Neue Phishing-Welle trifft zahlreiche Hotels: Gäste sollten wachsam sein

Was geschehen ist – die Kernmeldung

Inmitten der laufenden Ferienzeit sieht sich die europäische Hotelbranche mit einer signifikanten Zunahme an hochgradig personalisierten Phishing-Angriffen konfrontiert. Kriminelle Akteure nutzen dabei sensible Reservierungsdaten, um Gäste gezielt zu kontaktieren und unter dem Vorwand einer notwendigen Buchungsbestätigung oder Zahlungsabwicklung zur Preisgabe von Kreditkartendaten zu bewegen. Die Angriffe zeichnen sich durch eine beunruhigende Authentizität aus, da die Täter über exakte Informationen zu den Reisenden verfügen, darunter Namen, An- und Abreisedaten sowie die Namen der gebuchten Unterkünfte. Diese Informationen stammen nach aktuellem Erkenntnisstand aus Sicherheitsvorfällen bei verschiedenen IT-Dienstleistern, die Softwarelösungen für das Hotelmanagement bereitstellen. Die Betrugsversuche erfolgen über diverse Kommunikationskanäle wie WhatsApp, SMS und E-Mail. Die Täter setzen die Opfer dabei unter Druck, indem sie mit der Stornierung der Reise drohen, sollten die geforderten Daten nicht innerhalb eines kurzen Zeitfensters übermittelt werden. Diese Entwicklung stellt eine erhebliche Bedrohung für die Datensicherheit von Reisenden dar und zwingt zahlreiche Hotelbetriebe dazu, ihre Sicherheitsvorkehrungen sowie die Kommunikation mit ihren Gästen grundlegend zu überdenken und zu intensivieren.

Die Einzelheiten der Vorfälle

Die Angriffswelle hat unter anderem den österreichischen IT-Dienstleister Seekda schwer getroffen. Das Unternehmen, das tausende Hotels mit Software für Buchungsverwaltung und Vertriebskanäle ausstattet, informierte erste Betroffene über ungewöhnliche Zugriffsmuster auf seine Systeme. Bei der österreichischen Datenschutzbehörde sind bereits 25 Meldungen von betroffenen Hotels eingegangen. Auch der Hotelsoftwareanbieter ibelsa meldete einen unbefugten Zugriff, der sich am 25. Juli 2026 ereignete. Hierbei flossen laut Unternehmensangaben personenbezogene Daten von Geschäftspartnern und Gästen ab, wobei Zahlungsdaten nach derzeitigem Kenntnisstand nicht betroffen sein sollen. Ein weiteres Beispiel für die Vorgehensweise der Kriminellen schilderte eine Hotelkundin: Sie wurde über WhatsApp von einem vermeintlichen Booking.com-Mitarbeiter kontaktiert, der sie aufforderte, ihre bereits bezahlte Buchung innerhalb von zwölf Stunden zu bestätigen. Über einen bereitgestellten Link sollte sie erneut Kreditkartendaten sowie den Kartenprüfcode CVV eingeben. Die Täter nutzen dabei Domains wie „bookcheckarrival-gueststayhotel.com“, um Seriosität vorzutäuschen. Die Accounts, über die die Nachrichten versendet werden, tragen Namen wie „Total Acces“ oder „Bombae“ und verwenden teils irreführende Profilbilder, die den Anschein erwecken, es handele sich um freundliches Hotelpersonal.

Hintergrund der Sicherheitslage

Die aktuelle Bedrohungslage ist kein isoliertes Ereignis, sondern fügt sich in eine längere Reihe von Sicherheitsvorfällen in der digitalen Infrastruktur der Hotellerie ein. Die gesamte Prozesskette – von großen Buchungsplattformen über Channel-Manager und CRM-Systeme bis hin zu lokalen Property-Management-Systemen – bildet ein attraktives Ziel für Cyberkriminelle. Bereits im Juni 2025 wurde eine Serie von Phishing-Angriffen bekannt, die das Umfeld von Booking.com und Unterkünften in Südtirol betraf. Damals konnten die Ursachen nicht zweifelsfrei geklärt werden, wobei sowohl kompromittierte Zugänge bei Hotels als auch Schwachstellen bei technischen Partnern in Betracht gezogen wurden. Im April 2026 musste Booking.com zudem unbefugte Fremdzugriffe auf Buchungsinformationen einräumen, was die Anfälligkeit der Branche unterstreicht. Der Hotel- und Gaststättenverband DEHOGA Nordrhein weist darauf hin, dass die Komplexität der Angriffsszenarien zunimmt. Ob durch kompromittierte Konten einzelner Unterkünfte oder durch den Abfluss von Daten bei zentralen Dienstleistern: Die Täter verfügen zunehmend über ein tiefes Wissen über die Abläufe der betroffenen Betriebe, was die Unterscheidung zwischen legitimen Nachrichten und Betrugsversuchen für die Gäste massiv erschwert.

Die Beteiligten und Betroffenen

Die Liste der Akteure in diesem Szenario ist lang und umfasst sowohl die geschädigten Dienstleister als auch die betroffenen Hotelbetriebe und deren Gäste. Zu den namentlich genannten IT-Dienstleistern, die Sicherheitsvorfälle bestätigten, zählen Seekda und ibelsa. Diese Unternehmen stehen nun vor der Herausforderung, ihre Systeme zu sichern und die Kommunikation mit ihren Kunden zu bewältigen. Seekda reagierte mit einer automatisierten Eingangsbestätigung, in der das Unternehmen um Geduld bittet, da die Kapazitäten vollständig auf die Bewältigung der Sicherheitsvorfälle konzentriert seien. Auf behördlicher Seite sind das Unabhängige Datenschutzzentrum Saarland, die Datenschutzbehörde in Österreich sowie der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern, Sebastian Schmidt, mit den Vorfällen befasst. Der DEHOGA Nordrhein fungiert als beratende Instanz für die betroffenen Hotels. Die Hauptleidtragenden sind jedoch die Hotelgäste, die mit täuschend echten Nachrichten konfrontiert werden. Sie befinden sich in einer schwierigen Lage, da die Täter durch die Verwendung korrekter Buchungsdaten das Vertrauen der Kunden gezielt ausnutzen und sie unter Druck setzen, ihre Zahlungsdaten preiszugeben.

Einordnung der Bedrohungslage

Einzuordnen ist die aktuelle Situation als eine Eskalation der Cyberkriminalität gegen die Tourismusbranche. Den Berichten zufolge ist die Qualität der Phishing-Nachrichten durch die Einbindung echter Reservierungsdaten auf ein neues Niveau gestiegen. Früher waren Phishing-Mails oft durch fehlerhafte Sprache oder generische Inhalte leicht als Betrug zu identifizieren. Heute hingegen nutzen die Angreifer das Wissen über den spezifischen Reisekontext – wie den Namen des Hotels und das genaue Reisedatum –, um die psychologische Hemmschwelle der Opfer zu senken. Die Tatsache, dass die Täter mit einer Stornierung drohen, erhöht den Druck zusätzlich. Experten werten dies als Zeichen dafür, dass die Angreifer über einen längeren Zeitraum hinweg Daten sammeln konnten, bevor sie zur aktiven Betrugsphase übergingen. Die Schwachstelle liegt hierbei nicht zwingend bei den Hotels selbst, sondern oft in der vorgelagerten IT-Infrastruktur, die von Dienstleistern bereitgestellt wird. Ein einzelnes Leck bei einem zentralen Softwareanbieter kann somit eine Kettenreaktion auslösen, die tausende Hotels und deren Gäste gleichzeitig betrifft, was die systemische Gefahr verdeutlicht.

Offene Fragen zur Sicherheitslücke

Trotz der vorliegenden Informationen bleiben zahlreiche Fragen ungeklärt. Es ist derzeit nicht bekannt, wie viele Hotels und Gäste exakt von den Vorfällen bei den verschiedenen Dienstleistern betroffen sind. Auch der genaue Zeitpunkt und der technische Weg, über den die Angreifer Zugriff auf die Buchungs- und Kontaktdaten erhalten haben, sind noch nicht abschließend ermittelt. Ebenso bleibt unklar, welche Datenkategorien im Detail abgeflossen sind und ob die Täter lediglich Lesezugriff hatten oder auch Daten manipulieren konnten. Eine weitere offene Frage betrifft die Identität der Angreifer und deren geografische Verortung; die Nutzung von Telefonnummern mit Vorwahlen aus dem Vereinigten Königreich oder Indien lässt auf ein international agierendes Netzwerk schließen, doch eine konkrete Zuordnung zu einer Gruppierung steht aus. Auch der Umfang der bereits durch die Phishing-Welle entstandenen finanziellen Schäden bei den Gästen ist bisher nicht beziffert, da viele Vorfälle möglicherweise noch gar nicht gemeldet oder als solche erkannt wurden.

Wie es weitergeht und Handlungsempfehlungen

Die betroffenen Unternehmen sind nun angehalten, den Vorfall mit höchster Priorität zu untersuchen. Die Datenschutzbehörden fordern von den Hotels als datenschutzrechtlich Verantwortlichen, die Vorfälle zu melden und die betroffenen Gäste proaktiv zu informieren. Als Sofortmaßnahmen empfehlen Experten die Änderung sämtlicher Passwörter für Benutzerkonten, die mit den betroffenen Datenbanken verknüpft sind. Zudem sollten Systeme auf ungewöhnliche Zugriffe geprüft, Backups kontrolliert und eine Zwei-Faktor-Authentifizierung implementiert werden. Den Mitarbeitenden in der Hotellerie wird dringend geraten, sich für die Gefahren von Phishing zu sensibilisieren. Gäste sollten bei jeder Nachricht, die Zahlungsaufforderungen enthält, extrem vorsichtig sein. Es wird empfohlen, niemals Links aus unerwarteten Nachrichten zu öffnen und Zahlungsdaten nur über offizielle, bekannte Kanäle zu übermitteln. Sollten bereits Kartendaten eingegeben worden sein, ist der sofortige Kontakt zur kartenausgebenden Bank zur Sperrung der Karte unumgänglich. Die Sicherung von Beweisen wie Screenshots und Absenderinformationen ist für die weitere polizeiliche Ermittlung von entscheidender Bedeutung, um die Täter langfristig verfolgen zu können.