Cyberangriffe im Tourismus: Das Beispiel der Datenpannen bei Amadeus und Expedia stellt eine neue Bedrohung dar
Sicherheitsvorfälle bei Amadeus und Expedia werfen die Frage auf, wie gut die Buchungsdaten von Reisenden geschützt sind, wenn sie das Netzwerk der Technologieanbieter durchlaufen. Künstliche Intelligenz kann Betrugsfälle, die auf solchen Daten basieren, noch weiter verstärken. Was sollten Reisebüros überprüfen?
Heutzutage bleiben Reisebuchungen selten auf ein einziges System beschränkt. Passagierdaten durchlaufen Fluggesellschaften, GDS, Hotelplattformen, Online-Buchungssysteme, CRM-Anwendungen und externe Technologiepartner. Dabei kann eine Sicherheitslücke bei einem Beteiligten Auswirkungen auf Kunden anderer Unternehmen haben, auch wenn deren eigene Netzwerke nicht kompromittiert wurden.
Zwei aktuelle Fälle veranschaulichen verschiedene Arten von Sicherheitslücken: den unbefugten Zugriff auf Buchungsdaten in der Amadeus-Umgebung und einen Angriff über einen externen Technologieanbieter, der laut der Expedia Group den Zugriff auf deren Systeme ermöglichte. Dies ist kein Beweis dafür, dass bei diesen Vorfällen KI zum Einsatz kam. KI ist ein eigenständiges Thema, ein zunehmend wichtiger Faktor, der die Glaubwürdigkeit und das Ausmaß nachfolgender Betrugsfälle erhöhen kann.
Was wurde in den Fällen von Amadeus und Expedia bestätigt?
Buchungsinformationen
Fluggesellschaften haben einen unbefugten Zugriff auf im Amadeus-System gespeicherte Buchungsdaten gemeldet. Zu den betroffenen Unternehmen zählen Cathay Pacific, Singapore Airlines und Japan Airlines.
Bestätigt: Namen, PNR-Codes und Reisedaten; bei einer kleineren Untergruppe von Datensätzen zusätzlich personenbezogene Daten. Es gibt keine Hinweise darauf, dass bei den oben genannten Offenlegungen auf Zahlungsdaten zugegriffen wurde.
Angriff auf einen Lieferanten
Expedia hat bestätigt, dass sich Angreifer über einen kompromittierten IT-Dienstleister Zugang zu seinen Systemen verschafft haben.
Dies wurde noch nicht bestätigt: den Umfang der potenziell offengelegten Daten, die Identität des Anbieters und den Zusammenhang mit anderen öffentlich beschriebenen Vorfällen.
Cathay Pacific gab bekannt, dass etwa 53.000 Buchungen betroffen waren, bei Singapore Airlines waren es rund 46.000 Buchungsdatensätze. Japan Airlines meldete Daten von rund 92.000 Passagieren. Im Fall von Cathay Pacific erstreckte sich der unbefugte Zugriff über Systemzugangsdaten laut Mitteilung der Fluggesellschaft über den Zeitraum von August 2023 bis September 2026. Es ist wichtig, zwischen der Kompromittierung einer bestimmten Buchungsumgebung und der Behauptung zu unterscheiden, dass das gesamte Amadeus-GDS kompromittiert sei – für eine derart weitreichende Schlussfolgerung gibt es keine Bestätigung.
Bei Expedia ist die Bedrohung durch einen Lieferanten, dem bereits Zugriff gewährt wurde, besonders groß. Sollten dessen Zugangsdaten kompromittiert werden oder alte Zugriffsrechte weiterhin aktiv bleiben, könnte ein Angreifer Zugriff auf ein anderes Unternehmen erlangen. Untersuchungen im Zusammenhang mit der Qubole-Plattform liefern ein anschauliches Beispiel für ein solches Muster, allerdings wurde bislang nicht öffentlich bestätigt, dass dieser Fall in direktem Zusammenhang mit dem Expedia-Vorfall steht.
Wie wird ein kompromittierter Zugang zum Problem für Reisende?
Das folgende Diagramm zeigt mögliche Risikokette, und nicht eine rekonstruierte Abfolge der aufgeführten Vorfälle. Der Angriff muss nicht alle dargestellten Schritte durchlaufen.
Hinweis: Dies ist ein schematisches Szenario eines möglichen Angriffs. Es bedeutet nicht, dass alle dargestellten Handlungen im Rahmen der Vorfälle „Amadeus“ oder „Expedia“ tatsächlich stattgefunden haben.
Auch ohne die Kreditkartennummer kann die Kombination aus Name, Buchungsnummer und Reisedatum für Kriminelle von großem Wert sein. Eine Nachricht, in der die tatsächliche Flugnummer genannt wird und eine sofortige Bestätigung der Buchung angefordert wird, wirkt weitaus überzeugender als eine allgemeine Spam-E-Mail. Je nach den Sicherheitsmaßnahmen der jeweiligen Fluggesellschaft können die PNR-Nummer und der Nachname zusätzliche Buchungsdetails preisgeben oder bestimmte Aktionen ermöglichen.
Wo passt künstliche Intelligenz in das Gesamtbild?
Generative KI kann dabei helfen, grammatikalisch überzeugende Nachrichten in verschiedenen Sprachen zu verfassen, Betrugsversuche auf eine konkrete Reise zuzuschneiden, Stimmen zu imitieren und Schwachstellen automatisch zu analysieren. In ihrem Bedrohungsausblick für 2026 warnt die ENISA davor, dass neue KI-Modelle zunehmend als Unterstützung für böswillige Operationen dienen werden. Das bedeutet nicht, dass KI die Ursache für die bestätigten Vorfälle bei Amadeus und Expedia ist, sondern dass gestohlene Daten für die nächste Phase eines Angriffs noch nützlicher werden könnten.
„Ihr Flug nach Frankfurt morgen wurde geändert. Bitte bestätigen Sie die Buchung AB12CD und aktualisieren Sie Ihre Zahlungsmethode, um Ihr Ticket zu behalten.”
Ein genauer Reiseplan und die PNR-Nummer können die Glaubwürdigkeit erhöhen. Jede Änderung der Zahlungsmodalitäten sollte über einen bereits bekannten offiziellen Kanal überprüft werden, nicht über den Link in der Nachricht.
Sieben konkrete Prüfpunkte für Reisebüros
Auch die Vorschriften zum Schutz personenbezogener Daten behalten ihre Gültigkeit. In bestimmten Fällen schreibt die DSGVO vor, dass eine Datenschutzverletzung der zuständigen Behörde gemeldet werden muss, in der Regel spätestens 72 Stunden nach Bekanntwerden, wenn ein wahrscheinliches Risiko für die Rechte und Freiheiten betroffener Personen besteht. Bei hohem Risiko kann es zudem erforderlich sein, die betroffenen Personen zu benachrichtigen. Die konkreten Verpflichtungen hängen von den Umständen und der Rolle des Reisebüros bei der Datenverarbeitung ab.
Datensicherheit sollte bei der Auswahl von Lieferanten als Kriterium berücksichtigt werden.
Reisebüros vergleichen üblicherweise die Preise, Inhalte, den Support und die Funktionen von GDS, Hotelplattformen und Buchungsmaschinen. Sicherheitsaspekte verdienen dieselbe Aufmerksamkeit: Wer hat Zugriff auf Reservierungen, wie lange werden die Daten aufbewahrt, wie werden die Berechtigungen von Drittanbietern verwaltet und wie schnell informiert Sie der Anbieter über einen Vorfall?
Der sinnvollste Ansatzpunkt besteht nicht darin, ein weiteres Tool anzuschaffen, sondern Konten, Zugriffsrechte, Integrationen und Zahlungsabläufe zu überprüfen. In einer Agentur, die täglich mit sensiblen Passagierdaten umgeht, kann ein einziger vernachlässigter Zugangsdatensatz ein Problem verursachen, das weitaus schwerwiegender ist als der technische Vorfall selbst.
