Europas Lösung für dieses Leck hat kein Startdatum

220 Millionen Datensätze, neun Jahre, eine offene Datenbank

Kinryu Labs fand am 3. Juni 2026 einen über das offene Internet erreichbaren Elasticsearch-Cluster mit 220,8 Millionen Passagier- und Besatzungsdatensätzen zu Flügen zwischen Januar 2017 und April 2026. Die Firma sicherte den Cluster fünf Tage später, nachdem sie vietnamesische Behörden, nationale CSIRTs und identifizierbare Airlines informiert hatte.

Der Cluster mit dem Namen pax-info enthielt Namen, Geburtsdaten, Staatsangehörigkeiten, Passnummern und Ablaufdaten, Flugnummern, Sitzplätze und Gepäckreferenzen, zu Airlines mit Routen durch Asien-Pazifik, Europa und den Nahen Osten. Kinryu Labs verfolgte den offengelegten Adressraum zu Viettel, dem staatlichen vietnamesischen Telekommunikationsanbieter, konnte aber nicht bestätigen, welche Organisation die Datenbank tatsächlich betrieb. Weder vietnamesische Behörden noch die Changi Airport Group, die in der Untersuchung als einer der betroffenen Knotenpunkte genannt wird, haben erklärt, wie der Cluster offen blieb.

Ein Leck, das nie auf ein Land beschränkt bleiben konnte

Vorab übermittelte Passagierdaten hatten nie ein einzelnes Zuhause. Seit zwei Jahrzehnten verbindet sich eine Airline, die ein Land anfliegt, meist direkt mit dessen eigener Grenzbehörde, eine eigens gebaute Anbindung pro Zielland, wiederholt für jeden bedienten Markt. Eine Airline mit zwei Dutzend Strecken kann am Ende zwei Dutzend getrennte Leitungen betreiben, jede nach eigenem Zeitplan gebaut, gesichert und überwacht, von welchem Auftragnehmer auch immer die jeweilige Grenzbehörde beauftragt hat.

Genau das machte es möglich, dass ein einzelner falsch konfigurierter Cluster, verknüpft mit dem Adressraum eines vietnamesischen Staatsanbieters, neun Jahre an Daten für Routen hielt, die Vietnam nie berührten. Die Offenlegung war kein vietnamesisches Problem, das zufällig leckte, sondern ein strukturelles Merkmal davon, wie diese Datenklasse überall verlegt wurde. Sie taucht dort auf, wo die schwächste Leitung im Netz gerade lag. Ein nationaler Endpunkt wird geschlossen, der nächste, von einem anderen Anbieter nach einem anderen Standard gebaut, bleibt bestehen.

Europa schrieb die Lösung. Sie hat kein Einschaltdatum.

Die EU hatte diese strukturelle Schwäche bereits erkannt, bevor dieses Leck öffentlich wurde. Die Verordnung (EU) 2025/12, die am 28. Januar 2025 in Kraft trat, ersetzt das alte Modell, in dem sich Airlines einzeln mit der Grenzbehörde jedes Mitgliedstaats verbinden, durch einen einzigen Router, betrieben von eu-LISA, der IT-Agentur der EU für Justiz und Inneres. Jede Airline, die in die, aus der oder innerhalb der EU fliegt, soll Passagierdaten künftig über diesen einen Kanal senden statt über eine eigene Verbindung pro Land.

Die Pflichten der Verordnung gelten jedoch erst, sobald der Router selbst in Betrieb ist, und weder eu-LISA noch die Europäische Kommission haben dafür ein Datum genannt. Zwanzig Monate nach Inkrafttreten des Gesetzes nutzt jede Airline, die Europa anfliegt, noch immer die Architektur, die es ersetzen soll: dasselbe Muster eines Endpunkts pro Land, das einem einzigen offengelegten vietnamesischen Cluster neun Jahre grenzüberschreitender Reisedaten überließ. Eine Reiseabteilung, ein Compliance-Team einer Airline oder ein Datenschutzbeauftragter, die davon ausgehen, dass der zentrale EU-Router sie bereits abdeckt, verlassen sich auf ein System, das bisher nur in der Verordnung existiert und sonst nirgends.

Weiterlesen: 8,7 Millionen Flughafendaten bei einem Hack geleakt  |  OpenAIs Filter macht Ihre Chats nicht anonym