Beim Glücksspielkonzern Casinos Austria sind laut ORF möglicherweise Daten von rund 150.000 Webshop-Kunden in die Hände von Kriminellen gelangt. Unbekannte haben sich zwischen dem 2. und 5. November 2026 Zugriff auf Systeme eines externen Dienstleisters verschafft, der den Online-Gutscheinshop des Unternehmens betreibt. Casinos Austria geht davon aus, dass dabei auch Kundendaten abgegriffen wurden, und hat Betroffene am 7. November per E-Mail informiert. Bank- und Kreditkartendaten sind nach Angaben des Unternehmens nicht betroffen. Für sehr glaubwürdige Phishing-Mails könnten die erbeuteten Daten trotzdem reichen.

Was über den Angriff auf den Webshop von Casinos Austria bekannt ist

In der Kundenmail, aus der wien.ORF.at zitiert, heißt es: „Wir müssen davon ausgehen, dass die Angreifer dabei auch Daten aus unserem Online-Shop abgegriffen haben. Welche Datensätze genau betroffen sind, wird derzeit noch untersucht.“ Die Sicherheitslücke sei inzwischen geschlossen, sagte Casinos-Austria-Sprecher Patrick Minar dem ORF. Und weiter: „Bank- oder Kreditkartendaten sind von diesem Vorfall definitiv nicht betroffen, weil diese Daten nicht gespeichert werden.“ Die Zahl von rund 150.000 Betroffenen stammt aus dem ORF-Bericht. Wie viele Datensätze tatsächlich kopiert wurden, ist nach Darstellung von oe24 und 5min.at noch Gegenstand der Untersuchung.

Bei den möglicherweise betroffenen Daten gehen die Angaben auseinander. Laut ORF können Vor- und Nachname, E-Mail-Adresse, Bestellungen sowie Gutscheincodes betroffen sein. Die Portale oe24 und 5min.at, die sich ebenfalls auf das Kundenschreiben berufen, nennen zusätzlich Geburtsdatum, Wohnadresse und Telefonnummer. Betroffen sind demnach Personen, die im Online-Shop Gutscheine gekauft haben.

Laut ORF ist die Datenschutzbehörde informiert, Fachleute für Cybersicherheit ermitteln. Wer hinter dem Angriff steckt, ist unklar. Ein Bekennerschreiben oder einen Eintrag auf einer der Leak-Seiten krimineller Gruppen haben wir bis zum 8. November nicht gefunden. Dass auch andere Glücksspielangebote wie die Österreichischen Lotterien oder win2day betroffen wären, geht aus keinem der Berichte hervor: Alle Angaben beziehen sich auf den Gutscheinshop.

Dienstleister INCERT: Zugriff auf Servercluster des Hostinganbieters

Der ORF nennt den Dienstleister nicht. Laut oe24 und 5min.at handelt es sich um die INCERT eTourismus GmbH & Co KG aus Linz, die den technischen Betrieb des Online-Shops verantwortet. INCERT verkauft vor allem an Hotels, Bergbahnen, Thermen und andere Tourismusbetriebe Gutschein-, Ticket- und Shopsysteme. In einem Sicherheitshinweis auf seiner Website bestätigt das Unternehmen einen „unautorisierten Zugriff“, ohne einzelne Kunden zu nennen. Ein Cyberangriff habe einen Zugriff „auf einen Managed-Servercluster unseres Hostinganbieters“ verursacht. Entdeckt wurde er nach diesen Angaben am 5. November. Der Angriffsvektor sei geschlossen, die Systeme seien abgesichert und zusätzliche Schutz- und Überwachungsmaßnahmen aktiviert worden.

INCERT hat nach eigenen Angaben einen externen IT-Sicherheitsdienstleister mit der forensischen Untersuchung beauftragt, den Vorfall fristgerecht der Datenschutzbehörde gemeldet und Strafanzeige erstattet. Laut oe24 und 5min.at wurden außerdem Zugangsdaten ausgetauscht. Einen Zusammenhang mit den kritischen PHP-Lücken „php2shell“, die seit Ende Oktober aktiv angegriffen werden (php2shell: CISA meldet Angriffe), schließt INCERT aus. Hinweise darauf, dass die Daten von Gutscheinkäufern bereits für Betrugsversuche genutzt werden, gibt es laut INCERT derzeit nicht. Bemerkenswert ist ein Satz an die eigenen Geschäftskunden: Der Angriff habe sich gezielt gegen bestimmte Systeme gerichtet, „es kann aber nicht ausgeschlossen werden, dass Ihr System betroffen ist“. Ob neben Casinos Austria weitere Shops betroffen sind, ist damit offen.

Lieferkette: Warum Dienstleister zum Einfallstor werden

Der Fall zeigt, wie lang die Kette hinter einem scheinbar einfachen Webshop sein kann. Die Kundschaft kauft bei Casinos Austria ein, den Shop betreibt ein spezialisierter Softwareanbieter, und dessen Server laufen wiederum bei einem Hostinganbieter. Für Käufer ist davon nichts zu sehen. Der unbefugte Zugriff betraf nach INCERT-Angaben aber ausgerechnet dieses letzte Glied. Ein großes Unternehmen kann die eigenen Systeme noch so gut absichern: Bei ausgelagerten Diensten hängt die Sicherheit der Kundendaten auch davon ab, wie sorgfältig Dienstleister und deren Zulieferer arbeiten. Wer viele Firmen mit derselben Plattform beliefert, ist für Angreifer zudem ein lohnendes Ziel.

INCERT selbst spricht von einer „Welle der Cyberangriffe im Tourismus“, die „bereits einige namhafte Technologieanbieter getroffen“ habe. Ähnliche Muster zeigten sich zuletzt mehrfach: Beim Hotelsoftware-Anbieter vioma flossen am 2. November Buchungsdaten aus einem System ab, in dem Reservierungen aus Buchungsportalen und Hotel-Websites zusammenlaufen (Cybervorfall bei Hotel-Software vioma). Bei der französischen Bankengruppe Crédit Mutuel Arkéa zweigten Angreifer über die Plattform eines externen Dienstleisters rund 100 Millionen Euro ab (Cyberangriff auf Crédit Mutuel Arkéa). Und der Online-Händler Mindfactory informierte am 6. November über einen Angriff, bei dem Kundendaten betroffen sein könnten (Hackerangriff auf Mindfactory), dort ist allerdings kein Dienstleister als Einfallstor bekannt.

Symbolbild: Illustration eines Laptops mit E-Mail-Symbol, aus dem eine Hand nach Kreditkarte und Geldscheinen greift

Symbolbild Phishing. Bild: Illustration von Mohamed Hassan, Lizenz CC0, via Wikimedia Commons

Warum Bestelldaten und Gutscheincodes für Phishing so wertvoll sind

Auch ohne Bankdaten ist der Vorfall nicht harmlos. Wer Name, E-Mail-Adresse, die konkrete Bestellung und den Gutscheincode kennt, kann Nachrichten schreiben, die von echter Kundenkommunikation kaum zu unterscheiden sind, etwa nach dem Muster „Dein Gutschein läuft bald ab“ oder „Bei deiner Bestellung gab es ein Problem“. Gerade die echten Details machen solche Mails glaubwürdig. Sollten auch Telefonnummern abgeflossen sein, sind gefälschte SMS und Anrufe ebenso denkbar, wie oe24 schreibt.

Casinos Austria warnt in seiner Kundenmail zudem vor Identitätsbetrug: „Außerdem könnten deine Daten für Identitätsbetrug missbraucht werden, etwa für Bestellungen auf deinen Namen“, zitiert der ORF. Laut oe24 und 5min.at betont das Unternehmen, niemals per E-Mail, SMS oder Telefon nach Passwörtern oder Kreditkartendaten zu fragen und auf diesem Weg auch keine Zahlungen zu verlangen.

Was Betroffene jetzt tun sollten

Wer eine Benachrichtigung von Casinos Austria erhalten oder im Gutscheinshop eingekauft hat, sollte in den kommenden Wochen besonders aufmerksam sein:

  • Nachrichten zu Gutscheinen und Bestellungen kritisch prüfen: Stimmen die Bestelldetails in einer Mail, heißt das nicht, dass sie wirklich von Casinos Austria stammt. Genau diese Daten könnten die Angreifer haben.
  • Keine Links und Anhänge öffnen: Rufe den Shop lieber selbst über die bekannte Adresse im Browser auf, statt einem Link aus einer Mail oder SMS zu folgen.
  • Absender genau ansehen: Entscheidend ist die tatsächliche Absenderadresse, nicht der angezeigte Name. Eine plausible Adresse ist allerdings auch keine Garantie.
  • Keine Passwörter, Kartendaten oder Zahlungen herausgeben: Casinos Austria fordert nach eigener Aussage nie auf diesem Weg dazu auf.
  • Gutschein im Blick behalten: Ob abgeflossene Gutscheincodes gesperrt oder ersetzt werden, haben weder Casinos Austria noch INCERT bisher öffentlich mitgeteilt. Wer einen noch nicht eingelösten Gutschein besitzt, fragt am besten über die offiziellen Kontaktwege nach, ob der Code gültig bleibt, und hebt den Kaufbeleg auf.
  • Auf ungewöhnliche Post achten: Rechnungen, Mahnungen oder Pakete für Bestellungen, die du nicht aufgegeben hast, können auf Identitätsmissbrauch hindeuten.
  • Auskunft verlangen: Nach Art. 15 DSGVO kannst du von Casinos Austria erfahren, welche Daten über dich gespeichert sind. Laut Datenschutzbehörde muss das Unternehmen grundsätzlich innerhalb eines Monats antworten. Die Behörde stellt dafür ein unverbindliches Formular bereit.

Von Passwörtern für den Webshop ist in den bisherigen Angaben keine Rede. Wer bereits auf eine verdächtige Nachricht hereingefallen ist und Kartendaten eingegeben hat, sollte sofort die Bank verständigen, die Karte sperren lassen und Anzeige bei der Polizei erstatten.

Quellen

Bildnachweis