In seinem Blog „Krebs on Security“ deckt der Journalist Brian Krebs Sicherheitslücken bei Flugtickets auf. Dabei sind viele Daten bereits mit dem bloßen Auge erkennbar: Wenn jemand eine Bordkarte aus Papier nutzt und die am Flughafen offen liegen lässt, können Dritte ohne Probleme Name, Flugnummer und Sitzplatz des Passagiers ablesen. Das stört die Passagiere normalerweise wenig. Denn mit diesen Daten können Unbefugte in der Regel wenig anfangen. Da bleibt die Bordkarte auch mal nach dem Flug achtlos auf dem Flugzeugsitz.
Dritte könnten Flüge annullieren
Doch die Bordkarte verrät viel mehr, als in Ziffern und Buchstaben darauf steht. Denn im Barcode verstecken sich noch weitere Daten: zum Beispiel die Buchungsnummer des Tickets und, sofern vorhanden, die Vielfliegernummer des Passagiers. Die kann jeder auswerten: Im Internet finden sich Webseiten, die verschiedene Barcode-Typen erkennen und analysieren können (für Papier-Bordkarten und für Smartphone-Bordkarten). Alles, was dazu benötigt wird, ist ein Foto des Codes, das der Nutzer dann zum Auslesen hochladen kann.
Mit den so gewonnen Daten kann jeder online die Reisedaten der Ticketinhaber ändern. Auf den Webseiten vieler Fluglinien reichen schon Nachname und die Buchungsnummer als Ausweis für Stornierungen und Umbuchungen. So kann es passieren, dass ein Dritter durch die Bordkarte an die Login-Daten eines Fluggastes gelangt und dessen Rückflug von der Reise annulliert, für den sich der Betroffene noch nicht eingecheckt hat.
Auch das Vielfliegerkonto lässt sich einsehen
Auch zukünftige Buchungen könnten manipuliert werden: Sicherheitsexperte Krebs berichtet in seinem Blog von einem Fall, bei dem Dritte über die Buchungsnummer auch auf das generelle Nutzerprofil eines Passagiers bei einer Fluggesellschaft zugreifen konnte, bei der er mit einer Vielfliegernummer eingetragen war. Einmal eingeloggt, konnten sämtliche Flüge der betreffenden Person eingesehen – und einzelne Verbindungen storniert werden.
Bei den meisten Fluggesellschaften gestaltet sich der Login zum Profil eines Nutzers hingegen etwas sicherer, wenn auch nicht unüberwindbar. Meist wird neben der Vielfliegernummer ein drei- bis fünfstelliger Pincode benötigt, um sich anzumelden. Diese Variante ist sicherer, denn der Zugangscode wird auf Bordkarten nicht abgebildet; ein direkter Zugriff auf das Nutzerprofil ist über die Informationen des Flugtickets also nicht möglich.
Allerdings: Gibt man auf den Login-Seiten verschiedener Fluglinien an, man habe seinen Pin vergessen, schicken nicht alle Unternehmen dem Nutzer einen neuen Pin an die von ihm hinterlegte Mailadresse zurück. Stattdessen kann sich ein Unbefugter durch die Beantwortung von Sicherheitsfragen Zutritt zum Nutzungsprofil verschaffen. Wie lautet der Mädchenname der Mutter? Wie hieß das erste Haustier? Informationen, die sich unter Umständen leicht in sozialen Netzwerken herausfinden lassen – sofern der Betroffene auch dort seine Daten nicht ausreichend geschützt hat.
Simpler Rat: Handy nutzen oder Bordkarte sichern
Bei den Fluggesellschaften sorgen die Datenlücken nicht für Kopfzerbrechen. Lufthansa-Sprecher Thomas Jachnow dementiert auf FAZ.NET-Anfrage sogar, dass über das Auslesen des Bordkarten-Codes die Buchungsnummer oder Mile-&-More-Nummer des Fluggastes eingesehen werden kann: “Nach meinem Kenntnisstand ist das nicht möglich.“ Dabei zeigen Tests von FAZ.NET, dass die Daten tatsächlich in den Barcodes stecken.
Dennoch warnt das Unternehmen Passagiere vor einem sorglosen Umgang mit dem Ticket. „Ein achtloses Wegwerfen der Bordkarte ist nicht ratsam“, sagt Jachnow. „Nach dem Flug sollte das Ticket entweder unlesbar gemacht werden oder zu Hause aufbewahrt werden.“ Die meisten Lufthansa-Kunden würden aber bereits mit digitalen Tickets auf ihren Smartphones reisen, so Jachnow.
Auch Air Berlin appelliert auf Anfrage an die Verantwortung der Passagiere. „Wir empfehlen unseren Fluggästen, insbesondere vor dem Flug sorgsam mit ihrer Bordkarte umzugehen und diese nach dem Flug sicher zu entsorgen“, so das Unternehmen. Zugleich betont Air Berlin, das die Bearbeitungsmöglichkeiten in ihrem Online-Buchungsportal begrenzt seien: „Eine Stornierung der Buchung ist auf diesem Wege nicht möglich.“
Tags:
