Wer in den vergangenen Tagen in einem deutschsprachigen Hotel eingecheckt oder online gebucht hat, sollte in den nächsten Wochen besonders genau auf E-Mails und SMS zu dieser Buchung achten. Grund ist ein Sicherheitsvorfall beim deutschen Softwarehaus vioma, dessen Buchungs- und Verwaltungsplattform in vielen Hotels im DACH-Raum eingesetzt wird. Am 2. November 2026 verschafften sich Unbekannte unberechtigten Zugang zu Buchungsdaten und ließen ein Verwaltungssystem automatisiert nach Datensätzen durchsuchen. Das Unternehmen bestätigte den Vorfall am 6. November mit einer aktualisierten Mitteilung an die betroffenen Hotels, parallel berichtete Günter Born in seinem Blog borncity.com am 5. November.

Betroffen ist laut vioma das System CST7, früher „Clearing Station“ genannt. Dort laufen Reservierungen aus Buchungsportalen und Hotel-Websites zusammen, bevor sie in die eigentlichen Property-Management-Systeme der Hotels übergeben werden. Wer als Gast über ein von vioma betriebenes Buchungswidget oder über Channel-Verbindungen reserviert hat, dessen Daten lagen zumindest zeitweise in CST7. Das Unternehmen betont jedoch, dass nur Hotels mit einer konkreten Benachrichtigung tatsächlich betroffen sind – die Software läuft in vielen weiteren Umgebungen, ohne dass die abgefragte Lücke dort relevant war.

Was abgeflossen ist – und was nicht

vioma hat in seiner Mitteilung eine ungewöhnlich präzise Liste der potenziell betroffenen Datenfelder veröffentlicht. Unberechtigt abgerufen wurden demnach Buchungs-ID, Vor- und Nachname, An- und Abreisedatum, Buchungsbetrag und Buchungszeitpunkt, Buchungskanal, E-Mail-Adresse, Telefonnummer, vollständige Anschrift sowie die gebuchte Leistung. Nach Angaben des Anbieters betrifft das wahrscheinlich Buchungen mit einem Anreisedatum ab dem 1. November 2026. Nicht abgeflossen sind nach bisherigem Stand Kreditkartendaten, Passwörter und sonstige Zugangsdaten – diese liegen in einem getrennten Bereich.

Der zeitliche Ablauf ist auffallend sauber dokumentiert. vioma spricht von unaufgefordert versendeten Passwort-Reset-Mails ab 16:43 Uhr am 2. November, einer ersten technischen Untersuchung ab 17:15 Uhr und einer vorsorglichen Deaktivierung aller Anmeldungen und Passwort-Reset-Funktionen ab 17:29 Uhr. Um 17:38 Uhr lief die reguläre Anmeldung wieder, um 18:54 Uhr war die Sicherheitslücke geschlossen, um 19:35 Uhr der ursächliche technische Fehler behoben. Die Erstinformation an die betroffenen Kunden ging um 22:25 Uhr raus. Am 5. November erstattete vioma Strafanzeige gegen Unbekannt. Diese Transparenz ist in der Branche eher selten – und sie macht die Einschätzung leichter.

Symbolbild: Hotelzimmerkarte mit Magnetstreifen

Bild: Buchungen bei vielen Hotels liegen auf Plattformen wie CST7 zentral vor – Symbolbild. Foto: Jackie, Lizenz CC BY-SA 3.0, via Wikimedia Commons.

Warum Phishing nach Hotelbuchungen jetzt besonders gefährlich ist

Die veröffentlichte Datenliste liest sich wie ein Handbuch für überzeugendes Phishing. Mit Buchungs-ID, Name, Anreisedatum, Zimmerkategorie und gezahltem Betrag lässt sich eine E-Mail formulieren, die kaum noch als Betrug zu erkennen ist. Üblich sind zwei Szenarien: Die vermeintliche „Buchungsbestätigung muss noch mal neu bestätigt werden“ mit Link zu einer gefälschten Hotelseite – oder die angebliche „Rückerstattung, bitte Kontodaten eingeben“ kurz vor der Anreise. Beide Varianten profitieren davon, dass die Opfer die Buchung ja wirklich getätigt haben und sich nicht wundern, wenn jemand den Betrag auf den Cent genau nennt.

Besonders perfide wird es, wenn Täter auch die Telefonnummer besitzen. Ein Anruf, der sich als „Rezeption vom Hotel X“ ausgibt und Daten abfragt, hat damit deutlich bessere Erfolgsaussichten. Das BSI und die Verbraucherzentralen warnen seit Jahren vor dieser Masche – nach einem Datenvorfall dieser Größe ist eine Welle solcher Angriffe realistisch. Für Hotels bedeutet das zudem: Sie müssen in den nächsten Wochen mit deutlich mehr Rückfragen rechnen und entsprechend schulen.

Was du jetzt tun solltest

Als Gast hast du keinen direkten Einfluss auf die Sicherheit einer fremden Hotelsoftware. Du kannst aber Phishing-Versuche sicher erkennen und entschärfen:

  • Absender genau prüfen: Ein seriöses Hotel schreibt dir aus seiner eigenen Domain. Klickst du bei einer Mail auf „Absender anzeigen“, musst du dort @hotelname.de sehen – und nicht @hotelname.secure-mail.example. Auch deutsche Umlautdomains (Punycode) sind ein Warnsignal.
  • Nicht auf Links in der Mail klicken: Rufe die Hotel-Website direkt im Browser auf und logge dich dort ein oder nutze die Buchungsnummer in der ursprünglichen Bestätigungsmail. Links aus unerwarteten Mails sind grundsätzlich tabu.
  • Keine Zahlungsdaten per Mail oder Telefon: Ein echtes Hotel fragt dich nicht per E-Mail oder in einem spontanen Anruf nach Kreditkartennummer, IBAN oder Passwort. Wer das tut, will dich betrügen – auch wenn alle anderen Angaben stimmen.
  • Bei Unsicherheit anrufen: Suche die Telefonnummer des Hotels auf dessen offizieller Website, nicht in der verdächtigen Mail. Frag konkret nach der Buchungsnummer. Die Rezeption kann die Angaben in Sekunden abgleichen.
  • Zahlungswege im Blick behalten: Prüfe in den Tagen rund um die Anreise deine Kreditkartenabrechnung und Online-Banking auf Abbuchungen, die du nicht zuordnen kannst. Kreditkarten lassen sich im Verdachtsfall innerhalb von Minuten sperren.
  • Zwei-Faktor-Authentifizierung aktivieren: Wenn du ein Kundenkonto bei einem Hotel oder einem Buchungsportal hast, aktiviere dort – wenn möglich – eine zweite Stufe per Authenticator-App. Das macht dich unempfindlich gegen gestohlene Passwörter.

Was Hotels und IT-Verantwortliche prüfen sollten

Betreibt ihr ein Hotel, das vioma-Produkte nutzt, lohnt ein Blick ins eigene Postfach: Nur wer eine Benachrichtigungs-E-Mail vom Anbieter erhalten hat, ist konkret betroffen. In diesem Fall solltet ihr die Benutzerverwaltung auf unbekannte Zugänge prüfen, alle Passwörter rotieren oder – wo verfügbar – auf Passkey-Anmeldung umstellen und die Gäste mit Anreise ab 1. November 2026 freundlich auf das Phishing-Risiko hinweisen. Ein kurzer Satz auf der Bestätigungsmail oder beim Check-in reicht meist aus. Wichtig ist der direkte Hinweis, dass ihr euch nie per Mail nach Zahlungsdaten erkundigt.

Für IT-Abteilungen allgemein ist der Fall ein Lehrstück in zweierlei Hinsicht: Zum einen zeigt er, wie schnell ein reiner Konfigurations- oder Logikfehler zur Datenpanne werden kann – die Lücke ließ offenbar automatisierte Reset-Mails und Abfragen zu, ohne dass ein klassischer Exploit nötig war. Zum anderen zeigt die saubere Zeitachse, wie wichtig ein geübter Incident-Response-Prozess ist. Wer binnen 90 Minuten erst stoppt, dann abdichtet, später behebt und noch am selben Abend informiert, schafft das nicht aus dem Stegreif.

Quellen

Bildnachweis