VID International
Lagebild · Stand 2. November 2026

Cyberangriffe im Tourismus: Was passiert ist und was Betriebe jetzt tun können.

Ende Oktober wurde ein großes Datenleck im österreichischen Tourismus bekannt: In der Nacht vom 25. auf den 26. Oktober rief ein Angreifer über missbrauchte Zugangsdaten eines Schnittstellenpartners Buchungsdaten von Gästen ab, nicht über die IT der einzelnen Hotels. Es ist der sichtbarste Fall einer Serie, die seit Jänner 2026 Dienstleister der Hotellerie im ganzen Alpenraum trifft. Hier finden Sie die Fakten aus öffentlichen Quellen und konkrete nächste Schritte.

Was jetzt zu tun ist
rund1.700potenziell betroffene Betriebe in fünf Tiroler Tourismusverbänden, etwa ein Drittel mit künftigen BuchungenORF Tirol / ORF Salzburg, 31.10.2026
600Tiroler Betriebe hatten sich bis 31. Oktober gemeldet, ein Teil der 1.700Tiroler Tageszeitung, 31.10.2026
97Hotelbetriebe in Salzburg betroffen, in elf oder zwölf Tourismusverbänden je nach QuelleORF Salzburg / Salzburg24, 31.10.2026
rund3.000betroffene Gäste in der Steiermark, alle steirischen Tourismusverbände betroffenORF Steiermark, 31.10. / Krone, 30.10.2026

Stand 31. Oktober bzw. 1. November 2026. Die Zahlen beziehen sich auf unterschiedliche Einheiten und sind nicht zu addieren: Die 600 gemeldeten Betriebe sind ein Teil der 1.700 potenziell betroffenen, die 3.000 sind Gäste, keine Betriebe.

Was passiert ist

Aktuell sind zwei Vorfälle in Tirol bekannt. Ein Zusammenhang zwischen ihnen ist nicht bestätigt, deshalb stellen wir sie getrennt dar. Beide gehören zu einer Serie von Vorfällen bei Dienstleistern der Hotellerie, die seit Jänner 2026 läuft.

Vorfall 1 · Buchungsplattform Feratel

Zugangsdaten eines Schnittstellenpartners missbraucht

Ein Angreifer erlangte über ein Drittsystem die Deskline-Zugangsdaten eines externen Schnittstellenpartners von Feratel. In der Nacht vom 25. auf den 26. Oktober 2026, zwischen 23:00 und 01:15 Uhr, rief er damit Buchungen mit künftiger Anreise ab. Betroffen sind Tourismusverbände in Tirol, Salzburg und der Steiermark.

Abgerufen wurden Name, Adresse, Telefonnummer, E-Mail, Reisedaten, gebuchter Betrieb, Reisepreis und Zahlungsstatus. Kreditkarten-, Zahlungs- und Meldedaten sind nach derzeitigem Stand nicht betroffen. Feratel betont, das eigene Kernsystem sei nicht kompromittiert worden; die Datenschutzbehörde ist informiert.

Die Tourismusverbände sollen alle WebClient-Passwörter zurücksetzen und das Telefonnummernfeld aus dem Buchungsformular entfernen; eine Anmeldung mit zweitem Faktor (MFA) steht zur Verfügung. Seefeld hat die betroffenen Systeme auf seiner Website vorübergehend offline genommen und informiert die Gäste direkt.

Vorfall 2 · Softwarefirma im Bezirk Schwaz

Angriff auf eine Web-Applikation für Buchungen

Zwischen 17. Oktober, 10:00 Uhr, und 28. Oktober, 13:30 Uhr, drangen Unbekannte in eine Web-Applikation ein, über die Buchungen für Beherbergungsbetriebe in mehreren Ländern abgewickelt werden, und erlangten Kundendaten. Kunden erhielten danach Messenger-Nachrichten mit einem Link zur „Buchungsbestätigung“, über den Kreditkartendaten abgefragt wurden.

Ob dabei tatsächlich Kartendaten abgeflossen sind, ist nicht bestätigt; Zahl der Betroffenen und Schaden sind unbekannt. Das Problem ist laut Polizei Tirol behoben, die Ermittlungen laufen. Ob diese Firma der Schnittstellenpartner aus Vorfall 1 ist, ist nicht bestätigt.

Was betroffen ist und was nicht

Für die Einschätzung zählt, welche Daten im Umlauf sind. Die Angaben beziehen sich auf den Feratel-Vorfall, Stand 2. November 2026.

Abgerufen (laut Feratel)

  • Name
  • Adresse
  • Telefonnummer
  • E-Mail-Adresse
  • Reisedaten (An- und Abreise)
  • Gebuchter Betrieb
  • Reisepreis
  • Zahlungsstatus

Nicht betroffen (nach derzeitigem Stand)

  • Kreditkartendaten
  • Sonstige Zahlungsdaten
  • Meldedaten
  • Buchungen über das Portal; die gemeldeten Betrugsnachrichten betreffen den Verkaufskanal „Internet“
  • Feratel-Kernsystem (laut Unternehmen)

Regionen

Tirol
Fünf Tourismusverbände: Seefeld, Serfaus, Ischgl, Stubai und St. Anton. St. Anton nennt nur ORF Salzburg; eine eigene Stellungnahme des Verbands liegt nicht vor.
Salzburg
97 Hotelbetriebe. ORF Salzburg nennt elf Tourismusverbände, ORF Österreich und Salzburg24 zwölf.
Steiermark
Alle Tourismusverbände, rund 3.000 Gäste.
Kärnten
Laut Feratel nicht betroffen.
OÖ, Vorarlberg, Burgenland
Keine Fälle gemeldet. Das ist keine amtliche Entwarnung.
Trentino
Laut italienischen Medien sind auch Gäste betroffen, die über die von Trentino Marketing bereitgestellte Feratel-Plattform gebucht haben. Zahlen liegen nicht vor.

Im Primärleck stecken keine Kreditkartendaten. Die Täter versuchen, sie über gefälschte Nachrichten nachzuholen.

So gehen die Täter vor

Die Nachrichten wirken echt, weil sie echte Buchungsdaten enthalten: Name, Unterkunft, Reisedaten, oft auch Reisepreis und offene Anzahlung. Aufmerksamkeit allein reicht deshalb nicht, es braucht auch technische und organisatorische Maßnahmen.

Kontakt über WhatsApp, SMS oder E-Mail

Gäste erhalten Nachrichten scheinbar vom Hotel oder der Buchungsplattform, oft von ausländischen Nummern und mit einer exakten Forderung wie „Ihre Anzahlung ist noch offen“.

Link zur „Bestätigung“

Der Link führt auf eine gefälschte Zahlungsseite, teils mit vorausgefüllten echten Buchungsdaten. Dort werden Kreditkartendaten, CVV oder Banking-Zugänge abgefragt.

Zeitdruck und Rückerstattung

Typisch sind Fristen von 12 oder 24 Stunden, sonst verfalle das Zimmer. Nach dem Aufenthalt folgt eine zweite Masche: eine angebliche Rückerstattung oder „korrigierte Rechnung“.

Was Betriebe jetzt tun können

Die Schwachstelle liegt oft nicht im Hotel-PC, sondern bei Zugängen, Schnittstellen und Dienstleistern. Diese Punkte sollten Sie jetzt prüfen.

Zugänge und MFA

Zugänge zu Buchungsplattform (etwa Feratel WebClient und ExpertClient), Hotelsoftware, Channel-Manager und E-Mail prüfen und überall die Anmeldung mit zweitem Faktor aktivieren.

Passwörter zurücksetzen

Alle Zugänge ändern, die mit dem betroffenen Dienstleister zusammenhängen, und gemeinsam genutzte Logins auflösen.

Protokolle sichern

Zugriffe aus der Nacht vom 25. auf den 26. Oktober sichern, besonders auf künftige Buchungen. Nichts löschen und keine Systeme neu aufsetzen, bevor die Ursache geklärt ist.

Telefonnummernfeld prüfen

Wenn möglich die Telefonnummer aus dem Buchungsformular entfernen. Das nimmt den Tätern zumindest den Weg über WhatsApp.

Weiterleitungen und Zahlungen

E-Mail-Weiterleitungen kontrollieren, keine neuen Kontonummern und keine Zahlungslinks per Chat akzeptieren, Freigaben nur über einen zweiten, bekannten Kanal bestätigen.

Kommunikationswege klarstellen

Auf der Website und in der Buchungsbestätigung sagen, dass Sie niemals Kartendaten per WhatsApp, SMS oder Link anfordern, und eine offizielle Nummer für Rückfragen nennen.

Gäste informieren

Informieren Sie alle potenziell betroffenen Gäste, nicht nur die, die bereits eine gefälschte Nachricht erhalten haben. Einen Mustertext finden Sie weiter unten.

Die 72‑Stunden-Meldekette

Verantwortliche müssen binnen 72 Stunden bewerten, ob eine Meldung an die Datenschutzbehörde (Art. 33 DSGVO) und eine Information der Gäste (Art. 34 DSGVO) nötig ist. Klären Sie vorab: Wer meldet, wer dokumentiert, wer spricht mit Gästen? Prüfen Sie auch Ihre Cyber-Versicherung; viele Polizzen verlangen eine Meldung binnen 24 bis 72 Stunden.

Diese Hinweise ersetzen keine Rechtsberatung. Die Datenschutzbehörde ist über den Vorfall informiert; eine öffentliche Checkliste speziell zu diesem Fall liegt nicht vor. Die oft zitierte Checkliste der LfD Niedersachsen stammt von einer deutschen Behörde. Die Österreichische Hotelvereinigung (ÖHV) hat einen Leitfaden „Datenverlust bei Vertragspartner“ veröffentlicht.

Was Sie Ihren Gästen sagen

Fünf Regeln für die Gästekommunikation und ein Mustertext, den Sie anpassen und per E-Mail versenden können.

Fünf Regeln

  1. 1Fordern Sie niemals Kartendaten, CVV, SMS-Codes oder Banking-Zugänge per WhatsApp, SMS oder Link an.
  2. 2Verweisen Sie immer auf Ihre offizielle Telefonnummer und Ihre offizielle Website.
  3. 3Setzen Sie keine Fristen. Echte Betriebe drängen Gäste nicht mit 12 oder 24 Stunden.
  4. 4Wer schon Daten eingegeben hat: Karte sperren lassen, Bank informieren, Anzeige erstatten.
  5. 5Informieren Sie alle potenziell Betroffenen, nicht nur die, die schon eine gefälschte Nachricht erhalten haben.

Mustertext

Betreff: Wichtige Sicherheitsinformation zu Ihrer Buchung

Sehr geehrte Damen und Herren, uns wurde ein Sicherheitsvorfall bei einem Buchungsdienstleister gemeldet. Es kann sein, dass Ihre Buchungsdaten für gefälschte Nachrichten genutzt werden. Wir fordern Sie niemals per WhatsApp, SMS oder E-Mail-Link auf, Kreditkartendaten, CVV-Codes oder Banking-Zugänge einzugeben. Bitte prüfen Sie Zahlungsaufforderungen ausschließlich über unsere offizielle Telefonnummer. Klicken Sie nicht auf Links in unerwarteten Nachrichten. Wenn Sie bereits Daten eingegeben haben: Lassen Sie Ihre Karte sofort sperren, informieren Sie Ihre Bank und erstatten Sie Anzeige. Für Rückfragen sind wir unter [Telefon] erreichbar. Mit freundlichen Grüßen [Name, Funktion]

Die Vorlage ersetzt nicht die Prüfung, ob eine Information der Gäste nach Art. 34 DSGVO verpflichtend ist.

Wie wir unterstützen

Sachlich, ohne Angstmache und ohne Versprechen von hundertprozentiger Sicherheit. Crashkurs und Briefing sind für Tourismusverbände und ihre Mitgliedsbetriebe kostenlos.

Kostenloses Erstgespräch

In 15 Minuten klären wir, ob und wo Ihr Betrieb betroffen ist, welche Zugänge und Schnittstellen Sie prüfen sollten und welche Schritte jetzt sinnvoll sind.

Kostenloser 30-Minuten-Crashkurs

Für die Mitgliedsbetriebe eines Tourismusverbands, online oder vor Ort: was passiert ist, wie die Täter vorgehen, Sofortmaßnahmen, 72-Stunden-Meldekette und Gästekommunikation. Produktneutral, mit Checkliste und Mustertexten statt Verkaufsfolien.

60-Minuten-Briefing für TVB-Teams

Eine vertrauliche Einschätzung der eigenen Buchungs- und Kommunikationswege und eine Reihenfolge für die nächsten Schritte. Kostenlos und ohne Verpflichtung.

Chronologie

Der Oktober kam nicht aus dem Nichts. Seit Jänner 2026 trafen Vorfälle immer wieder Dienstleister der Hotellerie: Buchungsplattformen, Channel-Manager, Hotelsoftware, E-Mail-Konten. Eine gemeinsame Täterschaft ist nicht belegt.

  1. 15.01.2026easybooking: Mehr als 1.000 Kunden erhalten Phishing-Mails über gehackte E-Mail-Konten einzelner Betriebe; laut Unternehmen kein Datenleck (TT)
  2. 13.04.2026Booking.com bestätigt unbefugten Zugriff auf Buchungsdaten und setzt Buchungs-PINs zurück; keine Finanzdaten (ORF)
  3. 24.07.2026ÖHV veröffentlicht den Leitfaden „Datenverlust bei Vertragspartner“ (ÖHV)
  4. 25.07.2026ibelsa (Deutschland): unbefugter Zugriff auf Gast- und Partnerdaten; keine Zahlungsdaten (ibelsa)
  5. 11.08.2026Seekda stellt einen Sicherheitsvorfall fest; bis 13. August melden 25 Hotels einen Vorfall an die Datenschutzbehörde (Seekda, heise)
  6. 20.08.–19.09.2026HotelNetSolutions (Deutschland): Angriffe über eine Schnittstelle der Plattform mit über 2.500 Hotels; Gäste erleiden finanzielle Schäden (heise)
  7. 11.09.2026Amadeus iHotelier: auffällige Zugriffe auf Reservierungsdaten; Maritim informiert danach 8.716 Gäste (HOGAPAGE)
  8. 01.10.2026Villacher Tourismusverband: E-Mail-Konto der Geschäftsführung gehackt, fast 600 gefälschte Rechnungen verschickt (5min.at)
  9. 17.–28.10.2026Angriff auf die Web-Applikation einer Softwarefirma im Bezirk Schwaz (Polizei Tirol)
  10. 23.10.2026Secra Bookings (Deutschland): Datenexport, teils auch Bankdaten und Zugangscodes (HomeToGo)
  11. 25./26.10.2026Feratel: Über missbrauchte Zugangsdaten eines Schnittstellenpartners werden zwischen 23:00 und 01:15 Uhr künftige Buchungen abgerufen (Feratel via Borncity)
  12. 26.10.2026TCS Camping (Schweiz) warnt 15.000 Gäste nach einer Sicherheitslücke im Buchungssystem (SRF)
  13. 28.10.2026Erste große Berichterstattung in Tirol, Tourismusverbände warnen Vermieter (TT)
  14. 29.10.2026Seefeld nimmt betroffene Systeme auf der Website offline und informiert die Gäste direkt (Gemeinde Seefeld)
  15. 30.10.2026Steiermark: alle Tourismusverbände betroffen, rund 3.000 Gäste; Kärnten laut Feratel nicht (Kleine Zeitung)
  16. 31.10.2026Rund 1.700 Tiroler Betriebe in fünf Verbänden potenziell betroffen, 600 gemeldet; 97 Hotelbetriebe in Salzburg (ORF, TT)
  17. 02.11.2026Keine neuen offiziellen Zahlen; keine öffentliche Pressemitteilung von Feratel, keine fallspezifische Stellungnahme der Datenschutzbehörde (eigene Prüfung)

Quellen

Wir stützen uns auf Leitmedien, Behörden, Verbände und Stellungnahmen der Unternehmen. Schlagzeilen und KI-generierte Nachrichtenseiten verwenden wir nicht als Beleg; wo Quellen sich widersprechen, nennen wir beide Angaben. Eine Gesamtschadenssumme gibt es nicht, und die Zahl der betroffenen Gäste in Tirol und Salzburg ist offen.