Schon wieder eine Meldung über persönliche Daten. Japan Airlines (JAL) und Japan Transocean Air (JTA) teilten am 28. Oktober 2026 mit, dass es Hinweise auf externe Zugriffe auf Buchungsdaten von rund 92.000 Kunden gibt. Betroffen war ein System des IT-Dienstleisters Amadeus, nicht einfach eine Reihe unvorsichtiger Passagierkonten. Man kann die Haustür perfekt abschließen, aber auch das Lager für abgegebene Koffer muss sicher sein.
Welche Angaben könnten eingesehen worden sein?
Bei etwa 90.000 Personen geht es um Buchungscode, Namen, Flugdatum, Strecke und Reiseklasse. Bei weiteren rund 2.000 könnten auch E-Mail-Adressen, Telefonnummern, Passnummern, Staatsangehörigkeit, Vielfliegernummern sowie Ticket- und Sitzplatzdaten betroffen sein. Die Fluggesellschaften betonen, dass keine Kreditkartennummern oder Passwörter kompromittiert wurden. Zum Zeitpunkt der Meldung war kein Missbrauch bestätigt; der Flugbetrieb blieb unbeeinträchtigt.
Das schwache Glied beim Dienstleister
Amadeus IT Group stellt Systeme für Buchung, Ticketverkauf und Check-in bereit. Die Airlines erhielten den Bericht am 23. Oktober und veröffentlichten ihn am 28. Oktober. Starke Passwörter und Mehrfaktor-Authentifizierung helfen weiterhin, doch ein Fluggast kann nicht die Datenbank eines Partners selbst sichern. Das ist, als würde man eine Prüfung fehlerfrei schreiben, während das Ergebnis davon abhängt, ob ein anderes Gebäude die Unterlagen gut verwahrt.
Waren Angreifer drei Jahre lang ununterbrochen drin?
Das ist nicht belegt. Der Zeitraum vom 10. August 2023 bis 23. September 2026 betrifft Buchungsaufzeichnungen mit Spuren eines externen Zugriffs. Er beweist weder durchgängige Aktivität noch, dass alle Passagiere dieser Zeit betroffen sind. Die Methode des Angriffs und ein möglicher Datenverkauf wurden ebenfalls nicht bestätigt. Die Tatsachen sind ernst genug, ohne zusätzliche Horrorfolgen zu erfinden.
Was können Reisende tun?
JAL und JTA wollen Betroffene individuell informieren und ab dem 29. Oktober eine spezielle Anlaufstelle anbieten. Vorsicht bei Nachrichten, die Flugdaten kennen und zu sofortigem Login per Link drängen. Die offizielle Website lieber selbst aufrufen und verdächtigen Anrufern keine Buchungs- oder Passdaten nennen. Die Meldung bedeutet nicht, dass jeder sofort einen neuen Reisepass braucht.
Karten kann man ersetzen, Passwörter ändern, aber Identität und Reisehistorie haben keinen Resetknopf. Gebucht war ein Flugticket, kein One-Way-Ticket für persönliche Daten. Datenschutz muss Dienstleister einbeziehen und Missbrauch nach einem Vorfall erschweren.
Quelle: Offizielle Mitteilung von JAL und JTA, 28. Oktober 2026.
