Ausgerechnet die Vorfreude auf den Urlaub wird aktuell von Kriminellen verdorben. In Deutschland und den Nachbarländern sind Hotelgäste das Ziel einer Phishing-Welle, die per E-Mail und WhatsApp mit täuschend echten Buchungsdaten arbeitet. Grundlage ist offenbar ein Datenabgriff bei HotelNetSolutions GmbH.
Datenabgriff bei HotelNetSolutions: Das ist bekannt
Der auf Hotelbuchungen spezialisierte Berliner Dienstleister HotelNetSolutions hat auf einer eigenen Informationsseite einen Sicherheitsvorfall eingeräumt. Unbekannte verschafften sich über eine Sicherheitslücke Zugang zu Reservierungsdaten. Die Schwachstelle wurde nach Unternehmensangaben am 19.09.2026 geschlossen. Betroffen sind Reservierungen aus dem Zeitraum Januar 2026 bis einschließlich 13.09.2026.
Genau diese zeitliche Einordnung sorgt allerdings für Diskussionen. Das Unternehmen weist darauf hin, dass der Zeitraum der betroffenen Reservierungen nicht mit der Dauer des tatsächlichen unbefugten Zugriffs gleichgesetzt werden darf. Zunächst hatte der Verdacht im Raum gestanden, die Angreifer könnten sich über Monate Zugang zu den Systemen verschafft haben. Bestätigt hat sich das auf Nachfrage nicht. Sebastian Düpré, Head of Operations bei HotelNetSolutions, erklärte gegenüber heise online, für die aktuellen Vorfälle liege kein Nachweis dafür vor, dass der über die am 19.09.2026 geschlossene Schwachstelle erfolgte Zugriff verantwortlich sei.
Für betroffene Gäste bleibt die Lage dennoch brisant. Die Angreifer nutzen die erbeuteten Daten, um täuschend echte Zahlungsaufforderungen zu verschicken. Empfänger werden etwa aufgefordert, eine offene Rechnung zu begleichen oder eine angebliche Anzahlung nachzuleisten. Nach Informationen von heise online sind bereits Hotelgäste auf diese Masche hereingefallen und haben Überweisungen ausgelöst. HotelNetSolutions rät deshalb zu erhöhter Wachsamkeit und einer kritischen Prüfung jeder Zahlungsaufforderung.
Frühere Warnung und die Rolle der Hotels
Bereits im März 2026 berichtete Günter Born in seinem Blog „Borncity“ über einen ähnlichen Phishing-Vorfall, bei dem mutmaßlich Daten aus dem Umfeld des Dienstleisters verwendet wurden. Im Mittelpunkt stand dabei die Plattform OnePageBooking.com. Ob es eine direkte Verbindung zu den aktuellen Vorfällen gibt, ließ HotelNetSolutions auf Anfrage offen. Nach eigenen Angaben des Unternehmens ließen sich die missbräuchlichen Abgriffe aus den vorhandenen Log-Dateien im Nachhinein „nicht belastbar“ zuordnen.
Datenschutzrechtlich sehen sich in erster Linie die Hotels in der Pflicht. HotelNetSolutions tritt als Auftragsverarbeiter auf, die angeschlossenen Unternehmen gelten als Verantwortliche im Sinne der Datenschutz-Grundverordnung. Deshalb müssen die Häuser ihre betroffenen Gäste informieren, wenn ein hohes Risiko für deren Rechte besteht. Nach Artikel 34 DSGVO ist das zwingend vorgeschrieben. Hinweise darauf gibt es bereits: heise online liegen erste Benachrichtigungen von Hotels an ihre Gäste vor.
Was Hotelgäste jetzt tun sollten
Der beste Schutz gegen diese Form von Betrug ist ein aufmerksamer Umgang mit unaufgeforderten Zahlungsmails. Die folgenden Hinweise helfen, die Masche zu durchschauen:
- Zahlungsaufforderungen niemals sofort überweisen. Besser das Hotel über eine offizielle Telefonnummer anrufen und die Forderung direkt klären.
- Auf Links und Anhänge in der verdächtigen Nachricht verzichten. Oft führen diese auf gefälschte Buchungsseiten, die täuschend echt aussehen.
- Absenderadressen genau prüfen. Phishing-Mails verwenden häufig Domains, die den echten Adressen der Hotels oder Buchungsportale sehr ähnlich sind.
- Keine Zugangsdaten oder TANs herausgeben. Hotels und Plattformen fragen niemals per E-Mail oder WhatsApp nach Passwörtern oder Kreditkarteninformationen.
- Vorfälle melden. Betroffene sollten Anzeige erstatten und im Zweifel die zuständige Datenschutzbehörde informieren.
Fazit: Lieber einmal mehr nachfragen
Der aktuelle Datenabgriff bei HotelNetSolutions zeigt, wie verwundbar die digitale Buchungskette zwischen Hotel, Plattform und Gast ist. Hotelgäste können nicht verhindern, dass ihre Daten in falsche Hände geraten. Sie können aber verhindern, dass aus einer ungeprüften Mail eine teure Überweisung wird. Der direkte Kontakt zum Hotel bleibt deshalb der sicherste Weg. Entscheidend wird nun sein, wie offen die betroffenen Häuser informieren und wie schnell sich die Phishing-Welle eindämmen lässt.
