Offene Datenbank in Vietnam: Pässe und Flüge von 220 Millionen Reisenden

Eine Grenzkontrolldatenbank mit 220 Millionen Reisendendatensätzen lag offen im Internet, und das Vietnam-APIS-Leck enthielt genau den Teil einer Reise, den niemand freiwillig teilt: Passnummern, Geburtsdaten, Staatsangehörigkeiten und die vollständige Fluggeschichte dazu. Kinryū Labs fand den Cluster am 3. Juni 2026, der Betreiber schloss ihn fünf Tage später. Was niemand sagen kann: wie lange die Tür vorher offen stand und wer sonst noch hineinspaziert ist.

Was in der vietnamesischen APIS-Datenbank lag

Der Cluster umfasste 29 Indizes und rund 107 GB auf IP-Adressen, die Viettel in Hanoi zugewiesen sind. Das Gewicht trugen zwei Indizes: einer für Passagiere, einer für Besatzungen. Jeder Datensatz verbindet eine Identität mit einer Reiseroute. Auf der Identitätsseite stehen Name, Geburtsdatum, Geschlecht, Staatsangehörigkeit, Pass- oder Reisedokumentnummer, Ablaufdatum und Ausstellungsland. Auf der Reiseseite Flugnummer und Datum, Fluggesellschaft, Abflug-, Ziel- und Transitflughafen, Sitzplatz, Gepäckreferenzen sowie geplante, geschätzte und tatsächliche Zeiten.

Diese Verbindung unterscheidet den Fall von einem gewöhnlichen Kundenleck. Eine Marketingdatenbank verrät einem Angreifer, wer Sie sind. Diese verrät, wer Sie sind, mit welchem Dokument Sie reisen, wann es abläuft, wohin Sie geflogen sind, neben wem Sie vermutlich sassen und wie oft Sie die Strecke nehmen. Kinryū Labs sagt, die Echtheit der Datensätze sei geprüft worden, indem die eigenen Forscher ihre Reisen nach Vietnam im Cluster wiederfanden.

Wie die Tür offen blieb

Exotisches ist hier nicht passiert. Der direkte Zugriff aus dem Internet lieferte ein HTTP 401, also genau das, was ein Administrator prüft und danach abhakt. Ein zweiter Weg, ein Cloud-Pfad zum selben Cluster, wurde nie abgesichert und akzeptierte Standard-Zugangsdaten. Zwei gewöhnliche Fehlkonfigurationen zusammen machen aus einer verschlossenen Haustür einen offenen Seiteneingang, und die Haustür meldet weiterhin, dass alles in Ordnung ist.

Der Host selbst war nicht neu. Die Scan-Plattform FOFA erfasste ihn im Oktober 2022 und erkannte ihn im Juli 2023 als Datenbank. Das beweist keine vierjährige Offenlegung, denn Zugangsdaten und Cloud-Pfad können sich zwischendurch geändert haben. Es heisst aber, dass die Maschine für jeden Scanner deutlich länger sichtbar war als die fünf Tage zwischen Fund und Abschaltung.

Warum ein Staat diese Daten überhaupt hat

Advance Passenger Information ist keine vietnamesische Erfindung. Nach dem internationalen Rahmen rund um Anhang 9 des ICAO-Abkommens übermitteln Fluggesellschaften Identitäts- und Dokumentdaten der Passagiere an die Grenzbehörden des Ziellandes, bevor das Flugzeug landet, in einem standardisierten Nachrichtenformat. Fast jedes Land, in das Sie fliegen, bekommt eine solche Datei über Sie. Der Passagier kann nicht widersprechen: Die Alternative zur Datenabgabe ist, nicht zu fliegen.

Das ist der unbequeme Teil dieser Geschichte. Die Menschen in diesem Cluster haben sich für keinen Dienst registriert, keinen Bedingungen zugestimmt und kein Cookie-Banner weggeklickt. Sie haben ein Ticket gekauft. Das System, das ihre Dokumente einsammelte, ist verpflichtend, die Datenbank hielt neun Jahre Historie, und die Sicherheit der ganzen Konstruktion hing daran, ob ein Cluster in Hanoi auf einem Nebenweg Standardpasswörter hatte.

Chronologie

1. Oktober 2022: die Scan-Plattform FOFA erfasst den Host erstmals, im Juli 2023 wird er als Datenbank eingestuft.
2. 3. Juni 2026: Kinryū Labs findet den pax-info-Cluster bei der Suche nach offenen Datenbanken für eine Ransomware-Untersuchung und informiert vietnamesische Behörden, betroffene Airlines und nationale CERTs.
3. Juni 2026: das Sicherheitsteam von Singapore Airlines hilft bei der Koordination, Changi Airport Group äussert sich nicht, die vietnamesischen Behörden antworten nicht.
4. 8. Juni 2026: der Zugang wird geschlossen.
5. 8. September 2026: die Ergebnisse werden veröffentlicht.

Was Reisende wirklich tun können

Wenig, und das sagt man besser offen. Eine Passnummer wechselt man nicht wie ein Passwort, die Daten reichen neun Jahre zurück, und kein Verbraucherwerkzeug greift in ein Grenzkontrollsystem hinein. Was geht: das Leck als dauerhafte Änderung des eigenen Bedrohungsmodells behandeln statt als Schlagzeile für einen Tag.

• Rechnen Sie mit überzeugendem Phishing. Eine Nachricht, die Ihre echte Flugnummer, Ihren Sitzplatz und Ihre Reisedaten nennt, wirkt weit glaubwürdiger als Massenware. Nachrichten im Namen von Airlines oder Behörden, die Dokumentdaten bestätigt haben wollen, verdienen null Vertrauen, egal wie viel sie über Sie wissen.
• Achten Sie auf Dokumentenmissbrauch, nicht auf Kartenbetrug. Passnummer plus Geburtsdatum passen zu Identitätsprüfungen und Visumanträgen, nicht zu Kartenabbuchungen. Wo Ihr Land eine Prüfung auf missbräuchliche Nutzung des Reisedokuments anbietet, ist das die relevante Stelle.
• Schauen Sie auf das Ablaufdatum. Ein turnusmässig erneuerter Pass schiebt eine neue Nummer zwischen Sie und diesen Datenbestand. Eilig ist das für die wenigsten, aber es ist der einzige Teil des Datensatzes, den Sie ändern können.

Und eines hilft hier nicht: ein VPN. Es schützt den Verkehr zwischen Ihnen und einem Server und hat nichts mit einer Datenbank zu tun, die Ihre Fluggesellschaft gesetzlich verpflichtet für Sie befüllt hat. Solche Lecks repariert ein Staat, nicht ein Abonnent. Daran lohnt es sich zu erinnern, wenn die nächste Leck-Meldung mit einem Rabattcode ankommt, und dasselbe Muster gab es, als ShinyHunters die Passdaten von sechs Millionen Kreuzfahrtpassagieren mitnahmen.