Ein schnelles Foto vom Boarding Pass vor dem Abflug gehört für viele Reisende dazu. Die Daten auf der Bordkarte verraten allerdings mehr, als man auf den ersten Blick sieht: Mit Nachname und Buchungscode lässt sich bei vielen Airlines die komplette Buchung öffnen, und auch im Barcode stecken persönliche Informationen.
Wir erklären, welche Daten eine Bordkarte enthält, was Fremde damit anstellen können und wie Ihr Bordkarte und Gepäckanhänger nach der Reise richtig entsorgt.
Inhaltsverzeichnis
Das Wichtigste in Kürze: Der Barcode auf der Bordkarte folgt einem weltweiten IATA-Standard und enthält unter anderem Euren Namen, den Buchungscode und je nach Airline auch Eure Vielfliegernummer. Mit Nachname und Buchungscode können Fremde bei vielen Airlines Eure Buchung einsehen und im schlimmsten Fall ändern. Postet Bordkarten deshalb nie unzensiert und entsorgt sie samt Gepäckanhänger erst zu Hause.
Welche Daten stehen auf der Bordkarte?
Auf jedem Boarding Pass stehen gut lesbar Euer Name, Flugnummer, Datum, Abflugzeit, Gate und Sitzplatz. Dazu kommt der sechsstellige Buchungscode, bei manchen Airlines auch die Ticketnummer und Euer Vielfliegerstatus.
Noch mehr steckt im Barcode. Seinen Aufbau regelt die IATA-Resolution 792, der sogenannte Bar Coded Boarding Pass (BCBP), aktuell in Version 8. Auf gedruckten Bordkarten ist das meist ein zweidimensionaler PDF417-Code, auf dem Smartphone häufig ein QR- oder Aztec-Code. Der Code enthält unter anderem Namen, Buchungscode, Abflug- und Zielflughafen, Flugnummer, Datum, Sitzplatz und die Check-in-Nummer. Optional speichern Airlines darin auch die Vielfliegernummer.
Verschlüsselt sind diese Daten nicht. Jede kostenlose Scanner-App kann den Code auslesen, ein gut aufgelöstes Foto in sozialen Medien genügt also schon.
Warum sind die Daten auf der Bordkarte sensibel?
Bei den meisten Airlines reichen Nachname und Buchungscode aus, um online die Buchung zu verwalten. Wer beides kennt, sieht dort den kompletten Reiseverlauf, teilweise auch E-Mail-Adresse, Telefonnummer, Mitreisende oder gebuchte Zusatzleistungen. Damit wissen Fremde zum Beispiel, wie lange Ihr verreist und Eure Wohnung leer steht.
Wie real das Risiko ist, zeigte im September 2022 ein Fall bei der Lufthansa. Laut Spiegel konnten Unbekannte über den QR-Code einer Bordkarte von Lufthansa-Chef Carsten Spohr dessen Handynummer und E-Mail-Adresse abrufen. Die Lufthansa bestätigte die Schwachstelle damals und riet, Reisedokumente wie Bargeld zu behandeln.
Kann ein Fremder mit der Bordkarte meinen Flug ändern?
Im schlimmsten Fall ja. Über die Buchungsverwaltung lassen sich je nach Airline Sitzplätze ändern, Kontaktdaten anpassen oder einzelne Flüge stornieren. Selbst wenn Ihr bereits im Flugzeug sitzt, kann eine Stornierung den Rückflug betreffen. Eine Erstattung fließt zwar in der Regel auf das ursprüngliche Zahlungsmittel zurück, der Ärger am Flughafen bleibt aber Euch.
Auch Vielfliegerkonten können betroffen sein, wenn die Nummer auf der Bordkarte steht. Der US-Journalist Brian Krebs hat schon 2015 gezeigt, wie sich über die Daten im Barcode ein Zugriff auf das Meilenkonto erschleichen ließ, die übrigen Sicherheitsfragen waren über soziale Netzwerke leicht zu beantworten.
Bei Miles & More könnt Ihr Euer Konto inzwischen mit einer Zwei-Faktor-Authentifizierung per SMS oder Authentifizierungs-App schützen. Miles & More empfiehlt dabei die App-Variante. Nach der Einrichtung braucht Ihr beim Login auf der Website, in der App und auf den Seiten der Lufthansa Group zusätzlich einen Code, ohne den kommt auch mit Eurer Kundennummer niemand ins Konto.
Ist auch der Gepäckanhänger ein Risiko?
Ja, denn auch auf dem Gepäckanhänger stehen Euer Name und oft der Buchungscode. Fehlt der Code im Klartext, lässt er sich unter Umständen aus dem Barcode auslesen. Wer den Anhänger direkt nach der Ankunft am Gepäckband abreißt und in den nächsten Mülleimer wirft, gibt die Daten also ebenfalls preis.
Gerade auf dem Hinflug ist das heikel, denn der Rückflug gehört meist zur selben Buchung. Nehmt Gepäckanhänger deshalb erst zu Hause oder im Hotel ab.
Wie schützt Ihr Eure Daten am besten?
Mit ein paar einfachen Regeln macht Ihr es Betrügern deutlich schwerer:
- Bordkarten, Buchungsbestätigungen und Gepäckanhänger nie unzensiert in sozialen Medien posten
- Vor dem Posten Namen, Buchungscode, Vielfliegernummer und den kompletten Barcode schwärzen
- Bordkarte erst zu Hause entsorgen und vorher zerreißen oder schreddern
- Screenshots mobiler Bordkarten nach der Reise löschen
- Zwei-Faktor-Authentifizierung bei Airline- und Vielfliegerkonto aktivieren
Ein privates Profil hilft zusätzlich, ersetzt das Schwärzen aber nicht. Ein Foto der Bordkarte ist schnell weitergeleitet, und schon eine Ecke des Barcodes kann genügen.
Unser Tipp: Wollt Ihr Euren Flug trotzdem teilen, fotografiert lieber das Flugzeug, das Gate oder den Blick aus dem Fenster. Das sieht meist ohnehin besser aus und verrät keine Buchungsdaten.
Wer die Bordkarte unbedingt als Erinnerung zeigen möchte, sollte mindestens Barcode und Buchungscode vollständig abdecken, nicht nur verpixeln.
Wie entsorgt Ihr eine Bordkarte richtig?
Die gedruckte Bordkarte gehört nicht in den Mülleimer am Flughafen oder im Flugzeug. Nehmt sie mit nach Hause und zerreißt sie dort so, dass Barcode und Buchungscode nicht mehr lesbar sind, oder gebt sie in den Aktenvernichter. Das gilt auch für ausgedruckte Buchungsbestätigungen.
Mobile Bordkarten in der Wallet-App verschwinden je nach Airline nicht automatisch. Löscht sie nach der Reise selbst, ebenso Screenshots in Eurer Fotogalerie. Weitere Tipps rund um die Reise findet Ihr in unserer Checkliste zur Reisevorbereitung.
Fazit zu den Daten auf der Bordkarte
Eine Bordkarte ist mehr als ein Stück Papier. Name und Buchungscode öffnen bei vielen Airlines die komplette Buchung, und der Barcode lässt sich mit jedem Smartphone auslesen. Wer Fotos davon unzensiert teilt oder die Karte am Flughafen wegwirft, riskiert im schlimmsten Fall Änderungen an der Buchung oder den Missbrauch persönlicher Daten.
Schützen könnt Ihr Euch mit wenig Aufwand: nichts unzensiert posten, Bordkarte und Gepäckanhänger erst zu Hause vernichten und Eure Konten mit Zwei-Faktor-Authentifizierung absichern.
