Komplette Gästedatenbanken abgeflossen – Hotels haften trotzdem

Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern (LfDI M-V) warnt: Bei einem bundesweit tätigen Softwaredienstleister der Hotellerie sind komplette Gästedatenbanken einzelner Hotels abgeflossen. Die Kriminellen arbeiten bereits mit der Beute – im Namen der betroffenen Hotels laufen Phishing-Nachrichten an Gäste.

Was die Aufsichtsbehörde bestätigt – und was offen bleibt

Die Behörde in Schwerin unter Amtsinhaber Sebastian Schmidt teilte mit, dass bei einem Anbieter von Hoteldatenbanken personenbezogene Gästedaten abgeflossen sind. Verbreitet wurde die Information über eine dpa-AFX-Meldung, aufgegriffen unter anderem von AHGZ, HOGAPAGE, CIO.de und hotelvor9.de.

Betroffen sind laut Pressemitteilung Vor- und Nachname, Adressdaten sowie weitere buchungsrelevante Informationen. Bank- und Zahlungsdaten seien nach derzeitigem Stand nicht betroffen. Entscheidend ist der Umfang: „Nach aktuellem Kenntnisstand sind die kompletten Datenbanken der betreffenden Hotels abgeflossen“, so Schmidt. Es geht also nicht um Teilbestände, sondern um vollständige Datensätze.

In den Tagen vor der Warnung gingen bei der Behörde vermehrt Datenpannenmeldungen von Hotels ein, die eine bundesweit verbreitete Buchungsdatenbank einsetzen. Wie viele Betriebe und Gäste tatsächlich betroffen sind, bleibt offen. Der LfDI M-V spricht von einer hohen Zahl, nennt aber weder konkrete Zahlen noch den Namen des Dienstleisters.

Kein Einzelfall: die Serie von 2026

Der Vorfall reiht sich in ein Muster ein. Bereits im Februar führte laut AHGZ ein Cyberangriff auf einen bundesweiten Hotel-Datenbankdienstleister zum Abfluss sensibler Gästedaten. Damals war ein anderes Unternehmen betroffen. Das Portal datenschutzticker.de hat diesen Fall anwaltlich aufgearbeitet: Der Dienstleister wurde gehackt und informierte anschließend die angeschlossenen Betriebe.

Weitere Vorfälle trafen die DACH-Hotellerie im selben Jahr. Laut HOGAPAGE war ein externer Softwarepartner von Motel One Ziel eines IT-Sicherheitsvorfalls, die Hotelgruppe Arcona meldete einen Angriff auf drei Häuser und die Rostocker Zentrale, und auch das IT-Netzwerk von H-Hotels.com wurde attackiert. Im Mai berichtete die österreichische Agentur Cyberschutz über ein Datenleck bei Best Western: Über eine Webanwendung griffen Unbekannte mehr als sechs Monate lang auf Namen, Kontaktdaten und Buchungsinformationen zu. Zahlungsdaten blieben unberührt, Gäste wurden vor Phishing gewarnt.

Das Muster bleibt konstant: Namen und Kontaktdaten weg, Zahlungsdaten sicher, Phishing im Namen des Hotels. Der Angriffspunkt verschiebt sich vom einzelnen Betrieb zum zentralen Software- und Datenbankdienstleister. Ein Treffer, viele Betroffene.

Die 72-Stunden-Uhr läuft – ab wann eigentlich?

Für Betreiber ist der wichtigste Satz dieser Meldung ein rechtlicher. Die Aufsichtsbehörde weist laut HOGAPAGE darauf hin, dass die Hotels für die Daten ihrer Gäste verantwortlich bleiben, auch wenn die Panne bei einem beauftragten Dienstleister aufgetreten ist. Die Verantwortung wandert nicht mit den Daten zum Anbieter.

Daraus folgt die Meldepflicht nach Art. 33 DSGVO: Eine Datenschutzverletzung muss der Verantwortliche der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Kenntnisnahme melden. Der praktische Knackpunkt liegt beim Fristbeginn. Nach Darstellung des Compliance-Dienstes eurocomply.app startet die Uhr, sobald der externe Auftragsverarbeiter das Hotel über den Abfluss informiert, nicht mit dem Zeitpunkt der ursprünglichen Panne. Die 72 Stunden laufen ununterbrochen, Wochenenden und Feiertage eingeschlossen. Wer freitagnachmittags erfährt, muss montags gemeldet haben.

Der Dienstleister selbst ist gemäß Art. 33 Abs. 2 DSGVO nur zur unverzüglichen Meldung an das Hotel verpflichtet. Die Risikobewertung obliegt laut dr-datenschutz.de allein dem Verantwortlichen, also dem Hotel. Bei aktivem Phishing greift zusätzlich Art. 34 DSGVO: Liegt ein hohes Risiko für die Betroffenen vor, sind die Gäste direkt zu benachrichtigen. Genau das empfiehlt der LfDI M-V: Die Behörde riet den Hotels, alle betroffenen Gäste über den Abfluss zu informieren.

Was das für den Betrieb konkret heißt

Für ein betroffenes Haus verschieben sich die Prioritäten sofort. Der erste Schritt ist nicht die technische Ursachenforschung, die liegt beim Dienstleister, sondern die Dokumentation des eigenen Kenntnisstands mit Zeitstempel. Ab wann wusste der Betrieb was? Diese Uhrzeit bestimmt die Meldefrist und ist im Streitfall der Anker.

Zweitens die Gästekommunikation. Da bereits gefälschte Nachrichten kursieren, die den Eindruck erwecken, von Hotelmitarbeitenden zu stammen, muss die Information an die Gäste eindeutig und über einen sicheren Kanal erfolgen. Die Behörde formuliert die Kernbotschaft an die Gäste selbst: „Überweisen Sie nie Geld auf Grundlage einer Nachricht, deren Echtheit Sie nicht eindeutig überprüfen können. Geben Sie nie persönliche Daten oder Zahlungsinformationen über zugesandte Links preis.“ Ein Hotel, das seine Gäste nicht warnt, riskiert, dass diese auf Betrugsmails hereinfallen, die den eigenen Namen tragen.

Drittens das Haftungsrisiko. Der Bußgeldrahmen bei Verstößen gegen die Meldepflicht reicht laut legiscope.com bis zu 10 Millionen Euro oder zwei Prozent des Jahresumsatzes. Hinzu kommen Schadensersatzansprüche der Gäste: Deutsche Gerichte sprechen laut einer Dresdner Datenschutzberatung bei Datenpannen je nach Schwere Beträge von einigen hundert bis mehreren tausend Euro pro Fall zu. Bei vollständigen Datenbanken summiert sich das.

Wer eine bundesweit verbreitete Buchungsdatenbank nutzt, sollte den eigenen Anbieter proaktiv kontaktieren und den Auftragsverarbeitungsvertrag prüfen: Welche Meldewege sind vereinbart, wie schnell informiert der Dienstleister im Ernstfall, wer trägt welche Kosten. Diese Fragen lassen sich vor einem Vorfall klären. Danach ist es für die 72-Stunden-Frist zu spät.

Quellen

• tophotel.de – Hackerangriff auf Hotel-Softwaredienstleister: Gästedaten weg
• datenschutz-mv.de – Pressemitteilung des LfDI M-V zum Datenabfluss
• finanznachrichten.de – dpa-AFX-Meldung zum Cyberangriff auf Hotel-Softwaredienstleister
• AHGZ – Cyberangriff auf Hotel-Softwaredienstleister und Februar-Vorfall
• HOGAPAGE – Verantwortlichkeit der Hotels und Serie von Cyberangriffen 2026
• hotelvor9.de – Zusammenfassung des Datenabflusses und der Behördenwarnung
• news.de – Warnung vor Phishing im Namen von Hotelmitarbeitenden
• datenschutzticker.de – Anwaltliche Aufarbeitung des Februar-Vorfalls
• agentur-cyberschutz.at – Datenleck bei Best Western Hotels
• dehoga-bayern.de – Warnung vor Phishing-Versuchen im Gastgewerbe
• nexvyra.de – Meldepflicht und 72-Stunden-Frist nach Art. 33 DSGVO
• eurocomply.app – Fristbeginn bei Meldung durch Drittanbieter und Art. 34 DSGVO
• informationssicherheitsbeauftragter-dresden.de – Fristenlauf inklusive Wochenenden
• dr-datenschutz.de – Meldepflicht des Auftragsverarbeiters nach Art. 33 Abs. 2 DSGVO
• legiscope.com – Bußgeldrahmen bei Verstoß gegen die Meldepflicht
• externer-datenschutzbeauftragter-dresden.de – Schadensersatz-Größenordnungen bei Datenpannen