Ein Einbruch, der angeblich mit einem Rechtsklick begann
Manchester Airports Group, Betreiber der Flughäfen Manchester, Stansted und East Midlands, teilte am 27. August 2026 mit, dass eine bei einem Drittanbieter gehostete Datenbank kompromittiert worden sei. Eine Erpressergruppe namens FulcrumSec bekannte sich in den folgenden Tagen zu der Tat und begann Anfang September, die gestohlenen Daten auf ihrer Leak-Website zu veröffentlichen - nach eigenen Angaben bis zu 8,7 Millionen Kundendatensätze.
Die behauptete Zugangsmethode ist der Teil dieser Geschichte, der mehr Unternehmen beunruhigen sollte als die Kopfzahl selbst. Laut Berichterstattung des Fachmediums teiss erklärt FulcrumSec, die Gruppe habe für Manchester Airport spezifische Zugangsdaten für Iterable, eine Plattform für Marketing-Automatisierung, genutzt, die im clientseitigen JavaScript offenlagen - also in dem Code, der im Browser jedes Besuchers läuft und von jedem eingesehen werden kann, der die Entwicklertools öffnet. MAG hat diese Darstellung des Zugangswegs nicht bestätigt und erklärt lediglich, man arbeite mit spezialisierten Beratern zusammen, sodass der Angriffsweg selbst bislang eine Behauptung und kein gesicherter Fakt ist.
Was angeblich entwendet wurde und was laut MAG nicht
Die Daten, die FulcrumSec zu besitzen behauptet, umfassen E-Mail-Adressen, Telefonnummern, Postleitzahlen und Kennzeichen aus Parkplatz-, Lounge- und Fast-Track-Buchungen sowie Anmeldungen über das Flughafen-WLAN sowie fast 200.000 Datensätze zu künftigen Reisen für den Rest des Jahres 2026, jeweils mit Datum, Uhrzeit und Buchungsdetails. SecurityWeek berichtet, die Gruppe beziffere die Datenmenge auf rund 86 Gigabyte.
MAGs eigene öffentliche Erklärung fällt enger und vorsichtiger aus als die Behauptungen der Erpressergruppe: Das Unternehmen erklärt, die betroffenen Systeme hätten keine Bank- oder Zahlungsdaten enthalten, der Flughafenbetrieb und die Parkdienste seien durchgehend normal weitergelaufen, und man habe eine Lösegeldforderung erhalten, zu der man keine weiteren Details nenne - auch nicht, ob gezahlt wurde. Diese Lücke zwischen der Prahlerei eines Angreifers und den bestätigten Fakten eines Unternehmens ist bei einem laufenden Erpressungsfall normal, und genau deshalb zählt der Angriffsweg mehr als die Kopfzahl, solange MAG nichts anderes bestätigt.
Die Behauptung gegen die Bestätigung
| Detail | Behauptung von FulcrumSec | Öffentliche Angabe von MAG |
|---|---|---|
| Betroffene Datensätze | bis zu 8,7 Millionen | offiziell nicht bestätigt |
| Datenmenge | rund 86 Gigabyte | nicht bestätigt |
| Angriffsvektor | Iterable-API-Schlüssel im Frontend-JavaScript offengelegt | nicht bestätigt |
| Bank- oder Zahlungsdaten | nicht als enthalten angegeben | bestätigt nicht betroffen |
| Lösegeld gezahlt | keine Angabe | Forderung erhalten, keine weiteren Details genannt |
Wie auch immer die endgültigen, bestätigten Zahlen ausfallen: Die von FulcrumSec beschriebene Schwachstellenklasse ist verbreitet und wird selten geprüft. Ein Marketing- oder Analysetool, das auf jeder Seite ein JavaScript-Snippet benötigt, liefert den dafür nötigen Schlüssel oft direkt in dieses Snippet eingebettet, weil das für ein Marketingteam der schnellste Weg ist, eine Kampagne live zu schalten. Handelt es sich dabei um einen vollzugriffsberechtigten Schlüssel statt um einen, der auf eine eng begrenzte, nur schreibende, öffentlich unbedenkliche Berechtigung beschränkt ist, besitzt jeder, der den Quellcode der Seite einsieht, denselben Schlüssel, den das Marketingteam intern nutzt.
Was das für jedes Unternehmen mit einem Marketing-Tool bedeutet
Der praktische Test kostet nichts und dauert Minuten: Öffnen Sie die Entwicklertools des Browsers auf den eigenen öffentlichen Seiten, durchsuchen Sie die geladenen Skripte nach den Begriffen 'key' oder 'token' und fragen Sie beim jeweiligen Anbieter, ob Iterable oder ein anderer, nach, ob diese Zugangsdaten für die öffentliche clientseitige Nutzung vorgesehen sind oder ob es sich um denselben Schlüssel handelt, der das gesamte Konto steuert. Die meisten Marketingplattformen bieten für genau diesen Zweck einen öffentlichen, auf Schreibzugriff beschränkten Schlüssel an, und die Behebung ist meist ein Support-Ticket, kein Neubau.
Die schwierigere Korrektur ist organisatorischer, nicht technischer Natur: Marketing- und Wachstums-Tools werden oft von einem Team eingebunden, dem die Kampagne gehört, nicht die Codebasis, und sie durchlaufen selten dieselbe Sicherheitsprüfung wie eine Login- oder Zahlungsseite. Eine vierteljährliche Prüfung, welche Zugangsdaten genau im öffentlichen JavaScript einer Website liegen - gemeinsam verantwortet von IT und Marketing statt als fremde Aufgabe abgetan -, hätte genau die Lücke gefunden, die FulcrumSec nach eigenen Angaben entdeckt hat.
Weiterlesen: 5.000 Dropbox-Konten Fielen Einem Login zum Opfer, den Niemand Erstellte | McKesson fiel einem Anruf zum Opfer, nicht einem Passwort-Hack
