Phishing-Wellen: Cyberangriffe auf IT-Dienstleister für Hotels

Was geschehen ist – die Kernmeldung ausführlich

Inmitten der laufenden Ferienzeit sieht sich die europäische Hotelbranche mit einer signifikanten Welle von Cyberangriffen konfrontiert, die gezielt auf die IT-Infrastruktur von Dienstleistern abzielen. Betroffene Gäste erhalten derzeit vermehrt Nachrichten, die täuschend echt wirken und sie dazu drängen sollen, Zahlungen zu leisten oder sensible Kreditkartendaten preiszugeben. Die Angreifer gehen dabei hochgradig präzise vor, indem sie in ihren Nachrichten konkrete Details zu den jeweiligen Buchungen verwenden, wie etwa die Namen der Reisenden, das gebuchte Hotel sowie die exakten An- und Abreisedaten. Diese Vorgehensweise erhöht die Glaubwürdigkeit der betrügerischen Kommunikation massiv. Die Vorfälle, die unter anderem den österreichischen IT-Dienstleister Seekda sowie den Softwareanbieter ibelsa betreffen, haben bereits zu einer Vielzahl von Meldungen bei den zuständigen Datenschutzbehörden geführt. Die Täter nutzen dabei unterschiedliche Kommunikationskanäle wie WhatsApp, SMS oder E-Mail, um ihre Opfer unter Druck zu setzen, etwa durch Drohungen mit einer Stornierung der Buchung, falls keine sofortige Bestätigung oder Zahlung erfolgt. Die IT-Sicherheit in der gesamten Tourismusbranche steht damit erneut unter erheblichem Druck, da die Kriminellen offenbar Zugriff auf sensible Reservierungsdaten erlangt haben.

Die Einzelheiten – Zahlen, Namen und Orte

Der Vorfall bei dem österreichischen IT-Dienstleister Seekda, der tausenden Hotels Software zur Verwaltung von Buchungen und Vertriebskanälen bereitstellt, hat bereits weitreichende Konsequenzen. Bei der Datenschutzbehörde in Österreich sind nach aktuellem Stand 25 Meldungen von betroffenen Hotels eingegangen. Seekda selbst hat den Vorfall bestätigt und informiert betroffene Kunden über ungewöhnliche Zugriffsmuster auf seine Systeme. Das Unternehmen ist derzeit aufgrund des hohen Ticketaufkommens stark eingeschränkt und bittet Kunden, von weiteren Anfragen abzusehen, um die Kapazitäten für die Sicherheitsanalyse zu bündeln. Ein weiterer Vorfall ereignete sich bei dem Anbieter ibelsa, der am 25. Juli 2026 einen nicht autorisierten Zugriff auf seine Systeme feststellte. Nach Angaben des Unternehmens wurden dabei personenbezogene Daten von Hotelgeschäftspartnern und deren Gästen entwendet, wobei Zahlungsdaten nach derzeitigem Kenntnisstand nicht betroffen sein sollen. Ibelsa hat den Vorfall dem Unabhängigen Datenschutzzentrum Saarland gemeldet und Strafanzeige bei der saarländischen Polizei erstattet. Die Phishing-Nachrichten selbst nutzen dubiose Domains wie „bookcheckarrival-gueststayhotel.com“ und operieren über verschiedene Accounts mit Namen wie „Total Acces“ oder „Bombae“, wobei teilweise internationale Vorwahlen aus dem Vereinigten Königreich oder Indien verwendet werden.

Hintergrund – Vorgeschichte und Verlauf

Die aktuelle Bedrohungslage ist kein isoliertes Ereignis, sondern reiht sich in eine Serie von Angriffen auf die digitale Verarbeitungskette der Hotellerie ein. Diese Kette umfasst Buchungsplattformen, Schnittstellen, Channel-Manager, CRM-Systeme sowie die interne Software der Hotels. Bereits in der Vergangenheit waren große Akteure wie Booking.com oder Best Western Hotels Ziel ähnlicher Kampagnen. Im Juni 2025 wurde eine Serie von Phishing-Vorfällen im Umfeld von Booking.com und Hotels in Südtirol bekannt, bei denen Gäste Nachrichten erhielten, die den Anschein erweckten, direkt von ihrer Unterkunft zu stammen. Damals konnte ein zentraler unbefugter Zugriff auf ein Sammelkonto zwar ausgeschlossen werden, doch die Angreifer nutzten kompromittierte Zugänge einzelner Unterkunftspartner, um sich als Hotel auszugeben. Im April 2026 räumte Booking.com zudem unbefugte Fremdzugriffe auf Buchungsinformationen ein. Die aktuelle Welle zeigt, dass die Methoden der Täter immer ausgefeilter werden. Sie kombinieren nun die erbeuteten Daten – wie etwa den Status einer bereits vollständig bezahlten Buchung – mit psychologischem Druck, indem sie den Gästen innerhalb von zwölf Stunden eine Bestätigung abverlangen, um eine vermeintliche Stornierung abzuwenden.

Die Beteiligten – Betroffene und Institutionen

Zu den unmittelbar betroffenen Unternehmen zählen die IT-Dienstleister Seekda und ibelsa, die als zentrale technische Partner für zahlreiche Hotels fungieren. Auf der Seite der Behörden sind das Unabhängige Datenschutzzentrum Saarland, die österreichische Datenschutzbehörde sowie der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern, Sebastian Schmidt, in die Aufarbeitung involviert. Auch der Hotel- und Gaststättenverband DEHOGA Nordrhein warnt eindringlich vor der aktuellen Betrugswelle und weist auf die Vielzahl möglicher Angriffsszenarien hin. Die betroffenen Hotels selbst stehen vor der Herausforderung, ihre Gäste zu informieren und gleichzeitig ihre IT-Systeme abzusichern. Auf der anderen Seite stehen die Hotelgäste, die durch die Verwendung ihrer echten Buchungsdaten in den Nachrichten in eine Falle gelockt werden. Die Täter agieren aus dem Verborgenen, wobei die unterschiedlichen Account-Namen und die variierenden Formulierungen darauf hindeuten, dass verschiedene kriminelle Gruppierungen oder Akteure am Werk sein könnten, die sich die Schwachstellen in der digitalen Infrastruktur der Tourismusbranche zunutze machen.

Einordnung – Was das bedeutet

Den Berichten zufolge ist die Situation als kritisch einzustufen, da die Qualität der Phishing-Nachrichten durch die Einbindung echter Buchungsdaten eine neue Stufe der Überzeugungskraft erreicht hat. Einzuordnen ist das so: Die Angreifer haben nicht nur Zugriff auf E-Mail-Adressen oder Telefonnummern, sondern tiefen Einblick in die operativen Daten der Hotels. Dies deutet darauf hin, dass die Kompromittierung nicht an der Oberfläche stattgefunden hat, sondern bei den zentralen Systemen, die diese Daten verwalten. Die Tatsache, dass sich die Formulierungen in den Nachrichten trotz identischer Zielsetzung unterscheiden, lässt darauf schließen, dass die Kriminellen über automatisierte Skripte verfügen, die die gestohlenen Datensätze in personalisierte Phishing-Vorlagen überführen. Die Branche ist hierbei mit einem systemischen Problem konfrontiert, da die Vernetzung der Systeme zwar den Komfort für Reisende und Hotels erhöht, aber gleichzeitig die Angriffsfläche für Cyberkriminelle massiv vergrößert. Die Sicherheit der Daten hängt nun von der Stabilität der schwächsten Komponente in dieser komplexen digitalen Kette ab.

Offene Fragen – Was der Quelltext nicht beantwortet

Trotz der vorliegenden Informationen bleiben zentrale Fragen offen. Der Quelltext beantwortet nicht, wie viele Hotels und wie viele Gäste insgesamt von den Vorfällen bei Seekda und ibelsa betroffen sind. Auch der exakte Zeitpunkt und der genaue Weg, über den die Angreifer Zugriff auf die Buchungs- und Kontaktdaten erhalten haben, bleiben unklar. Es ist nicht bekannt, welche spezifischen Datenkategorien im Detail bei Seekda abgeflossen sind, da das Unternehmen derzeit nur von „ungewöhnlichen Zugriffsmustern“ spricht. Zudem bleibt offen, ob es sich bei den verschiedenen Phishing-Wellen um koordinierte Angriffe derselben Tätergruppe handelt oder ob es sich um voneinander unabhängige, opportunistische Angriffe handelt, die lediglich dieselben Schwachstellen in der Branche ausnutzen. Auch die Frage, ob die Angreifer neben den Buchungsdaten auch Zugriff auf Passwörter oder andere administrative Zugangsdaten erhalten haben, wird im Quelltext nicht abschließend geklärt, was die Risikobewertung für die betroffenen Hotels zusätzlich erschwert.

Wie es weitergeht – Angekündigte Schritte

Die betroffenen Unternehmen haben angekündigt, die Sicherheitsvorfälle mit höchster Priorität zu untersuchen. Die Datenschutzbehörden haben den betroffenen Hotels klare Handlungsempfehlungen gegeben. Dazu gehören die Änderung sämtlicher Passwörter für Benutzerkonten, die Überprüfung angebundener Systeme und Protokolle auf ungewöhnliche Aktivitäten sowie die Kontrolle von Backups. Zudem wird dringend zur Implementierung einer Zwei-Faktor-Authentifizierung geraten, um künftige unbefugte Zugriffe zu erschweren. Hotels sind als datenschutzrechtlich Verantwortliche dazu verpflichtet, den Vorfall den zuständigen Aufsichtsbehörden zu melden und ihre Gäste aktiv über die Datenpanne zu informieren. Gäste, die bereits Zahlungsdaten eingegeben haben, werden dazu angehalten, unverzüglich ihre Bank zu kontaktieren, um die entsprechenden Karten sperren zu lassen und unautorisierte Umsätze zu reklamieren. Die Behörden und Verbände setzen zudem auf eine verstärkte Sensibilisierung der Mitarbeiter in den Hotels, um die Wachsamkeit gegenüber Phishing-Versuchen zu erhöhen und die digitale Sicherheit langfristig zu stabilisieren.