Ein ungeschützter Speicherabzug bei Amadeus hat nach dem bislang verfügbaren Stand Zugangsdaten offengelegt; Passagierdaten waren im Klartext einsehbar. Amadeus gilt als zentraler IT-Dienstleister der Reisebranche, über dessen Buchungs- und Check-in-Prozesse die Systeme zahlreicher Airlines laufen. Das BSI rät Reisenden deshalb zu Vorsicht bei E-Mails, die sich auf Early-Check-in, Buchung oder ähnliche Anlässe beziehen. Eine öffentlich bekannte CVE-Nummer gibt es zu dem Amadeus-Datenleck bislang nicht.
Amadeus-Datenleck: Was der offene Speicherabzug offenlegt
Belegt ist ein ungeschützter Speicherabzug — ein Speicherabbild, in dem Zugangsdaten ungesichert lagen. Zusätzlich sollen Passagierdaten unverschlüsselt lesbar gewesen sein. Das ist brisanter, als es zunächst klingt: Ein solcher Abzug enthält typischerweise weit mehr als einzelne Datensätze. Prozessspeicher kann Passwörter, Sitzungsschlüssel, API-Token und Teile laufender Transaktionen enthalten. Genau solche Zugangsdaten eröffnen Angreifern Zugriff auf angeschlossene Systeme, ohne dass sie eine Software-Schwachstelle aktiv ausnutzen müssen.
Was bislang nicht belegt ist: Angaben zu Menge und Zeitraum des offenen Abzugs, zu den betroffenen Systemen, zur Zahl der betroffenen Passagiere oder Airlines und zum Angriffsvektor fehlen vollständig. Der dokumentierte Kern beschränkt sich auf zwei Punkte — offenliegende Zugangsdaten und im Klartext einsehbare Passagierdaten.
Offene Fragen: Kein Patch-Status, keine Angaben von Amadeus
Offen bleibt, ob die Lücke geschlossen wurde. Im vorliegenden Material findet sich kein Hinweis auf einen Patch, einen Workaround oder eine Bestätigung des Vorfalls durch Amadeus. Das BSI wurde im Zusammenhang mit der Lücke und allgemein zum Zustand der Branche befragt — das geht aus der deutschen Fassung und der englischen Fassung derselben Berichterstattung hervor. Eine Stellungnahme des Unternehmens zum aktuellen Fall liegt nicht vor.
Das ist der entscheidende Vorbehalt: Solange weder Fix-Status noch Umfang geklärt sind, lässt sich die Schwere des Vorfalls nicht seriös einordnen. Die Verbraucherwarnung bleibt damit die belastbarste Konsequenz aus dem, was derzeit bekannt ist.
Früherer Vorfall 2019: IDOR im Check-in-System
Dass Amadeus-Systeme wiederholt im Fokus stehen, ist kein neues Muster. Bereits 2019 dokumentierte BankInfoSecurity eine IDOR-Schwachstelle in der Altéa Self Service Check-In-Lösung, über die sich gültige Bordkarten einsehen ließen. Entdeckt hatte sie David Stubley von 7 Elements; die Lücke wurde damals gepatcht. Amadeus nannte in dem Zusammenhang rund 500 nutzende Airlines.
Dieser Fall ist ausdrücklich vom aktuellen Amadeus-Datenleck zu trennen — er darf nicht als Beleg für den jetzigen Vorfall gelesen werden. Er zeigt aber, warum ein offener Speicherabzug bei diesem Anbieter überhaupt relevant ist: Die angeschlossenen Systeme verteilen sich über einen erheblichen Teil der Branche.
Warum Check-in-Phishing derzeit zunimmt
In der Reisebranche kommt es nach der Berichterstattung „regelmäßig" zu gezielten Phishing-Versuchen, die auf Sicherheitslücken bei IT-Dienstleistern zurückgehen. Leser hatten sich offenbar wiederholt an die Redaktion gewandt. Die Logik dahinter ist naheliegend: Wer Name, Buchungsnummer, Flug und Reisezeit kennt, kann täuschend echte Check-in- oder Umbuchungsmails verschicken. Weil die genannten Daten stimmen, wirkt die Mail glaubwürdig — und genau das macht sie gefährlich.
So erkennen Reisende Phishing-Mails rund um die Buchung
Das BSI nennt wiederkehrende Merkmale, an denen sich Phishing in E-Mails und auf Webseiten erkennen lässt: künstliche Dringlichkeit, Drohungen mit Konsequenzen, die Abfrage vertraulicher Daten und verdächtige Links. Wer eine unerwartete Check-in- oder Buchungsmail erhält, sollte nichts anklicken und den Vorgang stattdessen über die offizielle Airline-App oder die selbst eingegebene Adresse prüfen. Zugangsdaten gehören nie in eine Mail-Antwort.
Fazit: Wachsam bleiben, bis der Status geklärt ist
Solange Amadeus weder die Lücke noch den Patch-Stand bestätigt und keine Betroffenenzahlen vorliegen, gilt für Reisende eine einfache Regel: keine Links in unerwarteten Check-in-, Buchungs- oder Umbuchungsmails öffnen, keine Zugangsdaten eingeben und im Zweifel direkt beim Anbieter nachfragen. Für IT-Verantwortliche in der Reisebranche ist der Fall ein weiterer Anlass, Zugangsdaten nicht im Klartext zu halten und Speicherabbilder konsequent abzusichern. Der entscheidende nächste Schritt liegt beim Anbieter: Ohne Angaben zu Umfang und Fix-Status bleibt die Einordnung des Vorfalls zwangsläufig vorläufig.