Ein Gast erhält eine Nachricht mit seinem Namen, dem richtigen Reisezeitraum und seiner Buchungsnummer. Er soll seine Kreditkarte erneut bestätigen – sonst werde die Reservierung storniert. Die Nachricht wirkt glaubwürdig. Doch sie stammt von Kriminellen.
Für Hotels ist ein solcher Vorfall weit mehr als ein IT-Problem. Es geht um den Schutz der Gäste, mögliche Meldepflichten und das Vertrauen in das eigene Haus. Auch wenn die Daten über einen externen Softwareanbieter abgeflossen sind, muss das Hotel aktiv werden.
Eine Hotelreservierung enthält genau die Informationen, mit denen sich eine überzeugende Betrugsnachricht erstellen lässt: Name, Kontaktdaten, Hotel, Aufenthaltszeitraum und möglicherweise der Buchungsbetrag. Wer diese Angaben kennt, kann sich als Hotel oder Buchungsplattform ausgeben. Die Aufforderung, eine Zahlung zu bestätigen, wirkt dann wie ein normaler Teil der Reisevorbereitung. Auch nach der Abreise sind angebliche Nachzahlungen oder Rückerstattungen denkbar.
Dass diese Gefahr konkret ist, zeigt beispielsweise der von HotelNetSolutions veröffentlichte Sicherheitshinweis: Das Unternehmen beschreibt einen unberechtigten Zugriff auf Buchungsinformationen und deren Nutzung für glaubwürdig wirkende Phishingnachrichten. Die identifizierte Schwachstelle wurde nach Unternehmensangaben am 19. September 2026 geschlossen. Die Aufarbeitung dauerte zum veröffentlichten Stand vom 7. Oktober an.
Entscheidend ist: Auch wenn keine Kreditkartendaten gestohlen wurden, können Buchungsdaten dazu dienen, Gäste anschließend zur Herausgabe ihrer Zahlungsdaten zu verleiten.
Hotels nutzen zahlreiche miteinander verbundene Anwendungen: Property-Management-System, Buchungsmaschine, Channel Manager, digitale Gästemappe, Check-in-Lösung und Kommunikationssoftware.
Ein Sicherheitsvorfall kann deshalb außerhalb des eigenen Hauses entstehen. Soweit ein Anbieter personenbezogene Daten als Auftragsverarbeiter für das Hotel verarbeitet, muss er dem Hotel eine bekannt gewordene Datenschutzverletzung unverzüglich melden. Das Hotel bleibt als Verantwortlicher für die Prüfung seiner eigenen Pflichten zuständig. Eine Meldung des Dienstleisters ersetzt die Prüfung einer eigenen Behördenmeldung nicht automatisch.
Die erste Reaktion sollte deshalb lauten: Sachverhalt klären, Risiken bewerten, Gäste schützen und Entscheidungen dokumentieren.
Geschäftsleitung, Datenschutzbeauftragte, IT und betroffene Dienstleister sollten frühzeitig zusammenarbeiten. Legen Sie fest, wer die Aufklärung koordiniert und wer Informationen an Mitarbeitende und Gäste weitergibt.
Für die erste Bestandsaufnahme sind diese Fragen hilfreich:
Sichern Sie Dienstleisterinformationen, Originalnachrichten, Zeitangaben und relevante Protokolle. Lassen Sie technische Änderungen mit der IT abstimmen, damit wichtige Spuren erhalten bleiben.
Die Mitteilung „Es könnten Gästedaten betroffen sein“ reicht für eine belastbare Bewertung nicht aus. Das Hotel benötigt möglichst genaue Informationen zu Datenarten, betroffenen Personen und Umfang des Vorfalls.
Besonders wichtig ist die Unterscheidung zwischen Angriffszeitraum, Buchungszeitraum und Aufenthaltszeitraum. Ein Zugriff vom 17. bis 21. eines Monats bedeutet nicht automatisch, dass nur Gäste betroffen sind, die in diesen Tagen gebucht oder übernachtet haben. Entscheidend ist, welche Datensätze während des Angriffs erreichbar waren.
Fordern Sie deshalb eine nachvollziehbare Abgrenzung an: Sind aktuelle Reservierungen, zukünftige Aufenthalte, stornierte Buchungen oder auch ältere Gästedatensätze betroffen? Welche Informationen wurden nachweislich eingesehen oder exportiert? Was ist noch ungeklärt?
Eine Datenschutzverletzung muss der zuständigen Aufsichtsbehörde unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden gemeldet werden. Eine Ausnahme besteht, wenn sie voraussichtlich kein Risiko für die Rechte und Freiheiten der betroffenen Personen verursacht. Nicht jede Datenpanne ist damit automatisch meldepflichtig; erforderlich ist eine nachvollziehbare Risikobewertung.
Warten Sie nicht auf einen abschließenden Untersuchungsbericht, wenn dadurch eine erforderliche Meldung verspätet würde. Noch fehlende Informationen können schrittweise nachgereicht werden. Auch nicht meldepflichtige Datenschutzverletzungen sind einschließlich ihrer Auswirkungen und der ergriffenen Maßnahmen zu dokumentieren.
Besteht voraussichtlich ein hohes Risiko für die betroffenen Personen, müssen diese grundsätzlich unverzüglich benachrichtigt werden. Diese Pflicht ist von der Behördenmeldung zu unterscheiden. Eine gesetzlich erforderliche Benachrichtigung muss unter anderem die Art des Vorfalls, eine Kontaktstelle, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Schutzmaßnahmen verständlich beschreiben.
Für die praktische Gästekommunikation bedeutet das:
Ein wichtiger Hinweis lautet: Korrekte Buchungsdaten beweisen nicht, dass eine Nachricht tatsächlich vom Hotel stammt.
Gäste sollten unerwartete Zahlungsaufforderungen über einen unabhängig bekannten Kontaktweg prüfen. Wer bereits Bank- oder Kreditkartendaten eingegeben oder Geld überwiesen hat, sollte umgehend seine Bank beziehungsweise den Zahlungsdienstleister kontaktieren.
Vermeiden Sie pauschale Aussagen wie „Wir versenden niemals Zahlungslinks“, wenn Ihr Hotel tatsächlich digitale Zahlungsdienste nutzt. Beschreiben Sie stattdessen präzise, welche Verfahren und Kommunikationswege legitim sind.
Die Mitarbeitenden am Telefon und an der Rezeption brauchen einen gemeinsamen Informationsstand. Sie sollten wissen, wie sie verdächtige Nachrichten aufnehmen, an wen sie diese weiterleiten und welche Auskünfte sie geben dürfen.
Hilfreich ist ein kurzer interner Gesprächsleitfaden. Er sollte bestätigte Fakten, offene Fragen und die nächsten Schritte enthalten. Aussagen wie „Das betrifft uns nicht, das war unser Dienstleister“ helfen einem verunsicherten Gast wenig.
Auch Beschwerden sollten ernst genommen und dokumentiert werden. Fragen zur Haftung oder zu Schadenersatz gehören in eine gesonderte fachliche Prüfung; vorschnelle Zusagen oder pauschale Ablehnungen sind keine gute Gästekommunikation.
Ist der unmittelbare Vorfall bearbeitet, sollte das Hotel seine Systemlandschaft kritisch prüfen. Eine zentrale Frage lautet:
Welches System benötigt welche Gästedaten – und wie lange?
Prüfen Sie insbesondere, ob Zusatzsysteme nach Abschluss ihres jeweiligen Zwecks weiterhin vollständige Gästedatensätze benötigen. Dass Informationen im PMS gespeichert werden müssen, begründet nicht automatisch dieselbe Speicherdauer in jeder angeschlossenen Anwendung. Löschfristen sollten je System und Verarbeitungszweck festgelegt und mit gesetzlichen Aufbewahrungspflichten abgestimmt werden.
Für die Zusammenarbeit mit Softwarepartnern empfiehlt sich außerdem ein fester Fragenkatalog:
Copyrights © 2026 RHC Real Hotel Controlling. All Rights reserved.
