A-ROSA-Hotels: Buchungsdaten von Gästen abgegriffen

Unbefugte haben bei den A-ROSA-Hotels Buchungsdaten von Gästen eingesehen. Betroffen sind Namen und Reisedaten, teils auch Adressen, E-Mail-Adressen und Telefonnummern. Das Hamburger Abendblatt und fvw | TravelTalk berichteten am 29. Oktober 2026 über den Vorfall. Die Kette umfasst 13 Häuser in Deutschland, Österreich und Italien und gehört zur DSR Hotel Holding mit Sitz in Rostock.

Der Angriff trifft die Hotelsparte, nicht die gleichnamigen A-ROSA Flussreisen. Beide Markenwelten teilen den Namen, sind aber getrennte Geschäfte. Die DSR Hotel Holding, zu der neben A-ROSA Resorts & Hideaways auch das Hotel Louis C. Jacob, die HENRI Hotels, aja Resorts und das Hotel Neptun zählen, gehört zur Dertour Group aus dem Rewe-Konzern.

Was bei A-ROSA passiert ist

Laut tageskarte.io, die sich auf das Hamburger Abendblatt beruft, griffen Unbefugte auf Gäste-Buchungsdaten zu. Betroffen waren Namen und Reisedaten. Sofern Gäste weitere Angaben gemacht hatten, kamen Adressen, E-Mail-Adressen und Telefonnummern hinzu. Zahlungs- oder Kreditkartendaten nennen die vorliegenden Quellen nicht. Darin liegt ein Unterschied zu einem Parallelfall an der Ostsee.

Das Unternehmen stoppte nach eigener Darstellung den Zugriff. Das Hamburger Abendblatt zitiert A-ROSA: „Wir haben den Zugriff sofort gestoppt, die zugrunde liegende Ursache behoben und alle notwendigen Schutzmaßnahmen eingeleitet.“ Betroffene Gäste informierte das Unternehmen schriftlich.

Wie viele Gäste betroffen sind, bleibt offen. Eine konkrete Zahl nennt keine der ausgewerteten Quellen. Auch zum technischen Angriffsweg und zum Zeitpunkt des Vorfalls liegen keine Angaben vor. Eine eigenständige Pressemitteilung auf den Unternehmensseiten war zum Recherchezeitpunkt nicht auffindbar; die Fachmedien stützen sich auf dieselbe Primärquelle.

Die Warnung an die Gäste und was sie verrät

Aufschlussreich ist weniger der Datenabfluss selbst als das, wovor A-ROSA seine Gäste warnt. Aus der Mitteilung zitiert das Hamburger Abendblatt: „Bitte achten Sie besonders auf unerwartete oder ungewöhnliche E-Mails, SMS, Anrufe, Rechnungen oder Bestellungen.“ Und weiter: „Bei Bestellungen, die Sie nicht selbst getätigt haben, wenden Sie sich bitte an die Polizei.“

Das verweist auf das eigentliche Risiko. Nicht der Verlust von Namen und Reisedaten schadet dem Gast direkt, sondern das, was Kriminelle daraus bauen: zielgenaues Phishing. Wer den echten Namen eines Gastes, sein gebuchtes Haus und die Reisedaten kennt, verfasst Betrugsnachrichten, die glaubwürdig wirken. Der Empfänger erkennt echte Details wieder und senkt die Wachsamkeit.

Dieses Muster ist nicht neu. Bei einem Datenleck im belgischen TUI-Geschäft im Oktober 2026 erhielten Kunden laut ib-p.nl betrügerische Nachrichten, in denen ihr voller Name, das Hotel und die Reisedaten korrekt angegeben waren. TUI bestätigte den Vorfall. Die Masche bei A-ROSA folgt derselben Logik.

Serie statt Einzelfall

Der A-ROSA-Vorfall steht nicht allein. Im Oktober 2026 häufen sich Angriffe entlang der touristischen Wertschöpfungskette im DACH-Raum.

Die Seetelhotels auf Usedom wurden laut nordkurier.de (28. Oktober 2026) Ziel eines Ransomware-Angriffs. Die interne IT stellte am 10. Oktober 2026 einen unbefugten Zugriff fest. Hier kam Erpressung hinzu: „Im Zusammenhang mit dem Cybervorfall liegt inzwischen ein Erpressungsversuch vor. Die Angreifer drohen damit, erlangte Daten zu veröffentlichen“, heißt es in dem Bericht. Betroffen sein könnten Namen, E-Mail-Adressen sowie Kreditkartendaten. Die Gruppe meldete den Vorfall bei der Datenschutzbehörde Mecklenburg-Vorpommern und schaltete das Landeskriminalamt ein.

In Österreich traf es die Buchungssysteme steirischer Tourismusverbände. Laut oe24.at sind rund 3.000 Gäste betroffen, die über die Websites gebucht hatten. Abgegriffen wurden Namen, Adressen, Telefonnummern und E-Mail-Adressen. Kredit- und Bankomatdaten seien nach aktuellem Stand nicht betroffen. Mitbetroffen waren auch vier Tiroler und mehrere Salzburger Verbände.

Drei reale Fälle binnen weniger Wochen zeigen, worauf es Angreifer abgesehen haben: Gäste-Stamm- und Buchungsdaten aus Portalen und E-Mail-Konten.

Was das für den eigenen Betrieb heißt

Für Hoteliers verschiebt der A-ROSA-Fall den Fokus von der reinen IT-Absicherung hin zur Frage, was im Schadensfall operativ und rechtlich zu tun ist. Der Angriff ist bei A-ROSA offenbar bereits passiert; entscheidend wird das Krisenmanagement danach.

Im Tagesgeschäft heißt das zunächst: Gästekommunikation. A-ROSA informierte Betroffene aktiv und warnte vor Phishing. Wer eine solche Nachricht nicht vorbereitet hat, verliert im Ernstfall Tage, in denen Kriminelle die Daten bereits nutzen. Eine Textvorlage, klare Zuständigkeiten und ein Kanal für Rückfragen gehören in den Notfallordner, bevor etwas passiert.

Dann die rechtliche Uhr. Nach der DSGVO ist ein meldepflichtiger Vorfall binnen 72 Stunden der Aufsichtsbehörde anzuzeigen (Artikel 33), bei hohem Risiko für Betroffene zusätzlich diese selbst zu benachrichtigen (Artikel 34). Das gilt in Deutschland und Österreich gleichermaßen. Der Seetelhotels-Fall zeigt das Vorgehen im Lehrbuch: Meldung an die Landesdatenschutzbehörde, Einschaltung des LKA. Wer die Behörde erst spät oder gar nicht informiert, riskiert zum Reputationsschaden ein Bußgeldverfahren.

Bleibt die Datensparsamkeit als Schutzfaktor. Dass bei A-ROSA offenbar keine Zahlungsdaten betroffen waren, während bei Seetelhotels Kreditkartendaten im Raum stehen, hängt auch davon ab, welche Daten ein Betrieb überhaupt dauerhaft speichert. Je weniger sensible Informationen im System liegen, desto kleiner der Schaden bei einem Einbruch. Die Durchsicht, welche Gästedaten das PMS (die zentrale Hotelsoftware für Buchung und Gästeverwaltung), das Buchungsportal und die E-Mail-Konten tatsächlich vorhalten, lässt sich unabhängig vom Budget sofort umsetzen.

Quellen

• ahgz.de – Kundendaten betroffen: A-Rosa-Hotels werden Opfer einer Cyberattacke
• tageskarte.io – Unbefugter Zugriff auf Buchungsdaten der A-Rosa-Hotels
• fvw | TravelTalk – A-Rosa-Hotels werden Opfer einer Cyberattacke
• hotelvor9.de – Datenabfluss bei A-Rosa-Hotels
• hogapage.de – A-ROSA-Portfolio und Eigentümerstruktur
• dsr-hotelholding.de – A-ROSA Resorts & Hideaways
• tophotel.de – DSR Hotel Holding und Dertour Group
• konbriefing.com – Cyberattack exposes customer data at A-ROSA Hotels / DSR Hotel Holding
• nordkurier.de – Seetelhotels Opfer eines Ransomware-Angriffs
• oe24.at – Buchungssystem steirischer Tourismusverbände gehackt
• ib-p.nl – TUI bestätigt Datenleck in Belgien
• upinthesky.nl – TUI untersucht Umfang des Datenlecks
• wer-zu-wem.de – A-Rosa Markenursprung und Kapazitäten