Was geschah: Der 'Evil-Twin'-Angriff

Der unbekannte Passagier setzte ein tragbares Gerät ein, um das offizielle WLAN-Signal des Flugzeugs zu stören und sendete dann ein betrügerisches Netzwerk mit dem Namen 'Delta WiFi Fast' aus – das so gestaltet war, dass es mit der legitimen Login-Seite von Delta identisch aussah . Bei dieser Technik handelt es sich um einen sogenannten 'Evil-Twin'-Angriff: Ein gleich aussehendes WLAN-Netzwerk, das nahe Geräte dazu verleitet, sich mit einer gefälschten Anmeldeseite zu verbinden, auf der der Angreifer die eingegebenen Zugangsdaten abgreifen kann .

Nach Angaben einer Person, die behauptet, bei der Landung anwesend gewesen zu sein, zeigte der gefälschte Hotspot eine Phishing-Seite an, die speziell darauf ausgelegt war, persönliche Zugangsdaten und Google-Login-Daten der Passagiere zu erfassen . Das Ziel des Angreifers war vermutlich der Diebstahl von Anmeldeinformationen und persönlichen Daten ahnungsloser Reisender .

Reaktion der Crew und Kommunikation der Piloten

Als die Besatzung das nicht autorisierte Netzwerk entdeckte, handelte sie schnell. Die Piloten nutzten das Aircraft Communications Addressing and Reporting System (ACARS) – ein digitales Nachrichtensystem für die textbasierte Kommunikation zwischen Flugzeug und Bodenstationen –, um die Unternehmenssicherheit von Delta zu alarmieren. Die Nachricht lautete: "HEY ALERT CORP SECURITY WE HAVE A PAX [passenger] ON THAT HAS CREATED A SCAM WIFI CALLED DELTA WIFI F…" .

Siebzehn Minuten später sendete die Crew eine Folgenachricht: "NO INFO AS OF NOW," was darauf hindeutete, dass sie noch Informationen sammelten. Sie berichteten, dass mehrere Passagiere an einer Cybersicherheitskonferenz in Las Vegas teilgenommen hätten und "in der Lage waren, unser WLAN zu stören und auszusenden…" . Die Piloten informierten auch direkt die Flugsicherung über das nicht autorisierte Netzwerk .

Als Vorsichtsmaßnahme deaktivierte die Kabinenbesatzung das legitime Bord-WLAN-System für etwa 30 Minuten .

Reaktion der Fluggesellschaft und Auswirkungen auf die Sicherheit

Delta Air Lines bestätigte, dass die Flugsicherheit zu keinem Zeitpunkt in Frage stand. Das Unternehmen erklärte, dass keine Flugzeugsysteme oder Avionik betroffen waren – der Vorfall beschränkte sich strikt auf das Passagier-Internetzwerk . Delta-Sprecher Morgan Durrant sagte gegenüber TechCrunch: "Die Flugsicherheit war zu keinem Zeitpunkt gefährdet, und keine Flugzeugsysteme waren betroffen", und fügte hinzu, dass das Bordnetz selbst nicht kompromittiert worden sei .

Nach der Landung am Hartsfield-Jackson Atlanta International Airport betraten die Behörden die Maschine und befragten Passagiere . Delta gab eine Erklärung heraus, in der es hieß: "Wir untersuchen den Vorfall gründlich, um ein vollständiges Bild der Fakten zu erhalten. Dies wird Zeit in Anspruch nehmen. Wir werden mit den Bundesbehörden und den Luftsicherheitsbehörden zusammenarbeiten, um sicherzustellen, dass der Vorfall gründlich untersucht wird" .

Wahrscheinlich verwendete Werkzeuge

Sicherheitsforscher und Berichte deuten darauf hin, dass der Angreifer wahrscheinlich eine Kombination aus zwei Techniken einsetzte: einen WLAN-Entauthentifizierungsangriff (Deauth-Angriff), um Passagiere gewaltsam vom legitimen Netzwerk zu trennen, und einen tragbaren 'Evil-Twin'-Zugangspunkt, um den gefälschten Hotspot auszusenden .

Häufig verwendete Werkzeuge, die hätten eingesetzt werden können, sind:

• Wi-Fi Pineapple – ein beliebtes Penetrationstest-Gerät, das Deauth-Angriffe durchführen und gefälschte SSIDs ausstrahlen kann.
• Laptop mit Software wie aircrack-ng, bettercap oder hostapd und einer WLAN-Karte, die den Monitor-Modus unterstützt.
• Raspberry Pi, konfiguriert als nicht autorisierter Zugangspunkt.

Beteiligte Bundesbehörden

Stand 12. August 2026 sind drei Stellen aktiv an den Ermittlungen beteiligt:

• FBI Atlanta – prüft den Vorfall und arbeitet mit Delta zusammen .
• Federal Aviation Administration (FAA) – in die Ermittlungen eingebunden .
• Deltas Unternehmenssicherheit – führt eigene interne Untersuchungen durch .

Es wurden keine Festnahmen bekannt gegeben, und die verantwortliche(n) Person(en) wurden nicht öffentlich identifiziert. Die Ermittlungen dauern an.

Wichtigste Erkenntnisse

• Keine Flugzeugsysteme waren betroffen. Der Vorfall beschränkte sich auf das Passagier-WLAN und hatte keinerlei Auswirkungen auf flugkritische Avionik .
• Die Crew handelte angemessen. Durch die Abschaltung des WLANs und die Alarmierung der Unternehmenssicherheit sowie der Flugsicherung wurde die Bedrohung eingedämmt, während die Flugsicherheit gewahrt blieb .
• Es handelte sich um einen Phishing-Versuch, nicht um einen Hackerangriff auf das Flugzeug. Das Ziel des Angreifers war es, Anmeldedaten von Passagieren zu stehlen, die sich mit dem gefälschten Netzwerk verbanden .
• Die Bundesermittlungen laufen. Das FBI, die FAA und das Sicherheitsteam von Delta arbeiten daran, die Verantwortlichen zu identifizieren .

Was geschah: Der 'Evil-Twin'-Angriff

Der unbekannte Passagier setzte ein tragbares Gerät ein, um das offizielle WLAN-Signal des Flugzeugs zu stören und sendete dann ein betrügerisches Netzwerk mit dem Namen 'Delta WiFi Fast' aus – das so gestaltet war, dass es mit der legitimen Login-Seite von Delta identisch aussah . Bei dieser Technik handelt es sich um einen sogenannten 'Evil-Twin'-Angriff: Ein gleich aussehendes WLAN-Netzwerk, das nahe Geräte dazu verleitet, sich mit einer gefälschten Anmeldeseite zu verbinden, auf der der Angreifer die eingegebenen Zugangsdaten abgreifen kann .

Nach Angaben einer Person, die behauptet, bei der Landung anwesend gewesen zu sein, zeigte der gefälschte Hotspot eine Phishing-Seite an, die speziell darauf ausgelegt war, persönliche Zugangsdaten und Google-Login-Daten der Passagiere zu erfassen . Das Ziel des Angreifers war vermutlich der Diebstahl von Anmeldeinformationen und persönlichen Daten ahnungsloser Reisender .

Reaktion der Crew und Kommunikation der Piloten

Als die Besatzung das nicht autorisierte Netzwerk entdeckte, handelte sie schnell. Die Piloten nutzten das Aircraft Communications Addressing and Reporting System (ACARS) – ein digitales Nachrichtensystem für die textbasierte Kommunikation zwischen Flugzeug und Bodenstationen –, um die Unternehmenssicherheit von Delta zu alarmieren. Die Nachricht lautete: "HEY ALERT CORP SECURITY WE HAVE A PAX [passenger] ON THAT HAS CREATED A SCAM WIFI CALLED DELTA WIFI F…" .

Siebzehn Minuten später sendete die Crew eine Folgenachricht: "NO INFO AS OF NOW," was darauf hindeutete, dass sie noch Informationen sammelten. Sie berichteten, dass mehrere Passagiere an einer Cybersicherheitskonferenz in Las Vegas teilgenommen hätten und "in der Lage waren, unser WLAN zu stören und auszusenden…" . Die Piloten informierten auch direkt die Flugsicherung über das nicht autorisierte Netzwerk .

Als Vorsichtsmaßnahme deaktivierte die Kabinenbesatzung das legitime Bord-WLAN-System für etwa 30 Minuten .

Reaktion der Fluggesellschaft und Auswirkungen auf die Sicherheit

Delta Air Lines bestätigte, dass die Flugsicherheit zu keinem Zeitpunkt in Frage stand. Das Unternehmen erklärte, dass keine Flugzeugsysteme oder Avionik betroffen waren – der Vorfall beschränkte sich strikt auf das Passagier-Internetzwerk . Delta-Sprecher Morgan Durrant sagte gegenüber TechCrunch: "Die Flugsicherheit war zu keinem Zeitpunkt gefährdet, und keine Flugzeugsysteme waren betroffen", und fügte hinzu, dass das Bordnetz selbst nicht kompromittiert worden sei .

Nach der Landung am Hartsfield-Jackson Atlanta International Airport betraten die Behörden die Maschine und befragten Passagiere . Delta gab eine Erklärung heraus, in der es hieß: "Wir untersuchen den Vorfall gründlich, um ein vollständiges Bild der Fakten zu erhalten. Dies wird Zeit in Anspruch nehmen. Wir werden mit den Bundesbehörden und den Luftsicherheitsbehörden zusammenarbeiten, um sicherzustellen, dass der Vorfall gründlich untersucht wird" .

Wahrscheinlich verwendete Werkzeuge

Sicherheitsforscher und Berichte deuten darauf hin, dass der Angreifer wahrscheinlich eine Kombination aus zwei Techniken einsetzte: einen WLAN-Entauthentifizierungsangriff (Deauth-Angriff), um Passagiere gewaltsam vom legitimen Netzwerk zu trennen, und einen tragbaren 'Evil-Twin'-Zugangspunkt, um den gefälschten Hotspot auszusenden .

Häufig verwendete Werkzeuge, die hätten eingesetzt werden können, sind:

• Wi-Fi Pineapple – ein beliebtes Penetrationstest-Gerät, das Deauth-Angriffe durchführen und gefälschte SSIDs ausstrahlen kann.
• Laptop mit Software wie aircrack-ng, bettercap oder hostapd und einer WLAN-Karte, die den Monitor-Modus unterstützt.
• Raspberry Pi, konfiguriert als nicht autorisierter Zugangspunkt.

Beteiligte Bundesbehörden

Stand 12. August 2026 sind drei Stellen aktiv an den Ermittlungen beteiligt:

• FBI Atlanta – prüft den Vorfall und arbeitet mit Delta zusammen .
• Federal Aviation Administration (FAA) – in die Ermittlungen eingebunden .
• Deltas Unternehmenssicherheit – führt eigene interne Untersuchungen durch .

Es wurden keine Festnahmen bekannt gegeben, und die verantwortliche(n) Person(en) wurden nicht öffentlich identifiziert. Die Ermittlungen dauern an.

Wichtigste Erkenntnisse

• Keine Flugzeugsysteme waren betroffen. Der Vorfall beschränkte sich auf das Passagier-WLAN und hatte keinerlei Auswirkungen auf flugkritische Avionik .
• Die Crew handelte angemessen. Durch die Abschaltung des WLANs und die Alarmierung der Unternehmenssicherheit sowie der Flugsicherung wurde die Bedrohung eingedämmt, während die Flugsicherheit gewahrt blieb .
• Es handelte sich um einen Phishing-Versuch, nicht um einen Hackerangriff auf das Flugzeug. Das Ziel des Angreifers war es, Anmeldedaten von Passagieren zu stehlen, die sich mit dem gefälschten Netzwerk verbanden .
• Die Bundesermittlungen laufen. Das FBI, die FAA und das Sicherheitsteam von Delta arbeiten daran, die Verantwortlichen zu identifizieren .