Reqrea Hotel-Check-in-Datenpanne legt über 1 Million Pässe offen
Ein falsch konfigurierter Cloud-Speicher des japanischen Hospitality-Technologieunternehmens Reqrea ließ über eine Million Identitätsdokumente über einen möglicherweise jahrelangen Zeitraum ungeschützt online zugänglich. Reisepässe, Führerscheine und Gesichtsverifikationsfotos waren ohne Authentifizierung abrufbar – Sicherheitsforscher bezeichnen dies als einen der bedeutendsten Datenschutzvorfälle im Bereich Hotel-Check-in-Identitätsdaten, der aus dem asiatisch-pazifischen Gastgewerbesektor bekannt geworden ist. Die Daten sind inzwischen gesichert, doch das Zeitfenster der Offenlegung reicht mindestens bis ins Jahr 2020 zurück, was ernsthafte Fragen darüber aufwirft, wie lange betroffene Reisende unwissentlich gefährdet waren.
Was Reqrea offengelegt hat und wer gefährdet ist
Reqrea stellt Hotels und Anbietern von Kurzzeitunterkünften digitale Check-in-Infrastruktur bereit. Wie viele moderne Hospitality-Technologieanbieter verarbeitet die Plattform im Rahmen des Gäste-Onboarding-Prozesses Identitätsnachweise – dabei werden gescannte amtliche Ausweise und biometrische Fotos erfasst, um die Identität eines Gastes vor oder bei der Ankunft zu bestätigen.
Der offengelegte Cloud-Speicher enthielt über eine Million Datensätze, darunter vollständige Reisepassscans, Führerscheinbilder und Gesichtsfotos zur Identitätsabgleichung. Die Art der Daten legt nahe, dass der Vorfall internationale Reisende betrifft, die in Unterkünften übernachtet haben, die Reqreas System nutzen – möglicherweise aus mehreren Ländern und mit unterschiedlichen Nationalitäten. Ein Sicherheitsforscher entdeckte die Fehlkonfiguration und meldete sie, woraufhin Reqrea den Speicher sicherte. Ein Zugriff durch Angreifer wurde öffentlich nicht bestätigt, kann jedoch angesichts des mehrjährigen Offenlegungszeitraums nicht ausgeschlossen werden.
Wie Hospitality-Technologieanbieter zur Schwachstelle für Reisende werden
Wenn Gäste beim Hotel-Check-in einen Reisepass vorlegen, gehen sie in der Regel davon aus, dass das Dokument verantwortungsvoll behandelt und danach vernichtet wird. Was vielen Reisenden nicht bewusst ist: Das Hotel selbst verwaltet diese Daten häufig gar nicht direkt. Stattdessen fließen sie durch Drittanbieter wie Reqrea, die die digitale Infrastruktur hinter Rezeptionen und Self-Service-Kiosken betreiben.
Dies schafft ein vielschichtiges Verantwortungsproblem. Hotels sind an lokale Datenschutzgesetze und branchenspezifische Vorschriften gebunden, doch die von ihnen eingesetzten Anbieter unterliegen möglicherweise anderen Rechtsordnungen oder wenden uneinheitliche Sicherheitsstandards an. Ein falsch konfigurierter Cloud-Speicher – eine der häufigsten und am leichtesten vermeidbaren Methoden der Datenoffenlegung – ist ein grundlegender Infrastrukturfehler, den ein reifes Sicherheitsprogramm vor der Inbetriebnahme erkennen sollte, geschweige denn jahrelang bestehen lassen dürfte.
Dies ist kein Einzelfall. Der Gastgewerbesektor ist wiederholt Ziel und Ursprung von Datenvorfällen geworden, da enorme Mengen sensibler persönlicher Daten durch seine Systeme fließen. Ein separater Vorfall, der Hotelgäste in mehreren Ländern betraf, legte fünf Millionen Menschen durch kompromittierte Hospitality-Management-Plattformen bloß und verdeutlicht, wie vernetzt und anfällig dieses Ökosystem geworden ist.
Warum biometrische Daten und Ausweisdaten besonders gefährlich sind, wenn sie geleakt werden
Nicht alle Datenpannen haben gleich schwerwiegende Folgen. Eine geleakte E-Mail-Adresse lässt sich ändern. Ein geleakter Reisepass nicht.
Amtlich ausgestellte Identitätsdokumente dienen als grundlegende Berechtigungsnachweise für die Identitätsverifikation in Bankwesen, Einwanderungsbehörden, Beschäftigung und Rechtssystemen. Sobald ein hochauflösender Reispasscan in die Hände eines Kriminellen gelangt, kann er dazu verwendet werden, betrügerische Finanzkonten zu eröffnen, synthetische Identitäten zu erstellen oder Identitätsprüfungen zu umgehen, die auf Dokumentenbildern statt auf physischer Überprüfung basieren.
Gesichtsverifikationsfotos verschärfen dieses Risiko. Biometrische Daten werden zunehmend in Authentifizierungssystemen eingesetzt, und anders als ein Passwort lässt sich ein Gesicht nicht ändern. Die Kombination aus einem Reisepassscan und einem dazu passenden Gesichtsfoto liefert nahezu alles, was benötigt wird, um jemanden sowohl in digitalen als auch in physischen Kontexten zu imitieren.
Opfer dieser Art von Datenpanne erleiden möglicherweise keinen unmittelbaren Schaden. Identitätsbetrug, der auf gestohlenen amtlichen Dokumenten basiert, taucht oft erst Monate oder Jahre später auf, was es schwierig macht, ihn einem bestimmten Vorfall zuzuordnen, und die Schadensbegrenzung erschwert.
Wie Reisende ihre Exposition begrenzen können, wenn Hotels einen Ausweis verlangen
Reisende haben wenig Handhabe, wenn ein Hotel für den Check-in eine Identitätsprüfung verlangt, aber es gibt praktische Maßnahmen, die das langfristige Risiko reduzieren.
Erstens: Stellen Sie Fragen, bevor Sie Dokumente aushändigen. Unterkünfte sind oft gesetzlich verpflichtet, die Identität der Gäste zu erfassen, aber die Art der Speicherung ist nicht immer vorgeschrieben. Es ist eine berechtigte Anfrage, zu fragen, ob digitale Scans nach dem Check-in aufbewahrt werden und wie lange – eine Frage, die ein verantwortungsvoller Betreiber beantworten können sollte.
Zweitens: Bevorzugen Sie nach Möglichkeit die physische Vorlage von Dokumenten gegenüber digitalen Uploads. Wenn die App eines Hotels Sie auffordert, vor der Ankunft ein Passfoto hochzuladen, überlegen Sie, ob dieser Schritt gesetzlich vorgeschrieben oder lediglich eine Komfortfunktion ist. Weniger digitale Kopien bedeuten weniger Angriffsflächen.
Drittens: Überwachen Sie Ihre Identität proaktiv nach Aufenthalten in Unterkünften, die Drittanbieter-Check-in-Systeme verwenden. Wenn Ihr Reisepass oder Führerschein von einem Anbieter gescannt wurde, dessen Sicherheitspraktiken Sie nicht überprüfen können, sind regelmäßige Kontrollen auf Anzeichen von Identitätsbetrug sinnvoll – besonders bevor Sie Finanzprodukte verlängern oder Anträge stellen, die eine Identitätsverifikation erfordern.
Bleiben Sie abschließend über Datenpannen im Gastgewerbesektor informiert. Hotels und ihre Dienstleister benachrichtigen betroffene Gäste nicht immer zeitnah, und Meldungen über Datenpannen tauchen häufig zuerst bei Sicherheitsforschern auf, bevor offizielle Mitteilungen herausgehen.
Was das für Sie bedeutet
Die Reqrea-Offenlegung ist eine Erinnerung daran, dass das Risiko einer Datenpanne bei Hotel-Check-in-Identitätsdaten nicht hypothetisch ist. Jedes Mal, wenn Sie einem Gastgewerbebetreiber ein amtliches Ausweisdokument aushändigen, tritt dieses Dokument in eine Datenpipeline ein, in die Sie keinen Einblick haben und über die Sie keine Kontrolle besitzen. Das Problem ist struktureller Natur: Die Hotelbranche erfasst in großem Maßstab hochsensible Identitätsdaten, verteilt sie auf Technologieanbieter und hat historisch gesehen eine uneinheitliche Sicherheitsaufsicht angewandt.
Wenn Sie häufig reisen – insbesondere wenn Sie automatisierte oder app-basierte Check-in-Systeme in Hotels in Japan oder anderen Märkten genutzt haben, in denen Reqrea tätig ist – lohnt es sich, Ihre Kredit- und Identitätsdaten auf ungewöhnliche Aktivitäten zu überwachen. Für einen breiteren Kontext dazu, wie sich diese Vorfälle im Gastgewerbesektor entwickeln, bietet die Berichterstattung über Datenpannen bei Hotelgästen, die Millionen von Reisenden betreffen, nützliche Hintergrundinformationen zu Ausmaß und Muster dieser Sicherheitslücken.
Fordern Sie mehr von den Unternehmen, denen Sie Ihre sensibelsten Dokumente anvertrauen. Und fragen Sie beim Reisen, wer Ihre Daten tatsächlich verwahrt, bevor Sie sie herausgeben.
