← Zurück zum Cyberlagebild
Zuletzt aktualisiert
Cyberangriff auf Buchungssysteme: Gästedaten in mehreren Bundesländern gestohlen
high Datenabfluss/Datendiebstahl
Lagebeschreibung
Ein Cyberangriff auf Buchungssysteme im österreichischen Tourismus hat zum Abfluss persönlicher Gästedaten geführt. Betroffen sind Tourismusverbände und Beherbergungsbetriebe in Tirol, Salzburg und der Steiermark. Kriminelle nutzen die erbeuteten Informationen, um Urlauber über Messenger-Nachrichten gezielt zur Preisgabe ihrer Kreditkartendaten zu bewegen.
Vorfallsbeschreibung
Ende Oktober 2026 wurde ein umfangreicher Sicherheitsvorfall im österreichischen Tourismus bekannt. Unbekannte Täter erlangten über kompromittierte Zugänge im Umfeld touristischer Buchungssysteme Zugriff auf personenbezogene Gästedaten.
Nach Angaben des IT-Dienstleisters Feratel erfolgte der unberechtigte Zugriff auf Buchungsdaten über Zugangsdaten eines Schnittstellenpartners. Eine direkte Kompromittierung der Feratel-Systeme wurde nach bisherigem Untersuchungsstand nicht festgestellt.
Parallel dazu berichtete die Tiroler Polizei über einen Angriff auf die Webanwendung eines Softwareunternehmens im Bezirk Schwaz. Der unbefugte Zugriff erfolgte laut Polizei zwischen dem 17. und 28. Oktober 2026. Ein unmittelbarer technischer Zusammenhang zwischen beiden Meldungen ist noch nicht abschließend bestätigt.
Zu den betroffenen Informationen zählen Namen, Adressen, E-Mail-Adressen, Telefonnummern und Reisedaten. Nach bisherigen Angaben wurden Kreditkarten- und Bankdaten nicht unmittelbar aus den betroffenen Buchungssystemen entwendet.
Die Täter nutzten die Informationen anschließend für gezielte Betrugsnachrichten, insbesondere über WhatsApp. Unter dem Vorwand einer notwendigen Buchungsbestätigung sollten Gäste betrügerische Links öffnen und dort Kreditkartendaten eingeben.
Bekannte Auswirkungen
* Tirol: Fünf Tourismusverbände betroffen: St. Anton, Stubai, Serfaus, Seefeld und Ischgl. Bis zu rund 1.700 Betriebe potenziell betroffen.
* Salzburg: Nach aktualisiertem ORF-Bericht 97 Hotelbetriebe in elf Tourismusverbänden betroffen.
* Steiermark: Tourismusverbände landesweit betroffen; Berichte über rund 3.000 betroffene Urlauber.
* Datenschutz: Meldungen an die Datenschutzbehörde; forensische Untersuchungen eingeleitet.
* Finanzielle Schäden: Bisher keine gesicherte Gesamtschadenssumme bekannt.
Einordnung und Bedeutung
Der Vorfall verdeutlicht die Risiken digital vernetzter Buchungsplattformen und externer Schnittstellen.
Nicht nur der unmittelbar angegriffene IT-Dienstleister ist betroffen. Auch Tourismusverbände, Hotels und Gäste geraten in die Folgenkette eines Sicherheitsvorfalls.
Besonders kritisch ist die Kombination aus Datenabfluss und anschließendem Social Engineering: Die Täter können mit echten Buchungsinformationen besonders glaubwürdige Betrugsnachrichten verfassen.
Neben möglichen finanziellen Schäden entstehen Datenschutzrisiken, zusätzlicher Kommunikationsaufwand und potenzielle Reputationsschäden für unbeteiligte Beherbergungsbetriebe.
Vorfallsbeschreibung
Ende Oktober 2026 wurde ein umfangreicher Sicherheitsvorfall im österreichischen Tourismus bekannt. Unbekannte Täter erlangten über kompromittierte Zugänge im Umfeld touristischer Buchungssysteme Zugriff auf personenbezogene Gästedaten.
Nach Angaben des IT-Dienstleisters Feratel erfolgte der unberechtigte Zugriff auf Buchungsdaten über Zugangsdaten eines Schnittstellenpartners. Eine direkte Kompromittierung der Feratel-Systeme wurde nach bisherigem Untersuchungsstand nicht festgestellt.
Parallel dazu berichtete die Tiroler Polizei über einen Angriff auf die Webanwendung eines Softwareunternehmens im Bezirk Schwaz. Der unbefugte Zugriff erfolgte laut Polizei zwischen dem 17. und 28. Oktober 2026. Ein unmittelbarer technischer Zusammenhang zwischen beiden Meldungen ist noch nicht abschließend bestätigt.
Zu den betroffenen Informationen zählen Namen, Adressen, E-Mail-Adressen, Telefonnummern und Reisedaten. Nach bisherigen Angaben wurden Kreditkarten- und Bankdaten nicht unmittelbar aus den betroffenen Buchungssystemen entwendet.
Die Täter nutzten die Informationen anschließend für gezielte Betrugsnachrichten, insbesondere über WhatsApp. Unter dem Vorwand einer notwendigen Buchungsbestätigung sollten Gäste betrügerische Links öffnen und dort Kreditkartendaten eingeben.
Bekannte Auswirkungen
* Tirol: Fünf Tourismusverbände betroffen: St. Anton, Stubai, Serfaus, Seefeld und Ischgl. Bis zu rund 1.700 Betriebe potenziell betroffen.
* Salzburg: Nach aktualisiertem ORF-Bericht 97 Hotelbetriebe in elf Tourismusverbänden betroffen.
* Steiermark: Tourismusverbände landesweit betroffen; Berichte über rund 3.000 betroffene Urlauber.
* Datenschutz: Meldungen an die Datenschutzbehörde; forensische Untersuchungen eingeleitet.
* Finanzielle Schäden: Bisher keine gesicherte Gesamtschadenssumme bekannt.
Einordnung und Bedeutung
Der Vorfall verdeutlicht die Risiken digital vernetzter Buchungsplattformen und externer Schnittstellen.
Nicht nur der unmittelbar angegriffene IT-Dienstleister ist betroffen. Auch Tourismusverbände, Hotels und Gäste geraten in die Folgenkette eines Sicherheitsvorfalls.
Besonders kritisch ist die Kombination aus Datenabfluss und anschließendem Social Engineering: Die Täter können mit echten Buchungsinformationen besonders glaubwürdige Betrugsnachrichten verfassen.
Neben möglichen finanziellen Schäden entstehen Datenschutzrisiken, zusätzlicher Kommunikationsaufwand und potenzielle Reputationsschäden für unbeteiligte Beherbergungsbetriebe.
ProdukteKeine Angaben
OrganisationenFeratel
Betroffene LänderAT
Nachvollziehbarkeit
Quellen & weiterführende Informationen
Die folgenden Links führen zu den zu diesem Vorfall gespeicherten Veröffentlichungen.
Regelbasiert · ohne Gewährleistung
Einordnung, Prävention und Versicherbarkeit
Hoher Vorfall: schnelle Eindämmung und Management-Information erforderlich.
AmpelOrange
AngriffsartDatenabfluss/Datendiebstahl
Bekannte Malware/GruppeKeine Angabe
Was hätte vorbeugen können?
- Least-Privilege und rollenbasierte Zugriffe auf sensible Daten konsequent umsetzen.
- DLP- und Exfiltrationserkennung für ungewöhnliche Datenmengen und Uploads einsetzen.
- Zugriffe auf sensible Datenbestände vollständig protokollieren und überwachen.
- Datenbestände minimieren, klassifizieren und angemessen verschlüsseln.
- Incident-Response-Prozesse für Datenschutz, Forensik und Benachrichtigung vorbereiten.
Versicherbarkeit
Datenabfluss ist typischerweise ein zentraler Cyberversicherungsfall; relevant sind insbesondere Forensik, Rechtsberatung, Benachrichtigung, Krisenkommunikation und gegebenenfalls Haftpflichtansprüche.
- Grundsätzlich können Cybervorfälle versicherbar sein; entscheidend sind Police, Obliegenheiten, Ausschlüsse und nachweisbare Mindestschutzmaßnahmen.
- Typische Prüfpunkte: MFA, Patchmanagement, Backups, Logging, Notfallplan, Dienstleisterabhängigkeiten und rechtzeitige Schadenmeldung.
Timeline
Keine öffentlichen Timeline-Einträge.