf diesen Daten basieren, bestehen bleibt.