Sicherheitslücke in Reisebuchungssystem: Passagierdaten waren betroffen

Eine Sicherheitslücke in einem Reisebuchungssystem von Amadeus hat Buchungs- und Passagierdaten verschiedener Fluggesellschaften zugänglich gemacht. Amadeus ist ein Softwareanbieter für die Reisebranche, dessen Systeme unter anderem Fluggesellschaften, Hotels und Reisebüros verbinden; der Konzern erzielte 2025 einen Umsatz von rund 6,5 Milliarden Euro.

Leser hatten heise online auf das Sicherheitsproblem aufmerksam gemacht. Bei der Überprüfung waren auch aktuelle Buchungsdaten abrufbar. Es war möglich, nach Nachnamen zu suchen. Die einsehbaren Datensätze enthielten vollständige Namen, Geburtsdaten und Buchungscodes (PNR), aber auch Kontakt-, Ausweis- und Reisepassdaten im Klartext. Ein großer Teil der überprüften Datensätze betraf Flüge von Lufthansa und Condor sowie weiterer Fluggesellschaften und Partner-Airlines. Inzwischen scheint die Schwachstelle geschlossen zu sein.

Zugangsdaten in ungeschütztem Heap-Dump

Nach ersten technischen Analysen beschränkte sich das Leck nicht auf einzelne Standorte. Der Heap-Dump einer Spring-Boot-Anwendung war über einen Endpunkt ohne Authentifizierung erreichbar. Der Speicherabzug enthielt Zugangsdaten und Authentifizierungstoken. Mit den darin enthaltenen Administratorpasswörtern waren lesender und schreibender Zugriff auf das globale System möglich.

Hunderte Office-IDs von Reisebüros und Buchungsstellen in Deutschland waren in den abrufbaren Daten enthalten. Weitere Kennungen ließen sich unter anderem durch automatisierte Abfragen aufspüren und mithilfe öffentlich verfügbarer Informationen konkreten Agenturen und Büros zuordnen. Wie viele Zugänge insgesamt betroffen waren, ist unklar.

Amadeus teilte auf Anfrage von heise online mit, das Unternehmen sei am 21. September auf eine „potenzielle Schwachstelle“ aufmerksam gemacht worden, „die eine Anzeigeumgebung für Reisebuchungen betraf“. Bestimmte Buchungsdaten könnten darüber zugänglich gewesen sein; die Untersuchung dauere noch an. Zahlungs- oder Finanzdaten hätten nach Angaben des Unternehmens nicht abgerufen werden können. Amadeus hat die Schwachstelle inzwischen behoben und nach eigenen Angaben seine Überwachungs- und Erkennungsmechanismen verstärkt. Ob und in welchem Umfang Unbefugte auf Daten zugegriffen haben, ist weiterhin offen. Angaben zur Anzahl der Betroffenen machte das Unternehmen nicht.

Viele heise-investigativ-Recherchen sind nur möglich dank anonymer Informationen von Hinweisgebern.

Wenn Sie Kenntnis von einem Missstand haben, von dem die Öffentlichkeit erfahren sollte, können Sie uns Hinweise und Material zukommen lassen. Nutzen Sie dafür bitte unseren anonymen und sicheren Briefkasten:

Regelmäßig kommt es in der Reisebranche aufgrund von Sicherheitslücken von IT-Dienstleistern zu gezielten Phishing-Versuchen. Immer wieder melden sich daher auch Leserinnen und Leser beim Verlag. Zur Sicherheitslücke und allgemein zum Zustand der Branche hatte heise online das Bundesamt für Sicherheit in der Informationstechnik (BSI) befragt. Eine Antwort des BSI steht noch aus.

Weitere Software von Amadeus betroffen

Kürzlich kam es beim Amadeus-Dienst „iHotelier“ zu einem Vorfall, wie Hotel vor9 berichtet. Demnach wurden Reservierungsdaten von Hotelgästen der Maritim Hotels entwendet. Betroffen sind Buchungen mit Aufenthalten vom 1. August 2026 bis 30. September 2027; am 17. September verschickte Maritim 8716 Mails an betroffene Gäste. Derzeit versuche Maritim mit dem Dienstleister die Ursache für den Vorfall zu klären. Zudem hatten Sicherheitsforscher bereits 2019 eine Lücke im Amadeus-Buchungssystem entdeckt, über die sich Buchungsdaten von 141 Fluggesellschaften einsehen und ändern ließen, wie Medien berichteten.

Regelmäßig kommt es vor allem bei Booking.com zu Vorfällen. Auch beim österreichischen IT-Dienstleister Seekda sorgte eine ähnliche Phishing-Welle zuletzt für Verunsicherung bei Hotelgästen.

Die Landesbeauftragte für Datenschutz und Informationsfreiheit in Nordrhein-Westfalen, Bettina Gayk, warnt inzwischen vor Betrugsversuchen mit erbeuteten Hoteldaten. Anlass sind zahlreiche Meldungen aus Mecklenburg-Vorpommern über Angriffe auf Buchungsportale; laut der dortigen Datenschutzbehörde stammen Gästedaten teils auch aus E-Mail-Konten von Unterkünften. Reisende sollten misstrauisch werden, wenn sie per E-Mail oder Messenger zur Verifizierung von Kreditkartendaten aufgefordert werden. Im Zweifel sollten Gäste die Unterkunft direkt anrufen.