220 Millionen Reisende betroffen: Was der APIS-Datenleck über unsere Datensicherheit verrät

Veröffentlicht am 08. September 2026 | Kategorie: Datenschutz, NIS2, Kritische Infrastruktur

Ein Datenleck mit weltweiten Folgen – auch für Deutschland

Ein massiver Datenschutzvorfall erschüttert die internationale Reiseindustrie: Ein offen zugängliches Advance Passenger Information System (APIS) – ein System zur Voraberfassung von Fluggastdaten – hat offenbar über 220 Millionen Passagier- und Besatzungsdatensätze aus dem Zeitraum 2017 bis 2026 ungeschützt im Netz hinterlassen. Sicherheitsforscher konnten auf die Datenbank zugreifen, die einem vietnamesischen Betreiber zugeordnet wird, indem sie schlicht Standard-Zugangsdaten für einen cloudbasierten Zugang verwendeten – ohne Hacking, ohne aufwendige Exploit-Ketten.

Was steckt in diesen Daten? Namen, Passnummern, Geburtsdaten, Staatsangehörigkeiten und detaillierte Fluginformationen. Für jeden einzelnen Betroffenen ein potenziell lebensgefährlicher Mix, der Identitätsdiebstahl, gezielte Phishing-Angriffe und im schlimmsten Fall politische Verfolgung ermöglichen kann.

Für deutsche IT-Verantwortliche und Geschäftsführer ist dieser Vorfall aus mehreren Gründen höchst relevant: Er zeigt exemplarisch, wie mangelnde Basishygiene bei Cloud-Systemen zu katastrophalen Datenpannen führt – und welche Pflichten im Rahmen der NIS2-Richtlinie und der DSGVO entstehen, wenn solche Daten in deutschen Unternehmen oder bei deutschen Partnern verarbeitet werden.

Technischer Hintergrund: Was ist APIS – und was lief hier schief?

Advance Passenger Information Systems im Überblick

APIS-Systeme sind keine Nischenanwendungen. Sie werden weltweit von Fluggesellschaften und Behörden eingesetzt, um Passagierdaten vor dem Abflug an Grenzbehörden zu übermitteln. Die rechtliche Grundlage in der EU bildet unter anderem die EU-PNR-Richtlinie (2016/681/EU), die eine strukturierte Weitergabe von Fluggastdaten zur Terrorismusbekämpfung und Strafverfolgung regelt.

Diese Systeme verarbeiten hochsensible personenbezogene Daten der Kategorie „besonders schutzbedürftig" – und sind damit sowohl nach DSGVO-Maßstäben als auch nach NIS2 als kritisch einzustufen.

Der eigentliche Skandal: Default Credentials

Was die Sicherheitsforscher entdeckt haben, ist erschreckend banal: Die Datenbank war über einen cloud-basierten Zugang mit Standard-Zugangsdaten erreichbar. Das bedeutet: Jemand hat beim Deployment des Systems vergessen – oder sich schlicht nicht die Mühe gemacht –, die voreingestellten Benutzernamen und Passwörter zu ändern.

Dieser Fehler gehört zu den OWASP Top 10 und ist seit Jahrzehnten bekannt. Er taucht dennoch immer wieder bei schwerwiegenden Vorfällen auf, weil:

• Cloud-Deployments oft unter Zeitdruck stattfinden
• Sicherheitschecks als nachgelagerter Schritt behandelt werden
• Verantwortlichkeiten zwischen Betreiber und Cloud-Anbieter unklar sind
• Automatisierte Schwachstellenscans in der Praxis fehlen

Das Ergebnis: 220 Millionen Datensätze, frei zugänglich für jeden mit einem Browser und ein wenig Neugier.

NIS2-Relevanz: Was bedeutet das für deutsche Unternehmen?

Wer ist betroffen?

Auch wenn der Vorfall in Vietnam verortet wird, sind die Auswirkungen auf Deutschland direkt spürbar. Folgende Akteure sollten aufhorchen:

Die NIS2-Richtlinie, in Deutschland umgesetzt durch das NIS2UmsuCG (NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz), verpflichtet Betreiber wesentlicher und wichtiger Einrichtungen zu:

1. Technischen und organisatorischen Maßnahmen nach dem Stand der Technik (§ 30 BSIG-neu)
2. Meldepflichten bei erheblichen Sicherheitsvorfällen an das BSI – innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (detaillierte Folgemeldung)
3. Risikomanagement entlang der gesamten Lieferkette, inklusive Cloud-Dienstleister

DSGVO und Meldepflichten

Parallel zur NIS2 greifen die Pflichten der DSGVO (Art. 33 und 34): Bei einem Datenschutzvorfall mit Risiko für die Rechte und Freiheiten natürlicher Personen muss die zuständige Datenschutzbehörde (in Deutschland je nach Bundesland die jeweilige Landesbehörde oder der BfDI) innerhalb von 72 Stunden informiert werden.

Verarbeitet ein deutsches Unternehmen APIS-Daten über einen externen Dienstleister, der von einem solchen Vorfall betroffen ist, trifft die Meldepflicht das verantwortliche Unternehmen – nicht nur den Dienstleister. Auftragsverarbeitungsverträge (AVV) müssen daher klare Regelungen zur Incident-Meldung enthalten.

BSI-Empfehlung: Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt in seinem IT-Grundschutz-Kompendium explizit, für Cloud-Deployments eine Security-Baseline zu definieren, die Standard-Credentials kategorisch ausschließt (vgl. OPS.1.2.5 Cloud-Nutzung).

Praktische Schutzmaßnahmen: Was Sie jetzt tun sollten

Der APIS-Vorfall ist kein Einzelfall – er ist ein Symptom systemischer Schwächen in der IT-Sicherheitspraxis. Die folgenden fünf Maßnahmen helfen dabei, ähnliche Vorfälle in Ihrem Unternehmen zu verhindern:

1. 🔑 Sofortiger Audit aller Standard-Zugangsdaten

Führen Sie ein vollständiges Inventar aller Systeme durch und prüfen Sie, ob noch Default Credentials im Einsatz sind. Tools wie Shodan, interne Vulnerability-Scanner (z. B. Tenable, Qualys) oder spezialisierte Pentests helfen dabei, exponierte Systeme zu identifizieren. Legen Sie verbindlich fest: Kein System geht ohne geänderte Zugangsdaten in Produktion.

2. ☁️ Cloud Security Posture Management (CSPM) einführen

Cloud-Umgebungen erfordern kontinuierliches Monitoring. Ein CSPM-Tool (z. B. Microsoft Defender for Cloud, Wiz, Prisma Cloud) erkennt Fehlkonfigurationen automatisch – darunter offene Storage Buckets, fehlende Verschlüsselung und – ja – Standard-Passwörter. Der Einsatz solcher Werkzeuge ist inzwischen als Stand der Technik im Sinne von NIS2 zu werten.

3. 📋 Lieferkettenrisiken systematisch bewerten

Wer APIS-Daten oder ähnliche sensible Reisedaten über externe Anbieter verarbeitet, muss diese Drittparteien regelmäßig auditieren. Fordern Sie Nachweise über Sicherheitszertifizierungen (ISO 27001, SOC 2), führen Sie eigene Risikoanalysen durch und verankern Sie Sicherheitsanforderungen vertraglich – gemäß § 30 Abs. 2 Nr. 4 BSIG-neu (Sicherheit der Lieferkette).

4. 🔔 Meldeprozesse für Sicherheitsvorfälle etablieren

Stellen Sie sicher, dass Ihr Unternehmen auf Meldepflichten vorbereitet ist. Das bedeutet konkret:
- Klare Eskalationswege intern definieren
- Kontaktdaten des BSI-Meldeportals (https://www.bsi.bund.de) hinterlegt haben
- AVV-Verträge mit Cloud-Dienstleistern auf Meldeklauseln prüfen
- Regelmäßige Tabletop-Übungen für den Ernstfall durchführen

5. 🛡️ Datensparsamkeit und Verschlüsselung als Pflichtstandard

Fragen Sie sich: Welche Daten benötigen Sie wirklich? Daten, die nicht existieren, können nicht gestohlen werden. Ergänzend gilt: Alle personenbezogenen Daten – besonders Reisedaten, Passnummern, biometrische Informationen – müssen verschlüsselt gespeichert und übertragen werden. AES-256 für Daten im Ruhezustand und TLS 1.3 für Daten in Übertragung sind heute der Mindeststandard.

Bonus: 🔍 Regelmäßige Penetrationstests

Beauftragen Sie mindestens jährlich externe Penetrationstests für kritische Systeme. NIS2 verlangt zwar keine explizite Pentesting-Frequenz, aber Artikel 21 der Richtlinie fordert ausdrücklich die Bewertung der Wirksamkeit von Sicherheitsmaßnahmen – und externe Angriffssimulationen sind dafür das effektivste Instrument.

Fazit: Banalität als Bedrohung

Der APIS-Datenleck ist ein Weckruf – nicht wegen seiner technischen Sophistikation, sondern gerade wegen deren vollständigem Fehlen. Standard-Zugangsdaten. Ein Cloud-System. 220 Millionen Datensätze. Keine ausgeklügelten Angriffswerkzeuge nötig.

Das ist die eigentliche Botschaft dieses Vorfalls: Die größten Risiken entstehen oft nicht durch hochentwickelte Bedrohungsakteure, sondern durch vermeidbare Konfigurationsfehler. Für deutsche Unternehmen, die unter NIS2 fallen oder sensible Personendaten verarbeiten, ist das keine abstrakte Gefahr – es ist tägliche Realität.

Die gute Nachricht: Technische Grundhygiene ist keine Raketenwissenschaft. Sie erfordert Disziplin, klare Prozesse und die richtigen Werkzeuge. Wer heute in diese Grundlagen investiert, vermeidet morgen Bußgelder, Reputationsschäden und im schlimmsten Fall – die Schlagzeilen.

Nächste Schritte: NIS2-Compliance strukturiert angehen

Wenn Sie unsicher sind, ob Ihr Unternehmen alle NIS2-Anforderungen erfüllt – insbesondere in den Bereichen Risikomanagement, Meldeprozesse und Lieferkettensicherheit – empfiehlt sich der Einsatz einer spezialisierten NIS2-Compliance-Software. Moderne Plattformen helfen dabei, den Reifegrad Ihrer Cybersicherheitsmaßnahmen zu bewerten, Dokumentationspflichten zu erfüllen und Audit-Nachweise strukturiert zu verwalten. Ein strukturierter Ansatz spart Zeit, reduziert Haftungsrisiken und schafft Transparenz gegenüber Aufsichtsbehörden und Geschäftspartnern.

Quellen: Bleeping Computer (08.09.2026), BSI IT-Grundschutz-Kompendium (OPS.1.2.5), NIS2-Richtlinie (EU) 2022/2555, DSGVO Art. 33/34, EU-PNR-Richtlinie 2016/681/EU, OWASP Top 10