Nach Cyberangriffen auf Buchungsdienstleister fordert der Landesbeauftragte für den Datenschutz Niedersachsen (LfD) Übernachtungsbetriebe auf, potenziell betroffene Gäste zu informieren und Datenpannen zu melden. Kriminelle würden erbeutete Buchungsinformationen für täuschend echte Nachrichten nutzen. In einem Informationsschreiben mit Stand Oktober 2026 erläutert die Behörde, welche Schritte Hotels, Campingplätze, Ferienwohnungsvermieter und Herbergen unternehmen müssten.
Hintergrund seien mehrere IT-Sicherheitsvorfälle bei größeren technischen Dienstleistern, insbesondere zur Buchungsverwaltung. Diese würden von Übernachtungsbetrieben bundesweit genutzt. Auch zahlreiche Unternehmen in Niedersachsen seien betroffen. Der LfD verweist auf eine signifikant gestiegene Zahl von Datenpannenmeldungen.
Über Schwachstellen hätten Unbefugte unter anderem auf Hotelnamen, Buchungsnummern, Namen, E-Mail-Adressen und Telefonnummern der Gäste zugreifen können. Auch An- und Abreisedaten sowie der Gesamtbetrag der Buchung gehörten zu den zugänglichen Informationen. Die tatsächlichen Buchungsdaten ließen die betrügerischen Nachrichten besonders authentisch wirken.
Betriebe müssen alle potenziell betroffenen Gäste über den Datenvorfall informieren
Die Behörde erklärt, Übernachtungsbetriebe blieben nach der Datenschutz-Grundverordnung (DSGVO) für die Daten ihrer Gäste verantwortlich, auch wenn sie externe Dienstleister zur Buchungsverwaltung einsetzten. Die Dienstleister müssten die Betriebe über Vorfälle unverzüglich informieren. Deshalb sollten Betriebe auf eingehende Nachrichten ihrer Dienstleister achten.
Erfahre ein Betrieb von einer Datenpanne, müsse er alle Gäste benachrichtigen, die betroffen sein könnten. Die Information dürfe sich nicht auf Gäste beschränken, die bereits gefälschte Nachrichten erhalten hätten. Zu den weiteren Pflichten zählt der LfD die Meldung an die zuständige Datenschutzaufsicht, die Benennung eines Ansprechpartners für Gäste und die Dokumentation des Vorfalls.
Für Meldungen in Niedersachsen verweist die Checkliste auf das Onlineformular des LfD nach Artikel 33 DSGVO. Zur Benachrichtigung der Gäste stellten die Dienstleister in den meisten Fällen Vorlagen bereit.
Die Checkliste verlangt Passwortwechsel und empfiehlt weitere technische Prüfungen
Nach der Checkliste müssten alle Passwörter der Benutzerkonten geändert werden, die mit dem kompromittierten Dienstleister zusammenhingen. Neben dem Zugriff auf die betroffenen Dienste sollten Betriebe auch angeschlossene Systeme überprüfen und technische Protokolle auf ungewöhnliche Anmeldeversuche oder Systemzugriffe kontrollieren.
Zudem empfiehlt die Behörde, das Datensicherungssystem auf den aktuellen technischen Standard zu prüfen und gegebenenfalls nachzubessern. Grundsätzlich solle für alle Systeme eine Zwei-Faktor-Authentifizierung eingerichtet werden. Eigene Warnhinweise auf den Kommunikationskanälen der Betriebe sollten Gäste für mögliche Angriffe sensibilisieren.
Auch die Mitarbeiter sollten über die Vorfälle und die aktuelle Gefährdungslage informiert werden. Verdächtige Links oder E-Mail-Anhänge dürften nicht geöffnet werden. Bei Gästeanfragen sollten Mitarbeiter die Buchung im offiziellen Buchungssystem und die entsprechenden Kontaktwege intern prüfen.
Gäste sollten nach Datenpreisgabe oder Zahlungen Bank und Polizei kontaktieren
Die betrügerischen Nachrichten würden per SMS, E-Mail, WhatsApp und anderen Nachrichtendiensten versandt. Gäste würden darin aufgefordert, angeblich fehlende Daten wie Kreditkartennummern zu ergänzen oder Zahlungen zu leisten. Der LfD warnt neben finanziellen Schäden auch vor Identitätsdiebstahl und Erpressungsversuchen.
Gäste sollten keine persönlichen Daten oder Zahlungsinformationen über zugesandte Links preisgeben und zweifelhafte Nachrichten über die offiziellen Kontaktdaten des Betriebs überprüfen. Wer bereits Daten eingegeben oder Zahlungen geleistet habe, solle umgehend seinen Bank- beziehungsweise Zahlungsdienstleister und die Polizei kontaktieren. Etwaige Zugangsdaten sollten schnellstmöglich über die offizielle Internetseite oder Anwendung geändert werden.
Für Betriebe empfiehlt die Behörde außerdem einen Notfallplan. Dieser solle klären, wer bei einem Cyberangriff erreichbar sei, über eine mögliche Abschaltung der Systeme entscheide und welche nächsten Schritte vorgesehen seien.
Bei der Erstellung dieses Artikels kamen KI-gestützte Werkzeuge zum Einsatz. Die Inhalte wurden redaktionell überprüft. Feedback nehmen wir gerne unter news@tageskarte.io entgegen.
Hotellerie
