Bordkarte): Auf ihr stehen viele wichtige Informationen.

FlugticketsBuchungscode ist ein Sicherheitsrisiko

Während es bei den meisten Online-Verfahren mindestens zwei Sicherheitsmaßnahmen gibt, stecken Flugbuchungen noch in der Steinzeit fest. Zu diesem Schluss kommen zumindest Experten aus Berlin.

Top-Jobs

Aero-Dienst

Fluggerätmechaniker (w/m/d) als Prüfer / Certifying Staff (m/w/d) EASA Part 66 CAT B1 und/oder B2 für Pilatus

Oberpfaffenhofen
Feste Anstellung
Aircraft Management
Aero-Dienst GmbH
Deutschland
Vollzeit
Top jobs
Aero-Dienst

Fluggerätmechaniker (w/m/d) als Prüfer / Certifying Staff (w/m/d) EASA Part 66 CAT B1 und/oder B2 für Challenger 650

Feste Anstellung
Aircraft Management
Aero-Dienst GmbH
Deutschland
Vollzeit
Top jobs
LBV Logo

Sachbearbeiter:in Luftaufsicht, Erlaubnisse

Flughafen BER
Feste Anstellung
Luftfahrtbehörde
Landesamt für Bauen und Verkehr
Deutschland
Vollzeit
Top jobs
LBV Logo

Sachbearbeiter:in örtliche Luftaufsicht

Landesamt für Bauen und Verkehr
Deutschland
Vollzeit
Top jobs
Feste Anstellung
Luftfahrtbehörde
Flughafen BER

Mehr als 90 Prozent aller Online-Flugreservierungen werden von den drei größten Global Distribution Systems GDS Amadeus, Sabre, und Travelport geregelt. Und das heißt auch: bei mehr als 90 Prozent aller Online-Flugreservierungen gibt es ein Sicherheitsrisiko. Das zumindest haben die Experten von Security Research Labs in Berlin herausgefunden. Das Unternehmen kritisiert Amadeus und Co. scharf. Es sei auch für ungeübte Hacker viel zu einfach, Buchungen zu manipulieren.

Der Grund: «Heutige GDS basieren auf Technik aus den 70er- und 80er-Jahren. Sie sind inzwischen vielleicht webbasiert, aber ihnen fehlen die richtigen Sicherheitsmaßnahmen», so das Unternehmen in einer Mitteilung. Sogar die eigentlich naheliegendste Schutzmaßnahme gibt es bei den meisten Online-Flugbuchungen nicht – ein Passwort. «Während der Rest der Welt über zweite und dritte Schutzmaßnahmen nachdenkt, fehlt hier direkt die erste», prangern die Forscher an.

Risiko Buchungscode

Die Authentifizierung der Reisenden erfolgt in den meisten Fällen über den sechsstelligen Buchungscode. Er sieht immer gleich aus, verwendet werden etwa keine Spezialzeichen und nur Großbuchstaben. Er wird zwar in Kombination mit dem Nachnamen verwendet – beide Informationen stehen aber auf Gepäckanhängern, Ticket, Bordkarte. Sobald jemand einen Blick darauf werfen kann, kann er – sofern er den bösen Willen denn hat – online ganz leicht die Buchung des Passagiers ändern oder stornieren. Man kann sogar die zugehörige Mailadresse zur eigenen ändern und sich so Freiflüge erschummeln – auf Kosten anderer.

Es ist ein weiterer Grund, die Bordkarte oder andere Reiseinformationen niemals auf Facebook zu posten. aeroTELEGRAPH demonstrierte vor Kurzem im Test, wie einfach es ist, sich Zugang zu essentiellen Passagierinformationen zu verschaffen, wenn man nur ein Foto von der Bordkarte sieht.

Meilenklau möglich

Doch nicht nur das ist laut Security Research Labs ein Problem. Auch wenn es für jeden der sechsstelligen Codes fast zwei Milliarden Möglichkeiten gibt – Hacker können sie nicht allzu schwer voraussagen. Denn: Täglich werden zum Beispiel von Amadeus ein bis zwei Millionen Buchungscodes vergeben. Und das folgt einer Logik, welche die Arbeit erleichtert. Wie die Hacker «Zeit Online» verraten, ließen sich «mit überschaubarem Aufwand» alle Buchungen eines Jahres für einen Nachnamen durchsuchen – falls es denn nicht einer der häufigsten Nachnamen ist. Ein Computer schafft, so heißt es, in einer Stunde rund 100.000 Buchungen.

Auch Meilenklau ist mit der Suchtechnik möglich, wie die Hacker dem Rechercheverbund des NDR, WDR und der Süddeutschen Zeitung demonstriert haben. Hacker können bei Flugbuchungen fremder Passagiere ganz einfach eine andere Vielfliegernummer eingeben.

Mehr zum Thema

Die gepostete Bordkarte: Auf Facebook oder Twitter gibt sie wegen Codes und Strichcode vieles preis.

Warum die Bordkarte nicht auf Twitter gehört

ticker-amadeus

Amadeus integriert Emissionsdaten für Flugreisen

ticker-amadeus

Verifizierte CO₂-Angaben der Iata künftig in Amadeus integriert

Ticketkauf: Das Amadeus-System wies eine Sicherheitslücke auf.

Sicherheitslücke beim größten Buchungssystem

Video

Jetson One im Flug: Inspiriert von Star Wars schwebt das elektrische Flugmotorrad über der Erde.
In den USA wurde das erste fliegende Ein-Personen-Elektrofluggerät an einen Kunden ausgeliefert. Die Jetson One ist eine Art Rennmotorrad, mit dem man durch die Luft sausen kann.
Benjamin Recklies
Benjamin Recklies
frankfurt terminal 3 t3
Im Frühjahr 2026 will Deutschlands größter Airport sein neues Terminal in Betrieb nehmen. Jetzt plant der Flughafen Frankfurt den Probebetrieb des T3 für die Zeit von Januar bis April - und braucht dafür externe Hilfe.
Timo Nowack
Timo Nowack
Bilder von Hop-A-Jet Flug 823 nach dem Absturz: Die Flugbegleiterin rettete mit ihrem Einsatz Leben.
Im Februar 2024 stürzte eine Bombardier Challenger 604 auf eine Autobahn in den USA. Zwei Personen starben. Durch das entschlossene Handeln und die gute Ausbildung einer Flugbegleiterin überlebten die anderen.
Benjamin Recklies
Benjamin Recklies