Das steirische Online-Magazin für Wirtschaft

Hände halten ein Smartphone mit einer verdächtigen Buchungsnachricht und Warnsymbol, daneben Wollmütze, Skihandschuhe und ein Reiseprospekt auf einem Holztisch

Gästedaten abgesaugt: Hacker erbeuten Buchungen steirischer Tourismusverbände

Wer über die Website eines steirischen Tourismusverbands einen bevorstehenden Urlaub gebucht hat, sollte jede Nachricht zu dieser Buchung derzeit mit Misstrauen lesen. Aus dem Buchungssystem, über das die Verbände ihre Online-Buchungen abwickeln, wurden Gästedaten abgerufen und bereits für Betrugsnachrichten per WhatsApp und E-Mail verwendet. Laut Kleiner Zeitung sind Gäste aller steirischen Tourismusverbände betroffen, oe24 nennt unter Berufung auf die Zeitung rund 3.000 Gäste. Der Vorfall reicht über die Steiermark hinaus, auch vier Tiroler und mehrere Salzburger Tourismusverbände zählen dazu. Kreditkartendaten sind nach aktuellem Stand nicht abgeflossen, abgefragt werden sie erst über die Links in den gefälschten Nachrichten.

Welche Daten abgeflossen sind

Viele Gäste mit einer Buchung über einen steirischen Tourismusverband haben in den letzten Tagen eine E-Mail erhalten, die sie über einen Datenschutz- und Sicherheitsvorfall informiert und die betroffenen Angaben aufzählt. Fast dieselben Datenkategorien nennt der Systemanbieter Feratel in einer Stellungnahme an seine Partner, ergänzt um den gebuchten Betrieb. Gefährlich ist weniger die einzelne Angabe als die Kombination: Sie erlaubt Nachrichten, die von der echten Unterkunft kaum zu unterscheiden sind.

Angabe Betroffen Was Betrüger damit anfangen können
Name und Adresse ja persönliche Anrede, glaubwürdige Rechnungsdaten
Telefonnummer und E-Mail-Adresse ja Kontakt per WhatsApp, SMS oder Mail
Reisedaten und gebuchter Betrieb ja Nachricht im Namen der echten Unterkunft, passend zum Anreisetag
Reisepreis und Zahlungsstatus ja exakter Betrag, Wissen um eine noch offene Zahlung
Kreditkarten- und sonstige Zahlungsdaten nein, nach aktuellem Stand werden über die Links in den Nachrichten erfragt

Quellen: Kleine Zeitung (30.10.2026), Stellungnahme von Feratel an Partner, veröffentlicht von Borns IT- und Windows-Blog (29.10.2026).

Wie die Daten abgeflossen sind

Die steirischen Tourismusverbände wickeln ihre Online-Buchungen über Deskline ab, das Buchungs- und Destinationssystem der feratel media technologies AG aus Innsbruck. Nach derzeitigem Kenntnisstand gebe es „keine Hinweise auf einen Einbruch in die Systeme von feratel“, schreibt das Unternehmen. Ein Angreifer habe vielmehr über ein Drittsystem die Deskline-Zugangsdaten eines Schnittstellenpartners erlangt und damit Buchungen abgerufen. Den Abruf datiert Feratel auf die Nacht vom 25. Oktober, 23 Uhr, bis 26. Oktober, 1.15 Uhr. Betroffen sind Buchungen mit künftiger Anreise über ausgewählte Verkaufsstellen im System. Die bisher gemeldeten Betrugsnachrichten beziehen sich ausschließlich auf Online-Buchungen, Buchungen über Partnerportale sind laut Feratel nach aktuellem Stand nicht betroffen. Verdächtige Zugänge wurden gesperrt, die betroffenen Zugangsdaten geändert.

Parallel meldete die Tiroler Polizei am 30. Oktober einen Angriff auf eine Softwarefirma aus dem Bezirk Schwaz. Unbekannte verschafften sich zwischen 17. Oktober, 10 Uhr, und 28. Oktober, 13.30 Uhr, Zugriff auf eine Webanwendung, über die Buchungen für Beherbergungsbetriebe in mehreren Ländern abgewickelt werden, und griffen Kundendaten ab. Beim Support der Firma meldeten sich bereits Kunden, die per Messenger aufgefordert worden waren, ihre Buchung über einen Link zu bestätigen. Dabei wurden im Hintergrund Kreditkartendaten abgefragt. Die Schadenssumme ist noch nicht bekannt.

Den Namen der Schwazer Firma nennt die Polizei nicht. Der Zeitraum, den Feratel angibt, liegt innerhalb des Zeitraums der Polizeimeldung. Ob die Schwazer Firma jener Schnittstellenpartner ist, dessen Zugangsdaten verwendet wurden, haben bis 30. Oktober weder Polizei noch Feratel bestätigt.

Warum alle steirischen Regionen betroffen sind

Seit Oktober 2021 ist der Tourismus im Land in elf Erlebnisregionen organisiert: Ausseerland-Salzkammergut, Erzberg-Leoben, Gesäuse, Hochsteiermark, Murau, Murtal, Oststeiermark, Region Graz, Schladming-Dachstein, Südsteiermark sowie Thermen- & Vulkanland. Zuvor waren es acht Tourismusregionen. Die Tourismusverbände der Regionen sind Körperschaften des öffentlichen Rechts. In der Datenschutzerklärung von steiermark.com, dem gemeinsamen Portal von Steiermark Tourismus, nennt die Steirische Tourismusmarketing GmbH Feratel als Dienstleister für Online-Buchungen, Buchungsanfragen und Prospektbestellungen, mit einem Vertrag als Auftragsverarbeiter nach Art. 28 DSGVO. Die Buchungsdaten gehen von dort an die gebuchten Betriebe weiter.

Für Vermieter ist dieser Weg attraktiv. In der Oststeiermark etwa fallen für Buchungen über die Regionsseite und steiermark.com weder Provision noch Systemgebühr an. Über Booking.com zahlen die Betriebe 12 bis 20 Prozent Provision, über Portalpartner wie Check24 oder Holidu 8 bis 14 Prozent, jeweils plus 2 Prozent Feratel-Systemgebühr. Die Bindung an Feratel ist nicht neu: Schon 2021, als Steiermark Tourismus auch die digitale Gästeregistrierung an Feratel vergab, arbeiteten laut damaliger Aussendung rund 9.000 Gastronomiebetriebe, Sehenswürdigkeiten und Ausflugsziele mit dem Unternehmen zusammen.

Deskline ist eine zentrale Datenbank, die von drei Seiten befüllt wird: Tourismusorganisationen arbeiten im ExpertClient, Vermieter im WebClient, Hotelprogramme liefern über eine Schnittstelle namens Hotel Gateway zu. Laut Feratel ist das System mit mehr als 130 Hotelprogrammen, Hotelverwaltungssystemen und Channelmanagern sowie über 30 Partnerportalen verbunden. Schnittstellenpartner greifen mit eigenen Zugangsdaten auf das System zu, und genau so ein Zugang wurde laut Feratel missbraucht.

So sehen die Betrugsnachrichten aus

Die Nachrichten kommen per WhatsApp oder E-Mail und wirken wie eine Mitteilung der gebuchten Unterkunft oder des Tourismusverbands. In Tirol, wo am 28. Oktober zahlreiche Hotels und Tourismusverbände Alarm schlugen, trugen sie die Überschrift „Buchungsbestätigung“ und nannten Unterkunft, Reisedaten und Buchungsnummer. Die Buchung sei über einen Link zu bestätigen, abgebucht werde nichts, es gehe nur um eine kurze Autorisierung der Karte. Wer nicht binnen 24 Stunden reagiere, verliere das Zimmer. Auf der verlinkten Seite werden Kreditkartendaten verlangt. Weil Name, Unterkunft und Reisedaten stimmen, fehlt das übliche Warnsignal, und die Frist von 24 Stunden lässt wenig Zeit für eine Rückfrage.

Eine zweite Spielart zielt auf Gäste nach dem Aufenthalt. Die Arbeiterkammer Steiermark warnte bereits am 12. Oktober vor Nachrichten, die eine angeblich doppelt abgebuchte Servicegebühr zurückerstatten wollen. Auch hier stammen die echten Buchungsdetails aus gehackten Hotel- oder Buchungssystemen, und auch hier soll ein Link angeklickt werden.

Was Sie als Gast jetzt tun sollten

  1. Keinen Link öffnen und keine Karten- oder Bankdaten eingeben, wenn eine Nachricht eine Bestätigung, Nachzahlung oder Rückerstattung verlangt.
  2. Die Unterkunft direkt anrufen, und zwar über die Nummer aus Ihrer ursprünglichen Buchungsbestätigung oder von der offiziellen Website, nie über eine Nummer aus der verdächtigen Nachricht.
  3. Richtige Buchungsdaten sind kein Echtheitsbeweis. Buchungsnummer, Reisedaten und Preis können die Betrüger kennen.
  4. Bereits Kartendaten eingegeben? Lassen Sie die Karte sofort bei Ihrer Bank oder Ihrem Kartenanbieter sperren, die Nummer steht auf der Karte oder in der Banking-App. Gäste mit deutscher Karte erreichen den Sperr-Notruf unter 116 116, aus dem Ausland unter +49 116 116. Danach Kontobewegungen kontrollieren und bei der Polizei Anzeige erstatten.
  5. Screenshot aufheben und die Unterkunft informieren. Das hilft Betrieben und Ermittlern, den Fall dem richtigen Vorfall zuzuordnen.
  6. Auch nach dem Urlaub wachsam bleiben. Angebliche Gutschriften oder Rückzahlungen sind die zweite Welle derselben Masche.

Was Vermieter und Verbände jetzt erledigen müssen

Feratel stellt im ExpertClient der Tourismusverbände einen Transaktionsreport namens „Potenzielle Buchungen Datenvorfall“ bereit, der alle möglicherweise betroffenen Buchungen auflistet. Vorsorglich abgeschaltete Dienste wie die Buchungsstrecke auf den Websites können wieder aktiviert werden. Zusätzlich bietet Feratel eine Multi-Faktor-Anmeldung für WebClient und ExpertClient an. Ein Tiroler Tourismusverband setzte alle Passwörter im WebClient zurück und nahm das Feld für die Telefonnummer vorsorglich aus der Buchungsmaske.

Rechtlich ist der Datenabfluss eine Verletzung des Schutzes personenbezogener Daten. Der Verantwortliche muss sie nach Art. 33 DSGVO binnen 72 Stunden, nachdem sie bekannt wurde, der Datenschutzbehörde melden, das geht über ein Onlineformular der Behörde. Besteht ein hohes Risiko für die Betroffenen, sind diese nach Art. 34 DSGVO unverzüglich zu benachrichtigen. Verantwortlicher ist, wer über die Verarbeitung entscheidet, nicht der technische Dienstleister. Beim ähnlich gelagerten Fall des Wiener Buchungsanbieters Seekda verwies der Dienstleister die Prüfung der Meldepflichten ausdrücklich an die Unterkünfte, die Österreichische Hotelvereinigung wies auf die Pflicht zur Meldung bei der Datenschutzbehörde hin.

Kein Einzelfall: Buchungsdienstleister als Einfallstor

Das Muster ist 2026 mehrfach aufgetreten, und die Steiermark war schon im Sommer betroffen. Seekda, ein eTourismus-Anbieter mit Sitz in Wien, stellte am 11. August 2026 einen Sicherheitsvorfall in seinen Systemen fest. Erste Berichte über Betroffene kamen aus Tirol und der Steiermark, kurz darauf aus Salzburg. Die Hotelvereinigung zählte österreichweit rund ein Dutzend offiziell gemeldete Hotels und rechnete mit deutlich mehr betroffenen Betrieben und Gästen.

In Deutschland warnte der Hotelverband DEHOGA Berlin zuletzt vor einer Reihe ähnlicher Fälle: beim Anbieter HotelNetSolutions, der eine Lücke in einer Schnittstelle am 19. September schloss, bei der Buchungsfunktion von Amadeus, wo unbefugte Zugriffe am 11. September auffielen, und bei der Gästeplattform Straiv, die zwischen 17. und 21. Oktober angegriffen wurde. Bei HotelNetSolutions und Amadeus wurden fast dieselben Angaben abgegriffen wie jetzt in der Steiermark: Name, Kontaktdaten, Aufenthaltsdaten, Buchungsnummer. Danach folgten Nachrichten per WhatsApp, SMS oder E-Mail mit Zahlungsaufforderungen. Gemeinsam ist den Fällen, dass nicht das Hotel selbst angegriffen wurde, sondern ein Dienstleister, dessen Schnittstellen viele Betriebe zugleich versorgen.

Was noch offen ist

Eine offizielle Zahl der betroffenen steirischen Gäste haben weder Feratel noch Steiermark Tourismus veröffentlicht, die rund 3.000 stammen aus der Berichterstattung der Kleinen Zeitung. Offen sind außerdem die Identität des Schnittstellenpartners, der Zusammenhang mit dem Schwazer Fall und die Höhe des Schadens. Die Tiroler Polizei ermittelt, die Lücke bei der Schwazer Firma ist laut Polizei inzwischen geschlossen. Ein Polizeisprecher dämpfte auf Nachfrage der APA die Erwartungen: Wie viele Gäste, Verbände und Hotels insgesamt betroffen sind, werde sich aus Erfahrung mit ähnlichen Fällen nur sehr schwer feststellen lassen.

Häufige Fragen

Woran erkenne ich, ob ich betroffen bin?

Betroffen sind Buchungen mit künftiger Anreise, die über die Website eines Tourismusverbands abgeschlossen wurden. Viele Gäste wurden per E-Mail informiert. Wer unsicher ist, fragt bei der Unterkunft oder beim Tourismusverband nach: Die Verbände können im Buchungssystem eine Liste der möglicherweise betroffenen Buchungen abrufen.

Sind meine Kreditkartendaten in Gefahr?

Aus dem Buchungssystem wurden nach aktuellem Stand keine Kreditkarten- oder sonstigen Zahlungsdaten abgerufen. Gefährdet sind Kartendaten erst, wenn Sie sie über einen Link aus einer Betrugsnachricht eingeben.

Ich habe über Booking.com gebucht. Betrifft mich das?

Laut Feratel sind Buchungen über Partnerportale nach aktuellem Stand nicht betroffen, die bekannten Betrugsnachrichten beziehen sich auf Online-Buchungen über die Websites der Tourismusorganisationen. Phishing-Nachrichten mit echten Buchungsdaten gibt es aber auch bei Buchungsportalen, die Vorsichtsregeln gelten daher unabhängig vom Buchungsweg.

Muss ich meine Buchung stornieren?

Ein Grund zur Stornierung ergibt sich aus dem Vorfall nicht. Abgeflossen sind Kontakt- und Buchungsdaten, keine Zugangs- oder Zahlungsdaten. Wichtig ist nur, Zahlungen ausschließlich auf dem Weg zu leisten, der bei der Buchung vereinbart wurde, und Änderungen telefonisch mit der Unterkunft abzuklären.

Quellen

Weiterführende Beiträge auf steiermark.biz

Black Friday 2026 in der Steiermark - Termin, Aktionen, Rechte