Passagierdaten-Leck: 220 Millionen Datensätze mit Passnummern

Die schnelle Antwort: Die Sicherheitsforscher von Kinryū Labs haben am 8. September 2026 einen ungesicherten Datenbank-Cluster öffentlich gemacht, der 220,8 Millionen Meldedatensätze von Fluggästen und Crewmitgliedern enthielt, darunter Name, Geburtsdatum, Staatsangehörigkeit, Reisepassnummer und komplette Flugrouten aus neun Jahren. Betroffen sein kann, wer zwischen Januar 2017 und April 2026 nach, von oder über Vietnam geflogen ist.

Was am 8. September offengelegt wurde

Der Fund stammt von den Sicherheitsforschern von Kinryū Labs, die bei einer Erhebung offen erreichbarer Datenbanken auf einen Elasticsearch-Cluster mit dem Namen pax-info stießen. Elasticsearch ist eine Suchdatenbank, wie sie viele Unternehmen für große Bestände einsetzen. Sie ist schnell und bequem, aber in der Grundeinstellung nicht auf Abschottung ausgelegt: Wer den Rechner erreicht und keine zusätzliche Absicherung vorfindet, liest den kompletten Inhalt wie ein Inhaltsverzeichnis. Genau das war hier möglich. Die Forscher berichten von zwei Fehlkonfigurationen, die zusammen die Tür öffneten: Der direkte Weg aus dem Internet wies Anfragen zwar mit einer Fehlermeldung ab, ein zweiter, über einen Cloud-Dienst geführter Pfad akzeptierte jedoch Standard-Zugangsdaten, also die ab Werk vergebene Kombination, die beim Einrichten geändert werden soll und es hier offenbar nicht wurde.

Der Umfang ist auch für einen Vorfall dieser Größenordnung ungewöhnlich präzise dokumentiert. In 29 Indizes und rund 107 Gigabyte lagen nach Angaben der Forscher 210.318.069 Datensätze von Passagieren und 10.465.631 von Crewmitgliedern, zusammen 220.783.700 Einträge. Der Bestand reicht von Januar 2017 bis April 2026, umfasst also neun Jahre internationalen Luftverkehrs. Die Erstveröffentlichung bei BleepingComputer vom 8. September 2026 nennt Fluggesellschaften aus dem asiatisch-pazifischen Raum, aus Europa und dem Nahen Osten; in Stichproben fanden sich Reisende mit koreanischer, chinesischer, kanadischer und neuseeländischer Staatsangehörigkeit.

Die Adressen des Rechners lagen im Netzbereich eines staatlichen vietnamesischen Telekommunikationsunternehmens in Hanoi. Mehr als diese Verortung ist bislang nicht belegt. Wer die Datenbank betrieben hat, ist offen: Nach den vorliegenden Berichten hat sich keine Organisation dazu bekannt, obwohl die Forscher ihren Fund ab dem 3. Juni 2026 an vietnamesische Stellen, an betroffene Fluggesellschaften und an nationale Notfallteams gemeldet hatten. Das Sicherheitsteam von Singapore Airlines soll bei der Koordination geholfen haben. Am 8. Juni 2026 war der Zugang geschlossen, veröffentlicht wurde der Fall erst drei Monate später.

Eine Einordnung gehört an dieser Stelle dazu, weil sie in vielen Kurzmeldungen fehlt. Die Forscher fanden nach eigener Darstellung keine Erpresserbotschaften und keine fremden Datenbereiche, also keine Spuren, die auf einen Angreifer hindeuten würden. Zugleich lagen ihnen keine Server-Protokolle vor. Damit lässt sich schlicht nicht feststellen, ob jemand den Bestand vor der Schließung kopiert hat. Belegt ist die Erreichbarkeit, nicht der Diebstahl. Beunruhigend bleibt dennoch ein Detail aus der Chronologie: Die Suchmaschine FOFA, die offene Systeme im Netz indexiert, hatte den Rechner bereits im Oktober 2022 erfasst und ab Juli 2023 als Datenbank erkannt. Über die Frage, wie lange dieser Zustand tatsächlich bestand, sagt das mehr aus als die fünf Tage zwischen Meldung und Schließung.

Bin ich betroffen? Die Prüfung läuft über Ihre Reisehistorie

Es gibt keine Abfrageseite und keine Betroffenenliste, und es wird voraussichtlich auch keine geben, solange sich niemand als verantwortliche Stelle bekennt. Das klingt zunächst nach einer Sackgasse, ist aber in diesem Fall weniger schlimm als bei einem Datenleck aus einem Kundenkonto. Der Grund liegt im Meldeformat selbst: APIS-Daten entstehen ausschließlich bei internationalen Flügen mit einem klar benennbaren Ziel- oder Transitland. Sie können Ihre Betroffenheit deshalb erstaunlich genau selbst eingrenzen, ohne auf eine Bestätigung angewiesen zu sein.

Für den deutschsprachigen Raum ist die dritte Frage die unangenehmste. Vietnam wird aus Deutschland regelmäßig direkt angeflogen, es ist ein etabliertes Fernreiseziel, und in Deutschland lebt zudem die größte vietnamesische Gemeinschaft Europas, für die Heimatflüge zum Alltag gehören. Neun Jahrgänge solcher Flüge ergeben eine erhebliche Zahl an Reisenden aus Deutschland, Österreich und der Schweiz. Eine belastbare Aufschlüsselung nach Staatsangehörigkeit liegt allerdings nicht vor, und sie wird von uns auch nicht geschätzt: Die Forscher haben Stichproben veröffentlicht, keine Länderstatistik. Dauerhafte Überwachung Ihrer Kontaktdaten einrichten, damit Sie nicht auf eine Betroffenenliste warten müssen, die es hier nicht geben wird.

Welche Daten offenlagen und welches Risiko daraus folgt

"Passagierdaten" klingt nach Buchungsunterlagen. Das Meldeformat ist aber etwas anderes und in mancher Hinsicht heikler, weil es die amtliche Identität mit der Bewegung verknüpft. Vier Blöcke sind zu unterscheiden, und jeder öffnet eine eigene Tür.

• Reisepassnummer, Ablaufdatum und ausstellender Staat: Das ist der schwerste Posten. Diese Kombination dient in vielen Verfahren als Echtheitsnachweis, etwa bei Hotelanmeldungen, Mietwagen, Visa-Anträgen und der Identitätsprüfung mancher Finanzdienste. Anders als ein Passwort können Sie sie nicht wechseln. Sie verfällt erst mit dem Dokument, und ein 2019 ausgestellter deutscher Reisepass ist bis 2029 gültig. Damit ist dieser Datensatz potenziell noch jahrelang brauchbar, während gestohlene Zugangsdaten binnen Minuten wertlos werden können.
• Name, Geburtsdatum, Geschlecht und Staatsangehörigkeit: Für sich genommen sind das keine Geheimnisse. Zusammen mit der Dokumentennummer ergeben sie jedoch ein vollständiges Identitätsprofil in genau der Form, die Prüfsysteme erwarten. Das Geburtsdatum ist dabei der stille Verstärker: Es ist bei sehr vielen Anbietern noch immer die Rückfrage, mit der eine Identität am Telefon oder im Chat bestätigt wird. Wer es kennt, kommt an Servicehotlines erschreckend weit.
• Vollständige Reiseroute mit Flugnummer, Flughäfen, Transit und Sitzplatz: Dieser Block wird regelmäßig unterschätzt, weil er niemandem direkt Geld einbringt. Sein Wert liegt in der Glaubwürdigkeit. Eine Nachricht, die Ihren echten Flug, das richtige Datum und die tatsächliche Sitzplatznummer nennt, wirkt zwingend wie eine echte Nachricht der Airline. Genau diese Detailtreue unterscheidet gezieltes Spear-Phishing, also den maßgeschneiderten Betrugsversuch, von der Massenmail, die jeder erkennt.
• Zeitstempel und Bewegungsmuster über neun Jahre: Aus geplanten, geschätzten und tatsächlichen Flugzeiten lässt sich ablesen, wann eine Person wie oft wohin reist. Das ist im Privaten ein Eingriff in die Lebensgestaltung und für bestimmte Berufsgruppen ein echtes Sicherheitsproblem. Dass 10,5 Millionen Datensätze von Crewmitgliedern stammen, gehört ebenfalls in diese Kategorie: Bei ihnen ergibt sich aus dem Bestand ein regelrechter Dienstplan der vergangenen Jahre.

Wie wirksam Reisedaten in der Hand von Betrügern sind, hat sich im Sommer schon einmal gezeigt, damals allerdings auf dem kurzen Weg über die Buchung selbst. Wie Kriminelle mit echten Aufenthaltsdaten im Namen der Unterkunft schreiben und woran Sie solche Nachrichten erkennen, steht in unserer Analyse zum Hotel-Datenleck vom Juli 2026 und den Betrugsmails im Namen Ihres Hotels. Der Mechanismus ist derselbe, nur dass hier nicht die Übernachtung, sondern die Ausweisnummer die Beglaubigung liefert.

Warum niemand Sie über diesen Vorfall informieren wird

Bei einem Datenleck in Europa folgt auf die Entdeckung ein festes Verfahren: Der Verantwortliche meldet den Vorfall binnen 72 Stunden der Aufsichtsbehörde und benachrichtigt bei hohem Risiko die Betroffenen unmittelbar. Dieses Verfahren setzt voraus, dass es einen Verantwortlichen gibt, also eine Stelle, die über Zweck und Mittel der Verarbeitung entscheidet. Genau daran scheitert es hier. Der Rechner stand im Adressbereich eines vietnamesischen Netzbetreibers, aber ein Betreiber der Datenbank hat sich nach den vorliegenden Berichten nicht zu erkennen gegeben. Ohne benannte Stelle läuft keine Frist, und es existiert keine Adresse, an die sich eine europäische Aufsichtsbehörde wenden könnte.

Für Sie hat das eine unbequeme praktische Folge: Das Ausbleiben einer Nachricht ist in diesem Fall keine Entwarnung, sondern der zu erwartende Normalzustand. Wie das Verfahren aussieht, wenn ein Unternehmen tatsächlich in der Pflicht steht, welche Fristen dann gelten und was in einer solchen Benachrichtigung stehen muss, erklärt unser Beitrag zur Meldepflicht bei Datenpannen nach Art. 33 und 34 DSGVO. Der Vergleich lohnt sich, weil er zeigt, wie viel Schutz an einer einzigen Voraussetzung hängt, nämlich daran, dass überhaupt jemand greifbar ist.

Erwähnenswert ist der Hintergrund der Datenübermittlung selbst, weil er die verbreitete Frage "Warum gibt meine Airline so etwas heraus?" auflöst. APIS steht für Advance Passenger Information System. Fluggesellschaften sind gesetzlich verpflichtet, vor Start und Landung die Ausweisdaten aller an Bord befindlichen Personen an die Grenzbehörden des Ziellandes zu übermitteln, damit dort vor der Ankunft geprüft werden kann. Fast jeder Staat verlangt das für internationale Flüge. Der entscheidende Punkt für Ihre Einordnung: In dem Moment, in dem diese Daten übermittelt sind, liegen sie in staatlichen oder staatsnahen Systemen eines anderen Landes, und über deren Absicherung entscheidet weder die Airline noch die europäische Aufsicht.

Was Sie jetzt konkret tun sollten

Die folgenden Schritte sind bewusst anders sortiert als bei einem Passwort-Leck. Weil Sie den wichtigsten Datensatz nicht zurücksetzen können, verlagert sich das Gewicht von der schnellen Reparatur auf das dauerhafte Erkennen von Missbrauch.

• Schritt 1, die Gültigkeit Ihres Passes nachsehen: Holen Sie das Dokument hervor und prüfen Sie, ob es der Pass ist, mit dem Sie damals geflogen sind, und wie lange er noch gültig ist. Läuft er ohnehin in absehbarer Zeit ab, erledigt sich der Kern des Problems mit der nächsten Neuausstellung, denn der neue Pass trägt eine neue Nummer. Ist er noch Jahre gültig, wissen Sie zumindest genau, über welchen Zeitraum Sie aufmerksam bleiben sollten.
• Schritt 2, den falschen Reflex vermeiden: Melden Sie den Pass nicht als verloren, um die Nummer "sperren" zu lassen. Eine Verlust- oder Diebstahlanzeige für ein Dokument, das Sie noch besitzen, wäre eine falsche Angabe gegenüber der Behörde, und die Eintragung in den Fahndungsbestand hätte für Sie vor allem Ärger an der nächsten Grenzkontrolle zur Folge. Eine Sperrung der reinen Nummer bei fortbestehendem Besitz sieht das Verfahren nicht vor.
• Schritt 3, die Beweislast umdrehen: Behandeln Sie ab sofort jede Nachricht, die Ihre Reisedaten oder Ihre Passnummer nennt, als verdächtiger, nicht als glaubwürdiger. Das ist der wichtigste Punkt in diesem Artikel. Typische Aufhänger sind angebliche Visa-Nachforderungen, Entschädigungen für alte Flüge, Gepäckreklamationen und Aufforderungen, "zur Bestätigung" ein Passfoto hochzuladen. Rufen Sie im Zweifel über die offizielle Nummer des Anbieters zurück, niemals über eine Nummer aus der Nachricht.
• Schritt 4, keine Ausweiskopien nachreichen: Wer Ihre Passnummer bereits kennt, braucht als nächstes das Bild der Datenseite, denn erst damit lässt sich ein Dokument gegenüber Dritten überzeugend vortäuschen. Geben Sie Ausweiskopien nur dort heraus, wo es einen gesetzlichen Grund gibt, und niemals als Reaktion auf eine unaufgeforderte Nachricht. Das BSI beschreibt unter Identitätsdiebstahl, wie aus solchen Bausteinen im Namen anderer Verträge und Konten entstehen.
• Schritt 5, auf Verträge achten, die Sie nie geschlossen haben: Missbrauch amtlicher Identitätsdaten zeigt sich selten sofort und selten dort, wo man sucht. Er zeigt sich in Rechnungen, Mahnungen oder Inkassoschreiben für Leistungen, die Sie nicht bestellt haben. Reagieren Sie auf solche Post sofort schriftlich und widersprechen Sie, statt sie als Irrläufer abzulegen. Eine jährliche Selbstauskunft nach Art. 15 DSGVO bei den großen Auskunfteien gibt Ihnen zusätzlich einen Überblick, ob auf Ihren Namen Verträge geführt werden, von denen Sie nichts wissen.

Diese fünf Schritte bestimmen, wie Sie mit dem Vorfall umgehen. Sie ändern nichts daran, dass Ihr Name mit Geburtsdatum und Anschrift ohnehin bei kommerziellen Datenhändlern zusammenläuft und dort mit jedem weiteren Fund verknüpft wird. Genau an dieser Verknüpfung setzen wir an: Anstatt nur die Folgen eines einzelnen Vorfalls abzuräumen, nutzen wir den Hebel des Art. 17 DSGVO und fordern die Löschung Ihrer Bestände bei über 100 Brokern an. Löschanfragen anstoßen und Frühwarnung gemeinsam aktivieren.

Häufige Fragen zum Passagierdaten-Leck

Warum eine einmalige Prüfung hier zu wenig ist

Ob dieser Bestand kopiert wurde, weiß bis heute niemand, und selbst wenn er kopiert wurde, tauchen solche Daten in aller Regel nicht sofort im Darknet auf. Sie werden zunächst im kleinen Kreis gehandelt und erst Wochen oder Monate später breit verkauft oder als Sammlung veröffentlicht. Wer heute einmal prüft und nichts findet, kann deshalb längst betroffen sein, ohne es zu wissen, und bei diesem Vorfall kommt erschwerend hinzu, dass keine Stelle Sie je benachrichtigen wird. Unser Darknet-Radar beobachtet Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sich, sobald sie infolge eines Hacks oder einer Datenpanne dort auftaucht oder gehandelt wird, also in dem Moment, in dem die Daten tatsächlich kursieren, und nicht erst, wenn im Ausland ein Vertrag auf Ihren Namen läuft. Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie von einem Vorfall betroffen, weisen wir Sie auf passende Sammel- oder Musterklagen und auf mögliche Ansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber der verantwortlichen Stelle wahrnehmen können. Wir informieren dabei über laufende Verfahren und leisten keine eigene Rechtsberatung. Der Unterschied zum kostenlosen Check bleibt wichtig: Er zeigt Ihnen, was heute bereits veröffentlicht ist. Das dauerhafte Monitoring ist das, was Sie erreicht, wenn später etwas auftaucht.