Phishing mit echten Buchungsdaten: Was Sie zu HNS, Amadeus, Straiv, Booking.com und HotelSpecials wissen müssen

Ende September haben wir Sie über die neue Qualität der Phishing-Angriffe auf Hotelgäste informiert (Beitrag vom 24. September 2026). Seitdem hat sich die Lage nicht entspannt. Es sind weitere Vorfälle bekannt geworden, und die Täter haben ihr Vorgehen weiterentwickelt.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) hat sich deshalb mit Schreiben vom 16. Oktober 2026 an den DEHOGA Berlin gewandt. Sie bittet uns, unsere Mitglieder für das Thema zu sensibilisieren und ihre Hinweise weiterzugeben. Dieser Bitte kommen wir gern nach.
Diesmal werden wir konkret. Im Folgenden fassen wir die fünf Vorfälle zusammen, die uns in der Beratung Berliner und brandenburgischer Häuser am häufigsten begegnen. Danach folgen die Empfehlungen der Aufsichtsbehörde.

Diesmal werden wir konkret. Im Folgenden fassen wir die fünf Vorfälle zusammen, die uns in der Beratung Berliner und brandenburgischer Häuser am häufigsten begegnen. Danach folgen die Empfehlungen der Aufsichtsbehörde.

Das Muster ist immer ähnlich

Unbefugte verschaffen sich über Schwachstellen bei Dienstleistern Zugriff auf Buchungsdaten. Das sind typischerweise:

Hotelname und Buchungsnummer
Name, E-Mail-Adresse und Telefonnummer des Gastes
An- und Abreisedatum
teilweise der Buchungsbetrag

Mit diesen Daten schreiben die Täter die Gäste per WhatsApp, SMS oder E-Mail an. Vor der Anreise geht es meist um eine angeblich fehlgeschlagene Zahlung, eine „Bestätigung“ der Kreditkarte oder eine drohende Stornierung. Nach der Abreise werden zunehmend angebliche Nachzahlungen oder Rückerstattungen angeboten. Dabei werden auch Gäste angeschrieben, deren Aufenthalt schon länger zurückliegt.
Die Links führen auf gefälschte Bezahlseiten, auf denen die echten Buchungsdaten des Gastes teils bereits eingetragen sind.
Die Absender verwenden häufig dieselben Logos und Formulierungen, unabhängig davon, aus welchem Datenleck die Daten stammen. Für Hotels ist deshalb oft schwer zu erkennen, welchem Vorfall eine Phishing-Nachricht zuzuordnen ist. Genau darauf kommt es aber an, weil davon abhängt, welche Pflichten Ihr Haus hat.

Die Vorfälle im Überblick

Was passiert ist: Bei HotelNetSolutions, Anbieter unter anderem der Booking Engine OnePageBooking und des Channel Managers RateDistributor, wurde eine Schwachstelle in einer Schnittstelle zwischen HotelControl und angebundenen Hotelsystemen (PMS) ausgenutzt. Über manipulierte Anfragen konnten Buchungsdaten abgerufen werden.

Betroffene Buchungen: Betroffen sein können alle Online-Buchungen, die über HNS-Systeme liefen, also auch Buchungen über Portale wie Booking.com oder Expedia, die über den Channel Manager eingespielt wurden.
Betroffene Daten: Hotelname, Buchungsnummer, Name, E-Mail-Adresse, Telefonnummer, An- und Abreisedatum sowie Gesamtbetrag. Für einen Abfluss von Zahlungsdaten liegen nach Angaben von HNS keine Hinweise vor.
Zeitraum:

HNS hat die Schwachstelle am 19. September 2026 geschlossen.
Der früheste in den Protokollen nachweisbare Angriff datiert auf den 20. August 2026. Frühere Zugriffe lassen sich nach Angaben von HNS nicht ausschließen.
In unserer Fallbearbeitung liegen Phishing-Fälle zu Buchungen bis zurück in den Herbst 2025 vor, darunter eine Buchung vom 5. November 2025.
Die sächsische Datenschutzaufsicht hat in einem Verfahren den 1. Oktober 2025 als Beginn des maßgeblichen Zeitraums festgelegt.

Wir empfehlen daher, bei der Betroffenenbenachrichtigung alle Gäste mit Buchungen ab dem 1. Oktober 2025 bis zur Schließung der Lücke einzubeziehen. Das gilt auch für Häuser, die die HNS-Anbindung zwischenzeitlich beendet haben, für den Zeitraum der aktiven Nutzung.

Maßnahmen von HNS: Nach eigenen Angaben hat HNS unter anderem zusätzliche Authentifizierungs- und Zugriffsbeschränkungen eingeführt, Kontaktdaten stärker maskiert, das Monitoring ausgebaut, einen externen Incident-Response-Dienstleister beauftragt und das Landeskriminalamt eingeschaltet. HNS weist selbst darauf hin, dass vergleichbare Phishing-Fälle auch bei Hotels ohne HNS-Systeme auftreten.
Rolle Ihres Hauses: HNS tritt als Auftragsverarbeiter auf. Verantwortlicher im Sinne der DSGVO ist das Hotel. Damit liegen die Meldepflicht gegenüber der Aufsichtsbehörde und die Benachrichtigung der Gäste bei Ihnen.

Bei der Reservierungsplattform iHotelier von Amadeus Hospitality (vormals TravelClick) wurden über eine Schnittstelle einer Buchungsfunktion unbefugt Reservierungsdaten abgerufen. Amadeus hat die auffälligen Zugriffe am 11. September 2026 festgestellt und den Zugriffsweg nach eigenen Angaben noch am selben Tag geschlossen. Eine ergänzende Absicherung folgte wenige Tage später.

Betroffene Daten: Name, Wohnort und Land, E-Mail-Adresse, Telefonnummer, Reservierungsnummer sowie Aufenthaltsdaten. Zahlungs- und Kreditkartendaten, Passwörter und Passdaten sind nach Angaben des Anbieters nicht betroffen.
Betroffene Buchungen: Betroffen sind insbesondere Reservierungen für künftige Aufenthalte. Bei einer großen Hotelgruppe reichte der Zeitraum der betroffenen Aufenthalte vom 1. August 2026 bis zum 30. September 2027. Die betroffenen Reservierungen können Häuser bei Amadeus anfordern.
Rolle Ihres Hauses: Wie bei HNS ist das Hotel Verantwortlicher und Amadeus Auftragsverarbeiter. Meldung und Benachrichtigung liegen beim Hotel.

Zwischen dem 17. und 21. Oktober 2026 hat ein Angreifer die Plattform des Anbieters für digitale Guest Journey, Online-Check-in und Guest Messaging gezielt angegriffen und auf Buchungsdaten von Gästen zugegriffen. Nach eigenen Angaben hat Straiv den Vorfall eingedämmt, die bisher identifizierten Schwachstellen geschlossen und Anzeige bei der Polizei erstattet. Wer hinter dem Angriff steckt, ist noch nicht bekannt.

Straiv hat alle betroffenen Betriebe am 22. Oktober 2026 per E-Mail informiert (um 15:12 Uhr oder um 18:23 Uhr). Wer keine solche E-Mail erhalten hat, ist nach Angaben von Straiv nicht betroffen. Prüfen Sie dabei auch Spam-Ordner und Sammelpostfächer. Im Zweifel bestätigt Straiv den Status auf Anfrage an dpo@straiv.io.

Beobachtetes Phishing: Gäste erhielten WhatsApp-Nachrichten mit Zahlungsaufforderung und Link auf eine gefälschte Seite, teils für eine Anreise am selben Tag. Das spricht für einen sehr aktuellen Datenbestand.
Maßnahmen von Straiv:

Alle Hotelnutzer wurden vorsorglich abgemeldet.
In den kommenden Tagen werden alle Nutzer aufgefordert, ein neues Passwort festzulegen. Sie können Ihr Passwort auch schon jetzt selbst ändern
In den Gäste-Anwendungen von Straiv sollen in Kürze Warnhinweise vor Phishing-Nachrichten erscheinen.

Rolle Ihres Hauses: Straiv ordnet sich selbst als Auftragsverarbeiter nach Art. 28 DSGVO ein und hat die betroffenen Hotels nach Art. 33 Abs. 2 DSGVO informiert. Ob eine Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und eine Benachrichtigung der Gäste (Art. 34 DSGVO) erforderlich sind, prüft das Hotel als Verantwortlicher. Die 72-Stunden-Frist läuft ab Eingang der Straiv-Mitteilung im eigenen Haus. Ist der Umfang noch unklar, ist eine vorläufige Meldung der richtige Weg. Auch Häuser, die nicht betroffen sind, sollten ihr Team an Rezeption und Reservierung auf die Warnzeichen hinweisen. Das empfiehlt Straiv ebenfalls

Booking.com hat im April 2026 bestätigt, dass Unbefugte auf Buchungsdaten zugegriffen haben, und betroffenen Kunden neue Buchungs-PINs zugeteilt. Unabhängig davon übernehmen Täter seit Langem gezielt Extranet-Konten von Unterkünften, meist über Phishing-Mails an Hotelmitarbeitende, und schreiben Gäste dann teils direkt über das Nachrichtensystem der Plattform an.

Aktuelle Entwicklung: Die EU-Kommission hat am 21. Oktober 2026 ein förmliches Verfahren nach dem Digital Services Act gegen Booking.com eröffnet. Darin geht es unter anderem um Phishing mit Reservierungs- und Gästedaten.

Rolle Ihres Hauses: Die datenschutzrechtliche Einordnung hängt vom konkreten Vorfall ab und wird unterschiedlich bewertet.

Datenabfluss auf Seiten der Plattform: Hier wird regelmäßig Booking.com selbst gefordert sein.
Kompromittiertes Extranet-Konto Ihres Hauses: Hier ist Ihr Betrieb unmittelbar betroffen und muss die Meldepflicht selbst prüfen.

Lassen Sie diese Frage im Einzelfall von Ihrem Datenschutzbeauftragten bewerten. Unabhängig davon gehört zu jedem Extranet-Konto:

individuelle Zugänge für jeden Mitarbeitenden
Zwei-Faktor-Authentifizierung
regelmäßige Kontrolle der hinterlegten Auszahlungsbankverbindung

In unserer Fallbearbeitung liegen Phishing-Fälle vor, die sich auf ein Datenleck bei HotelSpecials, betrieben von der niederländischen Hotel Booker B.V., im Sommer 2026 zurückführen lassen. HotelSpecials gehört nicht zum Booking.com-Konzern.

Betroffene Daten: Nach unserem Kenntnisstand sind Stamm-, Kontakt- und Buchungsdaten betroffen. Beobachtetes Phishing: Häufig ist der sogenannte Rückerstattungstrick. Gäste erhalten nach dem Aufenthalt eine angebliche Gutschrift samt „korrigierter Rechnung“ und sollen über einen Link ihre Bank- oder Kartendaten eingeben.

Rolle Ihres Hauses: Für die über das Portal verarbeiteten Buchungsdaten tritt Hotel Booker B.V. nach ihrer Datenschutzerklärung als Verantwortlicher auf. Gäste können sich für Auskünfte und etwaige Ansprüche an deren Datenschutzstelle wenden: privacy@hotelspecials.nl, Hotel Booker B.V., Hendrik Figeeweg 1 0015, 2031 BJ Haarlem, Niederlande.
Ihr Haus bleibt dennoch erste Anlaufstelle für verunsicherte Gäste und sollte auskunftsfähig sein.

Was die Aufsichtsbehörde von Ihnen erwartet

Die BlnBDI stellt in ihrem Schreiben klar: Auch wenn ein externer Dienstleister die Buchungsverwaltung übernimmt, bleiben Hotels für die Daten ihrer Gäste Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Dienstleister müssen Sie über Vorfälle unverzüglich informieren. Achten Sie deshalb auf eingehende Mitteilungen Ihrer Anbieter, auch im Spam-Ordner und in Sammelpostfächern Erfahren Sie von einer Datenpanne, müssen Sie Ihre Gäste umgehend benachrichtigen. Die Benachrichtigung muss an alle Gäste gehen, die betroffen sein könnten, nicht nur an diejenigen, die bereits gefälschte Nachrichten erhalten haben. Außerdem gehören zu Ihren Pflichten:

die Meldung an die zuständige Aufsichtsbehörde
die Benennung einer Ansprechperson für die Gäste
die Dokumentation des Vorfalls

Die BlnBDI empfiehlt folgende Checkliste:

Gäste benachrichtigen: Informieren Sie Ihre Gäste über den Vorfall und den möglichen Abfluss ihrer Daten, damit sie vor Phishing gewarnt sind. In den meisten Fällen stellt der Dienstleister eine Vorlage zur Verfügung.
Datenpanne melden: Melden Sie die Datenpanne nach Art. 33 DSGVO über das Online-Formular auf der Website der BlnBDI. Häuser außerhalb Berlins melden bei der Aufsichtsbehörde ihres Landes.
Mitarbeitende sensibilisieren: Sensibilisieren Sie alle Mitarbeitenden für Phishing und die aktuelle Lage. Links und Anhänge aus verdächtigen E-Mails werden nicht geöffnet. Rezeption und Reservierung müssen gegenüber Gästen auskunftsfähig sein, insbesondere wenn bereits Daten eingegeben oder Zahlungen geleistet wurden. Bei Gästeanfragen prüfen die Mitarbeitenden die Buchung im offiziellen Buchungssystem und die Kontaktwege intern.
Passwörter ändern: Ändern Sie alle Passwörter der Benutzerkonten, die mit dem betroffenen Dienstleister zusammenhängen, und überprüfen Sie auch alle angeschlossenen Systeme.
Protokolle kontrollieren: Kontrollieren Sie technische Protokolle auf ungewöhnliche Anmeldeversuche oder Systemzugriffe.
Backups prüfen: Prüfen Sie, ob Ihr Backup-System dem Stand der Technik entspricht, und bessern Sie gegebenenfalls nach.
Zwei-Faktor-Authentifizierung einrichten: Richten Sie sie grundsätzlich für alle Systeme ein.
Gäste aktiv warnen: Richten Sie eigene Warnhinweise auf Ihren Kommunikationskanälen ein, etwa auf der Website, in Buchungsbestätigungen und in der Pre-Arrival-Mail.

Darüber hinaus rät die BlnBDI zu einem Notfallplan, der drei Fragen beantwortet:

Wer ist im Fall eines Cyberangriffs erreichbar und entscheidet gegebenenfalls über die Abschaltung von Systemen?
Was sind die nächsten Schritte?
Wer erfasst den Vorfall intern, dokumentiert ihn und meldet ihn der Aufsichtsbehörde?

So sprechen Sie mit Ihren Gästen:
Die Aufsichtsbehörde empfiehlt eine klare und ehrliche Kommunikation.

Erklären Sie den Vorfall: Im Zusammenhang mit IT-Sicherheitsvorfällen bei Dienstleistern erhalten manche Gäste täuschend echte Nachrichten mit ihren korrekten Reisedaten. Darin werden sie aufgefordert, angeblich fehlende Daten wie Kreditkartennummern zu ergänzen oder Zahlungen zu leisten.

Erklären Sie das Risiko: Wer auf solche Nachrichten reagiert oder Geld überweist, riskiert nicht nur finanzielle Schäden, sondern auch Identitätsdiebstahl oder Erpressungsversuche.

Gäste ohne Phishing-Nachricht weisen Sie auf Folgendes hin:

Eingehende Nachrichten sorgfältig auf Absender und ungewöhnliche Zahlungsaufforderungen prüfen.
Bei der Buchung wurden bereits alle erforderlichen Daten angegeben.
Im Zweifel das Hotel über die offizielle Telefonnummer oder Adresse kontaktieren.
Niemals persönliche Daten oder Zahlungsinformationen über zugesandte Links preisgeben.

Gäste mit Phishing-Nachricht bitten Sie ausdrücklich, keinerlei Daten einzugeben und keine Zahlungen vorzunehmen. Wurden bereits Daten eingegeben oder Zahlungen geleistet, sollten sie sich umgehend an ihre Bank oder ihren Zahlungsdienstleister und an die Polizei wenden und betroffene Zugangsdaten über die offizielle Website oder App ändern.
Unsere Erfahrung aus der Praxis ergänzt das um drei Punkte:

Eine korrekte Buchungsnummer ist kein Echtheitsbeweis mehr. Sagen Sie Ihren Gästen das ausdrücklich.
Bitten Sie Gäste, Ihnen die Phishing-Nachricht als Screenshot zu schicken. Nur so lässt sich der Fall dem richtigen Vorfall zuordnen. Das ist die Grundlage für Meldung, Benachrichtigung und die Bewertung etwaiger Schadensersatzforderungen.
Warnen Sie auch ehemalige Gäste. Die Rückerstattungsmasche zielt gezielt auf abgeschlossene Aufenthalte.

Weitere Informationen und Ansprechpartner

Für Rückfragen steht bei der BlnBDI die juristische Referentin für den Bereich Tourismus, Frau Strüve, unter 030 13889-311 zur Verfügung.
Unseren Beitrag vom 24. September 2026 mit den grundlegenden Schritten finden Sie auf unserer Website. Er behandelt Meldung, Versicherung, Nachweise, Schadensersatz und Dokumentation.
Bei Fragen können Sie sich gerne an den Datenschutzbeauftragten des DEHOGA Berlin wenden:

Andreas Thurmann
Datenschutzbeauftragter
DataSolution LUD GmbH
Isarstr. 13, 14974 Ludwigsfelde
T: +49 (0) 3378.202513

Quellen

Keine Brancheninfos mehr verpassen?

Geht. Mit dem DEHOGA Berlin Newsletter.

DSA-Verfahren gegen Booking.com

Soziale Medien

Kontakt

Phishing mit echten Buchungsdaten: Was Sie zu HNS, Amadeus, Straiv, Booking.com und HotelSpecials wissen müssen

Quellen

Keine Brancheninfos mehr verpassen?

Geht. Mit dem DEHOGA Berlin Newsletter.

DSA-Verfahren gegen Booking.com

Weitere Artikel

DSA-Verfahren gegen Booking.com

Deutscher Tourismuspreis 2026: Fünf Projekte stehen im Finale – Online-Abstimmung läuft bis 4. November

Koalition einigt sich auf Kompromiss zur Zuckersteuer – DEHOGA sieht Pläne weiterhin kritisch

Soziale Medien

Kontakt