Phishing-Wellen: Cyberangriffe auf IT-Dienstleister für Hotels

Inhaltsverzeichnis Mitten in der Ferienzeit häufen sich erfolgreiche Angriffe auf IT-Dienstleister der Hotelbranche. Gäste erhalten derzeit vermehrt täuschend echt wirkende Phishing-Nachrichten, die sie zu Zahlungen oder zur Preisgabe von Kreditkartendaten drängen. Weiterlesen nach der Anzeige Einer der aktuellen Fälle betrifft den österreichischen IT-Dienstleister Seekda. Nach einem Phishing-Angriff informiert Seekda erste Betroffene über ungewöhnliche Zugriffsmuster auf seine Systeme. Das genaue Ausmaß des Sicherheitsvorfalls sei bisher nicht abschließend ersichtlich. Seekda bietet Hotels Software für die Verwaltung von Buchungen, Vertriebskanälen und weiteren Hotelprozessen an. Gäste verschiedener Hotels erhalten indes täuschend echt wirkende Nachrichten von unterschiedlichen Accounts der Kriminellen. Infolge einer Anfrage teilt Seekda in einer automatisierten Eingangsbestätigung mit: „Aufgrund einer aktuellen Phishing-Welle ist unser Team derzeit ausschließlich mit der Bearbeitung der betroffenen Fälle beschäftigt. Wir bitten Sie daher, in dieser Zeit von anderen Anfragen abzusehen, damit wir uns auf die Sicherheitsvorfälle konzentrieren können“, um das Ticketaufkommen nicht weiter zu erhöhen. Bei betroffene Kunden melde sich das Unternehmen „umgehend zurück“. Erste Hotels haben gegenüber heise online bereits bestätigt, vermehrt mit Phishing-Vorfällen zu tun zu haben. Kriminelle nutzen aktuelle Reservierungsdaten Eine Hotelkundin wandte sich an ihr Hotel, nachdem sie per WhatsApp von einem vermeintlichen Booking.com-Mitarbeiter die Aufforderung erhalten hatte, sie solle ihre Buchung innerhalb von zwölf Stunden bestätigen, obwohl der Aufenthalt bereits vollständig bezahlt war. Zur angeblichen Bestätigung sollte sie über einen Link erneut Kreditkartendaten einschließlich des Kartenprüfcodes CVV eingeben. Auffällig ist, dass die Kriminellen nicht nur den Namen des gebuchten Hotels, sondern auch zutreffende An- und Abreisedaten kennen. Die Kriminellen drohen mit einer Stornierung, sofern die Kunden die Buchung nicht bestätigen. Auffällig ist, dass sich die Formulierungen und die Account-Namen der verschiedenen Phishing-Nachrichten unterscheiden – trotz gleicher Ziele. Die Angreifer verwenden Domains, die einen Bezug zu Hotelreservierungen suggerieren, etwa bookcheckarrival-gueststayhotel.com. Ein Krimineller kontaktierte eine Kundin über eine Telefonnummer mit der Vorwahl des Vereinigten Königreichs und nannte seinen Account„Total Acces“, nutzt allerdings ein Bild, auf dem eine Frau zu sehen ist, die wie eine freundliche Hotelmitarbeiterin aussieht. Ein anderer Account mit indischer Ländervorwahl nutzt den Namen „Bombae“. Zwar wirken die Accounts selbst weniger authentisch, dass die Täter offenbar individuelle Reisedaten kennen, erhöht die Glaubwürdigkeit der Betrugsversuche jedoch. Ob die Kriminellen dabei auf Buchungs- oder Kontaktdaten aus Systemen betroffener Hotels zugreifen konnten und welche Daten ihnen im Einzelnen vorliegen, ist bislang nicht geklärt. Wie viele Hotels betroffen sind, ist unklar Weiterlesen nach der Anzeige Der Dienstleister teilte betroffenen Hotels mit, der Vorfall werde mit „höchster Priorität“ untersucht. Wie viele Hotels konkret betroffen sind, ist derzeit noch unklar. Ebenfalls offen ist, wann und auf welchem Weg die Angreifer Zugriff auf mögliche Buchungs- und Kontaktdaten erhalten haben. Welche Daten genau betroffen sind und wie viele Gäste die Kriminellen bereits kontaktiert haben, ist ebenfalls nicht bekannt. Zeitgleich warnt auch der Hotel- und Gaststättenverband DEHOGA Nordrhein vor vermehrten Phishing- und Betrugsversuchen gegen Hotelgäste. Dem Verband zufolge erhalten Betroffene derzeit „täuschend echt wirkende Nachrichten per WhatsApp, SMS oder E-Mail“. Darin würden sie zu kurzfristigen Zahlungen, zur Eingabe von Zahlungs- oder Kreditkartendaten oder zur Bestätigung einer Buchung über einen Link aufgefordert. Teilweise drohen die Täter mit einer Stornierung. Besonders problematisch sei, dass die Nachrichten teils korrekte Buchungsdaten wie Namen, Hotel, Reisezeitraum oder Reservierungsdetails enthalten. Der Verband nennt eine Vielzahl möglicher Angriffsszenarien. Dazu zählen kompromittierte Konten einzelner Unterkünfte, Sicherheitsvorfälle bei Booking.com sowie mögliche Kompromittierungen von Drittanbietersystemen. Dazu gehören etwa Property-Management-Systeme, Channel-Manager, CRM-Systeme und weitere Software, die Buchungsdaten verarbeitet. Auch ibelsa meldete Datenabfluss Ein weiterer Sicherheitsvorfall in der Branche wurde beim Hotelsoftwareanbieter ibelsa bekannt. Das Unternehmen erklärte, am 25. Juli 2026 habe es einen nicht autorisierten Zugriff auf seine Systeme gegeben. Nach dem damaligen Ermittlungsstand seien personenbezogene Daten von Hotelgeschäftspartnern sowie von deren Gästen abgeflossen. Zahlungsdaten seien nach Angaben von ibelsa hingegen nicht betroffen. ibelsa warnte ausdrücklich, die erlangten Daten könnten für betrügerische Kontaktaufnahmen unter Bezug auf tatsächliche Buchungen genutzt werden. Das Unternehmen erklärte außerdem, den Vorfall dem Unabhängigen Datenschutzzentrum Saarland gemeldet und bei der saarländischen Polizei Strafanzeige erstattet zu haben. Wiederkehrendes Problem in der Hotelbranche Die gesamte digitale Verarbeitungskette der Hotellerie ist für Kriminelle interessant – von Buchungsplattformen über Schnittstellen und Hotelsoftware bis zu einzelnen Hotelkonten. Nicht jeder Phishing-Vorfall lässt sich jedoch unmittelbar und zweifelsfrei einer bestimmten Ursache, einem kompromittierten Zugang oder einem einzelnen Dienstleister zuordnen. Ähnliche Phishing-Wellen trafen zuvor auch Best Western Hotels sowie weitere touristische Buchungssysteme weltweit. Bereits im Juni 2025 wurde eine Serie von Phishing-Vorfällen im Umfeld von Booking.com und Hotels in Südtirol publik. Dabei erhielten Gäste Nachrichten, die den Eindruck erweckten, sie stammten von ihrer Unterkunft oder aus dem Booking.com-Umfeld. Die Ursachen der Vorfälle ließen sich damals nicht eindeutig zuordnen. Betroffene und Dienstleister prüften unter anderem kompromittierte Booking.com-Zugänge, mögliche Datenabfragen sowie Systeme technischer Partner. Ein zentraler unbefugter Zugriff auf ein Sammelkonto konnte nach damaligem Stand ausgeschlossen werden. Woher die Angreifer die verwendeten Gastadressen und Buchungsinformationen im Einzelfall hatten, blieb jedoch zunächst offen. Auch Booking.com erklärte seinerzeit, einzelne Unterkunftspartner seien durch überzeugende Phishing-Mails kompromittiert worden; dadurch hätten Kriminelle teilweise Zugriff auf Konten der Unterkünfte erhalten und sich gegenüber Gästen als Hotel ausgeben können. Im April 2026 räumte Booking.com dann unbefugte Fremdzugriffe auf Buchungsinformationen ein und informierte betroffene Kunden mit neuen Sicherheits-PINs. Gäste sollten keine Zahlungslinks aus Nachrichten öffnen Gäste sollten Aufforderungen zur erneuten Eingabe von Zahlungs- oder Kreditkartendaten grundsätzlich kritisch prüfen, insbesondere wenn die Buchung bereits bezahlt ist oder die Kontaktaufnahme über einen bislang nicht genutzten Kanal wie WhatsApp erfolgt. Auch bei Booking, PayPal und anderen Plattformen nutzen Betrüger dieselbe Methode: Sie versenden täuschend echte Nachrichten mit echten Kundendaten, um an Zahlungsinformationen zu gelangen. Sie sollten keine Links aus unerwarteten Nachrichten öffnen und keine Kreditkarten-, CVV- oder sonstigen Zahlungsdaten in Formulare eintragen, die über solche Links erreichbar sind. Stattdessen sollten sie das Hotel ausschließlich über eine bekannte Telefonnummer oder die offizielle Website kontaktieren – nicht über Kontaktdaten aus der Nachricht. Wer bereits Kartendaten eingegeben hat, sollte unverzüglich die kartenausgebende Bank kontaktieren, die Karte gegebenenfalls sperren lassen und die Umsätze kontrollieren. Verdächtige Nachrichten, Screenshots sowie Absenderadressen und Rufnummern sollten Betroffene sichern. Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern, Sebastian Schmidt, warnt ebenfalls vor Phishing nach einem Cyberangriff auf einen Anbieter von Hoteldatenbanken. Welcher Anbieter gemeint ist, nennt die Behörde nicht. Der Behörde zufolge gingen zuletzt vermehrt Datenpannenmeldungen von Hotels ein, die eine bundesweit verbreitete Buchungsdatenbank einsetzen. Nach dem dortigen Kenntnisstand flossen komplette Hoteldatenbanken ab, darunter Namen, Adressdaten und weitere buchungsrelevante Informationen von Gästen. Erste Phishing-Versuche mit diesen Daten seien bereits bekannt. Gäste sollten laut Schmidt niemals Geld aufgrund einer Nachricht überweisen, deren Echtheit sie nicht zweifelsfrei prüfen können. In der Regel liegen dem Hotel nach der Buchung bereits alle erforderlichen Daten vor. Wer bereits Daten an Dritte weitergegeben hat, kann sich unter anderem an seine Bank oder die Polizei wenden. Hotels als datenschutzrechtlich Verantwortliche müssen den Vorfall zudem der zuständigen Aufsichtsbehörde melden und betroffene Gäste informieren. Die Datenschutzbehörde empfiehlt Betrieben außerdem, sämtliche Passwörter von Benutzerkonten rund um die betroffene Datenbank zu ändern, angebundene Systeme und Protokolle auf ungewöhnliche Zugriffe zu prüfen, Backups zu kontrollieren, Zwei-Faktor-Authentifizierung einzurichten und Mitarbeitende für Phishing zu sensibilisieren.