Hotelbranchensoftware kompromittiert: Wie Kriminelle mit echten Daten Führungskräfte täuschen

Korrektur vom 1. Oktober 2026: In einer früheren Fassung hieß es, auch Zahlungsinformationen und Zahlungshistorien seien betroffen. Das ist nach Angaben von HotelNetSolutions nicht der Fall. Zudem wurde die Beschreibung der Schwachstelle präzisiert.

Eine Sicherheitslücke in einer Schnittstelle des Hotelsoftware-Anbieters HotelNetSolutions hat Buchungsdaten von Gästen freigelegt. Kriminelle nutzen diese Informationen nun für hochgradig glaubwürdige Phishing-Attacken - ein Risiko, das besonders Geschäftsreisende und deren Unternehmen betrifft.

Die Schwachstelle und ihre Reichweite

Beim Anbieter HotelNetSolutions bestand eine Schwachstelle in einer Schnittstelle zwischen dem Backend HotelControl und angebundenen Property-Management-Systemen (PMS). Über manipulierte Anfragen konnten Buchungsdaten abgerufen werden. Laut dem Unternehmen wurde die Lücke bereits am 19. September 2026 geschlossen.

Nachweislich betroffen sind laut HotelNetSolutions:

• Hotelname und Buchungsnummer
• Name und Kontaktdaten des Gastes, einschließlich Telefonnummer
• An- und Abreisedatum sowie Gesamtbetrag der Buchung
• teilweise Adressdaten

Nach Angaben von HotelNetSolutions gibt es keine Hinweise auf einen Abfluss von Kreditkarten- oder sonstigen Zahlungsdaten.

Für Cyber-Kriminelle sind solcherart Schwachstellen ein Geschenk: Sie verfügen damit über authentische, überprüfbare Informationen, mit denen sie dann äußerst zielgerichtete Phishing-Kampagnen fahren könnten.

Warum diese Attacken besonders wirksam sind

Traditionelle Phishing-Mails sind heute oft leicht zu erkennen – namentlich für geschulte Nutzer. Die aktuelle Kampagne folgt einem anderen Muster: Die Angreifer verfügen über echte Buchungsdetails, Hotelreferenzen und persönliche Daten. Eine E-Mail, die sich auf eine kürzliche Reise bezieht, mit korrekter Buchungsnummer und Hotelnamen, wirkt legitim – und umgeht damit klassische Skeptiker-Reaktionen.

Gerade Führungskräfte und Manager sind gefährdet, wenn sie viel geschäftlich reisen. Sie können nicht jede Buchungsbestätigung im Detail überprüfen und vertrauen auf die Authentizität der Informationen in den Mails.

Sicherheitsmaßnahmen für Organisationen

Unternehmen sollten folgende Schritte einleiten:

• Mitarbeiterkommunikation: Hinweis an Reisende, dass auch berechtigte Buchungsdaten in Phishing-Mails verwendet werden können. Wachsamkeit auch gegenüber „vertrauenswürdigen“ Quellen empfehlen.
• Verifizierungsprozesse: Wichtige Transaktionen (Zahlung, Kontodaten) nur über direkte, bekannte Kanäle bestätigen – nicht über Links in E-Mails.
• IT-Sicherheit: E-Mail-Filter und Spam-Systeme aktualisieren, URL-Rewriting und Authentifizierungsprotokolle (SPF, DKIM, DMARC) optimieren.
• Incident Response: Klare Eskalationsprozesse für verdächtige Mails etablieren, um Sicherheitsteams schnell einzubeziehen.

Auf der Agenda der Geschäftsleitung

Diese Sicherheitsvorfälle sind kein reines IT-Thema. Sie berühren Geschäftsrisiko, Reputation und Haftung. Hotels und ihre Geschäftskunden sollten transparente Kommunikation einleiten, betroffene Gäste informieren und Nachfolgemechanismen klären. Die Regulierung im DACH-Raum – insbesondere die DSGVO – verpflichtet zu Meldungen erheblicher Datenschutzvorfälle.

Wer heute noch Datensicherheit als isoliertes Technik-Problem behandelt, unterschätzt die Komplexität moderner Bedrohungen. Phishing mit echten Daten verdeutlicht: Cybersicherheit ist ein strategisches Risikomanagement-Thema und gehört in die Vorstandsetagen.