Hotelsoftware: Cyberangriff kompromittiert Millionen Gästedaten

Der Landesbeauftragte für den Datenschutz in Mecklenburg-Vorpommern hat am 29. Juli 2026 einen schwerwiegenden Cyberangriff auf einen bundesweit tätigen Dienstleister für Hotelsoftware gemeldet. Im Zuge des Vorfalls kam es zu einem signifikanten Abfluss von Gästedaten, was unmittelbare Auswirkungen auf die Sicherheit von Hotelgästen in ganz Deutschland hat. Betroffen sind nach offiziellen Angaben primär Namen, Anschriften sowie spezifische Buchungsinformationen. Bankdaten seien nach aktuellem Kenntnisstand nicht unter den entwendeten Informationen.

Unmittelbare Phishing-Gefahr für Hotelgäste

Bereits kurz nach Bekanntwerden des Datenabflusses am 29. Juli 2026 wurden erste Missbrauchsversuche festgestellt. Angreifer nutzen die entwendeten Gästedaten für gezielte Phishing-Kampagnen. Dabei werden gefälschte Nachrichten im Namen von Hotels versendet, um die Empfänger zu betrügerischen Handlungen zu verleiten. Der Datenschutzbeauftragte wies darauf hin, dass bereits Phishing-Versuche in Form gefälschter Hotel-Nachrichten registriert worden seien.

Infolge dieser Entwicklung wurden Hotels dazu aufgefordert, ihre Gäste proaktiv über den Vorfall zu informieren. Reisende sollten insbesondere Zahlungsaufforderungen, die sie per E-Mail erhalten, kritisch prüfen und im Zweifelsfall direkt Kontakt mit dem Beherbergungsbetrieb aufnehmen.

Systematische Kompromittierung von Hotel-Infrastrukturen

Der aktuelle Vorfall steht im Kontext einer breiteren Bedrohungslage für die Hotelbranche, die von Sicherheitsexperten bereits seit Juni 2026 beobachtet wird. Analysen des Sicherheitsunternehmens ReliaQuest belegen eine koordinierte Kampagne mittels DNS-Poisoning, die gezielt auf Captive-Portal-Gateways in Hotels und Konferenzzentren abzielt. Die Angreifer nutzen dabei häufig schwache Administrator-Zugangsdaten aus, um die Kontrolle über die Netzwerkinfrastruktur zu erlangen.

Geklaute Daten aus Hotel-Buchungen sind die perfekte Grundlage für perfide Phishing-Angriffe auf Ihr Unternehmen. Dieser kostenlose Leitfaden zeigt Ihnen in 4 Schritten, wie Sie Ihr Team vor psychologischen Manipulationstaktiken und Hacker-Angriffen effektiv schützen. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen

Sobald der Zugriff erfolgt ist, leiten die Täter Nutzer auf gefälschte Microsoft-Loginseiten um. Hierfür werden Domains wie m365-owa.com, owa-ms365.com, ms365-device.com und ms365-live.com verwendet. Ziel dieser Operationen ist die Erlangung von Zugangsdaten für Unternehmensnetzwerke.

Missbrauch der Device-Code-Authentifizierung

Ein technisches Merkmal dieser Angriffswelle ist der Missbrauch der Device-Code-Authentifizierung, um Multifaktor-Authentifizierungen (MFA) zu umgehen. Diese Methode wurde laut Branchenbeobachtern seit Juni 2026 vermehrt in den USA, Indien und Saudi-Arabien registriert. Dabei sind nicht nur touristische Reisende gefährdet; die Angriffe zielen insbesondere auf Geschäftsreisende aus den Bereichen Finanzen, Recht, Gesundheitswesen, Energie und dem Einzelhandel ab.

Angesichts immer komplexerer Cyber-Bedrohungen und neuer gesetzlicher Anforderungen müssen Unternehmen ihre IT-Sicherheit proaktiv stärken. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken ohne teure Investitionen schließen und Ihr Unternehmen langfristig absichern. Gratis E-Book: Cyber-Security Bedrohungen abwenden

Sicherheitsanalysten identifizierten in diesem Zusammenhang spezifische IP-Adressen, von denen die Aktivitäten ausgehen, darunter 38.146.28.75, 31.57.243.154 und 104.194.159.150. Es bestehen zudem Hinweise auf Ähnlichkeiten mit der als FrostArmada bekannten Kampagne der Gruppierung APT28. Die Angreifer fokussieren sich dabei auf exponierte Schnittstellen wie SSH, SNMP und Web-Konsolen.

Empfehlungen zur Absicherung der IT-Systeme

Um die Risiken durch kompromittierte Hotel-Netzwerke zu minimieren, raten IT-Experten zu umfassenden Schutzmaßnahmen. Dazu gehört der Einsatz von Full-Tunnel-VPN-Verbindungen sowie die Nutzung von verschlüsseltem DNS (DNS over HTTPS oder DNS over TLS). Administratoren in Unternehmen wird empfohlen, das Web Proxy Auto-Discovery Protocol (WPAD) zu deaktivieren und den Device-Code-Flow innerhalb von Entra ID zu unterbinden, um die Angriffsfläche für die beobachteten MFA-Umgehungen zu reduzieren.

de | wissenschaft | 69897710 |