Japan Airlines (JAL) hat bekannt gegeben, dass sie Opfer einer Sicherheitsverletzung geworden ist, die zur Offenlegung sensibler Daten von etwa 92.000 Kundinnen und Kunden führte. Ursache war eine Schwachstelle im Passagierservicesystem (Passenger Service System), das von dem globalen Technologieunternehmen Amadeus betrieben wird. Dieser Vorfall gilt als Indikator für die Sicherheitsrisiken, die mit der Abhängigkeit von externen IT-Dienstleistern im Luftfahrtsektor verbunden sind.
Details des Einbruchs
Der offiziellen Ankündigung zufolge informierte Amadeus Japan Airlines am 23. Oktober 2026 über einen unbefugten Zugriff auf ihre Systeme, der über einen längeren Zeitraum vom 10. August 2023 bis zum 23. September 2026 anhielt. Die abgegriffenen Daten variierten je nach Kundin oder Kunde und umfassten:
- Etwa 90.000 Kundinnen und Kunden: Es wurde auf Buchungscodes (PNRs), Namen, Flugdaten, Routen und Reiseklassen zugegriffen.
- Etwa 2.000 Kundinnen und Kunden: Ihre zusätzlichen Daten waren gefährdet, darunter E-Mail-Adressen, Telefonnummern, Reisepassnummern, Nationalitäten, Vielfliegernummern sowie Flug- und Sitzplatzdetails.
Japan Airlines bestätigte, dass Kreditkartennummern und Passwörter nicht zu den kompromittierten Daten gehörten, und wies darauf hin, dass derzeit keine Beweise für einen Missbrauch der durchsickernden Informationen vorliegen.
Umfang der technischen Auswirkungen
Dieser Vorfall beschränkt sich nicht nur auf Japan Airlines; Amadeus ist ein wichtiges technologisches Versorgungsunternehmen für die globale Luftfahrtindustrie und bedient über 400 Fluggesellschaften sowie Millionen von Hotels. Andere Fluggesellschaften, darunter All Nippon Airways (ANA), Asiana Airlines und Korean Air, haben bestätigt, dass sie von dieser Sicherheitslücke in der Umgebung zur Anzeige von Reisebuchungen betroffen sind.
Warum diese Nachricht wichtig ist
Dieser Einbruch verdeutlicht die grundlegenden Herausforderungen bei der Sicherheit von Software-Lieferketten (Software Supply Chain Security). Wenn ein so vitaler Sektor wie die Luftfahrt von einer einzigen zentralen Technologieplattform abhängt, wird jede Schwachstelle in dieser Plattform sofort zu einer grenz- und unternehmensübergreifenden Bedrohung. Obwohl Amadeus die Schließung der Lücke bekannt gab, wirft die lange Dauer des Einbruchs (über drei Jahre) Fragen zur Wirksamkeit von Überwachungs- und Erkennungssystemen für Einbrüche in digitalen Buchungsumgebungen auf. Dies unterstreicht die Notwendigkeit, die Cybersicherheitsprotokolle von Technologiedienstleistern zu überprüfen, die Zugriffsberechtigungen auf die Daten von Millionen von Reisenden besitzen.