Sicherheitslücke

Computer-Konferenz zeigt, wie Hacker an Freiflüge kommen

Nach Darstellung eines Sicherheitsunternehmens erlaubt es das Buchungssystem für Flüge, Tickets anderer Reisender zu übernehmen.

Nach Darstellung eines Sicherheitsunternehmens erlaubt es das Buchungssystem für Flüge, Tickets anderer Reisender zu übernehmen.

Foto: imago stock&people / imago/blickwinkel

Mal eben auf dem Ticket eines anderen Fluggastes verreisen? Bei der Hackerkonferenz CCC in Hamburg wird demonstriert, dass das geht.

Hamburg.  Bereits im Vorfeld der jährlichen Hackerkonferenz Chaos Communication Conference (CCC) in Hamburg ist eine kritische Sicherheitslücke im Luftverkehr bekannt geworden. Bei der 33. Hackerkonferenz 33C3 mit 12.000 Teilnehmern wird eine Sicherheitsfirma demonstrieren, wie leicht Hacker auf Kosten anderer Reisender an Freiflüge gelangen.

Wie die „Süddeutsche Zeitung“ berichtet, haben Forscher des Unternehmens Security Research Labs (SR Labs) sich fehlenden Passwortschutz zunutze machen können. Sie konnten sich Zugang zum Ticketsystem des Anbieters Amadeus verschaffen und den Flug eines unwissenden Kunden umbuchen. Mit der Umbuchung wäre es ihnen möglich, vor dem eigentlichen Flug des Kunden bereits auf seine Kosten zu fliegen. Bei Flügen innerhalb Europas ist das problemlos möglich, ein Pass muss nicht gezeigt werden.

Programme können Code erraten

Der eigentliche Reisende würde erst merken, dass etwas nicht stimmt, wenn er zu seinem geplanten Flug an Bord gehen will: Da es in dem Umbuchungsprozess auch möglich ist, die hinterlegte Mailadresse zu ändern, geht die Nachricht über eine Umbuchung in dem Fall an den Hacker.

Problem sei, dass die Buchung nur durch einen sechsstelligen Buchungscode gesichert sei. Mit diesem Code kann eine Buchung im Nachhinein verändert werden. Der Code setzt sich zwar aus Zahlen und Buchstaben zusammen, das System erlaubt aber beliebig viele Fehlversuche. Viele Systeme schlagen bei massenhaften Versuchen Alarm. Das sei auch bei IT-Systemen für Flugbuchungen so, erklärte der Bundesverband der Deutschen Luftverkehrswirtschaft gegenüber Medien. Die IT-Systeme würden „ständig auf Sicherheitslücken untersucht“.

Bisher kein Passwort notwendig

Bei der Umbuchung könnten Programme aber zahlreiche Kombinationen durchprobieren, wie Kryptospezialist Karten Nohl von SR Labs Journalisten demonstrierte. Zudem würden die Codes so vergeben werden, dass die Versuche sich bereits stark eingrenzen lassen. Mutmaßlich, um Umbuchungen möglichst bequem zu machen, werde auch auf individuelle Passwörter verzichtet. Dienstleister Amadeus, der den Buchungsprozess für viele Fluggesellschaften abwickelt, sprach in der „SZ“ von einer vorübergehenden Sicherheitslücke bei einer Wartung.

Karsten Nohl hat in der Vergangenheit unter anderem schon aufgedeckt, dass Wegfahrsperren von Autos unsicher sind. Auf einem früheren CCC hatte er auch demonstriert, wie sich Handy-Gespräche durch Lücken bei den Mobilfunkanbietern mitschneiden lassen. Seine Erläuterungen zu dem Buchungssystem sind am Dienstag um 21.45 Uhr angesetzt, ein möglicher Live-Stream wäre auf dieser Seite zu finden.

Computer Club warnt vor Überwachung

Cyberangriffen und Datenklau stehen im Mittelpunkt des CCC. In diesem Jahr beschäftigt die Hacker aber auch das Thema Rechtspopulismus, zu dem mehrere Vorträge angesetzt sind. Zum Auftakt hat der Chaos Computer Club (CCC) vor einer Ausweitung der Videoüberwachung auf Straßen und Plätzen nach dem Berliner Weihnachtsmarktanschlag gewarnt. Das Ergebnis wäre ein großes vernetztes System, das eine Vollüberwachung aller Menschen in der Öffentlichkeit ermöglichen würde, sagte CCC-Sprecher Linus Neumann am Dienstag in Hamburg.

Der 33. Chaos Communication Congress steht unter dem Motto „Works for Me“ (funktioniert für mich). Damit wollen die Veranstalter eine typische Haltung von Software-Entwicklern, aber auch anderen Gruppen infrage stellen: Wenn für sie selbst etwas funktioniert, kümmern sie sich nicht weiter um mögliche Probleme. Das Jahr 2016 habe gezeigt, dass diese selbstbezogene Sichtweise eben nicht mehr funktioniere, hieß es. Die viertägige Veranstaltung im Kongresszentrum der Hansestadt ist seit Wochen ausverkauft. (law, mit Material von dpa)