„pax-info“: 220,8 Millionen Passagier- und Crewdatensätze waren offenbar zugänglich

Ein offengelegtes Reisedatensystem kann auch ohne Passwörter gravierende Folgen haben. Sicherheitsforscher von Kinryū Labs fanden nach Medienberichten am 3. Juni 2026 einen Vietnam-verbundenen Elasticsearch-Cluster mit dem Namen pax-info. Er soll 220,8 Millionen Datensätze aus einem Advance Passenger Information System (APIS) enthalten haben. Der Cluster sei über einen alternativen cloudbasierten Zugangsweg erreichbar gewesen und habe Standard-Zugangsdaten akzeptiert. 259

Was über die Datenbank bekannt ist

Der Datenbestand umfasste laut Berichten 220.783.700 Einträge in 29 Indizes mit rund 107 GB Daten: 210.318.069 Passagier- und 10.465.631 Crew-Einträge. Das ist keine Zahl eindeutiger Personen. Vielfliegerinnen, Vielflieger und Crewmitglieder können mehrfach erfasst sein. Die Daten reichten von Januar 2017 bis April 2026. 9

APIS-Systeme übermitteln Identitäts- und Flugdaten von Passagieren und Besatzungen vor internationalen Reisen an zuständige Grenzbehörden. Die fraglichen Einträge betrafen offenbar Personen, die nach Vietnam, aus Vietnam oder über Vietnam reisten. Betroffen sein könnten somit Menschen vieler Nationalitäten – nicht nur vietnamesische Staatsangehörige. 212

Welche Informationen offengelegt worden sein sollen

Zu den berichteten Feldern gehörten:

• vollständige Namen, Geburtsdaten, Geschlecht und Staatsangehörigkeit,
• Pass- oder Reisedokumentnummern, Ausstellungsstaaten und Ablaufdaten,
• Flugnummern und Reisedaten, Angaben zur Airline sowie Abflug-, Ziel- und Transitflughäfen,
• Sitzplätze, Status als Passagier oder Crewmitglied, Gepäckreferenzen sowie planmäßige, geschätzte und tatsächliche Reisezeiten. 617

Diese Kombination ist deutlich sensibler als ein bloßes Kontaktadressen-Leck. Mit Passnummer und Geburtsdatum können Kriminelle überzeugend als Airline oder Reisebehörde auftreten. Reale Angaben zu Strecke, Flug, Sitzplatz oder Abflugzeit machen eine betrügerische Nachricht besonders glaubwürdig.

Wie der Zugriff möglich gewesen sein soll

Die Schilderungen deuten auf eine Kette von Konfigurationsfehlern hin, nicht auf einen Angriff auf ein einzelnes Reisekonto. Der Elasticsearch-Cluster sei nicht unmittelbar aus dem offenen Internet erreichbar gewesen, doch ein alternativer cloudbasierter Pfad habe Zugriff ermöglicht. Über diesen Weg hätten die Forscher festgestellt, dass Standard-Zugangsdaten akzeptiert wurden. 5

Kinryū Labs stieß demnach bei Recherchen zu ungeschützten Datenbanken im Umfeld von Ransomware-Aktivitäten auf den Cluster. Später wurde die Datenbank laut Berichten gesperrt oder war nicht mehr erreichbar. 25

Öffentlich nicht abschließend geklärt sind allerdings der Betreiber der Datenbank, der konkrete Cloudanbieter, der datenschutzrechtlich Verantwortliche und die Quellsysteme der Datensätze. Eine Vietnam zugeordnete Netzwerkadresse beweist nicht, dass eine bestimmte vietnamesische Airline, ein Flughafen, eine Grenzbehörde oder eine staatliche Stelle Eigentümer oder Betreiber war. 46

Wer möglicherweise betroffen ist

Die verfügbaren Berichte erlauben eine breite, aber begrenzte Einordnung: Erfasst worden sein könnten internationale Passagiere und Crewmitglieder, die im genannten Zeitraum nach, aus oder über Vietnam gereist sind. 212

Nicht belegt sind bislang:

• eine vollständige Aufschlüsselung nach Nationalitäten oder Ländern,
• eine verifizierte Liste betroffener Fluggesellschaften,
• eine belastbare Zahl individueller Personen,
• die Organisationen, die Daten geliefert, kontrolliert oder verarbeitet haben.

Es wäre deshalb voreilig, einer namentlich genannten Airline oder Behörde allein wegen eines möglicherweise enthaltenen Flugcodes Verantwortung zuzuschreiben.

Wurden Daten gestohlen oder missbraucht?

Während die Datenbank erreichbar war, hätten Unbefugte die Einträge möglicherweise einsehen oder kopieren können. Bereits diese Möglichkeit stellt einen schwerwiegenden Vertraulichkeitsvorfall dar.

Die hier zitierten öffentlichen Berichte liefern jedoch keinen Nachweis für einen bestätigten böswilligen Download, einen Verkauf in kriminellen Foren, einen Ransomware-Vorfall oder Passbetrug, der gerade dieser Datenbank zugeordnet werden kann. 5 Ebenso fehlt eine öffentlich und unabhängig überprüfbare Darstellung dazu, wie lange der Cluster zugänglich war, ob Zugriffsprotokolle Besucher identifizieren könnten und ob jeder Eintrag aktuell und authentisch war.

Die vorsichtige Schlussfolgerung lautet daher: Es gibt keinen öffentlich berichteten Beleg für einen Diebstahl – aber auch keinen Beweis dafür, dass keine Kopie angefertigt wurde.

Warum die Daten auch ohne Passwörter ein Betrugsrisiko darstellen

Passwörter wurden in den berichteten Datenfeldern nicht genannt. Das senkt das unmittelbare Risiko von Passwortzurücksetzungen oder klassischen Credential-Stuffing-Angriffen. Für Social Engineering bleibt der Bestand dennoch äußerst wertvoll.

Wer Name, Passdaten, Flugnummer, Route, Sitzplatz, Gepäckreferenz und Reisezeit kennt, könnte etwa eine gefälschte Nachricht versenden zu:

• einer Flugänderung oder Annullierung,
• angeblichen Gepäckgebühren oder Entschädigungen,
• einer „Überprüfung“ durch Visa- oder Einwanderungsstellen,
• einem Hinweis zu einem Vielfliegerkonto,
• einer angeblich nötigen erneuten Bestätigung von Passdaten vor dem Abflug.

Reisezeiten berühren zudem die Privatsphäre: Sie können verraten, wann jemand voraussichtlich unterwegs oder nicht zu Hause ist. Besonders heikel kann das für Crewmitglieder, Vielreisende und Personen mit erhöhtem persönlichem Schutzbedarf sein.

Was Reisende jetzt tun können

Wer zwischen Januar 2017 und April 2026 nach, aus oder über Vietnam gereist ist, sollte unerwartete Nachrichten rund um Flugreisen besonders kritisch prüfen.

1. Nicht auf Links in unerwarteten Nachrichten von Airlines, Gepäckdiensten, Visa- oder Einwanderungsstellen klicken. Stattdessen die offizielle App öffnen oder die bekannte Webadresse selbst eingeben.
2. Flugänderungen unabhängig kontrollieren. Buchungen ausschließlich über offizielle Kanäle der Airline prüfen, bevor Gebühren gezahlt oder Passdaten übermittelt werden.
3. Vielfliegerkonten absichern. Ein eigenes, starkes Passwort verwenden und, falls angeboten, Zwei-Faktor-Authentifizierung aktivieren.
4. Keine Passkopien oder Dokumentdaten auf Aufforderung „bestätigen“. Airline, Reisebüro oder Behörde über eine verifizierte Kontaktmöglichkeit selbst kontaktieren.
5. Ungewöhnliche Vorgänge rund um Reisedokumente ernst nehmen. Bei Verdacht auf Passmissbrauch oder Identitätsbetrug die ausstellende Passbehörde oder zuständige lokale Stelle einschalten.

Mögliche rechtliche Folgen hängen von Betreiber und Zuständigkeit ab

Aus der bisherigen Berichterstattung lässt sich keine Verantwortung ableiten, weil Betreiber und Rollen bei der Datenverarbeitung nicht verifiziert sind.

Nach Vietnams Dekret 13/2023/ND-CP muss ein Verantwortlicher oder gemeinsam Verantwortlicher/Auftragsverarbeiter, der einen Verstoß gegen Vorschriften zum Schutz personenbezogener Daten feststellt, die zuständige Cybersicherheitsstelle des Ministeriums für öffentliche Sicherheit binnen 72 Stunden benachrichtigen; bei einer verspäteten Meldung sind Gründe anzugeben. Ob und wie dies hier greift, hängt von der verantwortlichen Stelle und weiteren nicht öffentlichen Tatsachen ab. 2933

Auch Pflichten nach der Datenschutz-Grundverordnung (DSGVO) können entstehen, falls ein relevanter Verantwortlicher oder Auftragsverarbeiter in ihren räumlichen Anwendungsbereich fällt. Nach Artikel 33 DSGVO muss der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden – es sei denn, das Risiko für Rechte und Freiheiten betroffener Personen ist voraussichtlich gering. 43

Fest steht derzeit vor allem: Ein großer Bestand an passbezogenen Reisedaten war Berichten zufolge wegen vermeidbarer Fehler bei der Zugriffskontrolle erreichbar. Wer ihn betrieb, wer darauf zugriff und ob Daten kopiert wurden, sind Fragen von mindestens ebenso großer Bedeutung wie die Zahl der Datensätze.