Belegt der Bericht einen drei Jahre dauernden Angriff?

Nein. Ein Zeitraum mit Zugriffsspuren belegt keine durchgehend aktive Kompromittierung. Für die Bewertung müssen einzelne bestätigte Zugriffe, die verfügbaren Protokolle und verbleibende Unsicherheiten getrennt betrachtet werden.

Welche Information sollte ich von einem betroffenen Dienstleister zuerst verlangen?

Eine Zuordnung zur eigenen Leistung und zu den eigenen Daten: Welche Bestände, Datenarten und Zeiträume sind bestätigt betroffen? Ergänze die Frage nach dem aktuellen Zustand, offenen Untersuchungen und einem festen Kontakt für weitere Auskünfte.

Ersetzt ein Zertifikat diese Prüfung?

Nein. Ein Zertifikat kann einen Teil der Lieferantenbewertung unterstützen. Im konkreten Vorfall brauchst du dennoch eine fallbezogene Auskunft, eine Bewertung der eigenen Betroffenheit und die Nachverfolgung offener Maßnahmen.

Japan Airlines: Kundendaten über Amadeus betroffen

Ein Dienstleister verarbeitet die Daten. Die Fragen der Kunden landen trotzdem bei dir. Japan Airlines und Japan Transocean Air melden unbefugte Zugriffe auf Buchungsdaten bei Amadeus. Der Fall zeigt, wie wichtig eine konkrete Auskunft über Daten und betroffene Leistungen ist, wenn ein externer Dienst einen Sicherheitsvorfall meldet.

Quellen geprüft am 30. Oktober 2026. Die folgende Nachricht beruht auf den öffentlichen Stellungnahmen der Unternehmen. Die Handlungsempfehlungen sind unsere redaktionelle Einordnung, kein Ergebnis einer eigenen Vorfalluntersuchung.

Was die Unternehmen bestätigen

Laut JAL-Mitteilung sind rund 92.000 Kunden betroffen. Bei etwa 90.000 geht es um Buchungs- und Flugdaten; bei weiteren 2.000 um zusätzliche Angaben einschließlich Kontakt- und Passdaten. Zugriffsspuren betreffen den Zeitraum 10. August 2023 bis 23. September 2026. Die Airlines wurden am 23. Oktober informiert. Kreditkartennummern und Passwörter seien nicht betroffen; Hinweise auf Missbrauch oder Auswirkungen auf den Flugbetrieb lägen derzeit nicht vor.

Amadeus bestätigt eine Schwachstelle in einer Buchungsanzeigeumgebung und umgesetzte Gegenmaßnahmen. Die Untersuchung laufe weiter; Hinweise auf Zugriff auf Zahlungsdaten oder eine Nutzung für Ransomware gebe es nicht.

Der genannte Zeitraum belegt keinen durchgehend aktiven Angriff. Ebenso wenig steht damit fest, dass alle Personen dieselben Datenarten verloren haben. Diese Unterschiede sind für die eigene Bewertung wesentlich.

Der erste Prüfpunkt ist die Datenbeziehung

Für ein anderes Unternehmen lässt sich aus dieser Nachricht keine eigene Betroffenheit ableiten. Sie liefert aber einen guten Anlass für eine konkrete Frage: Könnten wir nach einer solchen Meldung benennen, welche unserer Daten bei welchem Dienst liegen?

Ein Eintrag „Reisedienstleister“ oder „Cloud-Anbieter“ beantwortet das noch nicht. Hilfreich ist eine Zuordnung zur tatsächlichen Leistung: Buchung, Abrechnung, Personalverwaltung oder Kundensupport. Dazu gehören ein fachlicher Verantwortlicher, ein Kontakt für Sicherheitsvorfälle und eine Beschreibung der verarbeiteten Daten.

Das ist keine Aufforderung, jedes Detail in einem zweiten System abzutippen. Es geht darum, die entscheidenden Beziehungen auffindbar zu halten. Wer erst im Vorfall herausfinden muss, welcher Vertrag zu welcher Anwendung gehört, verliert Zeit für die eigentliche Bewertung.

Welche Auskunft nach einer Meldung gebraucht wird

Die folgende Tabelle ist unser Vorschlag für die erste Rückfrage an einen betroffenen Dienstleister. Sie beschreibt keine zusätzlichen Feststellungen zum Amadeus-Fall.

Frage	Wozu die Antwort dient
Welche konkrete Leistung und welcher unserer Bestände sind betroffen?	Die eigene Prüfung eingrenzen.
Welche Datenarten und Zeiträume sind bestätigt, welche noch offen?	Gesicherte Angaben von Annahmen trennen.
Was wurde gegen weiteren Zugriff unternommen?	Den aktuellen Zustand verstehen.
Welche Belege oder kundenspezifischen Informationen werden bereitgestellt?	Eine nachvollziehbare Bewertung ermöglichen.
Wann kommt die nächste Aktualisierung, und wer ist erreichbar?	Offene Fragen verbindlich weiterverfolgen.

Eine Antwort „Schwachstelle geschlossen“ kann für den aktuellen technischen Zustand relevant sein. Für die Vergangenheit beantwortet sie noch nicht, auf welche Daten zugegriffen wurde. Deshalb sollten technische Eindämmung, Umfang der Betroffenheit und Information der eigenen Kunden getrennte Arbeitsaufträge bleiben.

Aus der Auskunft muss eine Entscheidung werden

Unsere Empfehlung: Haltet in der Vorfallakte nicht nur die E-Mail des Dienstleisters fest, sondern auch eure Schlussfolgerung. Wer hat sie geprüft? Welche Systeme oder Personen wurden einbezogen? Welche Fragen bleiben unbeantwortet? Wann wird erneut entschieden?

Die zuständigen Datenschutz- und Rechtsexperten müssen mögliche Informations- und Meldepflichten am konkreten Sachverhalt beurteilen. Der öffentliche Bericht allein reicht dafür nicht aus. Eine lückenhafte Auskunft sollte sichtbar als offene Frage stehen bleiben und nicht zu einer pauschalen Entwarnung werden.

Der Zusammenhang zu unserem Autohaus-Fall und den Lieferantenrisiken ist genau dieser: Der Standort des Vorfalls und die Verantwortung für die eigenen Kunden sind unterschiedliche Dinge.

Was sich im Lieferantenmanagement verbessern lässt

In Kopexa können Unternehmen Lieferanten-Assessments, Nachweise und offene Maßnahmen zusammenführen. Ein sinnvoller Anwendungsfall ist die dokumentierte Rückfrage nach einem Vorfall: Antwort prüfen, ein verbleibendes Risiko bewerten und eine verantwortliche Person mit der Nachverfolgung beauftragen. Das ersetzt keine technische Untersuchung, macht aber ihre organisatorischen Konsequenzen bearbeitbar.

Die entscheidende Frage lautet: Können wir aus einer allgemeinen Dienstleistermeldung eine belastbare Entscheidung für unser Unternehmen machen? Dafür braucht es gepflegte Beziehungen und konkrete Antworten, nicht nur einen abgelegten Sicherheitsnachweis.