ANA: 37.800 Kunden könnten von Datenleck bei Amadeus betroffen sein, darunter 1.700 mit offengelegten Passnummern

Reservierungsdaten über IT-Dienstleister einer Fluggesellschaft offengelegt

All Nippon Airways teilte am 30. Oktober 2026 mit, dass Reservierungsdaten von rund 37.800 Kunden möglicherweise offengelegt wurden, nachdem Unbefugte auf Systeme des spanischen Technologieunternehmens Amadeus IT Group zugegriffen hatten, das als Auftragnehmer für die Fluggesellschaft tätig ist. Bei etwa 1.700 Kunden gehörten auch Passnummern und weitere persönliche Angaben zu den Daten, bei denen Anzeichen für einen Zugriff von außerhalb des Systems festgestellt wurden.

ANA zufolge entdeckte Amadeus den unbefugten Zugriff am 24. September. Die Fluggesellschaft erhielt jedoch erst am 20. Oktober, 26 Tage später, einen Bericht des Auftragnehmers. ANA hatte Amadeus um eine Untersuchung möglicher eigener Betroffenheit gebeten, nachdem die Fluggesellschaft am 16. Oktober erfahren hatte, dass auch andere Airlines betroffen waren, die den Dienstleister nutzen.

Die Fluggesellschaft identifizierte zwei Gruppen betroffener Kunden. Bei etwa 36.100 Personen waren grundlegende Reservierungsdaten wie Namen und Reisedetails betroffen. Bei rund 1.700 Personen umfasste der Vorfall einen größeren Datensatz, darunter Kontaktdaten, Passnummern und Vielfliegernummern. Kreditkartendaten und Passwörter seien von dem Vorfall nicht betroffen, erklärte ANA.

ANA will in der ersten Novemberwoche damit beginnen, betroffene Kunden zu kontaktieren. Die unmittelbare Warnung der Fluggesellschaft an Passagiere betrifft verdächtige E-Mails, Anrufe, Websites und Werbung in sozialen Medien, die vorgeben, von der ANA Group zu stammen.

Der Vorfall betrifft nicht nur eine Fluggesellschaft. Japan Airlines und Japan Transocean Air hatten bereits mitgeteilt, dass rund 92.000 Kunden möglicherweise von einem unbefugten Zugriff über denselben Dienstleister betroffen waren. Andere japanische Fluggesellschaften prüften noch, ob und in welchem Umfang sie betroffen waren. Zudem wurde berichtet, dass Reservierungsnummern von Kunden von Korean Air und Asiana Airlines offengelegt worden waren.

Welche Daten waren betroffen?

Bei der größten betroffenen Gruppe von rund 36.100 Personen gab es bei fünf Arten von Informationen Anzeichen für einen Zugriff von außerhalb: Namen, Reservierungsnummern, Reisedaten, Flugabschnitte und Beförderungsklassen. Ein Flugabschnitt ist ein Teil einer Reise, etwa ein Flug von Tokio nach Sapporo. Die Beförderungsklasse bezeichnet die Reisekategorie, beispielsweise Economy oder Business.

Bei der kleineren Gruppe von rund 1.700 Kunden waren dieselben Angaben betroffen, außerdem E-Mail-Adressen, Telefonnummern, Passnummern, Staatsangehörigkeiten, Vielfliegernummern, Fluggesellschaften, Flugnummern, Ticketnummern und Sitzplatznummern.

Passnummern gehörten somit bei etwa 4,5 % der von ANA ermittelten 37.800 Kunden zu den betroffenen Daten. Bei den übrigen rund 95,5 % beschränkten sich die offengelegten Angaben auf die fünf grundlegenden Reservierungsdaten.

ANA beschrieb Hinweise darauf, dass von außerhalb des Systems auf Reservierungsdaten zugegriffen worden war. Ob die Daten auch aus dem System kopiert oder anschließend missbraucht wurden, war der Mitteilung zufolge noch nicht bestätigt. Für Passagiere besteht das praktische Risiko darin, dass die betroffenen Angaben die Identität einer Person mit einer konkreten Reise verknüpfen können.

Welche Buchungen fallen in den betroffenen Zeitraum?

ANA erklärte, dass einige Kunden mit Reservierungen zwischen dem 10. August 2023 und dem 23. September 2026 betroffen seien. Die Mitteilung betrifft einen Teil der Buchungen aus diesem Zeitraum von mehr als drei Jahren, nicht alle Passagiere, die in diesem Zeitraum gebucht haben.

Der Zeitraum wurde auch als der Zeitraum beschrieben, in dem ANA Flüge vom 10. August 2023 bis zum 23. September 2026 durchführte. In den meisten ausführlichen Beschreibungen der Mitteilung wird er als Zeitraum angegeben, in dem Reservierungen vorgenommen wurden. Kunden sollten anhand der persönlichen Benachrichtigung von ANA prüfen, ob ihre eigene Buchung betroffen ist.

Die betroffenen Datensätze enthalten Angaben, die Passagiere bei der Reiseplanung machen oder die dabei erfasst werden. Eine Reservierungsnummer kennzeichnet eine Buchung, eine Ticketnummer das ausgestellte Reisedokument. Solche Angaben können nach dem ursprünglichen Kauf im Passagiersystem gespeichert bleiben. Das erklärt mit, warum die offengelegten Reservierungen bis ins Jahr 2023 zurückreichen.

Wie der Vorfall entdeckt und bekannt gemacht wurde

ANA machte den Vorfall erstmals am 29. Oktober öffentlich, während die Fluggesellschaft noch untersuchte, wie viele Kunden und welche Daten betroffen waren. Am darauffolgenden Tag nannte sie die Schätzung von 37.800 betroffenen Kunden und die zwei Kategorien offengelegter Daten.

Die Ereignisse begannen mehr als einen Monat vor den öffentlichen Mitteilungen:

• 24. September 2026: Amadeus entdeckte einen unbefugten Zugriff auf Reservierungsdaten von Fluggesellschaften. ANA zufolge erhielt die Airline zu diesem Zeitpunkt keine Mitteilung.
• 16. Oktober: ANA erfuhr von Vorfällen bei anderen Fluggesellschaften, die Amadeus nutzen, und bat den Dienstleister, die Reservierungsdaten zu ANA-Flügen zu überprüfen.
• 20. Oktober: ANA erhielt einen Bericht von Amadeus und meldete den Vorfall der japanischen Kommission zum Schutz personenbezogener Daten sowie weiteren zuständigen Stellen.
• 29. Oktober: ANA teilte mit, dass es Anzeichen für einen externen Zugriff auf einige Reservierungsdaten von Kunden gebe.
• 30. Oktober: ANA nannte rund 37.800 möglicherweise betroffene Kunden und erläuterte, welche Daten betroffen waren.
• Erste Novemberwoche: ANA will damit beginnen, betroffene Kunden nach und nach zu kontaktieren.

Aus dem zeitlichen Ablauf geht hervor, dass ANA den Dienstleister um eine Untersuchung bat, bevor dieser der Fluggesellschaft Bericht erstattete. Amadeus entdeckte den Vorfall am 24. September. ANA bat 22 Tage später um eine Prüfung der eigenen Betroffenheit. Der Dienstleister informierte ANA vier Tage nach dieser Anfrage.

ANA und Amadeus prüften auch nach dem 20. Oktober weiterhin Kundendaten. Die japanische Kommission zum Schutz personenbezogener Daten, bei der ANA den Vorfall meldete, ist für die Aufsicht über den Schutz personenbezogener Daten zuständig.

Maßnahmen von Amadeus

Amadeus stellt das Passagiersystem bereit, das von dem Vorfall betroffen ist. Fluggesellschaften nutzen solche Systeme unter anderem zur Verwaltung von Reservierungen und zur Ausstellung von Tickets. Im Rahmen des normalen Flugbetriebs werden Kundendaten daher auch bei spezialisierten Technologieanbietern gespeichert.

ANA zufolge bestätigte Amadeus, dass die mit dem unbefugten Zugriff verbundenen Zugangsdaten deaktiviert und die Überwachung verstärkt worden seien. Zugangsdaten sind digitale Kennungen oder Anmeldeinformationen, mit denen Personen oder Systeme auf einen Dienst zugreifen können. Werden sie deaktiviert, lassen sich diese konkreten Zugangsdaten nicht mehr verwenden.

Amadeus teilte außerdem mit, es gebe keine Hinweise auf Schäden durch Ransomware, eine Veränderung oder Löschung von Daten oder eine Unterbrechung der bereitgestellten Dienste. Ransomware ist Schadsoftware, mit der Informationen oder Systeme gesperrt und Lösegeldzahlungen erpresst werden. Die von ANA beschriebenen Maßnahmen richten sich hier gegen den unbefugten Zugriff auf Kundendaten und die Deaktivierung der zugehörigen Zugangsdaten.

Die Maßnahmen betreffen den Zugriff und die Überwachung beim Dienstleister. ANA muss parallel ermitteln, wessen Daten betroffen waren, und die betreffenden Kunden darüber informieren, welche Angaben offengelegt wurden.

Weitere Fluggesellschaften vom Vorfall beim selben Dienstleister betroffen

Japan Airlines und Japan Transocean Air teilten am 28. Oktober mit, dass es bei Reservierungsdaten von rund 92.000 Kunden Anzeichen für einen Zugriff von außerhalb über Amadeus gebe. Bei etwa 2.000 dieser Kunden könnten auch Passnummern und weitere Angaben offengelegt worden sein. Die beiden Fluggesellschaften erhielten den Bericht von Amadeus am 23. Oktober.

Die von JAL und JTA ermittelten 92.000 Kunden sind etwa 2,4-mal so viele wie die von ANA genannten 37.800. Bei rund 2,2 % der Kunden von JAL und JTA waren Passnummern und weitere zusätzliche Angaben betroffen, verglichen mit etwa 4,5 % bei ANA.

Air Do, Solaseed Air und StarFlyer, die Amadeus-Systeme über ANA nutzen, teilten mit, ANA habe sie am 29. Oktober über Anzeichen für einen Zugriff von außerhalb auf personenbezogene Daten informiert. Sie arbeiteten mit ANA daran, das Ausmaß der Betroffenheit zu ermitteln. Auch Reservierungsnummern von Kunden von Korean Air und Asiana Airlines wurden offengelegt. Der Vorfall betrifft damit auch Länder außerhalb Japans.

JAL und JTA zufolge gab es keine bestätigten Fälle von Missbrauch der betroffenen Daten und keine Auswirkungen auf den Flugbetrieb. Der gemeinsame Dienstleister ist bei den Fluggesellschaften ein zentraler möglicher Angriffspunkt. Jede Airline muss jedoch selbst feststellen, welche ihrer Kunden betroffen sind, und diese benachrichtigen.

Warum ANA vor Identitätsbetrug warnt

ANA hat Kunden dazu aufgerufen, auf Nachrichten und Anrufe zu achten, bei denen fälschlicherweise behauptet wird, sie kämen von der Airline-Gruppe. Reservierungsdaten können Betrugsversuche glaubwürdiger wirken lassen, weil Anrufer oder E-Mail-Absender möglicherweise ein tatsächliches Reisedatum, ein Reiseziel oder eine Flugnummer kennen.

Eine betrügerische Nachricht könnte beispielsweise behaupten, für eine echte Buchung sei umgehend eine Zahlung nötig oder für eine Rückerstattung müssten Passagiere Finanzdaten eingeben. Beim Phishing gibt sich ein Absender als vertrauenswürdige Organisation aus, um jemanden zur Preisgabe von Informationen oder zum Aufruf einer täuschend echt wirkenden Website zu bewegen.

Wer unerwartet eine Nachricht zu einer Buchung erhält, kann diese über die ANA-Website oder App prüfen, die er normalerweise nutzt, statt einem darin enthaltenen Link zu folgen oder eine dort angegebene Telefonnummer anzurufen. Besondere Vorsicht ist bei unaufgeforderten Nachrichten geboten, in denen nach Passwörtern, Bestätigungscodes, Kartendaten oder Passbildern gefragt wird.

Die geplanten persönlichen Benachrichtigungen von ANA bieten betroffenen Kunden eine bessere Grundlage für weitere Schritte als der allgemeine Reservierungszeitraum allein. Bei der Gruppe von rund 1.700 Personen betrifft das Risiko auch Kontakt- und Identitätsdaten sowie die Reiseroute. Bei der größeren Gruppe verknüpfen die offengelegten Daten weiterhin einen Namen mit einer Reise.

Weitere Mitteilungen verschärfen Japans Sorgen um die Datensicherheit

Auch das japanische Außenministerium teilte am 30. Oktober mit, dass durch einen unbefugten Zugriff möglicherweise rund 3.600 Datensätze mit personenbezogenen Angaben, darunter Namen und E-Mail-Adressen, offengelegt wurden. Rund 900 Datensätze gehörten Personen außerhalb des Ministeriums. Betroffen war eine Umgebung in einem Netzwerk, das mit externen Systemen verbunden ist. In einem separaten, abgeschotteten Netzwerk, in dem streng vertrauliche Informationen verarbeitet werden, habe es nach Angaben des Ministeriums keinen unbefugten Zugriff gegeben.

Ryohin Keikaku, der Betreiber von Muji, teilte mit, dass durch einen unbefugten Zugriff auf seine offizielle App bis zu 27,26 Millionen Kundendatensätze offengelegt worden sein könnten. Zu den möglicherweise betroffenen Angaben gehörten E-Mail-Adressen, Geburtsdaten und Geschlecht. Betroffen waren auch Daten von Personen, die sich von der App abgemeldet hatten. Namen und Kreditkartendaten waren nicht betroffen.

Muji zufolge gab es keine bestätigten Fälle von Missbrauch. Das Unternehmen werde betroffene Kunden individuell kontaktieren und App sowie Onlineshop weiterhin regulär betreiben. Außerdem warnte es Kunden davor, auf Links in verdächtigen E-Mails zu klicken. Die Mitteilungen der Fluggesellschaft, des Ministeriums und des Einzelhandelsunternehmens betreffen unterschiedliche Daten und Dienste. In allen Fällen benötigen betroffene Personen jedoch genaue Angaben dazu, welche ihrer persönlichen Daten offengelegt wurden.

Die wichtigsten Punkte

• ANA ermittelte rund 37.800 Kunden, deren Reservierungsdaten möglicherweise durch einen unbefugten Zugriff bei Amadeus offengelegt wurden.
• Bei rund 36.100 Kunden waren grundlegende Reservierungsdaten betroffen. Bei etwa 1.700 waren außerdem Passnummern, Kontaktdaten und weitere Angaben betroffen.
• Nach Angaben von ANA waren Kreditkartendaten und Passwörter nicht betroffen.
• Amadeus entdeckte den Vorfall am 24. September 2026. ANA erhielt den Bericht am 20. Oktober und nannte am 30. Oktober die Zahl der betroffenen Kunden.
• Amadeus deaktivierte die zugehörigen Zugangsdaten und verstärkte die Überwachung. Der Dienstleister meldete keine Unterbrechung seiner Dienste.
• ANA will in der ersten Novemberwoche mit individuellen Benachrichtigungen beginnen und warnt vor Identitätsbetrug.
• JAL und JTA ermittelten unabhängig davon rund 92.000 betroffene Kunden. Andere Fluggesellschaften prüften noch, ob und in welchem Umfang sie betroffen waren.