Datenschutzverletzung bei Manchester Airports Group: 86 GB beansprucht, API-Zugangsdaten im clientseitigen JavaScript offengelegt

Am 27. August 2026 meldete die Manchester Airports Group (MAG) eine Datenschutzverletzung bei Kunden der Flughäfen Manchester, London Stansted und East Midlands. Zwei Tage später beanspruchte die Erpressergruppe FulcrumSec den Diebstahl für sich und gab an, rund 86 GB Daten entwendet zu haben – ein weitaus detaillierterer Umfang, als in der ersten Offenlegung angegeben. Laut BleepingComputer erfolgte der Zugriff über Iterable-API-Zugangsdaten, die im clientseitig ausgeführten JavaScript-Code offenlagen.

Die Behauptung und die Reaktion von MAG

MAG hat erklärt, dass die Verletzung 8,7 Millionen Kunden betraf, für die meisten davon sei jedoch nur die E-Mail-Adresse exponiert. Betroffen seien Dienste wie Parkplatzbuchungen, Lounge-Zugang, Fast Track und WLAN-Registrierungen am Flughafen. Nach Angaben des Unternehmens wurden keine Zahlungskarten- oder Bankdaten kompromittiert.

Die Darstellung von FulcrumSec ist eine völlig andere. Die Gruppe teilte BleepingComputer Datenproben mit, darunter einen 21,5 GB großen Export zu Manchester-Kunden. Dieses Archiv soll persönliche Identifikatoren, Buchungsverlauf und Marketinginformationen enthalten. BleepingComputer verifizierte einen Datensatz, indem es ihn mit der Kaufhistorie eines realen Reisenden abglich: Es fanden sich Übereinstimmungen bei Fast-Track-Buchungen, Ankunftszeiten, Terminalinformationen und gezahlten Beträgen.

MAG äußerte sich auf Anfrage von BleepingComputer nicht direkt zu den konkreten Behauptungen von FulcrumSec, verwies auf die eigene Mitteilung und gab an, die betroffenen Kunden bereits kontaktiert zu haben, auch jene mit künftigen Buchungen. BleepingComputer konnte seinerseits weder die Zahl der gestohlenen Datensätze noch den vollen Umfang der Exfiltration unabhängig überprüfen.

Die Schwachstelle: API-Zugangsdaten im clientseitigen JavaScript

Laut FulcrumSec erfolgte der Zugriff über Iterable-API-Zugangsdaten, die für jeden Flughafen spezifisch waren und im clientseitigen JavaScript-Code der MAG-Website gefunden wurden. Da dieser Code in den Browsern der Nutzer ausgeführt wird, kann ihn jeder mit den Entwicklertools einsehen und potenziell die Zugangsdaten auslesen.

Ist die Behauptung zutreffend, erforderte der Einbruch keine ausgefeilten Techniken. Es handelte sich weder um einen Zero-Day-Exploit noch um einen Ransomware-Angriff: Es genügte, das zu lesen, was bereits für alle sichtbar war. Die Plattform Iterable ist ein Marketing-Automation-Service; ihre APIs ermöglichen den Zugriff auf Kontaktdaten, Listen und in diesem Fall Buchungsdetails. API-Schlüssel im an den Browser ausgelieferten Code offenzulegen, ist ein verbreiteter Konstruktionsfehler – mit potenziell schwerwiegenden Folgen, wenn die Zugangsdaten weitreichende Berechtigungen besitzen.

Die gestohlenen Daten und die Diskrepanz zwischen MAG und FulcrumSec

Die von MAG zunächst gemeldeten Daten umfassen E-Mail-Adressen, Telefonnummern, Fahrzeugkennzeichen und Postleitzahlen. Laut FulcrumSec ist das entwendete Material jedoch weitaus umfangreicher: Es enthalte fast 200.000 Datensätze zu Reisen, die für den Rest des Jahres 2026 geplant sind, mit Daten, Uhrzeiten und Buchungsdetails, die mit persönlich identifizierenden Informationen verknüpft sind.

Diese Diskrepanz ist erheblich. Träfe die Behauptung zu, beschränkte sich die Exposition nicht auf Kontaktdaten, sondern umfasste Buchungsverlauf, Reisevorlieben und Marketingdaten. Ein solcher Detailgrad erlaubt es, Gewohnheiten, Bewegungen und Geschäftsbeziehungen der Kunden zu rekonstruieren.

FulcrumSec gab an, die gestohlenen Daten samt einem technischen Bericht über den Einbruch veröffentlichen zu wollen. Allerdings fügte die Gruppe hinzu, sie könnte die Datensätze bevorstehender Reisen schwärzen, da sie das Risiko konkreter Schäden für die Betroffenen anerkenne.

Warum das Risiko konkret ist: Postleitzahlen und gezieltes Phishing

Die Granularität britischer Postleitzahlen macht diese Exposition kritischer als ein vergleichbarer Vorfall in den USA. Eine vollständige britische Postleitzahl identifiziert oft eine kleine Gruppe benachbarter Adressen, manchmal eine einzelne Immobilie, wie das Office for National Statistics angibt.

Kombiniert man Postleitzahlen, Fahrzeugkennzeichen, Parkdaten und Buchungsreferenzen, kann ein Angreifer sehr überzeugende Phishing-Nachrichten konstruieren. Man stelle sich eine E-Mail vor, die eine reale, unmittelbar bevorstehende Reise zitiert – mit Datum, Terminal und gezahltem Betrag: Der Empfänger wird sie kaum von einer authentischen MAG-Kommunikation unterscheiden können. Die sensibelste Teilmenge sind gerade die fast 200.000 Datensätze künftiger Reisen, die identifizierbare Personen mit geplanten Bewegungen verknüpfen.

Eine Lieferkette unter Druck: Iterable und der Präzedenzfall Collins Aerospace

Die im Artikel von Security Affairs zitierten Sicherheitsforscher verweisen auf ein mögliches Lieferkettenthema. Der Flughafenbetrieb hängt zunehmend von Drittplattformen für Buchungen, Parken und Kundenbindung ab. Iterable, die Marketingplattform, deren API-Zugangsdaten ausgenutzt worden sein sollen, ist genau eine solche externe Abhängigkeit.

Es ist nicht der erste Vorfall dieser Art in der britischen und europäischen Luftfahrt. Im September 2025 hatte bereits ein Ransomware-Angriff auf die Check-in-Software von Collins Aerospace die Systeme von Heathrow, Brüssel und Berlin lahmgelegt. Zwei bedeutende Treffer innerhalb von zwölf Monaten zeigen, dass die Flughafeninfrastruktur nicht nur durch eigene Fehler, sondern auch durch die ihrer Zulieferer exponiert ist.

Was Kunden tun können und welche Lehren Unternehmen ziehen sollten

MAG gibt an, zuversichtlich zu sein, wirksame Maßnahmen zum Schutz der Kunden ergriffen zu haben, und alle Betroffenen kontaktiert zu haben, auch jene mit bevorstehenden Buchungen. Reisenden, die kürzlich Parkplätze, Lounge-Zugang oder Fast Track gebucht haben, wird empfohlen, davon auszugehen, dass weitere Reisedaten exponiert worden sein könnten, und jede Nachricht, die echte Buchungsdetails zitiert, mit Vorsicht zu behandeln.

Für Unternehmen ist die Lehre klar: Man sollte sensible API-Zugangsdaten niemals im an den Browser ausgelieferten JavaScript-Code offenlegen. Jeder Schlüssel oder Token, der im Client landet, ist für jedermann zugänglich. Besser sind serverseitige Proxys, Token mit begrenztem Geltungsbereich und die regelmäßige Rotation der Zugangsdaten. Im Fall von MAG hat sich ein scheinbar banaler Fehler in einen Massendatenverstoß verwandelt – mit potenziellen Auswirkungen auf die persönliche Sicherheit von Millionen Reisenden.