Ransomware trifft Seetelhotels: Gästedaten möglicherweise abgeflossen

Ein Ransomware-Angriff hat die IT-Infrastruktur der Seetelhotels auf Usedom teilweise verschlüsselt. Die interne IT-Abteilung entdeckte den unbefugten Zugriff am Samstag, dem 10. Oktober 2026. Betroffen ist mit rund 500 Beschäftigten der größte touristische Arbeitgeber Mecklenburg-Vorpommerns, diesmal nicht ein Zulieferer, sondern die Hotelgruppe selbst.

Was bei Seetel passiert ist

Laut tophotel.de stellte die eigene IT-Abteilung den Zugriff am 10. Oktober fest und leitete umgehend Gegenmaßnahmen ein. Das Unternehmen bestätigte den Vorfall nach Angaben von ComputerWeekly am 12. Oktober. Seit dem 14. Oktober informiert Seetel auf einer eigenen Seite mit FAQ, am 15. Oktober folgte eine Pressemitteilung, wie Drohnen.de dokumentiert.

Als Sofortmaßnahme isolierte die Gruppe betroffene Systeme und trennte sie vom Netzwerk, um eine Ausbreitung zu verhindern. Zusätzlich beauftragte sie einen externen IT-Sicherheitsdienstleister für die forensische Analyse, berichtet die AHGZ. Parallel liefen die Behördenwege: Die Datenschutzaufsicht Mecklenburg-Vorpommerns erhielt fristgerecht eine Vorabmeldung, beim Landeskriminalamt erstattete das Unternehmen Strafanzeige. Das LKA hat laut Ostdeutscher Allgemeiner die Ermittlungen aufgenommen.

Der Hotelbetrieb läuft weitgehend normal weiter. Einschränkungen gibt es vor allem bei einzelnen Kommunikationskanälen: Bei Anfragen per Telefon und E-Mail kann es zu längeren Antwortzeiten kommen. Zur Lösegeldfrage teilte das Unternehmen mit, dass nach dem Stand vom 14. Oktober keine Forderung vorlag. Sollten die Angreifer Kontakt aufnehmen, werde man den Empfehlungen des Bundeskriminalamts folgen und nicht reagieren, so die Tageskarte. Betroffene Gesellschaft ist nach Angaben der Tageskarte die Seetel Hotel GmbH & Co. Betriebs-KG.

Das offene Datenrisiko für Gäste

Im Mittelpunkt der Untersuchung steht die Frage, ob und in welchem Umfang personenbezogene Daten abgeflossen sind. Einen Datenabfluss könne Seetel nach aktuellem Stand nicht vollständig ausschließen, abschließende Erkenntnisse lägen noch nicht vor, zitiert die AHGZ das Unternehmen. Betroffen sein könnten Daten von Gästen, Mitarbeitenden und Geschäftspartnern.

Der internationale Angriffs-Tracker konbriefing.com listet den Fall mit dem Hinweis auf einen kompromittierten gemeinsamen Mailserver und eine mögliche Betroffenheit personenbezogener Informationen. Vorsorglich ruft die Gruppe zu erhöhter Aufmerksamkeit bei verdächtigen Nachrichten auf, die angeblich im Namen von Seetel verschickt werden. Als Beispiele nennt das Unternehmen Zahlungsaufforderungen mit geänderten Bankverbindungen sowie Mails mit unbekannten Links oder Dateianhängen. Empfänger sollten Absenderadressen prüfen und im Zweifel direkt Kontakt aufnehmen.

Erst die Dienstleister, jetzt die Gruppe

Der Seetel-Fall reiht sich in eine Serie ein, die 2026 die Hotellerie in Mecklenburg-Vorpommern über Monate beschäftigt hat, bis dahin allerdings über die Zulieferer. Im Februar 2026 führte ein Angriff auf einen bundesweiten Hotel-Datenbankdienstleister zum Abfluss sensibler Gästedaten, wie hogapage.de unter Berufung auf den Landesdatenschutzbeauftragten Sebastian Schmidt berichtete. Im Juli 2026 traf es einen bundesweit tätigen Hotel-Softwaredienstleister. Betroffen waren laut dpa-AFX Vor- und Nachname, Adressdaten und weitere buchungsrelevante Informationen, Bank- und Zahlungsdaten dagegen nicht.

Bei der Behörde gingen vermehrt Datenpannenmeldungen von Hotels ein, nach aktuellem Kenntnisstand seien die kompletten Datenbanken der betreffenden Häuser abgeflossen, so Schmidt. Das Muster ähnelt sich: Mit erbeuteten Daten folgen Phishing-Wellen. Schmidt warnte laut dpa-AFX, solche Mails erweckten den Eindruck, von Hotelmitarbeitenden zu stammen, und sollten Empfänger zu Zahlungen oder zur Preisgabe weiterer Daten verleiten.

Der Unterschied liegt in der Angriffsfläche. Bei Angriffen auf Dienstleister ist das einzelne Hotel mittelbar betroffen, die Verantwortung für die Lücke liegt beim Zulieferer, mehrere Betriebe hängen am selben System. Beim Direktangriff auf Seetel liegt die gesamte Angriffsfläche im eigenen Haus: Buchungssystem, Verwaltung, Mailserver, Kommunikation. Dass Mecklenburg-Vorpommern mit Usedom und Seenplatte auffällt, ist kein Zufall. Der LfDI MV überwacht nach eigenen Angaben rund 30.000 Unternehmen und setzt Schwerpunkte im Tourismus, der intensiv mit Gästedaten arbeitet.

Was das für DACH-Betriebe heißt

Wer seine Datensicherheit bislang an den Verträgen mit Software- und PMS-Anbietern (Property-Management-System, die zentrale Hotelverwaltungssoftware) festgemacht hat, deckt damit nur einen Teil des Risikos ab. Der Seetel-Fall zeigt, dass die eigene IT-Umgebung selbst zum primären Ziel wird. Die erste Verteidigungslinie ist die interne IT, die den Zugriff hier früh bemerkte und die Ausbreitung eindämmte.

Für das Tagesgeschäft folgen daraus drei Konsequenzen. Die 72-Stunden-Frist nach Artikel 33 DSGVO verlangt, eine Datenpanne binnen dieser Frist bei der Aufsicht zu melden; wer keinen vorbereiteten Meldeprozess hat, verliert im Ernstfall Stunden. Phishing im Namen des eigenen Hauses trifft Stammgäste und Buchende direkt, lange bevor forensische Ergebnisse vorliegen, deshalb gehört eine vorbereitete Warn- und Informationsroutine in den Krisenplan. Und die Segmentierung entscheidet über das Ausmaß: Dass isolierte Systeme den Betrieb nicht lahmlegten, war bei Seetel der Unterschied zwischen Störung und Stillstand.

Der Branchenverband HSMA Deutschland verzeichnet nach Angaben von tophotel.de steigende Angriffszahlen. Peter Hense, Datenschutzjurist und für die HSMA tätig, beschreibt die Verschiebung so:

„Cybersecurity ist längst keine reine IT-Disziplin mehr, sondern eine strategische Managementaufgabe und ein zentraler Faktor für das Vertrauen der Gäste.“

Für General Manager und Eigentümer heißt das: Die Zuständigkeit wandert vom Serverraum auf die Geschäftsführungsebene. Seetel hat nach eigener Darstellung früh erkannt, schnell isoliert, externe Forensik geholt und die Behörden gemeldet. Ob Gästedaten abgeflossen sind, ist nach wie vor offen. Diese Unsicherheit über Tage hinweg ist der Normalzustand nach einem Ransomware-Angriff, auf den sich ein Betrieb vorbereiten kann, bevor er ihn durchlebt.

Quellen

• tophotel.de – Seetelhotels melden Hackerangriff
• AHGZ – Ransomware-Angriff auf Seetelhotels
• ComputerWeekly – Ransomware-Vorfall Seetelhotels Usedom
• Ostdeutsche Allgemeine – Cyberangriff auf Seetelhotels, LKA ermittelt
• Tageskarte – Seetelhotels nach Ransomware-Angriff
• konbriefing.com – Cyber attack SEETEL Hotel GmbH & Co. Betriebs-KG
• Drohnen.de – Chronologie und Quellenübersicht Seetel-Angriff
• hogapage.de – Cyberangriffe auf Hotel-Dienstleister in MV
• dpa-AFX – Datenschützer MV zu Gästedaten-Abfluss und Phishing
• Frankenpost/dpa – Melzer sieht Häufung von Datenpannen im Tourismus
• kurzurlaub.de – Seetelhotels als größter touristischer Arbeitgeber in MV
• wer-zu-wem.de – Unternehmensprofil Seetelhotels
• Die Deutsche Wirtschaft – Firmendaten Seetelhotels
• seetel.de – Unternehmensgeschichte und Auszeichnungen
• datenschutz-mv.de – Häufung von Cyberangriffen auf Gästedaten
• legiscope.com – LfDI Mecklenburg-Vorpommern, Profil und Sanktionspraxis
• newsfenster.de – HSMA zu steigenden Cyberangriffen auf Hotels
• openPR – HSMA Deutschland, Verbandsprofil