Ein Einbruch, der angeblich mit einem Rechtsklick begann
Manchester Airports Group, Betreiber der Flughäfen Manchester, Stansted und East Midlands, meldete am 27. August 2026, dass eine bei einem Drittanbieter gehostete Datenbank kompromittiert worden sei. Eine Erpressergruppe namens FulcrumSec bekannte sich in den folgenden Tagen dazu und begann Anfang September, die gestohlenen Daten auf ihrer Leak-Seite zu veröffentlichen - nach eigenen Angaben bis zu 8,7 Millionen Kundendatensätze.
Die behauptete Zugangsmethode sollte mehr Unternehmen beunruhigen als die Kopfzahl selbst. Laut Berichterstattung des Fachmediums teiss erklärt FulcrumSec, sie habe für Manchester Airport spezifische Zugangsdaten der Marketingplattform Iterable genutzt, die im clientseitigen JavaScript offengelegt waren - jenem Code, der im Browser jedes Besuchers läuft und von jedem einsehbar ist, der die Entwicklertools öffnet. MAG hat diese Darstellung des Zugangswegs nicht bestätigt und erklärt lediglich, man arbeite mit spezialisierten Beratern zusammen, sodass der Vektor selbst bislang eine Behauptung und kein gesicherter Fakt ist.
Was angeblich entwendet wurde, und was MAG zufolge nicht
Die Daten, die FulcrumSec zu besitzen behauptet, umfassen E-Mail-Adressen, Telefonnummern, Postleitzahlen und Kennzeichen aus Parkplatz-, Lounge- und Fast-Track-Buchungen sowie Anmeldungen über das Flughafen-WLAN, dazu fast 200.000 Datensätze zu künftigen Reisen für den Rest des Jahres 2026 mit Datum, Uhrzeit und Buchungsdetails. SecurityWeek beziffert die Menge auf rund 86 Gigabyte.
MAGs eigene öffentliche Erklärung fällt enger und vorsichtiger aus als die Behauptungen der Erpressergruppe: Das Unternehmen erklärt, die betroffenen Systeme hätten keine Bank- oder Zahlungsdaten enthalten, der Flughafenbetrieb und die Parkdienste seien durchgehend normal weitergelaufen, und man habe eine Lösegeldforderung erhalten, zu der man keine weiteren Details nenne, auch nicht, ob gezahlt wurde. Diese Lücke zwischen der Prahlerei eines Angreifers und den bestätigten Fakten eines Unternehmens ist bei einem laufenden Erpressungsfall normal, und genau deshalb zählt der Zugangsweg mehr als die Kopfzahl, solange MAG nichts anderes bestätigt.
Die Behauptung gegen die Bestätigung
| Detail | Behauptung von FulcrumSec | Öffentliche Angabe von MAG |
|---|---|---|
| Betroffene Datensätze | bis zu 8,7 Millionen | offiziell nicht bestätigt |
| Datenmenge | rund 86 Gigabyte | nicht bestätigt |
| Angriffsvektor | Iterable-API-Schlüssel im Frontend-JavaScript offengelegt | nicht bestätigt |
| Bank- oder Zahlungsdaten | nicht als enthalten angegeben | bestätigt nicht betroffen |
| Lösegeld gezahlt | keine Angabe | Forderung erhalten, keine weiteren Details genannt |
Wie auch immer die endgültigen, bestätigten Zahlen ausfallen, die von FulcrumSec beschriebene Schwachstellenklasse ist verbreitet und wird selten geprüft: Ein Marketing- oder Analysetool, das auf jeder Seite ein JavaScript-Snippet benötigt, liefert diesen Schlüssel oft direkt eingebettet mit, weil das für ein Marketingteam der schnellste Weg ist, eine Kampagne live zu schalten. Ist dieser Schlüssel eine vollzugriffsberechtigte Zugangsdaten und keine auf eng begrenzte, nur schreibende, öffentlich sichere Berechtigung beschränkte, hält jeder, der den Quellcode der Seite ansieht, denselben Schlüssel wie das Marketingteam intern.
Was das für jedes Unternehmen mit Marketing-Tools bedeutet
Der praktische Test kostet nichts und dauert Minuten: Entwicklertools des Browsers auf den eigenen öffentlichen Seiten öffnen, die geladenen Skripte nach den Wörtern 'key' oder 'token' durchsuchen und beim jeweiligen Anbieter, ob Iterable oder ein anderer, nachfragen, ob diese Zugangsdaten für die öffentliche clientseitige Nutzung vorgesehen sind oder ob es sich um denselben Schlüssel handelt, der das Konto steuert. Die meisten Marketingplattformen bieten für genau diesen Zweck einen öffentlichen, auf Schreiben beschränkten Schlüssel an, und die Behebung ist meist ein Support-Ticket, kein Neubau.
Die schwierigere Korrektur ist organisatorisch, nicht technisch: Marketing- und Wachstums-Tools werden oft von einem Team eingebunden, dem die Kampagne, nicht die Codebasis gehört, und sie durchlaufen selten dieselbe Sicherheitsprüfung wie eine Login- oder Zahlungsseite. Eine vierteljährliche Prüfung, welche Zugangsdaten genau im öffentlichen JavaScript einer Website liegen, gemeinsam verantwortet von IT und Marketing statt als fremde Aufgabe abgetan, hätte genau die Lücke gefunden, die FulcrumSec nach eigenen Angaben entdeckt hat.
Servola Journal
Wir machen das für alle, die versuchen mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.
Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.
Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like, oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns weitermachen lässt.
Weiterlesen: 8,7 Millionen Flughafendaten bei einem Hack geleakt | Frankreich Beziffert Fehlende MFA auf 500.000 Euro
