// HEISE ONLINE — CYBERSECURITY
Reisebranche: BSI rät wegen Amadeus-Lücken zu Vorsicht bei Early-Check-in & Co.
Ein ungeschützter Speicherabzug bei Amadeus legte Zugangsdaten offen, Passagierdaten waren im Klartext einsehbar. Reisende sollten vorsichtig sein.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Eine Sicherheitslücke in einem Reisebuchungssystem von Amadeus hat Buchungs- und Passagierdaten verschiedener Fluggesellschaften zugänglich gemacht. Amadeus ist ein Softwareanbieter für die Reisebranche, dessen Systeme unter anderem Fluggesellschaften, Hotels und Reisebüros verbinden; der Konzern erzielte 2025 einen Umsatz von rund 6,5 Milliarden Euro. Reisende sollten besonders vorsichtig sein.
Leser hatten heise online auf das Sicherheitsproblem aufmerksam gemacht. Bei der Überprüfung waren auch aktuelle Buchungsdaten abrufbar. Es war möglich, nach Nachnamen zu suchen. Die einsehbaren Datensätze enthielten vollständige Namen, Geburtsdaten und Buchungscodes (PNR), aber auch Kontakt-, Ausweis- und Reisepassdaten im Klartext. Ein großer Teil der überprüften Datensätze betraf Flüge von Lufthansa und Condor sowie weiterer Fluggesellschaften und Partner-Airlines. Inzwischen scheint die Schwachstelle geschlossen zu sein.
Nach ersten technischen Analysen beschränkte sich das Leck nicht auf einzelne Standorte. Der Heap-Dump einer Spring-Boot-Anwendung war über einen Endpunkt ohne Authentifizierung erreichbar. Der Speicherabzug enthielt Zugangsdaten und Authentifizierungstoken. Mit den darin enthaltenen Administratorpasswörtern war lesender und schreibender Zugriff auf das globale System möglich.
Hunderte Office-IDs von Reisebüros und Buchungsstellen in Deutschland waren in den abrufbaren Daten enthalten. Weitere Kennungen ließen sich unter anderem durch automatisierte Abfragen aufspüren und mithilfe öffentlich verfügbarer Informationen konkreten Agenturen und Büros zuordnen. Wie viele Zugänge insgesamt betroffen waren, ist unklar.
Amadeus teilte auf Anfrage von heise online mit, das Unternehmen sei am 21. September auf eine „potenzielle Schwachstelle“ aufmerksam gemacht worden, „die eine Anzeigeumgebung für Reisebuchungen betraf“. Bestimmte Buchungsdaten könnten darüber zugänglich gewesen sein; die Untersuchung dauere noch an. Zahlungs- oder Finanzdaten hätten nach Angaben des Unternehmens nicht abgerufen werden können. Amadeus hat die Schwachstelle inzwischen behoben und nach eigenen Angaben seine Überwachungs- und Erkennungsmechanismen verstärkt. Ob und in welchem Umfang Unbefugte auf Daten zugegriffen haben, ist weiterhin offen. Angaben zur Anzahl der Betroffenen machte das Unternehmen nicht.
Viele heise-investigativ-Recherchen sind nur möglich dank anonymer Informationen von Hinweisgebern.
Wenn Sie Kenntnis von einem Missstand haben, von dem die Öffentlichkeit erfahren sollte, können Sie uns Hinweise und Material zukommen lassen. Nutzen Sie dafür bitte unseren anonymen und sicheren Briefkasten:
Immer wieder kommt es in der Reisebranche aufgrund von Sicherheitslücken von IT-Dienstleistern zu gezielten Phishing-Versuchen. Immer wieder melden sich daher auch Leserinnen und Leser beim Verlag. Zur Sicherheitslücke und allgemein zum Zustand der Branche hatte heise online das Bundesamt für Sicherheit in der Informationstechnik (BSI) befragt.