Datenpanne bei Buchungsdienstleister Amadeus: Gästedaten von Maritim-Hotelbuchungen betroffen
Bei der Amadeus IT Group, dem Anbieter der Buchungssoftware iHotelier, kam es zu einem Datenschutzvorfall. Betroffen sind Reservierungsdaten von Gästen der Maritim Hotelgesellschaft mit Aufenthaltszeitraum vom 1. August 2026 bis zum 30. September 2027. Zahlungs-, Passwort- und Passdaten sind nach Unternehmensangaben nicht betroffen.
Was ist passiert?
Bislang unbekannte Angreifer:innen verschafften sich Zugang zum System des Buchungsdienstleisters Amadeus, über den die Maritim Hotelgesellschaft ihre Gästereservierungen abwickelt. Nach Entdeckung des Angriffs konnte der Dienstleister zeitnah reagieren und das System absichern, dennoch wurden zuvor Reservierungslisten mit Gästeinformationen entwendet. Erbeutet wurden Informationen wie Vor- und Nachname, Postadresse, E-Mail-Adresse, Telefonnummer, Reservierungsnummer sowie Buchungs- und Aufenthaltsinformationen wie Zimmerkategorie, Preis, Reiseagentur und Reisezeitraum. Zahlungs-/Finanz-, Passwort- oder Passdaten sind nicht betroffen.
Maritim hat den Vorfall gemäß Artikel 33 DSGVO bei der zuständigen Datenschutzaufsichtsbehörde gemeldet.
Wie kam es zu dem Vorfall?
Nicht die Hotelkette selbst wurde angegriffen, sondern ein externer IT-Dienstleister, über den zahlreiche Hotels ihre Buchungen abwickeln. Solche zentralen Buchungssysteme im Hintergrund sind für Angreifer:innen besonders attraktiv, da sich mit einem einzigen erfolgreichen Angriff Daten vieler Hotels und Gäste gleichzeitig erbeuten lassen, wie zuletzt bereits bei ähnlichen Vorfällen anderer Hotel-IT-Dienstleister zu beobachten war. Wie genau sich die Angreifer:innen Zugang verschafft haben, ist derzeit noch unklar.
Warum ist das relevant?
Mit der Kombination aus echten Kontakt- und Buchungsdaten lassen sich besonders glaubwürdige Phishing-Nachrichten konstruieren, etwa gefälschte Zahlungsaufforderungen unter Bezug auf die tatsächliche Reservierung. Maritim selbst weist ausdrücklich darauf hin, dass Zahlungs- oder Kartendaten niemals per Link, SMS, WhatsApp oder E-Mail aufgefordert oder Zahlungen außerhalb der offiziellen Buchungswege verlangt werden.
- Seien Sie bei unaufgeforderten Nachrichten zu Ihrer Buchung besonders vorsichtig, vor allem bei Zahlungsaufforderungen
- Geben Sie niemals vollständige Kartendaten, Einmalcodes oder Zugangsdaten als Reaktion auf unerwartete Nachrichten preis
- Kontaktieren Sie bei Zweifeln das Hotel direkt über die in Ihrer Reservierung hinterlegten Kontaktdaten oder die offizielle Website
- Prüfen Sie vorsorglich Ihre Kontoauszüge auf verdächtige Bewegungen
- Melden Sie Verdächtiges umgehend Ihrem Hotel und im Ernstfall zusätzlich Ihrer Bank sowie der Polizei