Stand: 29.07.2026. Nach einem erneuten Cyberangriff auf einen bundesweit eingesetzten Hotel-Softwaredienstleister sind personenbezogene Gästedaten abgeflossen. Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern meldet, dass nach aktuellem Kenntnisstand komplette Datenbanken betroffener Hotels abgeflossen sein sollen. Für Gäste ist das nicht nur eine abstrakte Datenpanne. Namen, Adressen und Buchungsinformationen können ausreichen, um sehr glaubwürdige Zahlungsaufforderungen im Namen eines Hotels zu verschicken.
Die Aufsicht nennt als betroffene Daten insbesondere Vor- und Nachnamen, Adressdaten und weitere buchungsrelevante Informationen. Bank- und Zahlungsdaten sollen nach derzeitigem Stand nicht betroffen sein. Trotzdem bleibt das Risiko hoch, weil Angreifer mit echten Reisedaten, Hotelnamen oder Buchungsdetails Vertrauen erzeugen können. Genau darauf weist die Behörde hin: Es seien bereits Phishing-Versuche bekannt geworden, bei denen Nachrichten den Eindruck erwecken, von Hotelmitarbeitenden zu stammen.
Warum Buchungsdaten für Betrug besonders wertvoll sind
Viele Datenpannen werden zuerst danach bewertet, ob Zahlungsdaten oder Passwörter betroffen sind. Bei Hotelbuchungen greift diese Sicht zu kurz. Wer weiß, dass eine Person in einem bestimmten Hotel gebucht hat oder dort war, kann Nachrichten deutlich persönlicher formulieren als bei normalem Massenphishing. Eine angebliche Nachzahlung, eine geänderte Kaution, eine Zahlungsbestätigung oder ein Link zur Buchungsprüfung wirkt plausibler, wenn Name, Adresse und Reisebezug stimmen.
Für Hotels entsteht damit eine doppelte Aufgabe. Sie müssen den Vorfall datenschutzrechtlich bewerten und gleichzeitig verhindern, dass Gäste durch Folgebetrug weiter geschädigt werden. Die Behörde empfiehlt, betroffene Gäste über den Abfluss ihrer Daten zu informieren. Praktisch sollte diese Information sehr konkret sein: Welche Datenkategorien sind betroffen, welche Zahlungsdaten nach aktuellem Stand nicht, welche Kommunikationswege nutzt das Hotel tatsächlich und welche Links oder Zahlungsaufforderungen sollen Gäste ignorieren?
Was Meldepflichten allein nicht lösen
Die DSGVO-Meldung an die Aufsicht ist nur ein Teil der Krisenarbeit. Wenn komplette Hotel-Datenbanken abgeflossen sind, muss jedes betroffene Haus klären, ob Gäste zusätzlich direkt nach Artikel 34 DSGVO benachrichtigt werden müssen. Bei bereits beobachteten Phishing-Versuchen spricht vieles dafür, dass die Risikoinformation nicht in allgemeinen Formulierungen stehen bleiben darf. Gäste brauchen handfeste Hinweise, wie sie echte Hotelkommunikation von Betrugsversuchen unterscheiden.
Auch Dienstleistersteuerung wird zum Prüfpunkt. Hotels, die eine zentrale Buchungsdatenbank oder Hotelsoftware einsetzen, bleiben gegenüber ihren Gästen sichtbar verantwortlich. Deshalb reicht es nicht, nur auf den Anbieter zu warten. Verträge zur Auftragsverarbeitung, Protokolle, Zugriffskonzepte, Backup- und Exportwege sowie die Frage, welche Mandantendaten voneinander getrennt sind, gehören jetzt auf den Tisch. Besonders wichtig ist, ob ein Angriff auf den Dienstleister tatsächlich Daten vieler Hotels gleichzeitig erreichbar gemacht hat.
Welche Sofortmaßnahmen jetzt sinnvoll sind
Für betroffene Hotels ist eine klare Gäste-Kommunikation der schnellste Schutz. Nachrichten sollten keine unnötigen Links enthalten, eine offizielle Telefonnummer nennen und ausdrücklich erklären, dass Zahlungsaufforderungen über unerwartete Links nicht befolgt werden sollen. Parallel sollten Reservierungs- und Empfangsteams wissen, welche Fragen kommen und welche Antwort freigegeben ist. Gäste sollten verdächtige E-Mails, Messenger-Nachrichten oder Zahlungslinks nicht über die Nachricht selbst prüfen, sondern das Hotel über bekannte Kontaktwege anrufen.
Der Fall zeigt außerdem, dass branchentypische Softwareketten eigene Datenschutzrisiken erzeugen. Eine Hotelbuchung ist kein isolierter Datensatz im Haus. Sie kann über Dienstleister, Datenbanken, Portale und Supportzugänge laufen. Wenn an einer Stelle Daten abfließen, wird aus einem technischen Sicherheitsvorfall schnell ein sehr persönliches Betrugsrisiko für viele Reisende.
