Am 2. November 2026 kam es beim Hotelbuchungsanbieter vioma zu einem bedauerlichen Sicherheitsvorfall, der die Gemüter in der Hotellerie aufrüttelt. Ein Blick hinter die Kulissen zeigt, dass über das Reservierungssystem vioma CST7 unbefugt Buchungsdaten von Gästen abgerufen wurden. Das Unternehmen, ursprünglich in Österreich gegründet, hat sich als deutscher Software- und Online-Marketing-Anbieter für die Branche etabliert, und seine Angebote reichen von Online-Buchungssystemen bis hin zu Channel-Management-Lösungen. Doch der aktuelle Vorfall wirft einen Schatten auf diese Leistungen.

Wie es dazu kam? Nun, vioma stellte am besagten Tag eine ganze Reihe von ungewöhnlichen automatisierten Anfragen fest – darunter E-Mails, die nicht von Nutzern angefordert wurden und eine Passwortzurücksetzung beinhalteten. Diese Anfragen lösten prompt einen Sicherheitsalarm aus. Vioma reagierte schnell und schloss die Sicherheitslücke, während gleichzeitig eine forensische Untersuchung eingeleitet wurde. Erste Ermittlungen zeigen, dass über die betroffenen CST7-Zugänge sensible Buchungsdaten abgerufen wurden, die nun in der Luft hängen. Was genau betroffen ist? Na ja, die Liste ist lang und umfasst unter anderem Buchungs-IDs, Namen, Aufenthaltszeiträume und sogar E-Mail-Adressen.

Die Gefahren für Gäste

Wahrscheinlich sind Buchungen betroffen, die ab dem 1. November 2026 getätigt wurden. Das lässt einen schon ins Grübeln kommen. Vioma selbst kann den genauen Umfang des Datenabflusses nicht vollständig bestimmen, da die Abrufe nicht einzeln protokolliert werden. Zum Glück scheinen Kreditkartendaten und Passwörter nicht betroffen zu sein. Wer sich ausschließlich per Passkey anmeldet, kann aufatmen. Aber dennoch warnt vioma eindringlich vor gezielten Phishing- und Betrugsversuchen, die aus den gestohlenen Daten resultieren könnten. Das ist kein Spaß, denn die Opfer könnten in eine Falle tappen, wenn sie mit ihren eigenen Buchungsdaten konfrontiert werden.

Die Problematik ist nicht neu. Ähnliche Vorfälle gab es bereits in der Reisebuchungsbranche, etwa bei Booking.com und anderen großen Anbietern. Immer wieder wird die Sicherheit auf die Probe gestellt – und die Gäste sind die Leidtragenden. Die Angriffe erfolgen häufig kurz vor der Anreise oder während des Aufenthalts, wenn die Gäste besonders anfällig sind. Hier wird mit dem Druck gespielt, um Kreditkarten- oder Zahlungsdaten über gefälschte Links zu „verifizieren“. Das macht es umso schwerer, diesen Betrug zu erkennen.

Was können Hotels tun?

Die Situation erfordert schnelles Handeln. Betreiber, die vioma nutzen oder Unregelmäßigkeiten bemerken, sollten sofort reagieren. Nach Art. 33 DSGVO sind sie verpflichtet, zu prüfen, ob ein Risiko für die Rechte und Freiheiten der Betroffenen besteht. Und sollte das der Fall sein, muss die Datenschutzverletzung innerhalb von 72 Stunden der zuständigen Landesdatenschutzbehörde gemeldet werden. Darüber hinaus sind die Betreiber angehalten, betroffene Gäste zu informieren – schließlich gibt es hier ein hohes finanzielles Risiko durch nachfolgende Phishing-Angriffe.

Was kann man also tun? Es gibt einige Empfehlungen, die sich als nützlich erweisen könnten. Warnhinweise in offiziellen Buchungsbestätigungen und auf den Webseiten der Betriebe sind ein guter Anfang. Auch die Schulung des Rezeptionspersonals, um verdächtige Nachrichten zu erkennen, ist eine wichtige Maßnahme. Gäste sollten stets darauf hingewiesen werden, dass ihr Betrieb niemals per WhatsApp oder SMS zur Eingabe von Kreditkartendaten auffordert. Und das ist nicht nur eine Floskel – es ist essenziell!

Die Landesdatenschutzbehörden verzeichnen derzeit eine bemerkenswerte Zunahme von Meldungen aus der Tourismusbranche. Der Druck steigt, und die Branche muss sich wappnen. Das Vertrauen der Gäste steht auf dem Spiel, und es braucht nur einen Moment der Unachtsamkeit, um alles zu verlieren. Also, aufgepasst, liebe Hoteliers – es ist Zeit, die Sicherheitsrichtlinien zu überdenken und die Gäste zu schützen!