In den letzten Tagen hat die Hotelbranche in Deutschland einen besorgniserregenden Vorfall erlebt, der viele Hoteliers und Gäste gleichermaßen in Alarmbereitschaft versetzt hat. Am 2. November 2026 stellte der Softwareanbieter Vioma ungewöhnliche automatisierte Anfragen über sein Buchungssystem CST7 fest. Was zunächst wie ein technisches Problem aussah, entpuppte sich schnell als ernsthafter Sicherheitsvorfall, bei dem unbefugt Buchungsdaten von Hotelgästen abgerufen wurden. Unglaublich, oder? Die Dimensionen dieses Vorfalls sind größer als zunächst gedacht.

Vioma gab am 6. November bekannt, dass der Datenumfang des unerlaubten Zugriffs umfangreicher ist als ursprünglich angenommen. Betroffen sind, so die Einschätzung des Unternehmens, unter anderem Vor- und Nachnamen, E-Mail-Adressen, Telefonnummern, Anschriften, Buchungs-IDs sowie Aufenthaltszeiträume und Buchungsbeträge. Man könnte sagen, dass die Angreifer eine Art „Schnüffeltour“ durch die Datenbanken unternommen haben. Die ersten alarmierenden Anzeichen zeigten sich bereits am 2. November um 16:43 Uhr mit dem Versand nicht angeforderter E-Mails, die Links zur Passwortzurücksetzung enthielten. Nur eine halbe Stunde später war die technische Untersuchung bereits im Gange und die Sicherheitslücke wurde schließlich um 18:54 Uhr geschlossen.

Was steckt hinter dem Vorfall?

Die unbefugten Zugriffe erfolgten über bestimmte CST7-Zugänge, wobei die Angreifer automatisiert Buchungsübersichten mit spezifischen Filtern aufriefen und die Daten auslasen. Die Möglichkeit, dass auch andere Buchungsfelder, wie Freitext- oder Anmerkungsfelder, betroffen sein könnten, lässt die Sorgen weiter wachsen. Für die Hotels, die Vioma nutzen, ist jetzt Handeln angesagt: Sie müssen selbst prüfen, ob sie die Aufsichtsbehörde über diesen Vorfall informieren müssen, gemäß Artikel 33 DSGVO. Und das innerhalb von 72 Stunden, wenn ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht!

Vioma hat inzwischen Strafanzeige bei der Zentrale Ansprechstelle Cybercrime in Baden-Württemberg erstattet. Das Unternehmen bewertet das Risiko für die abgerufenen Daten als „erhöht“ und warnt vor gezielten Phishing- und Betrugsversuchen. Besonders dreist: Angreifer könnten versuchen, Gäste kurz vor ihrer Anreise oder während ihres Aufenthalts zu kontaktieren und sie unter Verwendung echter Buchungsdaten zur Eingabe von Zahlungsinformationen zu bewegen. Das klingt fast wie aus einem schlechten Thriller, aber es ist die Realität.

Die Verantwortung der Hotels

Die betroffenen Hoteliers sind jetzt in der Pflicht. Sie müssen nicht nur ihre Gäste über den Vorfall informieren, sondern auch dafür sorgen, dass ihre Mitarbeitenden in der Lage sind, verdächtige Nachrichten zu erkennen. Dies könnte sogar ganz einfach sein: Ein Hinweis, dass das Hotel niemals per WhatsApp oder SMS nach Kreditkartendaten fragt, könnte schon viel bewirken. Außerdem empfiehlt es sich, Warnhinweise in offiziellen Buchungsbestätigungen und auf den eigenen Webseiten zu veröffentlichen.

Die datenschutzrechtliche Verantwortung bleibt bei den Hotels, selbst wenn der Sicherheitsvorfall beim IT-Dienstleister stattfand. Das bedeutet, dass sie sich um alle notwendigen Sicherheitsmaßnahmen kümmern müssen. Dazu gehören unter anderem das Ändern von Passwörtern, regelmäßige Überprüfungen der Systeme und Schulungen des Personals. Die Bedrohung durch Cyberangriffe ist real und nicht nur eine theoretische Angst. Man denke nur an die Vorfälle bei Booking.com und anderen Anbietern – die Branche muss endlich aufwachen.

Ein Blick in die Zukunft

Die aktuellen Meldungen aus der Tourismusbranche zeigen, dass die Zahl der Datenschutzverletzungen zunimmt. Laut dem Landesbeauftragten für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern gab es bereits ähnliche Vorfälle, bei denen vollständige Datenbanken von Hoteldaten abgerufen wurden. Es ist an der Zeit, dass Hotels und Anbieter von Buchungssystemen ihre Sicherheitsvorkehrungen ernsthaft überdenken und anpassen. Wer möchte schon, dass seine sensiblen Daten in die falschen Hände geraten? Es bleibt zu hoffen, dass die Branche aus diesen Vorfällen lernt und proaktive Maßnahmen ergreift, um die Daten ihrer Gäste besser zu schützen. Die Zeit des Abwartens ist vorbei – handeln müssen wir jetzt!

Für die betroffenen Nutzer gilt: Ändert eure Passwörter, bleibt wachsam und lasst euch nicht in die Irre führen! Das Internet ist voller Tücken, und es braucht nur einen falschen Klick, um in Schwierigkeiten zu geraten.