Hintergrund des Vorfalls 

Amadeus entwickelt und betreibt die Reservierungs-, Ticketing- und Check-in-Plattformen, auf die sich zahlreiche Fluggesellschaften stützen. Japan Airlines, Cathay Pacific, Korean Air, Asiana Airlines, Singapore Airlines und Malaysia Airlines meldeten in der vergangenen Woche jeweils Sicherheitsvorfälle mit Datenabfluss, die auf Amadeus zurückgeführt werden. Über hundert Fluggesellschaften operieren auf Amadeus-Systemen; die Passagier-Service-Plattform Altéa wird von rund 130 Fluggesellschaften genutzt.  

Amadeus teilte Recorded Future News mit, dass kürzlich eine Schwachstelle in einer Anzeigeumgebung für Reisebuchungen festgestellt worden sei, über die bestimmte Buchungsanzeigedaten zugänglich waren. Nach Angaben des Unternehmens gibt es keine Hinweise auf eine Ausnutzung im Rahmen von Ransomware-Angriffen. Die Sicherheitslücke sei geschlossen und die Überwachungs- sowie Detektionsmechanismen seien verschärft worden.  

Chronologie der Ereignisse 

• August 2023: Berichten zufolge erstreckt sich der Kompromittierungszeitraum von August 2023 bis September 2026. Dies entspricht einem Expositionszeitraum von rund 37 Monaten.  

• September 2026: Die Schwachstelle wurde Berichten zufolge im September 2026 behoben. Qantas gab die Stellungnahme von Amadeus weiter, dass der Vorfall „im September eingedämmt“ worden sei.  

• 20. Oktober: Korean Air und Asiana wurden benachrichtigt, gefolgt von JAL am 23. Oktober und Cathay am 28. Oktober.  

• 23. Oktober: Korean Air und Asiana veröffentlichten Kundenwarnungen. 

• 1. bis 3. November: Malaysia Airlines informierte Kunden; Singapore Airlines meldete am 3. November rund 46.000 betroffene Buchungsdatensätze.  

• 4. November: Die Personal Data Protection Commission von Singapur bestätigte die Kenntnisnahme des Vorfalls und leitete eine Untersuchung ein. 

Die Verzögerung der Meldung ist von kritischer Relevanz: Die Fluggesellschaften wurden erst Wochen nach der angeblichen Eindämmung durch Amadeus und Jahre nach Beginn des unbefugten Zugriffs in Kenntnis gesetzt. 

Ursachenanalyse: Zwei divergierende Darstellungen 

Die offizielle Formulierung von Amadeus verweist auf eine „Schwachstelle“. Die Fluggesellschaften stellen den Sachverhalt anders dar: Cathay Pacific teilte mit, Amadeus habe über die Verwendung von Zugangsdaten eines Systemkontos durch einen Bedrohungsakteur informiert. Malaysia Airlines berichtet von kompromittierten administrativen Zugangsdaten, mit denen Reservierungsmasken eingesehen wurden.  

Beide Darstellungen schließen sich nicht aus. Eine Sicherheitslücke in einer Buchungsanzeigeumgebung – etwa unzureichende Zugriffskontrollen bei einem Systemkonto – könnte es legitimen Anmeldedaten ermöglichen, unberechtigt auf Datenbestände zuzugreifen. Amadeus hat bislang keine technische Root-Cause-Analyse (Ursachenanalyse) veröffentlicht; Indikatoren für eine Kompromittierung (Indicators of Compromise, IoC) wurden nicht öffentlich bereitgestellt. 

Für CISOs ist das Szenario des Credential-Abuse (Missbrauch von Zugangsdaten) der aufschlussreichere Aspekt: Ein valider Login stellt reguläre Systemaktivität dar und löst primär keine Malware-Warnung oder Exploit-Signatur aus. Die Erkennung setzt fortschrittliche Verhaltensanalysen (Behavioral Analytics) voraus – ein Mechanismus, der über 37 Monate hinweg offensichtlich versagt hat. 

Umfang der kompromittierten Daten 

Die betroffenen Basisdaten sind über alle Fluggesellschaften hinweg konsistent: Namen, Buchungscodes (PNR), Reiserouten und Buchungsklassen. Bei Teilmengen kam es zu weitergehendem Abfluss:  

Hinweis zur Datenbasis: Diese Werte dürfen nicht kumuliert werden. Während Cathay die Anzahl der Buchungen erfasst, zählen die japanischen Fluggesellschaften Kundenkonten; zudem sind Überschneidungen zwischen den Airlines wahrscheinlich. Berichte über 230.000 Datensätze stellen lediglich die Untergrenze der offengelegten Zahlen dar, keinen verifizierten Gesamtumfang.  

Status bei Qantas und Condor unbestätigt: Qantas prüft derzeit eine mögliche Betroffenheit von Buchungsdaten. Die Nennung von Condor basiert auf einem externen Einzelbericht und ist bislang nicht unabhängig verifiziert.  

Zahlungsdaten: Laut Amadeus liegen keine Beweise für einen Zugriff auf Zahlungs- oder Finanzdaten vor; Japan Airlines bestätigte, dass Kreditkartennummern und Passwörter nicht kompromittiert wurden.  

Attribution des Vorfalls 

Die Urheberschaft ist unklar. Bislang liegt kein Bekennerschreiben vor; es gibt keine Anzeichen dafür, dass die Daten im Darknet angeboten werden. Analysten werten das Angriffsmuster teilweise als Vorgehen finanziell motivierter Akteure oder Initial Access Broker; hierbei handelt es sich jedoch um Deduktion, nicht um eine gesicherte Attribution. Eine Verweildauer (Dwell Time) von drei Jahren deutet auf einen verdeckt operierenden Akteur hin, kann jedoch gleichermaßen auf unzureichende Protokollierung (Logging) zurückzuführen sein. 

Relevanz und Risikobewertung 

1. Gezieltes Phishing: Reale Buchungsreferenzen, Klarnamen und Reisedaten erhöhen die Glaubwürdigkeit betrügerischer Kommunikation massiv. Angreifer können hochgradig personalisierte Phishing-Mails im Namen der Fluggesellschaft mit realen Reisedetails versenden – einschließlich gefälschter Rückerstattungs- oder Umbuchungsaufforderungen. Singapore Airlines kontaktiert proaktiv Kunden bevorstehender Flüge zur Änderung betroffener Buchungscodes und warnt vor verdächtigen Nachrichten. 

2. Identitätsdiebstahl bei Passdaten: Passnummern in Verbindung mit Kontaktdaten und Staatsangehörigkeit stellen statische Identifikatoren dar. Im Gegensatz zu Zugangsdaten lassen sie sich nicht kurzfristig zurücksetzen. 

3. Gefährdung von Geschäfts- und Delegationsreisen: Reiseverläufe offenbaren Bewegungsprofile von Entscheidungsträgern. Für Führungskräfte, Behördenvertreter und KRITIS-relevante Organisationen stellt dies eine Gefährdung durch Social Engineering oder operative Aufklärung dar. 

4. Regulatorische und haftungsrechtliche Konsequenzen: Aufsichtsbehörden haben Untersuchungen eingeleitet. Für Betreiber verdeutlicht der Vorfall: Das Outsourcing von IT-Systemen entbindet nicht von der regulatorischen Verantwortung. Die Untersuchung der australischen Aufsichtsbehörde beim Vorfall von Qantas im Jahr 2025 (über ein externes Contact-Center) fokussierte explizit auf die Einhaltung der Kontroll- und Sorgfaltspflichten bezüglich des Dienstleisters. 

Die OT- und Aviation-Security-Perspektive 

Zur präzisen Einordnung der Betriebstechnik (OT): Es liegen keine Hinweise auf eine Beeinträchtigung der Flugsicherheit oder luftfahrttechnischer Betriebsabläufe vor. Es handelt sich primär um einen Datenabfluss, nicht um eine Beeinträchtigung der Betriebsverfügbarkeit. 

Dennoch ist der Vorfall aus drei Gründen für die OT-Sicherheit von hoher Relevanz: 

Gemeinsam genutzte Infrastrukturen als Angriffsfläche: Die internen Netze der Airlines waren nach aktuellem Stand nicht kompromittiert. Dennoch kam es zum Datenabfluss, da eine zentrale Dienstleister-Plattform mehreren nationalen Fluggesellschaften zugrunde liegt. Im KRITIS-Sektor Luftfahrt bestimmt das schwächste Bindeglied der Shared Infrastructure die Gesamtresilienz. 

Konvergenz von IT und operativen Systemen: Reservierungs- und Check-in-Daten speisen Systeme des Departure Control, der Crew-Einsatzplanung und der Flughafenbetriebssteuerung. Ein Lesezugriff in der Buchungsanzeige birgt das latente Risiko einer Integritäts- oder Verfügbarkeitsverletzung operativer Prozesse, sollten Angreifer schreibenden Zugriff erlangen. Dies stellt ein kritisches Risikoszenario dar. 

Systemisches Risiko im Sektor: Bereits 2021 wurde das Passagiersystem von SITA kompromittiert (u. a. Singapore Airlines, Malaysia Airlines, Lufthansa betroffen). 2019 wurde eine Schwachstelle im Amadeus-System identifiziert, die unbefugte Änderungen an Datensätzen ermöglichte. Klumpenrisiken durch Dienstleisterkonzentration stellen ein persistentes Branchenproblem dar. 

Handlungsempfehlungen für Organisationen 

Für Fluggesellschaften, Flughafenbetreiber und KRITIS-Akteure im Luftverkehr: 

1. Vollständiges Schnittstelleninventar erstellen: Alle Drittanbieter-Verbindungen zu Passagier- und operativen Systemen, einschließlich Dienstkonten (Service Accounts) und API-Credentials, lückenlos erfassen. 

2. Credential-Governance vertraglich durchsetzen: Verbindliche Vorgaben für MFA bei Administrations- und Service-Accounts, definierte Rotationszyklen für Schlüssel/Passwörter und lückenlose Protokollierung privilegierter Zugriffe (Privileged Access Management) etablieren. 

3. Strikte Meldefristen (SLAs) für Sicherheitsvorfälle vereinbaren: Das Bekanntwerden eines 37-monatigen Zugriffs erst Wochen nach der Eindämmung stellt ein gravierendes Steuerungsdefizit dar. 

4. Nachweise für Log-Retention und Anomalieerkennung einfordern: Abfragevolumina, geografische Zugriffsorte und Zugriffszeiten nicht-menschlicher Konten müssen einer Baseline-Prüfung unterzogen und im Rahmen des Monitorings alarmiert werden. 

5. Krisenkommunikation vorbereiten: Prozesse zur Neugenerierung kompromittierter Buchungsreferenzen und gezielte Anti-Phishing-Richtlinien im Vorfeld etablieren. 

6. Netzwerksegmentierung prüfen: Systeme für Passagierdaten strikt von operativen OT-Netzen trennen und die Segmentierung regelmäßig verifizieren. 

Für CISOs in Organisationen mit kritischer Dienstleisterabhängigkeit: 

• Klassifizieren Sie nicht-menschliche Konten als Hochrisiko-Assets. Dienstkonten verfügen selten über MFA, unterliegen unzureichenden Re-Zertifizierungen und besitzen oft weitreichende Privilegien. 

• Analysieren Sie Konzentrationsrisiken (Klumpenrisiken). Wenn der Ausfall oder die Kompromittierung eines Dienstleisters mehrere Kernprozesse gefährdet, gehört dieses Risiko in den Risikobericht an die Geschäftsleitung. 

• Führen Sie Tabletop-Übungen (Krisenstabsübungen) für das Szenario „Dienstleister kompromittiert ohne vorzeitige Alarmierung“ durch. 

Für Reisende und Corporate Travel Management: 

• Unaufgeforderte E-Mails zu bestehenden Buchungen kritisch verifizieren, selbst wenn Reisedaten korrekt aufgeführt sind. Interaktionen ausschließlich über offizielle Portale abwickeln. 

• Das Travel Management sollte exponierte Profile von Führungskräften und Funktionsträgern mit erhöhtem Schutzbedarf erfassen. 

• Betroffene, deren Passdaten abgeflossen sind, müssen für Anzeichen von Identitätsmissbrauch sensibilisiert werden. 

Offene Fragen zur Aufklärung 

• Welcher primäre Angriffsvektor wurde genutzt und wie wurden die Zugangsdaten kompromittiert? 

• Warum blieb der unbefugte Zugriff über einen Zeitraum von 37 Monaten unentdeckt? 

• Wird Amadeus IoCs (Indicators of Compromise) bereitstellen, um Kunden ein gezieltes Threat Hunting zu ermöglichen? 

• Wie hoch ist die Gesamtzahl betroffener Passagiere nach Offenlegung durch Korean Air, Asiana und Malaysia Airlines? 

• Welche aufsichtsrechtlichen Maßnahmen leiten die Datenschutzbehörden in Singapur, Japan, Südkorea und Hongkong gegen Amadeus und die betroffenen Fluggesellschaften ein? 

Wir aktualisieren diese technische Analyse, sobald weitere Erkenntnisse vorliegen. 

Fazit und Lagebild 

Der Sicherheitsvorfall bei Amadeus betrifft keine direkte Manipulation von Flugzeugsystemen, sondern verdeutlicht die Risiken kumulierter Abhängigkeiten in der Lieferkette. Defizite im Berechtigungsmanagement eines einzelnen Dienstleisters exponierten Passagierdaten mehrerer Luftfahrtunternehmen über drei Jahre hinweg – ohne Visibilität auf Seiten der Betreiber. Verantwortliche für Informationssicherheit müssen davon ausgehen, dass kritische Schnittstellen zu Dritten häufig die am wenigsten transparenten Angriffsvektoren darstellen. 

Shieldworkz unterstützt Luftfahrtbetreiber, KRITIS-Unternehmen und Industrieorganisationen bei der Bewertung von Risiken in der Lieferkette und bei Drittanbietern über IT- und OT-Umgebungen hinweg. Kontaktieren Sie unser Expertenteam, um Ihre Dienstleister-Zugangsmodelle zu auditieren.