Wenn Ihre Flugdaten leaken: Lehren aus den Datenpannen der Woche

Die Datenpannen der vergangenen Woche enthalten eine Lehre für alle, die viel reisen. In seinem Überblick für den 23. bis 29. Oktober 2026 berichtete Privacy Guides, Japan Airlines habe ein Leck über das Passagiersystem von Amadeus gemeldet, die Buchungsplattform, die viele Airlines und Reiseunternehmen nutzen. In derselben Woche meldete Sonys japanischer Internetanbieter einen eigenen Vorfall.

Was offenlag

• Japan Airlines: Bei rund 92.000 Kunden lagen Buchungscodes (PNR), Namen, Flugdaten, Strecken und Reiseklasse offen; bei rund 2.000 weiteren zusätzlich E-Mail-Adressen, Telefonnummern, Passnummern, Staatsangehörigkeiten und Vielfliegernummern.
• Sony Network Communications: rund 2,5 Millionen Datensätze mit Namen, Telefonnummern, Geburtsdaten und Nutzer-IDs, dazu 54.401 E-Mail-Adressen samt Kontopasswörtern. Der Angriff erfolgte am 19. Oktober und wurde vier Tage später entdeckt.
• Universität Kopenhagen: Namen, nationale Identifikationsnummern (CPR) und Kontaktdaten von 525.000 Personen, dazu 20.000 PIN-Codes für den Gebäudezugang.

Da Amadeus weitere Reiseunternehmen bedient, erwartet Privacy Guides in den kommenden Wochen zusätzliche Meldungen.

Die gefährlichste Phishing-Mail ist die, die Ihren Flug schon kennt.

Der Familienplan

Nichts davon verlangt Panik. Es verlangt Routine. Buchungscode, Strecke und Datum genügen für eine glaubwürdige Nachricht über eine „Änderung Ihres Fluges“, und eine Passnummer ist ein Baustein für Identitätsbetrug.

• Misstrauen Sie jeder Nachricht über eine kürzliche oder bevorstehende Reise; öffnen Sie die App der Airline oder tippen Sie die Adresse selbst ein, statt einen Link anzuklicken.
• Ändern Sie jedes Passwort, das Sie bei einem betroffenen Dienst wiederverwendet haben, und stellen Sie E-Mail und Bank auf Passkeys oder eine Authenticator-App um.
• Sichern Sie Vielfliegerkonten mit PIN oder Passwort und prüfen Sie, ob Meilen verschwunden sind.
• Wenn ein Zugangs-PIN von Büro, Gebäude oder Schule geleakt wurde, lassen Sie ihn ändern: Auch ein Türcode ist ein Passwort.
• Bewahren Sie Scans aller Familienpässe in einem verschlüsselten Tresor auf, um schnell melden und ersetzen zu können.

Die Regulierung holt auf, langsam. Der Cyber Resilience Act der EU, seit November 2024 in Kraft, gilt ab dem 11. Dezember 2027 vollständig und verpflichtet Hersteller vernetzter Produkte zu Cybersicherheit, mit Bußgeldern bis 15 Millionen Euro oder 2,5 % des weltweiten Umsatzes. Bis dahin liegt die Routine zu Hause bei Ihnen. Wenn Sie einen Missbrauch Ihrer Identität vermuten, wenden Sie sich an Ihre Bank und die zuständigen Behörden und sprechen Sie mit einer qualifizierten Fachperson.