Eine mit Vietnam in Verbindung stehende Datenbank eines Advance Passenger Information System (APIS) war über eine Kette von Fehlkonfigurationen erreichbar. Sie enthielt rund 220,8 Millionen Datensätze zu Passagieren und Besatzungsmitgliedern – darunter Namen, Geburtsdaten, Nationalitäten, Passnummern und detaillierte Fluginformationen.
Die Einträge reichen von Januar 2017 bis April 2026. Das bedeutet jedoch weder, dass 220 Millionen einzelne Menschen betroffen sind, noch dass die Daten während des gesamten Zeitraums offenstanden. Mehrfachreisende erscheinen wiederholt in der Datenbank, und die tatsächliche Dauer der technischen Exposition ist bislang unbekannt.
Entdeckt wurde der Elasticsearch-Cluster am 3. Juni 2026 von Kinryū Labs bei der Suche nach exponierten Datenbanken im Umfeld von Ransomware-Aktivitäten. Nach Angaben der Forscher wurde der Zugang am 8. Juni geschlossen. Ob Dritte die Daten vorher kopiert oder anderweitig missbraucht haben, lässt sich ohne Serverprotokolle nicht feststellen.
Passdaten, Sitzplätze und Flugbewegungen aus neun Jahren
Der Cluster trug den Namen pax-info, umfasste 29 Indizes und enthielt etwa 107 Gigabyte Daten. Die beiden wichtigsten Indizes speicherten 210.318.069 Passagierdatensätze sowie 10.465.631 Einträge zu Crewmitgliedern. Zusammen ergeben sich 220.783.700 Reiseeinträge.
Erfasst waren Namen, Geburtsdaten, Geschlecht, Nationalität, Pass- oder Reisedokumentnummern, Ablaufdaten und Ausstellerstaaten. Hinzu kamen Flugnummern und -daten, Fluggesellschaften, Abflug-, Ziel- und Transitflughäfen, Sitzplatzangaben, Gepäckreferenzen sowie geplante, geschätzte und tatsächliche Flugzeiten.
Die Datenbank befand sich laut Kinryū Labs in einem Viettel zugewiesenen IP-Adressbereich in Hanoi. Welche vietnamesische Organisation das System betrieb, konnte nicht bestätigt werden. Von BleepingComputer geprüfte Stichproben enthielten unter anderem Reisende mit koreanischer, chinesischer, kanadischer und neuseeländischer Staatsangehörigkeit. Die Forscher glichen zudem eigene Reisen nach Vietnam mit den gespeicherten Informationen ab und bestätigten damit die Echtheit einzelner Einträge.
Eine vollständige Aufschlüsselung nach Nationalität liegt nicht vor. Da Datensätze zahlreicher internationaler Fluggesellschaften aus dem asiatisch-pazifischen Raum, Europa und dem Nahen Osten enthalten waren, können grundsätzlich Menschen aus vielen Ländern betroffen sein, die innerhalb des erfassten Zeitraums nach Vietnam reisten, von dort abflogen oder das Land im Transit passierten.
Der direkte Zugang war gesperrt – der Umweg nicht
Entscheidend war nicht ein einzelner vollständig offener Datenbankport. Beim direkten Zugriff aus dem Internet antwortete der Endpunkt mit HTTP 401, also „Unauthorized“. Dieser sichtbare Zugang verlangte demnach eine Authentifizierung.
Wie zwei Fehlkonfigurationen den Zugriff ermöglichten
Der direkte Internetzugang wies Anfragen mit HTTP 401 ab. Ein alternativer cloudbasierter Pfad führte dennoch zum Elasticsearch-Cluster, der Standard-Zugangsdaten akzeptierte.
Kinryū Labs zufolge existierte jedoch ein alternativer, cloudbasierter Zugriffspfad. Über diesen erreichten die Forscher denselben Elasticsearch-Cluster, der anschließend Standard-Zugangsdaten akzeptierte. Erst die Kombination beider Fehlkonfigurationen machte die Daten abrufbar.
Dieser Mechanismus ist operativ wichtiger als das oberflächliche Ergebnis eines einzelnen externen Sicherheitstests: Ein korrekt abgewiesener Zugriff auf einem Pfad sagt wenig aus, wenn dieselbe Ressource über eine zweite Netzwerkroute mit schwächeren Kontrollen erreichbar bleibt. Bei cloudbasierten und hybriden Systemen muss deshalb nicht nur der Dienst selbst, sondern jeder veröffentlichte Zugangspfad geprüft werden.
Die Internet-Suchplattform FOFA registrierte Host und Port erstmals im Oktober 2022 und erkannte den Dienst im Juli 2023 als Datenbank. Daraus lässt sich nicht ableiten, seit wann die Passagierdaten über den von den Forschern genutzten zweiten Pfad abrufbar waren. Der Datenbestand umfasst neun Jahre, die Expositionsdauer bleibt aber offen.
Keine Hinweise auf einen Einbruch bei den Airlines
In den Ergebnissen tauchten Datensätze mehrerer großer Fluggesellschaften auf. Dafür gibt es eine naheliegende technische Erklärung: APIS-Systeme übernehmen Passagier- und Fluginformationen von Airlines, bevor Reisende oder Crewmitglieder ein Land erreichen oder verlassen.
Die Präsenz einer Airline in der Datenbank belegt daher weder, dass sie das exponierte System betrieb, noch dass ihr eigenes Netzwerk kompromittiert wurde. Singapore Airlines unterstützte nach den vorliegenden Informationen die Koordination der Reaktion und teilte den Forschern am 8. Juni mit, relevante Stellen eingeschaltet und Maßnahmen zur Eindämmung veranlasst zu haben. Changi Airport Group erklärte, den Vorgang untersucht zu haben, wollte sich darüber hinaus aber nicht äußern.
Kinryū Labs meldete den Fund ab dem 3. Juni an vietnamesische Behörden, betroffene Fluggesellschaften und nationale Computer-Notfallteams. Von vietnamesischen Behörden lag der berichtenden Quelle bis zur Veröffentlichung keine Antwort vor.
Exponiert bedeutet nicht nachweislich gestohlen
Bislang gibt es keinen bestätigten Nachweis eines Datenabflusses. Die Forscher fanden weder Lösegeldforderungen noch unbekannte Indizes und entdeckten den Datensatz nach eigenen Angaben auch nicht in einschlägigen Verkaufsangeboten. Das schließt einen unbemerkten Download allerdings nicht aus. Ohne belastbare Zugriffsprotokolle kann nachträglich nicht geklärt werden, welche Clients den alternativen Pfad verwendet und welche Datenmengen sie abgerufen haben.
Die realistische Risikobewertung liegt deshalb zwischen zwei falschen Extremen: Es wäre unbelegt, von 220 Millionen gestohlenen Datensätzen zu sprechen. Ebenso wäre es voreilig, den Vorfall allein wegen fehlender Missbrauchsspuren als folgenlos einzustufen. Die Kombination aus Identitätsdaten, Dokumentnummern und konkreter Reisehistorie eignet sich grundsätzlich für glaubwürdige, auf einzelne Personen zugeschnittene Betrugsversuche.
Was Betreiber und potenziell Betroffene jetzt beachten sollten
Für den verantwortlichen Betreiber reicht es nicht, lediglich den erreichbaren Endpunkt zu schließen. Erforderlich sind die Sicherung und Auswertung vorhandener Logs, die Rotation sämtlicher Zugangsdaten, die Entfernung von Standardkennwörtern sowie eine Prüfung aller öffentlichen und cloudinternen Routen zum Cluster. Zusätzlich muss geklärt werden, welche Stellen den Datenbestand verarbeitet haben und welche Benachrichtigungs- oder Meldepflichten daraus entstehen.
Reisende können anhand der bislang veröffentlichten Informationen nicht zuverlässig feststellen, ob ein eigener Datensatz enthalten war. Wer zwischen 2017 und April 2026 nach Vietnam, aus Vietnam oder über das Land gereist ist, sollte insbesondere unerwartete Nachrichten zu Flügen, Visa, Gepäck, Einreise oder Passproblemen kritisch prüfen. Eine pauschale Aufforderung zum Austausch von Reisepässen lässt sich aus der ungeklärten Datenabflusslage dagegen nicht ableiten.
Der Vorfall macht vor allem eine Lücke in der operativen Kontrolle sichtbar: Schutzmaßnahmen wurden offenbar an einem Zugang wirksam, während ein zweiter Pfad dieselbe Datenbank mit Standard-Zugangsdaten erreichte. Bei zentral gesammelten Reisedaten entscheidet deshalb nicht nur, ob eine Datenbank „authentifiziert“ ist. Entscheidend ist, ob für sämtliche Wege zu ihr dieselben Regeln gelten – und ob im Ernstfall Protokolle existieren, mit denen sich ein möglicher Abfluss überhaupt noch rekonstruieren lässt.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
