Amadeus Datenleck: Heap-Dump legt Passagierdaten offen

Ein ungeschützter Heap-Dump soll beim Reisebuchungssystem-Anbieter Amadeus Passagierdaten offengelegt haben. Eine Meldung zur Sicherheitslücke im Reisebuchungssystem fasst zusammen, dass über den Dump Zugangsdaten im Klartext einsehbar gewesen sein sollen – belegt ist das bislang nicht. Das Amadeus Datenleck trifft damit potenziell einen zentralen Knoten der Reisebranche, während zu Umfang, Zeitraum und Betroffenen fast nichts gesichert ist.

Amadeus Datenleck: Was bislang belegt ist

Die Meldung ist knapp, aber brisant: Passagierdaten lagen offen, und über den Heap-Dump sollen Zugangsdaten im Klartext sichtbar gewesen sein. Verfügbar ist bislang jedoch nur die Kurzfassung, kein Volltext.

Genau dort beginnt das Problem. Die Klartext-Aussage ist unbestätigt: Es bleibt offen, welche Systeme betroffen sind, um welche Art von Zugangsdaten es geht und in welchem Umfang sie einsehbar waren. Ein offizielles Statement des Unternehmens, eine Zahl betroffener Passagiere oder ein Vorfallsdatum sucht man bislang vergeblich.

Klar ist dagegen die Rolle des Anbieters. Amadeus mit Sitz in Spanien liefert Software für die globale Reise- und Tourismusbranche, beschäftigt rund 19.000 Menschen in 190 Ländern und betreibt mit dem Amadeus GDS eines der großen Vertriebssysteme für Flugbuchungen. Ein Leck an dieser Stelle trifft nicht einzelne Airlines, sondern potenziell die gesamte Buchungskette.

Warum ein Heap-Dump zum Datenleck wird

Ein Heap-Dump ist zunächst kein Angriffswerkzeug, sondern ein Analyseartefakt. Er ist eine Momentaufnahme des Arbeitsspeichers – konkret der Objekte, die zu einem bestimmten Zeitpunkt Speicher belegen, wie die Android-Dokumentation beschreibt. Entwickler erzeugen ihn, um Speicherlecks und Überlastungen zu finden; die Erstellung kann die Anwendung kurz anhalten.

Dass daraus ein Datenschutzfall wird, liegt in der Natur des Speichers. In Java-Heap-Dumps finden sich regelmäßig char[]-Arrays, java.lang.String-Objekte, java.util.HashMap und deren Einträge, erläutert ein technischer Überblick. Genau dort landen zur Laufzeit sensible Werte: Sitzungskennungen, Tokens, Verbindungszeichenfolgen und personenbezogene Daten aus Buchungsvorgängen.

„Ungeschützt“ heißt in diesem Zusammenhang: Der Dump war offenbar nicht ausreichend abgeschottet. Ob er öffentlich erreichbar, unverschlüsselt abgelegt oder fehlkonfiguriert war, geht aus dem vorliegenden Material nicht hervor. Sicher ist nur, dass ein Debug-Artefakt dieser Art wie ein Geheimnis behandelt werden muss – und es offenbar nicht wurde.

Amadeus zwischen Aufsicht und Vorgeschichte

Der aktuelle Vorfall fällt in eine Phase erhöhter Aufmerksamkeit. Die spanische Datenschutzbehörde AEPD hat gegen Amadeus ein Bußgeld verhängt, weil Reisendendaten intern für prädiktives Profiling wiederverwendet worden sein sollen; der Pilot soll historische Buchungsdaten aus dem GDS samt archivierter PNR-Daten ausgewertet haben. Das Unternehmen widerspricht der Auslegung und will den Bescheid gerichtlich anfechten. Die berichtete Höhe schwankt je nach Quelle zwischen rund 14 und 18 Millionen Euro – diese Differenz lässt sich mit dem vorliegenden Material nicht auflösen.

Älter, aber häufig in einen Topf geworfen: der Indien-Vorfall von 2019. Damals extrahierte eine Mitarbeiterin eines indischen Distributors mit legitimen Zugriffsrechten Daten aus Passenger Name Records und gab sie weiter. Betroffen waren primär Name, Kontaktdaten und Reiseverläufe, in begrenzten Fällen auch Passdaten; Kreditkartendaten seien nicht zugänglich gewesen, teilte Amadeus seinerzeit mit.

Wichtig ist die Trennung der Fälle. Indien 2019, die AEPD-Strafe und das aktuelle Heap-Dump-Leck sind mindestens drei getrennte Sachverhalte. Wer sie vermischt, überzeichnet den Befund – und übersieht, dass zum aktuellen Vorfall bislang kein einziges offizielles Dokument existiert.

Offene Fragen: Betroffenenzahl, Zeitraum, Systeme

Zu den harten Fakten gehören bislang nur wenige. Es fehlen Angaben zur Zahl der betroffenen Passagiere, zum Zeitraum, zu den betroffenen Systemen und Kundenkreisen sowie zum Status der Behebung. Ob der Dump entfernt, gesperrt oder rotiert wurde und ob Zugangsdaten zurückgesetzt wurden, ist öffentlich nicht nachvollziehbar.

Vorsicht gilt auch bei kursierenden Zahlen. Eine Angabe von 141 betroffenen internationalen Fluggesellschaften stammt aus einem einzelnen Suchtreffer und ist nicht gegengeprüft. Ebenso wenig ist belegt, ob eine Meldung über betroffene Hotelgäste mit Aufenthalten zwischen August 2026 und September 2027 denselben Vorfall betrifft. Solche Zahlen gehören nicht in eine gesicherte Berichterstattung, solange keine zweite Quelle sie stützt.

Unklar bleibt auch der Fundweg. Wer den Dump entdeckte, ob er öffentlich abrufbar war und wie er abfloss, ist nicht bekannt – und damit ebenso wenig, ob die Daten bereits ausgewertet wurden.

Was Betroffene und Betreiber jetzt tun sollten

Für Reisende gilt die übliche Vorsicht, nicht Panik. Wer in den kommenden Wochen ungewöhnliche Buchungsbestätigungen, Rückerstattungsangebote oder Login-Aufforderungen erhält, sollte Absender und Links prüfen – Datenlecks sind ein beliebter Aufhänger für Phishing. Wer betroffen sein könnte, sollte Kontobewegungen und Buchungskonten im Blick behalten.

Für Betreiber ist die eigentliche Lehre technischer Natur. Heap-Dumps gehören zu den unterschätzten sensiblen Artefakten: Sie enthalten oft mehr Klartext als manche Datenbank, landen aber regelmäßig in Ticket-Anhängen, Debug-Ordnern oder Cloud-Buckets. Wer sie erzeugt, sollte sie wie Zugangsdaten behandeln – zugriffsbeschränkt, verschlüsselt, mit fester Löschfrist und einem Prozess, der nach jeder Analyse die enthaltenen Geheimnisse rotiert.

Dass genau das bei einem zentralen Vertriebssystem der Reisebranche offenbar nicht passiert ist, wiegt schwerer als die Frage, wie viele Fluggesellschaften betroffen sind. Ein GDS ist kritische Infrastruktur für den Tourismus; ein Leck dort reicht weit über einzelne Buchungen hinaus. Bis Amadeus den Fall aufklärt, bleibt die Meldung eine Warnung – und eine offene Baustelle.

Quellen