Symbolbild Flugreisen, keine Aufnahme des Vorfalls und kein Hinweis auf Flugausfälle. Bild: Pexels Foto 2958530, Pexels-Lizenz (keine CC0-Lizenz).

Condor bestätigt, dass bei einem Zwischenfall in einem System des IT-Dienstleisters Amadeus auch Datensätze ihrer Kunden betroffen sind. Das berichtet aeroTELEGRAPH unter Berufung auf eine Sprecherin der Fluggesellschaft. Wie viele Reisende es bei Condor betrifft, bleibt offen. Zahlungsdaten gehören nach der von Condor wiedergegebenen Auskunft von Amadeus nicht dazu. Für betroffene Kunden ist damit jedoch noch nicht geklärt, welche Nachrichten zu ihrer Reise sie künftig für echt halten können.

Der Bericht nennt bei den betroffenen Fluggesellschaften vor allem Namen, Buchungscodes und Flugdaten. Bei einem Teil der Datensätze anderer Airlines waren auch Kontaktdaten, Passnummern oder Vielfliegernummern einsehbar. Diese Aufzählung lässt sich nicht pauschal auf sämtliche Condor-Kunden übertragen. Welche Angaben im einzelnen Fall betroffen sind, muss aus der jeweiligen Benachrichtigung hervorgehen.

Eine echte Buchungsnummer macht eine Nachricht noch nicht echt

Wer Flugdatum und Buchungscode kennt, kann eine Zahlungsaufforderung oder angebliche Umbuchung glaubwürdig aussehen lassen. Dass dabei keine Kreditkartendaten abgeflossen sein sollen, verhindert solche Täuschungsversuche nicht. Die gestohlenen Angaben können ausreichen, um Vertrauen zu gewinnen und erst im nächsten Schritt nach Zahlungsdaten zu fragen. Ob eine konkrete Nachricht tatsächlich mit diesem Vorfall zusammenhängt, lässt sich daraus allein allerdings nicht ableiten.

TRAVEL INSIDE berichtet ebenfalls über die Datenpanne bei Amadeus und nennt einen der Redaktion bekannten Betrugsversuch mit abgeflossenen Kundendaten. Die Angaben zum umfassenderen Vorfall stützt das Fachmedium auf Business Traveller. Der Bericht von aeroTELEGRAPH enthält darüber hinaus die direkt eingeholte Bestätigung von Condor. Beide Berichte machen deutlich, dass es um mehrere Fluggesellschaften geht. Eine verlässliche Gesamtzahl der betroffenen Personen liegt darin nicht vor; Zahlen zu Kunden und zu Buchungen lassen sich nicht einfach addieren.

Betroffene sollten verdächtige Nachrichten deshalb unabhängig prüfen. Statt einen enthaltenen Link zu öffnen, können sie die bekannte Website der Airline selbst aufrufen oder ihren Reiseanbieter über eine bereits bekannte Telefonnummer kontaktieren. Auch eine passende Buchungsnummer ersetzt diese Rückfrage nicht. Bei Geschäftsreisen sollte die Reisestelle solche Hinweise kennen, damit eine vermeintlich dringende Zahlungsaufforderung nicht ungeprüft an die Buchhaltung weitergereicht wird.

Wer informiert Kunden, die im Reisebüro gebucht haben?

Condor hat nach dem Bericht diejenigen Betroffenen direkt benachrichtigt, deren Kontaktdaten vorliegen. Bei Buchungen über Reisebüros oder andere Vertriebspartner läuft die Information über diese Stellen. Für Unternehmen mit zentral gebuchten Dienstreisen ist das ein konkreter Prüfpunkt. Die Warnung muss die reisende Person erreichen, auch wenn im Buchungssystem zunächst die Adresse des Reisebüros oder einer internen Sammelstelle hinterlegt ist.

Reiseverantwortliche können prüfen, ob solche Meldungen in einem überwachten Postfach ankommen und wie sie weitergegeben werden. Eine Weiterleitung sollte den Umfang des Vorfalls nicht vergrößern: Gehört ein Passdatum nicht zu den bestätigten betroffenen Angaben, darf es in der internen Warnung auch nicht als abgeflossen dargestellt werden. Umgekehrt sollte ein allgemein formulierter Hinweis auf einen Dienstleistervorfall die konkrete Handlungsanweisung für Reisende nicht verdrängen.

Was Unternehmen beim Buchungsdienstleister nachfragen sollten

Für die Aufarbeitung sind der betroffene Zeitraum, die tatsächlich zugänglichen Datenfelder und die verwendeten Zugänge wichtig. Nach dem von aeroTELEGRAPH wiedergegebenen Stand dauern die Untersuchungen noch an. Eine abschließende Erklärung der technischen Ursache lässt sich daraus nicht ableiten. Ebenso wenig belegen die Berichte bereits eine bestimmte datenschutzrechtliche Pflichtverletzung von Condor oder eine behördliche Entscheidung.

Unternehmen, die Reisedaten über externe Systeme verarbeiten lassen, können den Vorfall dennoch zum Anlass nehmen, ihre Meldewege zu prüfen. Wer erhält Sicherheitsmeldungen des Anbieters? Wer klärt, welche eigenen Reisenden betroffen sind? Und wer entscheidet über notwendige Benachrichtigungen? Diese Zuständigkeiten sollten auch dann feststehen, wenn der Dienstleister zunächst nur unvollständige Informationen liefert. Für die Reisenden zählt am Ende, dass eine verständliche Warnung ankommt und ein verlässlicher Rückkanal verfügbar ist.

Stand: 04.11.2026