Auf den Punkt: Hotelketten müssen mit grossflächigen Datenpannen rechnen und ihre Gäste informieren, während Phishing-Versuche auf Basis der erbeuteten Daten bereits dokumentiert sind.
Ein bundesweit agierender Hotel-Softwaredienstleister ist Opfer eines Cyberangriffs geworden, bei dem personenbezogene Gästedaten abgeflossen sind. Für CISOs bedeutet dies ein erhöhtes Risiko für Hotels und deren Gäste sowie ein Muster wiederholter Anschläge auf Hotelinfrastruktur.
Der Datenschutzbeauftragte von Mecklenburg-Vorpommern bestätigte nach Meldungen mehrerer Hotels einen Cyberangriff auf einen bundesweit genutzten Hotel-Softwaredienstleister. Den Behördenangaben zufolge sind die kompletten Datenbanken betroffener Hotelbetriebe abgeflossen. Die erfassten Daten umfassen Vor- und Nachname, Adressdaten sowie buchungsrelevante Informationen; Bank- und Zahlungsdaten waren nach aktuellem Kenntnisstand nicht betroffen.
Das Incident-Muster deutet auf eine systematische Anfälligkeit der Hotelbranche hin: Im Februar desselben Jahres erfolgte bereits ein ähnlicher Angriff auf einen anderen bundesweiten Hotel-Datenbankdienstleister mit Datenpannen bei Hotels. Die Häufung innerhalb weniger Monate spricht dafür, dass Angreifer gezielt auf SaaS-Lösungen im Hotelsektor abzielen – eine Sektoren-übergreifende Abhängigkeit, die sich als Multiplier-Effekt auswirkt.
Kriminelle nutzen die erbeuteten Daten bereits aktiv für Phishing-Kampagnen. Sie versenden gefälschte Mitteilungen, die scheinbar von Hotelmitarbeitenden stammen, um Empfänger zu Zahlungen oder zur Preisgabe weiterer sensibler Informationen zu bewegen. Der Datenschutzbeauftragte empfahl Hotels, betroffene Gäste unverzüglich zu informieren und diese vor Social-Engineering-Angriffen zu warnen.
Für CISOs in Hospitality-Unternehmen ergibt sich aus diesem Vorfall eine doppelte Verantwortung: Einerseits die Überprüfung und Härtung eigener Softwaredienstleister-Abhängigkeiten, andererseits die Notwendigkeit, Incident-Response-Prozesse und Gäste-Benachrichtigungsverfahren zu prüfen und auszuführen. Die wiederholten Anschläge zeigen, dass eine einmalige Sicherung nicht ausreichend ist – kontinuierliche Überwachung und Segmentierung von Gästendatenbanken sollten zum Standard werden.
Quelle: www.it-daily.net · Erschienen 30. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.