Beim Softwareanbieter Vioma sind Anfang November 2026 Buchungsdaten von Hotelgästen unbefugt abgerufen worden. Betroffen ist das System CST7, das früher Clearing Station hieß. In einer aktualisierten Mitteilung vom 6. November erklärte das Unternehmen, der Datenumfang sei größer als zunächst mitgeteilt. Welche einzelnen Datensätze tatsächlich abgerufen wurden, lasse sich nicht vollständig feststellen.
Am 2. November registrierte Vioma ungewöhnliche automatisierte Anfragen. Dabei wurden E-Mails zum Zurücksetzen von Passwörtern ausgelöst, die Nutzer nicht angefordert hatten. Nach den technischen Untersuchungen wurden über betroffene CST7-Zugänge Buchungsdaten unbefugt abgerufen.
Vioma nennt persönliche Gästedaten und weitere Buchungsinformationen als wahrscheinlich betroffen
Zu den wahrscheinlich abgerufenen Informationen gehören nach Unternehmensangaben Vor- und Nachnamen, E-Mail-Adressen, Telefonnummern und Anschriften. Hinzu kommen Buchungs-IDs, Aufenthaltszeiträume, Buchungsbeträge, Buchungszeitpunkte, Buchungskanäle und gebuchte Leistungen.
Nach der technischen Analyse betrifft der Abruf wahrscheinlich Buchungen mit einem Anreisedatum ab dem 1. November 2026. Den genauen Umfang könne Vioma nicht vollständig bestimmen.
Die Angreifer hätten Buchungsübersichten mit entsprechenden Filtern aufgerufen und die angezeigten Daten automatisiert ausgelesen. Da solche Listenaufrufe nicht einzeln protokolliert würden, lasse sich nicht feststellen, welche Datensätze tatsächlich abgerufen worden seien.
Vioma habe das Vorgehen anhand vorhandener Zugriffsdaten rekonstruiert und die Abrufgrößen mit den entsprechenden Datenmengen verglichen. Dabei hätten sich nahezu übereinstimmende Werte ergeben. Das Unternehmen könne nicht ausschließen, dass weitere Buchungsfelder, beispielsweise Freitext- oder Anmerkungsfelder, betroffen seien.
Kreditkartendaten waren nach aktuellem Kenntnisstand nicht betroffen. Sie hätten über die betroffene Schnittstelle nicht abgerufen werden können. Auch Passwörter und Zugangsdaten seien nach bisherigen Erkenntnissen nicht direkt betroffen gewesen.
Vioma schließt die Sicherheitslücke und erstattet Strafanzeige beim Landeskriminalamt
Die ersten unaufgeforderten E-Mails zum Zurücksetzen von Passwörtern wurden am 2. November gegen 16:43 Uhr versendet. Um 17:15 Uhr begann die technische Untersuchung. Um 17:29 Uhr deaktivierte Vioma vorübergehend sämtliche Anmeldungen und die Funktionen zum Zurücksetzen von Passwörtern.
Die reguläre Anmeldung wurde um 17:38 Uhr wieder freigegeben. Die Funktion zum Zurücksetzen von Passwörtern blieb zunächst deaktiviert. Um 18:54 Uhr wurde die Sicherheitslücke geschlossen. Die Behebung des technischen Fehlers dokumentierte Vioma für 19:35 Uhr.
Am 5. November 2026 erstattete Vioma über einen Rechtsanwalt Strafanzeige gegen Unbekannt beim Landeskriminalamt Baden-Württemberg, Zentrale Ansprechstelle Cybercrime. Soweit erforderlich, sei auch Strafantrag gestellt worden.
Vioma verweist bei Datenschutzmeldungen auf die Verantwortung der betroffenen Hotels
Nach Unternehmensangaben sind nicht alle CST7-Kunden betroffen. Vioma hatte die Verantwortlichen der nach aktuellem Kenntnisstand betroffenen Zugänge am 2. November um 22:25 Uhr per E-Mail informiert.
Die Hotels müssten als datenschutzrechtlich Verantwortliche selbst entscheiden, ob eine Meldung an die Datenschutzaufsichtsbehörde nach Artikel 33 DSGVO erforderlich sei. Gleiches gelte für eine mögliche Benachrichtigung betroffener Gäste nach Artikel 34 DSGVO.
Die interne Risikoeinschätzung von Vioma für die abgerufenen Daten lautet „erhöht“. Das Unternehmen empfiehlt, vorsorglich mit gezielten Phishing- und Betrugsversuchen zu rechnen, die sich auf konkrete Buchungen beziehen. Als Beispiele nennt Vioma gefälschte Zahlungsaufforderungen sowie Storno- und Umbuchungsnachrichten.
Betroffenen Nutzern empfiehlt Vioma, ihre Passwörter zu ändern oder auf die Anmeldung mittels Passkey umzustellen. Nach bisherigem Kenntnisstand seien Nutzer, die sich ausschließlich über einen Passkey anmelden konnten, nicht betroffen gewesen.
Eine datensatzgenaue Aufstellung der abgerufenen Buchungen könne Vioma wegen der fehlenden Einzelprotokollierung voraussichtlich nicht bereitstellen.
Weitere Informationen veröffentlicht das Unternehmen auf seiner offiziellen Informationsseite zum Sicherheitsvorfall.
Bei der Erstellung dieses Artikels kamen KI-gestützte Werkzeuge zum Einsatz. Die Inhalte wurden redaktionell überprüft. Feedback nehmen wir gerne unter news@tageskarte.io entgegen.
Technologie
