Der Angriff kommt über den Dienstleister – warum Hotelsoftware zum Einfallstor für Datendiebstahl wird
Erneuter Cyberangriff auf einen Hotel-Softwaredienstleister
Hotels verarbeiten täglich große Mengen personenbezogener Daten. Dazu gehören Namen, Adressen und Kontaktdaten. Hinzu kommen Anreisezeiten, Abreisedaten und Buchungsinformationen.
Diese Daten liegen jedoch häufig nicht ausschließlich auf den eigenen Systemen des Hotels. Vielmehr werden externe Softwarelösungen eingesetzt. Dadurch entstehen Abhängigkeiten. Und genau diese Abhängigkeiten können zum Sicherheitsrisiko werden.
Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern meldete am 29. Juli 2026einen erneuten Cyberangriff auf einen bekannten Dienstleister der Hotelbranche.
Nach bisherigem Kenntnisstand sind Stamm- und Buchungsdaten von Gästen abgeflossen. Bank- und Zahlungsdaten sollen dagegen nicht betroffen sein. Dennoch ist der Vorfall ernst. Denn die Täter nutzen die gestohlenen Informationen bereits für gezielte Phishing-Angriffe.
Die gefälschten Nachrichten wirken besonders glaubwürdig. Schließlich kennen die Täter offenbar reale Namen und echte Buchungszusammenhänge. Außerdem werden Gäste teilweise über Messenger-Dienste kontaktiert. Die Nachrichten ähneln dabei echten Mitteilungen von Hotels.
Warum Buchungsdaten für Kriminelle wertvoll sind
Eine gestohlene Kreditkartennummer ist offensichtlich gefährlich. Doch auch vermeintlich harmlose Buchungsinformationen können einen erheblichen Wert besitzen.
Täter können beispielsweise wissen:
- in welchem Hotel eine Person gebucht hat,
- wann sie anreist,
- wie lange sie bleibt,
- unter welcher Telefonnummer sie erreichbar ist,
- welche E-Mail-Adresse sie verwendet,
- ob eine geschäftliche oder private Reise wahrscheinlich ist.
Dadurch können Nachrichten sehr genau auf die betroffene Person zugeschnitten werden.
Ein Gast erhält dann beispielsweise die Mitteilung, dass seine Zahlung nicht vollständig eingegangen sei. Oder er wird aufgefordert, seine Buchung erneut zu bestätigen. Ebenso kann eine angebliche Kaution verlangt werden.
Weil Hotelname, Reisezeitraum und persönliche Angaben stimmen, sinkt das Misstrauen. Das ist der entscheidende Unterschied zwischen gewöhnlichem Massen-Phishing und einem gezielten Social-Engineering-Angriff.
Der eigentliche Angriff beginnt häufig erst nach dem Datenabfluss
Der erste Cyberangriff richtet sich gegen den Softwareanbieter. Danach beginnt jedoch häufig eine zweite Angriffswelle.
Die gestohlenen Daten werden ausgewertet. Anschließend werden sie sortiert, kombiniert und weiterverwendet. Dadurch können neue Betrugsversuche entstehen.
Mögliche Folgen sind:
- Phishing per E-Mail,
- betrügerische WhatsApp-Nachrichten,
- gefälschte Zahlungsaufforderungen,
- Identitätsmissbrauch,
- Angriffe auf geschäftliche E-Mail-Konten,
- Vorbereitung weiterer Social-Engineering-Angriffe,
- Veröffentlichung oder Verkauf von Daten in kriminellen Foren.
Dabei muss nicht jeder Datensatz automatisch im Darknet auftauchen. Dennoch sollte geprüft werden, ob Daten angeboten, veröffentlicht oder mit anderen Informationen verknüpft wurden.
Denn aus einer einzelnen Buchungsinformation kann durch die Verbindung mit weiteren Daten ein detailliertes Personenprofil entstehen.
Warum Dienstleister zum attraktiven Angriffsziel werden
Viele Unternehmen konzentrieren ihre Sicherheitsmaßnahmen auf das eigene Netzwerk. Sie schützen ihre Arbeitsplätze, Server und Benutzerkonten. Doch gleichzeitig greifen externe Anbieter auf sensible Daten zu.
Dazu gehören beispielsweise:
- Hotelmanagementsysteme,
- Buchungsplattformen,
- Zahlungsdienstleister,
- Cloud-Anbieter,
- Marketingsoftware,
- Personalverwaltungssysteme,
- externe IT-Dienstleister.
Ein erfolgreicher Angriff auf einen zentralen Anbieter kann deshalb zahlreiche Unternehmen gleichzeitig treffen.
Für Täter ist das effizient. Sie müssen nicht jedes Hotel einzeln angreifen. Stattdessen kompromittieren sie einen Dienstleister, der Daten vieler Kunden verarbeitet.
Damit wird die digitale Lieferkette zum Sicherheitsfaktor.
Verantwortung lässt sich nicht vollständig auslagern
Die Nutzung eines externen Softwareanbieters entbindet ein Hotel nicht automatisch von seinen datenschutzrechtlichen Pflichten.
Der Landesdatenschutzbeauftragte weist ausdrücklich darauf hin, dass die Hotelbetriebe weiterhin für die Daten ihrer Gäste verantwortlich sein können. Das gilt auch dann, wenn die eigentliche Sicherheitsverletzung bei einem Auftragsverarbeiter eingetreten ist.
Betroffene Hotels sollen daher unter anderem ihre Gäste informieren, die Datenpanne melden, Passwörter ändern und angeschlossene Systeme überprüfen. Außerdem sollen Protokolldaten auf ungewöhnliche Anmeldungen und Systemzugriffe kontrolliert werden. Ebenso werden Zwei-Faktor-Authentifizierung und eine Überprüfung der Backup-Systeme empfohlen.
Auch die DSGVO unterscheidet zwischen Verantwortlichen und Auftragsverarbeitern. Wird einem Auftragsverarbeiter eine Datenschutzverletzung bekannt, muss er den Verantwortlichen unverzüglich informieren.
Der Verantwortliche muss eine meldepflichtige Datenschutzverletzung grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde melden. Besteht voraussichtlich ein hohes Risiko für die betroffenen Personen, kann zusätzlich eine unverzügliche Benachrichtigung dieser Personen erforderlich sein.
Was Hotels nach einem solchen Vorfall sofort tun sollten
Ein Cybervorfall erfordert klare Zuständigkeiten. Außerdem muss jede Maßnahme dokumentiert werden.
1. Vorfall verifizieren
Zunächst muss geklärt werden, ob das eigene Unternehmen tatsächlich betroffen ist.
Dabei sollten Hotels nicht ausschließlich auf allgemeine Presseberichte reagieren. Vielmehr benötigen sie eine belastbare Information des Dienstleisters. Diese sollte den Zeitraum, die betroffenen Systeme und die möglicherweise abgeflossenen Datenkategorien benennen.
2. Beweise sichern
Logdateien dürfen nicht vorschnell gelöscht oder überschrieben werden.
Auch E-Mails, Warnmeldungen, Zugriffsprotokolle und Mitteilungen des Softwareanbieters sollten gesichert werden. Denn diese Informationen können später für die technische, rechtliche und wirtschaftliche Bewertung entscheidend sein.
Eine unstrukturierte Bereinigung kann dagegen Spuren vernichten.
3. Zugangsdaten ändern
Passwörter betroffener Konten sollten unverzüglich geändert werden. Das gilt besonders dann, wenn Passwörter mehrfach verwendet wurden.
Außerdem sollte geprüft werden, welche Benutzerkonten mit dem betroffenen System verbunden waren. Wenn möglich, sollte eine Mehrfaktor-Authentifizierung eingerichtet oder konsequent aktiviert werden.
4. Betroffene Systeme untersuchen
Ein Angriff auf den Dienstleister bedeutet nicht automatisch, dass auch das lokale Hotelnetzwerk kompromittiert wurde.
Dennoch muss geprüft werden, ob es ungewöhnliche Zugriffe gab. Denn gestohlene Zugangsdaten könnten für weitere Angriffe eingesetzt worden sein.
Deshalb sollten auch Schnittstellen, administrative Konten und angebundene Systeme untersucht werden.
5. Gäste klar und schnell informieren
Betroffene Gäste benötigen verständliche Informationen.
Die Warnung sollte erklären:
- welche Daten betroffen sein könnten,
- welche Betrugsversuche bekannt sind,
- welche Kommunikationswege die Täter nutzen,
- woran sich echte Hotelnachrichten erkennen lassen,
- welche Zahlungen keinesfalls vorgenommen werden sollten,
- an wen sich Gäste bei verdächtigen Nachrichten wenden können.
Pauschale oder beschönigende Formulierungen helfen dagegen wenig.
6. Kommunikationskanäle absichern
Hotels sollten auf ihrer Website und ihren offiziellen Social-Media-Kanälen vor betrügerischen Nachrichten warnen.
Außerdem sollte klar kommuniziert werden, ob Zahlungsaufforderungen über WhatsApp, SMS oder bestimmte Links grundsätzlich ausgeschlossen sind.
Dadurch erhalten Gäste eine verlässliche Vergleichsmöglichkeit.
Was betroffene Hotelgäste beachten sollten
Gäste sollten Nachrichten nicht allein deshalb vertrauen, weil persönliche Buchungsdaten korrekt genannt werden.
Gerade diese Informationen können aus dem Datenabfluss stammen.
Deshalb gilt:
Links in verdächtigen Nachrichten sollten nicht geöffnet werden. Anhänge sollten ebenfalls nicht heruntergeladen werden. Außerdem sollten keine Zahlungsdaten, Passwörter oder Ausweiskopien übermittelt werden.
Bei Unsicherheit sollte das Hotel über eine bereits bekannte Telefonnummer kontaktiert werden. Die Kontaktdaten sollten nicht aus der verdächtigen Nachricht übernommen werden.
Wurde bereits eine Zahlung veranlasst, sollte unverzüglich die Bank informiert werden. Außerdem sollten Beweise gesichert und gegebenenfalls Strafanzeige erstattet werden.
Digitale Forensik statt vorschneller Vermutungen
Nach einem Cyberangriff entstehen häufig viele Fragen.
Wie gelangten die Täter an die Daten? Welche Systeme waren betroffen? Wurden Zugangsdaten missbraucht? Gab es eine Schwachstelle beim Dienstleister? Oder wurde ein Benutzerkonto kompromittiert?
Diese Fragen lassen sich nicht durch Vermutungen beantworten.
Erforderlich ist vielmehr eine strukturierte Untersuchung. Dazu gehören die Sicherung von Protokolldaten, die Auswertung verdächtiger Nachrichten und die Prüfung von Anmeldeereignissen. Ebenso kann untersucht werden, ob gestohlene Daten öffentlich angeboten oder in einschlägigen kriminellen Bereichen verbreitet werden.
Dabei ist eine saubere Beweiskette wichtig. Denn technische Erkenntnisse können später gegenüber Versicherern, Vertragspartnern, Aufsichtsbehörden oder Gerichten relevant werden.
Drittanbieter müssen vor und während der Zusammenarbeit geprüft werden
Ein Vertrag mit einem etablierten Softwareanbieter ersetzt keine laufende Sicherheitsprüfung.
Unternehmen sollten daher bereits vor der Beauftragung klären:
- Wo werden die Daten gespeichert?
- Welche Unterauftragnehmer werden eingesetzt?
- Wie werden Zugriffe protokolliert?
- Welche Verschlüsselung wird verwendet?
- Gibt es eine Mehrfaktor-Authentifizierung?
- Wie schnell wird über Sicherheitsvorfälle informiert?
- Wie werden Sicherheitsupdates eingespielt?
- Welche Nachweise und Zertifizierungen liegen vor?
- Wie werden Daten nach Vertragsende gelöscht?
- Gibt es einen getesteten Notfallplan?
Außerdem sollten entsprechende Vereinbarungen nicht nur abgelegt werden. Sie müssen regelmäßig überprüft werden.
Denn Dienstleister verändern ihre Systeme. Sie wechseln Unterauftragnehmer. Und sie führen neue Schnittstellen ein. Dadurch kann sich auch das Risiko verändern.
Der Fall zeigt ein grundsätzliches Problem
Cyberkriminalität betrifft längst nicht mehr nur große Konzerne.
Auch Hotels, mittelständische Unternehmen und regionale Betriebe verarbeiten wertvolle Daten. Gleichzeitig sind sie von externen Plattformen und Cloud-Diensten abhängig.
Deshalb reicht eine gute Firewall im eigenen Unternehmen nicht aus.
Sicherheit muss die gesamte Lieferkette umfassen. Dazu gehören technische Maßnahmen. Ebenso wichtig sind klare Verträge, dokumentierte Zuständigkeiten und ein funktionierender Notfallplan.
Außerdem müssen Unternehmen wissen, wie sie nach einem Vorfall Beweise sichern. Denn nur dann lässt sich der tatsächliche Ablauf nachvollziehen.
Wie Privat Investigation Service Detegere unterstützen kann
Privat Investigation Service Detegere begleitet Unternehmen bei komplexen Verdachtslagen und wirtschaftskriminellen Sachverhalten.
Je nach Ausgangslage können insbesondere folgende Maßnahmen sinnvoll sein:
- strukturierte Lage- und Risikoanalyse,
- Sicherung und Auswertung relevanter Informationen,
- OSINT-Recherchen zu verwendeten Identitäten und Infrastrukturen,
- Prüfung möglicher Datenveröffentlichungen,
- Untersuchung von Social-Engineering- und Betrugssachverhalten,
- Background-Checks bei konkreten Verdachtsmomenten,
- Koordination spezialisierter IT-forensischer Untersuchungen,
- gerichtsfeste Dokumentation der Ermittlungsergebnisse,
- Unterstützung bei internen Ermittlungen und Krisenlagen.
Jeder Fall erfordert dabei eine individuelle Prüfung. Denn nicht jede Datenpanne ist gleich. Ebenso unterscheiden sich Täter, Angriffsmethoden und Schadensfolgen erheblich.
Entscheidend ist deshalb ein planvolles Vorgehen. Beweise müssen gesichert werden. Gleichzeitig müssen weitere Schäden verhindert werden.
Fazit: Das schwächste Glied kann außerhalb des eigenen Unternehmens liegen
Der aktuelle Angriff auf einen Hotel-Softwaredienstleister zeigt erneut, wie weitreichend Drittanbieter-Risiken sein können.
Zwar sollen keine Bank- oder Zahlungsdaten abgeflossen sein. Dennoch besitzen Stamm- und Buchungsdaten einen hohen Wert. Denn sie ermöglichen glaubwürdige Phishing-Nachrichten und gezielte Social-Engineering-Angriffe.
Hotels müssen deshalb schnell reagieren. Sie müssen ihre Gäste warnen. Außerdem müssen sie Systeme überprüfen, Beweise sichern und ihre Meldepflichten bewerten.
Vor allem aber sollten Unternehmen ihre Sicherheitsstrategie erweitern.
Nicht nur das eigene Netzwerk muss geschützt werden. Auch Dienstleister, Schnittstellen und digitale Lieferketten gehören in das Risikomanagement.
Denn der nächste Angriff beginnt möglicherweise nicht im eigenen Unternehmen.
Er kommt über den Dienstleister.
Häufig gestellte Fragen
Welche Daten sind bei dem Cyberangriff abgeflossen?
Nach Angaben des Landesdatenschutzbeauftragten Mecklenburg-Vorpommern sind Stamm- und Buchungsdaten von Hotelgästen betroffen. Dazu können beispielsweise Namen, Kontaktdaten und Informationen zur Buchung gehören. Bank- und Zahlungsdaten sollen nach bisherigem Kenntnisstand nicht abgeflossen sein.
Warum sind Hotelbuchungsdaten für Phishing geeignet?
Die Täter können echte Namen, Hotels und Buchungszusammenhänge verwenden. Dadurch wirken gefälschte Nachrichten glaubwürdig. Empfänger halten eine angebliche Zahlungsaufforderung oder Buchungsbestätigung deshalb möglicherweise für echt.
Müssen Hotels ihre Gäste über den Angriff informieren?
Das hängt vom konkreten Risiko und den betroffenen Daten ab. Besteht voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen, sieht Artikel 34 DSGVO grundsätzlich eine unverzügliche Benachrichtigung vor. Der Landesdatenschutzbeauftragte fordert die betroffenen Hotels im aktuellen Fall ausdrücklich dazu auf, ihre Gäste zu warnen.
Gilt die 72-Stunden-Frist auch bei einem Angriff auf einen Dienstleister?
Der Verantwortliche muss eine meldepflichtige Verletzung grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden. Der Auftragsverarbeiter muss den Verantwortlichen wiederum unverzüglich über eine bekannt gewordene Verletzung informieren.
Was sollte ich tun, wenn ich eine verdächtige Hotelnachricht erhalte?
Öffnen Sie keine Links und übermitteln Sie keine Zahlungs- oder Zugangsdaten. Kontaktieren Sie das Hotel über eine bekannte und unabhängig überprüfte Telefonnummer. Sichern Sie außerdem die Nachricht durch Screenshots oder einen Export, bevor Sie sie löschen.
Können gestohlene Buchungsdaten im Darknet auftauchen?
Das ist grundsätzlich möglich. Allerdings muss im Einzelfall geprüft werden, ob die Daten tatsächlich veröffentlicht oder zum Verkauf angeboten werden. Eine solche Feststellung sollte auf dokumentierten Rechercheergebnissen beruhen und nicht auf bloßen Vermutungen.
Reicht es aus, wenn der Softwareanbieter den Angriff untersucht?
Nein. Das betroffene Hotel muss seine eigenen Pflichten und Risiken bewerten. Dazu gehören mögliche Meldungen, die Information der Gäste, die Prüfung angeschlossener Systeme und die Sicherung eigener Protokolldaten.
Wie können Hotels Drittanbieter-Risiken reduzieren?
Hotels sollten ihre Anbieter vor Vertragsabschluss prüfen und während der Zusammenarbeit regelmäßig kontrollieren. Wichtig sind unter anderem klare Meldewege, Mehrfaktor-Authentifizierung, Verschlüsselung, Protokollierung, Sicherheitsupdates, Notfallpläne und Regelungen für Unterauftragnehmer.
Unternehmen sollten einen Cybervorfall nicht improvisiert bearbeiten. Das Bundesamt für Sicherheit in der Informationstechnik stellt hierfür eine offizielle Checkliste für Unternehmen nach einem IT-Sicherheitsvorfall bereit. Sie hilft dabei, Zuständigkeiten zu klären, notwendige Meldungen vorzubereiten und die weiteren Maßnahmen strukturiert zu dokumentieren.
Fachliche Einordnung
Oliver Peth ist Kriminalist, Profiler und Inhaber von Privat Investigation Service Detegere. Die Detektei bearbeitet komplexe Verdachtslagen aus den Bereichen Wirtschaftskriminalität, Corporate Intelligence, OSINT und interne Ermittlungen. Bei technischen Spezialfragen werden je nach Fall qualifizierte forensische Partner eingebunden.
Hinweis: Dieser Beitrag dient der allgemeinen Information. Er ersetzt keine individuelle rechtliche oder datenschutzrechtliche Beratung.
Wir als Detektei Detegere nehmen das Thema Datenschutz sehr ernst, weitere Infos dazu finden Sie unter:
Bild: KI generiert
