What's actually inside a boarding-pass barcode?

Per IATA Resolution 792, every boarding pass barcode encodes the passenger's full name (20 chars), the operating carrier's booking reference (PNR, 7 chars), departure airport (3 chars), arrival airport (3 chars), carrier code, flight number, Julian day of the flight, compartment class, seat number, check-in sequence number, and passenger status. Frequent-flyer numbers and additional itinerary segments are included in the conditional section.

Why is it risky to post my boarding pass online?

The combination of your full name plus the 7-character PNR is enough to log into the airline's 'Manage my booking' flow on most carriers. From there, an attacker can change your seat, redirect your frequent-flyer mileage, see your other upcoming trips, see your contact details, and build a targeted phishing email that name-drops your real itinerary. Several documented incidents involve passengers losing miles or having identity-theft attempts after posting boarding-pass photos to social media.

What symbology does my boarding pass use?

Most carriers worldwide use a 2-D QR or Aztec code. Some European carriers (Eurostar, SBB) use Aztec. A handful still issue PDF417 boarding passes. The content format is the same, IATA Resolution 792's fixed-width text, only the visual encoding differs.

Can my boarding pass be scanned by someone walking past me at the gate?

Yes. Phone cameras can decode the barcode from several feet away in good lighting. Anyone behind you in the boarding line who points their phone at your screen captures the same data the gate scanner reads. Cover the barcode with your hand or angle the screen toward your body until the gate agent is ready to scan it.

Standards · IATA Bar-Coded Boarding Pass

Was ist in einem Bordkarten-Barcode gespeichert?

Fast alles, was eine Airline über Ihre Reise weiß. Der 2D-Barcode (QR, Aztec oder PDF417) auf Ihrer Bordkarte enthält Ihren vollständigen Namen, das sechs- oder siebenstellige Buchungskennzeichen, Carrier und Flugnummer, Strecke, Abflugdatum, Sitz, Reiseklasse, Check-in-Sequenz und eine eventuell hinterlegte Vielfliegernummer. Name und Buchungskennzeichen zusammen reichen aus, um sich auf der Website der Airline anzumelden und auf die Buchung zuzugreifen – deshalb ist ein öffentlich gepostetes Foto einer Bordkarte ein echtes Sicherheitsrisiko.

Bordkarte prüfen → Alle Standards →

Das Format

The standard is IATA Resolution 792, maintained by the International Air Transport Association as part of the Passenger Services Conference Recommended Practices. It defines a fixed-width text encoding that fits inside a 2-D barcode and contains everything the gate agent's scanner needs to confirm your booking.

Das Format ist symbologieunabhängig. Die meisten Carrier verwenden heute QR-Codes, europäische Hochgeschwindigkeitsbahnen und die SBB nutzen Aztec, einige ältere Carrier setzen noch PDF417 ein. Der kodierte Text ist bei allen drei identisch; nur die visuelle Darstellung unterscheidet sich. Unser Scanner liest alle drei Symbologien und wendet denselben Decoder auf den resultierenden Text an.

Der Pflichtbereich jeder Bordkarte umfasst genau 60 Zeichen: ein 2-Zeichen-Header (Formatcode „M" + Segmentanzahl), gefolgt von 20 Zeichen Passagiername, 1 Zeichen elektronischer Ticketindikator und 37 Zeichen Segmentdaten. Mehrsegmentige Verbindungen fügen pro Segment weitere 37 Zeichen hinzu. Der bedingte Bereich (nach den Pflicht-60) enthält typischerweise Vielfliegernummer, Tarifbasis, Check-in-Quelle (Web / Kiosk / Agent) und eventuell vom Carrier angehängte Sicherheitsdaten.

Die vollständige Feldstruktur

Header (2 Zeichen)

Formatcode „M“ + Anzahl der Segmente (1–4). Ein mehrteiliges Ticket, z. B. SFO → JFK → LHR, hat Segmentanzahl 2 und enthält zwei aufeinanderfolgende Segmentdatensätze.

Passagiername (20 Zeichen)

„NACHNAME/VORNAME", linksbündig, mit Leerzeichen aufgefüllt. Lange Namen werden abgeschnitten; der auf der Bordkarte gedruckte Name ist immer die maßgebliche Quelle.

Elektronischer Ticketindikator (1 Zeichen)

„E" für ein elektronisches Ticket (jede moderne Bordkarte) oder „ " für ein Papierticket (kommt praktisch nicht mehr vor).

Pro Segment (je 37 Zeichen)

PNR / Buchungsreferenz (7 Zeichen), die Buchungskennung.
Abflug- / Zielflughafen (je 3 Zeichen), dreistellige IATA-Codes.
Fluggesellschaft (3 Zeichen, linksbündig), IATA-Code des ausführenden Carriers.
Flugnummer (5 Zeichen, nullaufgefüllt).
Flugdatum (3 Zeichen), Julianischer Tag des Jahres (z. B. „250“ = Tag 250 = 7. September).
Klasse (1 Zeichen), Y / W / J / F / usw. (Buchungsklasse).
Sitzplatz (4 Zeichen, nullaufgefüllt).
Sequenznummer (5 Zeichen, nullaufgefüllt), Ihre Eincheck-Reihenfolge.
Passagierstatus (1 Zeichen), 1=Gepäckaufgabe erforderlich, 2=Lounge-Zugang, 3=Sicherheitskontrolle umgehen, F=eingestiegen, G=gate-checked, usw.
Länge des Bedingungsblocks (2 Hex-Zeichen), Bytes der Bedingungsdaten nach diesem Segment.

Bedingter Bereich (variabel)

Nach jedem Segment folgt ein optionaler Block mit fluggesellschaftsspezifischen Zusatzdaten: Vielfliegernummer, Buchungsklassencode, Freigepäck, sicherheitsrelevante Daten der Fluggesellschaft sowie einige seltenere Felder. Die Vielfliegernummer ist dabei das datenschutzsensitivste Element – sie ist ein langlebiger Bezeichner, der jeden Ihrer Flüge mit einem einzigen Konto verknüpft.

Sicherheitsbereich (variabel, optional)

Einige Carrier hängen eine Signatur an, damit die Bordkarte am Gate offline geprüft werden kann. Nur wenige erzwingen dies. Das Vorhandensein der Signatur ändert nichts am Inhalt des Hauptbereichs.

Warum das Posten eines Bordkartenfotos riskant ist

Die Kombination aus Passagiername + PNR (der 7-stelligen Buchungsreferenz) entspricht bei den meisten Fluggesellschaften funktional einem Passwort. „Meine Buchung verwalten“-Abfragen akzeptieren diese beiden Felder als Identitätsnachweis. Damit kann ein Angreifer:

Ihre Sitzplatzzuweisung ändern oder Sie vom Flug streichen.
Ein kostenloses Upgrade stornieren oder Sie von der Upgrade-Warteliste entfernen.
Ihre Kontaktdaten einsehen, einschließlich Telefonnummer und E-Mail-Adresse der Buchung.
Vielfliegermeilen umleiten (bei einigen Carriern, mit zusätzlichen Schritten).
Ihre anderen Reservierungen bei derselben Airline einsehen (bei einigen Carriern).
Eine gezielte Phishing-E-Mail verfassen – „Hallo [Ihr Name], Ihr United-Flug 123 SFO → JFK am 7. Sep. wurde umgebucht, klicken Sie hier zur Bestätigung" –, die echte Reisedaten nennt. Die Wahrscheinlichkeit, dass der Empfänger klickt, ist deutlich höher als bei einer generischen Phishing-Mail.

Einige Airlines haben nach früheren Vorfällen einen Mehrfaktor-Identitätsnachweis für die Buchungsverwaltung eingeführt. Viele haben das nicht.

Der Meilenumleitungsangriff ist mehrfach dokumentiert. Passagiere, die ein Bordkartenfoto auf Twitter oder Instagram gepostet haben, verloren Upgrades, hatten geänderte Buchungen und wurden innerhalb von Stunden mit reisedatengenauen Phishing-Mails angegriffen.

Was unser Scanner anzeigt – und wie der PNR maskiert wird

Standardmäßig sichtbar

Passagiername (Vor- und Nachname), Carrier + Flugnummer (ohne führende Nullen, z. B. „AA123"), Strecke (SFO → JFK), Datum im ISO-Format (Julianischer Tag mit intelligentem Jahres-Rollforward), Sitz (ohne führende Nullen, z. B. „12A"), Reiseklasse, Sequenznummer, Status (mit Bezeichnung: „Eingecheckt", „Lounge-Zugang" usw.). Mehrsegmentige Bordkarten erhalten Zeilenbezeichnungen pro Segment.

Sensibel (per Tippen aufdeckbar)

Der PNR ist hinter demselben Tap-to-reveal-Element verborgen, das wir für Passwörter und 2FA-Geheimnisse verwenden. Ein Screenshot des Ergebnisses ohne Antippen der Aufdecken-Schaltfläche gibt das Buchungskennzeichen nicht preis. Die Vielfliegernummer wird, wenn im bedingten Bereich vorhanden, vom Server-Analyzer gar nicht extrahiert – sie ist ein stabiles Identitätsmerkmal, das mehrere Reisen verknüpft, und ihre Anzeige auf einer Ergebnisseite würde dem Datenschutzziel widersprechen.

Eigene Bordkarte prüfen

Drei legitime Gründe, die eigene Bordkarte zu scannen:

Daten nach einer Neuausstellung überprüfen. Fluggesellschaften machen gelegentlich Tippfehler bei Sitzplatz oder Flugnummer.
Das Upgrade oder den Status überprüfen, den das Gate-Personal Ihnen mitgeteilt hat – das Passagierstatusbyte ist die maßgebliche Quelle.
Eine verlorene PNR wiederherstellen, wenn die Buchungsbestätigungs-E-Mail nicht mehr vorhanden ist, aber noch ein Screenshot der Bordkarte existiert.

Der Scanner läuft in Ihrem Browser; nur der dekodierte Text erreicht unseren Server – nicht das Bild. Das Ergebnis maskiert den PNR standardmäßig. Wenn Sie das Ergebnis für Ihre Unterlagen als Screenshot speichern, bleibt der PNR maskiert, solange Sie ihn nicht vor dem Screenshot explizit aufdecken.

Mit Ihrer Bordkarte ausprobieren

Fotografieren Sie den Barcode (oder nutzen Sie die Kamera auf der Scanner-Seite) und laden Sie ihn hoch. Das Ergebnis zeigt jedes Segment Ihrer Reiseroute mit maskiertem PNR.

Scanner öffnen →