Eine inzwischen geschlossene Schwachstelle in einem Reisebuchungssystem von Amadeus machte sensible Buchungs- und Passagierdaten sichtbar. Nach einer technischen Prüfung von Heise waren unter anderem Namen, Geburtsdaten, Buchungscodes, Kontaktangaben sowie Ausweis- und Passdaten im Klartext abrufbar. Wie viele Menschen betroffen sind und ob Unbefugte die Daten tatsächlich abgerufen haben, ist weiter offen.

Solche Angaben können Betrugsnachrichten besonders glaubwürdig machen. Wer Reisedatum, Hotel, Airline oder Buchungscode kennt, kann eine angeblich noch offene Zahlung oder einen vorgezogenen Check-in passend formulieren. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt, dass zwischen einem Datenleck und einer Phishing-Welle erhebliche Zeit vergehen kann.

Der sicherste Prüfweg trennt die Nachricht von der Buchung. Links, Anhänge und Telefonnummern aus einer verdächtigen E-Mail oder Messenger-Nachricht sollten ungenutzt bleiben. Stattdessen wird die bekannte App oder die selbst eingegebene Website des Hotels, Reisebüros oder der Airline geöffnet. Dort lässt sich prüfen, ob tatsächlich eine Zahlung oder Aktion aussteht.

Ist die Lage danach noch unklar, sollte die Kontaktstelle ebenfalls unabhängig gesucht werden – etwa auf der offiziellen Website oder in bereits vorhandenen Reiseunterlagen. Eine zusätzliche Zahlung, die erneute Eingabe von Kartendaten oder das Hochladen eines Ausweises sollte erst nach dieser Bestätigung erfolgen. Wer ein Passwort mehrfach verwendet hat, sollte es ändern; das Leck selbst bedeutet aber nicht automatisch, dass ein persönliches Konto übernommen wurde.

Technisch beschreibt der Bericht einen ohne Anmeldung erreichbaren Speicherabzug einer Anwendung. Darin lagen Zugangsdaten und Authentifizierungstoken. Amadeus erklärte, die Schwachstelle sei behoben und die Untersuchung dauere an. Zahlungs- oder Finanzdaten seien nach Angaben des Unternehmens nicht über diesen Weg abrufbar gewesen.

Die Grenzen sind wichtig: Eine geschlossene Lücke beendet den aktuellen technischen Zugang, klärt aber nicht rückwirkend, ob Daten kopiert wurden. Umgekehrt belegt die Möglichkeit des Zugriffs noch keinen Missbrauch jedes sichtbaren Datensatzes. Reisende sollten deshalb aufmerksam prüfen, ohne aus jeder echten Buchungsnachricht einen Angriff abzuleiten.