Phishing-Angriff auf Hotel-IT-Dienstleister Seekda betrifft Hotelgäste

Der österreichische Hotelsoftware-Anbieter Seekda stellte am 11. August 2026 einen Sicherheitsvorfall in seinen Systemen fest. Nach Angaben des Unternehmens waren einzelne Unterkünfte betroffen, nicht die gesamte Seekda-Plattform. Die konkreten Auswirkungen wurden für jeden Hotelbetrieb gesondert im Seekda Hotel Manager bereitgestellt.

In der Folge erhielten Gäste betroffener Hotels täuschend echt wirkende Nachrichten per E-Mail, SMS oder WhatsApp. Die Täter kannten teilweise den Namen des Hotels sowie konkrete Buchungs- und Reisedaten. Gäste wurden aufgefordert, Buchungen zu bestätigen, Kreditkartendaten einzugeben oder bereits geleistete Anzahlungen erneut zu bezahlen.

Seekda erklärte, den Vorfall noch am Tag seiner Entdeckung eingedämmt zu haben. Nach Unternehmensangaben wurden anschließend keine weiteren Datenabflüsse festgestellt. Ein externes forensisches Unternehmen wurde mit der Untersuchung der Ursache und des Umfangs beauftragt.

Einordnung des Angriffstyps

Für eine Ransomware-Attacke gibt es keine öffentlich bekannten Hinweise. Es wurden weder verschlüsselte Systeme noch Betriebsunterbrechungen, eine Lösegeldforderung oder eine Tätergruppe gemeldet.

Der Vorfall ist als Datenabfluss beziehungsweise unbefugter Zugriff auf Systeme eines IT-Dienstleisters einzuordnen. Das nachfolgende Phishing gegen Hotelgäste stellt eine Folgehandlung dar. Ob bereits der ursprüngliche Zugriff auf Seekda durch Phishing oder kompromittierte Zugangsdaten ermöglicht wurde, ist öffentlich nicht bestätigt.

Betroffene Daten

Seekda veröffentlicht die betroffenen Datenkategorien ausschließlich unterkunftsspezifisch im Hotel Manager. Öffentlich bekannt ist, dass die betrügerischen Nachrichten teilweise korrekte Buchungsinformationen enthielten. Dies spricht dafür, dass zumindest bei einzelnen Betrieben Gast- oder Reservierungsdaten abgegriffen und anschließend für gezielte Betrugsversuche verwendet wurden.

Ein Zugriff auf Kreditkarten- oder sonstige Zahlungsdaten wurde bislang nicht öffentlich bestätigt. Kreditkartendaten konnten jedoch durch die nachgelagerten betrügerischen Webseiten von Gästen abgefragt werden.

Auswirkungen

• Möglicher Abfluss von Gast- und Reservierungsdaten
• Betroffenheit mehrerer österreichischer Hotelbetriebe
• Gezielte Phishing-Nachrichten mit echten Buchungsinformationen
• Aufforderungen zur erneuten Zahlung oder Eingabe von Kreditkartendaten
• Erhöhtes Risiko finanzieller Schäden für Hotelgäste
• Prüf- und Informationspflichten für die betroffenen Hotelbetriebe
• Keine bestätigte Verschlüsselung oder flächendeckende Betriebsunterbrechung

Bewertung

Der Vorfall zeigt ein typisches Lieferketten- und Konzentrationsrisiko der digitalisierten Hotellerie: Durch den Zugriff auf einen zentralen Softwareanbieter können Angreifer Informationen mehrerer Hotelbetriebe erlangen und für glaubwürdige Betrugsnachrichten verwenden.

Besonders relevant ist nicht nur der ursprüngliche Datenabfluss, sondern die unmittelbar anschließende Nutzung echter Buchungsinformationen. Dadurch wirken die Phishing-Nachrichten für Gäste glaubwürdig und erhöhen das Risiko erfolgreicher Zahlungs- und Kreditkartenbetrugsversuche.

Seekda verarbeitet Gast- und Reservierungsdaten als Auftragsverarbeiter. Die betroffenen Hotels müssen als datenschutzrechtlich Verantwortliche anhand der unterkunftsspezifischen Informationen prüfen, ob eine Meldung nach Art. 33 DSGVO und eine Information der betroffenen Gäste nach Art. 34 DSGVO erforderlich sind.