Inhaltsverzeichnis

    Das Wichtigste in Kürze

    • E-Mail-Postfach und feratel WebClient mit Zwei-Faktor-Anmeldung absichern
    • Bankverbindungen und Telefonnummern in allen Buchungsportalen kontrollieren
    • Gäste in jeder Buchungsbestätigung warnen: Keine Kartendaten per WhatsApp
    • Passwortmanager einführen und Zugänge ehemaliger Mitarbeitender entfernen
    • Bei Rückfragen von Gästen ruhig bleiben: Buchung gilt, Zahlung wie vereinbart

    Das Leck ist nicht in Ihrem Betrieb entstanden, und Sie müssen nicht in Panik verfallen. Ihr Handlungsbedarf liegt woanders: Die Betrüger kennen jetzt die echten Buchungsdaten Ihrer Gäste. Als Nächstes versuchen sie es bei Ihren Konten und bei Ihren Gästen. Beides lässt sich mit wenigen Schritten deutlich erschweren – die Grundlagen dazu finden Sie auch in unserem Leitfaden zu KI-gestützten Social-Engineering-Angriffen.

    Was passiert ist

    Ende Oktober 2026 wurden Buchungsdaten aus dem System abgerufen, über das die steirischen Tourismusverbände ihre Online-Buchungen abwickeln. Laut Systemanbieter feratel geschah der Abruf in der Nacht vom 25. auf den 26. Oktober. Die Täter nutzten die Zugangsdaten eines externen Schnittstellenpartners – ein typisches Beispiel für autonome KI-Angriffe, bei denen Schwachstellen systematisch ausgenutzt werden. Hinweise auf einen Einbruch in die Systeme des Anbieters selbst gibt es nach dessen Angaben nicht.

    Betroffen sind Buchungen mit künftiger Anreise über die Buchungsstrecke der Verbände. Abgerufen wurden Name, Adresse, Telefonnummer, E-Mail, Reisedaten, gebuchter Betrieb, Preis und Zahlungsstatus. Kreditkarten- und Bankdaten sind laut Anbieter nicht betroffen. Neben der Steiermark betrifft der Vorfall auch Verbände in Tirol und Salzburg. Die Datenschutzbehörde wurde laut Tourismusverband Steiermark informiert.

    Wie die Betrüger vorgehen

    Die Nachrichten kommen meist per WhatsApp, teils per E-Mail – oft mit gefälschten KI-Sprachnachrichten, die schwer zu durchschauen sind. Sie geben sich als Ihre Unterkunft aus, nennen die richtigen Reisedaten und verlangen unter einem Vorwand Kreditkartendaten, etwa zur „Bestätigung” der Buchung, oft mit kurzer Frist. Eine zweite Masche sind angebliche Rückerstattungen nach dem Aufenthalt. Richtige Buchungsdaten beweisen also nicht mehr, dass eine Nachricht echt ist.

    Wer in Ihrem Fall zuständig ist

    Nach der DSGVO meldet der Verantwortliche eine Datenschutzverletzung binnen 72 Stunden an die Datenschutzbehörde (Art. 33). Bei hohem Risiko informiert er die betroffenen Personen (Art. 34). Der Anbieter des Buchungssystems ist Auftragsverarbeiter. Die Information der Gäste läuft laut feratel über den jeweiligen Tourismusverband oder den gebuchten Betrieb. Klären Sie mit Ihrem Verband, welche Ihrer Buchungen betroffen sind und ob Sie selbst etwas melden oder versenden müssen. Dieser Abschnitt ersetzt keine Rechtsberatung. Details zur Meldepflicht bei Datenpannen finden Sie in unserem KMU-Notfallplan.

    Sieben Schritte für Ihren Betrieb

    1. Postfach zuerst absichern. Neues Passwort, Zwei-Faktor-Anmeldung, unbekannte Weiterleitungsregeln entfernen. Wer Ihr Postfach kontrolliert, kann jedes andere Passwort zurücksetzen.
    2. feratel WebClient neu absichern. Neues Passwort setzen und die Multi-Faktor-Anmeldung nutzen, die der Anbieter für den WebClient anbietet.
    3. Buchungsportale prüfen. Bei Booking.com, Airbnb und anderen Portalen das Passwort ändern und kontrollieren, ob die hinterlegte Telefonnummer für die Zwei-Faktor-Anmeldung wirklich Ihre ist.
    4. Bankverbindung kontrollieren. Betrüger ändern bei übernommenen Konten gezielt die Auszahlungsdaten.
    5. Zugänge aufräumen. Frühere Mitarbeitende und Saisonkräfte entfernen, nicht genutzte Anbindungen von Hotelprogrammen abmelden.
    6. Passwortmanager einführen. Ein eigenes Passwort pro Konto ist nur mit einem Passwortmanager realistisch.
    7. Gäste vorwarnen. In jede Buchungsbestätigung gehört ein Satz wie: „Wir fragen Sie nie per WhatsApp oder Link nach Kartendaten.”

    Was Sie Gästen sagen, die anrufen

    Bleiben Sie ruhig und konkret: Die Nachricht stammt nicht von Ihnen, die Buchung ist gültig, bezahlt wird wie vereinbart. Hat ein Gast bereits Kartendaten eingegeben, sollte er die Karte sofort sperren lassen und Anzeige erstatten.

    Unterstützung aus der Region

    Strukturaflow IT aus Spielberg geht diese Schritte mit Ihnen vor Ort im Murtal, in Murau und in Leoben durch. Wir arbeiten an Ihren eigenen Konten, Ihre Passwörter tippen Sie selbst. Einstieg ist die IT-Sprechstunde: 45 Minuten, 79 €, bei einem Folgeauftrag zu 100 % angerechnet.

    Quellen: steiermark.ORF.at · oesterreich.ORF.at · Borns IT-Blog mit Stellungnahme von feratel · steiermark.biz