Expedia Datenleck: Lieferketten-Hack bestätigt

Wurde Expedia gehackt?

Ja: Am 12. November 2026 bestätigte die Expedia Group, dass Angreifer über einen kompromittierten externen Anbieter einer Datenplattform in ihre Systeme gelangten, bei einem Lieferkettenangriff, der auch andere Unternehmen traf ^[1].

In einer Stellungnahme gegenüber der Reisebranchen-Publikation Skift sagte Expedia, man sei sich „eines von Sicherheitsforschern gemeldeten Lieferkettenangriffs bewusst“ ^[1]. Skift berichtet, Expedia habe beschrieben, dass Angreifer einen externen Anbieter einer Datenplattform kompromittierten und über diesen Zugang mehrere Unternehmen erreichten ^[1]. Laut Skift erklärte Expedia außerdem, das Problem eingedämmt zu haben, sobald es davon erfuhr, gemeinsam mit externen Sicherheitsexperten zu ermitteln und dass seine Plattformen für Reisende und Partner sicher blieben ^[1].

Was Expedia nicht gesagt hat, ist ebenso wichtig ^[1]:

• Das Unternehmen nannte den kompromittierten Anbieter nicht.
• Es sagte nicht, welche Kundendaten, falls überhaupt, betroffen waren.
• Es nannte keine Zahl der betroffenen Personen.

Die Bestätigung kam, nachdem mehrere Cybersicherheits-Websites Behauptungen einer Erpressergruppe namens n0n gemeldet hatten, sie habe Expedia-Daten gestohlen ^[1]. Die Expedia Group betreibt unter anderem die Marken Expedia, Hotels.com, Vrbo, Travelocity, Hotwire, Orbitz und Trivago ^[5].

Welche Daten will die Gruppe n0n besitzen?

n0n behauptet, mehr als ein Terabyte an Expedia-Daten gestohlen zu haben, überwiegend Kundendatensätze, doch keine ihrer Angaben wurde von Expedia bestätigt ^[5][1]. Laut Cybernews drohte die Gruppe damit, die Daten zu veröffentlichen, sofern Expedia keine Einigung erzielt ^[4]; Skift merkt an, dass auf ihrer Dark-Web-Seite kein konkretes Lösegeld genannt wurde ^[1].

Zur angeblichen Beute der Gruppe gehören nach Berichten von Cybernews und Cyber Daily ^[4][5]:

• 830.069.282 Zeilen mit Daten aus Treueprogrammen in 800 Dateien, mit E-Mail-Adressen, Mitglieds-IDs, Punktständen in 21 Währungen und Buchungswerten für 35 namentlich genannte Programme.
• Rund 58 Millionen Zeilen mit Reiseprofilen samt E-Mail-Adressen, Kontodaten und Heimatflughäfen.
• Rund 333 Millionen Verbraucherkontodatensätze, die Konto-IDs und E-Mail-Adressen mit „passwortähnlichen Tokens“ verknüpfen.
• Dateien mit Buchungsereignissen samt Bestellnummern, Reiseplan-IDs und Buchungswerten sowie 22-23 Millionen Reisedatensätze.
• Knapp 500.000 Datensätze zur Gästekommunikation.

Zeilenzahlen entsprechen nicht der Zahl der Personen: Eine Person kann in vielen Zeilen und Dateien vorkommen. Die Gruppe behauptete außerdem, Zugriff auf Quellcode und produktive Cloud-Systeme zu haben ^[4].

Wurden Expedia-Daten bereits veröffentlicht?

Cyber Daily berichtete am 12. November 2026, dass n0n einen Teil des angeblichen Datensatzes im Dark Web veröffentlicht hat ^[5]. Das komprimierte Archiv enthält 11 Ordner mit Hunderttausenden E-Mail-Adressen, die mit Reisedaten verknüpft sind, darunter Anmeldedaten, Hotelaufenthalte, Korrespondenz und Treuedaten wie Nutzer-IDs von Reisenden und Punktestände ^[5].

Zwei Einschränkungen gelten ^[5]:

• Mehrere der E-Mail-Adressen waren laut Have I Been Pwned bereits in früheren Datenlecks aufgetaucht, viele jedoch nicht.
• Die Zeiträume in mehreren Dateien deuten darauf hin, dass die Daten eher historisch als aktuell sein könnten.

Cyber Daily teilte mit, Expedia habe es abgelehnt, sich zu den konkreten Behauptungen der Hacker zu äußern ^[5]. Cyber Daily nennt einen Leak-Beitrag von n0n vom 3. November als erste Behauptung ^[5]. Bis Expedia oder ein unabhängiger Ermittler Ergebnisse veröffentlicht, bleiben Umfang und Aktualität eines Lecks unverifiziert.

Wie funktionierte der Lieferkettenangriff auf Expedia?

Expedia hat lediglich mitgeteilt, dass ein externer Anbieter einer Datenplattform kompromittiert und sein vertrauenswürdiger Zugang missbraucht wurde ^[1]. Sicherheitsforscher haben unabhängig davon eine Kampagne dokumentiert, die Qubole betrifft, eine Cloud-Datenplattform; Skift berichtet, dass die Forscher Expedia nicht öffentlich als betroffenen Kunden genannt haben ^[1].

Das Cloud-Sicherheitsunternehmen Wiz berichtete gemeinsam mit Sentra und Mandiant, dass ein Angreifer zwischen dem 14. und 26. Oktober 2026 IAM-Zugangsdaten eines mit Qubole, einer Big-Data-Plattform, verbundenen AWS-Kontos nutzte, um Rollen zu übernehmen, die Kunden angelegt hatten, um Qubole zu vertrauen ^[3]. Einmal im System, listete der Angreifer Ressourcen auf, sammelte Geheimnisse aus AWS Secrets Manager, SSM Parameter Store und Lambda-Einstellungen, testete gestohlene Schlüssel mit dem Werkzeug TruffleHog und lud Daten aus S3-Speicher-Buckets herunter ^[3][2].

Wiz erklärte, die meisten der verwendeten Rollen seien ansonsten ungenutzt gewesen: Die Vertrauensrichtlinien bestanden weiter, sodass die Anfragen erfolgreich waren ^[3]. Sentra stellte fest, dass ehemalige Qubole-Kunden den gewährten Zugang nie widerrufen hatten, und bestätigte Dutzende Opfer, wobei allein bei einem Kunden Millionen Dateien entwendet wurden ^[1][2]. Qubole war einst ein Expedia-Dienstleister, doch Expedia hat nicht bestätigt, ob sein Datenleck damit zusammenhängt ^[1].

AWS teilte BleepingComputer mit, seine Dienste „wurden durch dieses Problem nicht kompromittiert und funktionierten wie vorgesehen“; der Angreifer habe Zugangsdaten eines externen Anbieters verwendet ^[2].

Was sollten Expedia-Kunden jetzt tun?

Das wahrscheinlichste Risiko für Kunden ist gezieltes Phishing: Sicherheitsforscher warnen, dass Betrüger Buchungsdaten nutzen könnten, um überzeugende Nachrichten zu versenden ^[4]. Diese Schritte ergeben sich aus dem bisherigen Kenntnisstand:

1. Seien Sie misstrauisch gegenüber unerwarteten Buchungsnachrichten, besonders solchen, die echte Reisen, Punktestände oder Treuestufen erwähnen und Sie auffordern, zu zahlen, eine Karte zu „verifizieren“ oder sich über einen Link anzumelden ^[4].
2. Öffnen Sie die Expedia-App oder geben Sie die Website-Adresse selbst ein, statt Links in E-Mails, SMS oder WhatsApp-Nachrichten zu folgen. What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes beschreibt die Warnzeichen.
3. Ändern Sie Ihr Passwort, wenn Sie es anderswo wiederverwenden, denn die Gruppe behauptet, „passwortähnliche Tokens“ zu besitzen ^[4]; ein einmaliges Passwort begrenzt den Schaden.
4. Aktivieren Sie die Zwei-Schritt-Verifizierung, wo Ihre Reisekonten sie anbieten; Two-Factor Authentication Explained: Which 2FA Method Is Safest? erklärt, welche Methoden am sichersten sind.
5. Prüfen Sie, ob Ihre E-Mail-Adresse in bekannten Datenlecks auftaucht; Cyber Daily verglich die geleakten E-Mail-Adressen mit Have I Been Pwned ^[5]. Was My Data Leaked? How to Check and What to Do After a Data Breach erklärt, was Sie danach tun sollten.

Phishing im Reisebereich nach Datenlecks ist keine bloße Theorie. Nachdem Booking.com im April 2026 ein Datenleck bei Kundenbuchungsdaten bekannt gegeben hatte, meldeten Kunden Phishing-E-Mails, Anrufe und WhatsApp-Nachrichten mit Bezug auf ihre Buchungen ^[4].

Was sollten Unternehmen mit Cloud-Datenanbietern prüfen?

Administratoren sollten nach unerwarteter Rollennutzung durch Anbieterkonten suchen und Vertrauensbeziehungen entfernen, die sie nicht mehr brauchen ^[2][3].

• AWS-CloudTrail-Protokolle ab dem 1. Oktober auf verdächtigen Zugriff vom AWS-Konto von Qubole prüfen und anschließend spätere Zugriffe auf Geheimnisse und S3 untersuchen ^[2].
• Möglicherweise offengelegte Zugangsdaten rotieren und aktive Rollensitzungen widerrufen ^[2].
• Nicht genutzte Integrationen entfernen und bei den verbleibenden Rollen Berechtigungen, vertrauenswürdige Identitäten und zulässige Quellnetzwerke einschränken ^[2].
• Nach Rollensitzungsnamen suchen, die mit „quiam-“ beginnen, was Wiz beim Angreifer durchgängig beobachtete, etwa quiam-enum ^[3].

AWS selbst rät, kontenübergreifende IAM-Rollen regelmäßig zu überprüfen, den Zugang für nicht mehr genutzte Integrationen zu entfernen, nach dem Prinzip der minimalen Rechte zu vergeben und den Vertrauensrichtlinien von Rollen Bedingungen wie Einschränkungen der Quell-IP hinzuzufügen ^[2]. Sentra beobachtete, dass der Angreifer Geheimnisse in einem Tempo von 100 Passwörtern und Schlüsseln in sieben Minuten sammelte, sodass eine schnelle Erkennung entscheidend ist ^[2].

Wer ist die Erpressergruppe n0n?

n0n ist laut Cyber Daily ein relativ neuer Erpressungsakteur, der im September 2026 aufgetaucht ist und allein im Oktober 204 Opfer für sich reklamierte ^[5]. Im November hatte die Gruppe bis zum 12. November mehr als 100 weitere Opfer aufgelistet, viele davon auf ihrer Leak-Seite nur mit einer Nummer ^[5].

Das Sicherheitsunternehmen SOCRadar, zitiert von Cyber Daily, erklärte, es habe im September 2026 einen offen zugänglichen Staging-Server entdeckt, der einem n0n-Operator zugeordnet war und Werkzeuge, Erpressungsinfrastruktur sowie eine KI-Coding-Agent-Umgebung offenlegte, die durch mehr als 7.000 US-Dollar an bezahlter Nutzung von KI-Modellen gestützt wurde ^[5]. What Are AI Agents? How They Work, What They Can Do and Where They Fail erklärt, wie solche Agenten funktionieren. SOCRadar erklärte, n0n setze auf kompromittierte Zugangsdaten statt auf bekannte Schwachstellen und habe weder Exploit-Payloads noch CVE-Verweise gefunden; dokumentierte Einstiegspunkte sind Credential Stuffing gegen VPN-Portale, schwache Passwörter für den Fernzugriff und offengelegte AWS-Schlüssel ^[5].

Einige Analysten für Bedrohungsinformationen hatten an den Behauptungen der Gruppe gezweifelt, berichtet Cyber Daily, doch viele sehen in ihr nun eine ernsthafte neue Bedrohung, auch wenn sie keine klassische Ransomware-Gruppe ist ^[5].

Wie geht es weiter?

Die zentralen offenen Fragen sind, welcher Anbieter kompromittiert wurde, welche Daten tatsächlich betroffen waren und ob Expedia die betroffenen Kunden benachrichtigen wird ^[1]. Bisher hat Expedia nicht mitgeteilt, dass Kundendaten betroffen waren ^[1].

Zu beobachten sind drei Dinge: eine förmliche Mitteilung von Expedia an Kunden oder Aufsichtsbehörden, die Ergebnisse seiner externen Ermittler und die Frage, ob Sicherheitsforscher den Expedia-Vorfall mit der Qubole-Kampagne in Verbindung bringen ^[1][3]. Bis dahin sind die online kursierenden hohen Datensatzzahlen als Behauptungen der Angreifer zu behandeln ^[4][5].