Hotel-Datenleck Juli 2026: Gästedaten bundesweit abgeflossen, Betrüger schreiben bereits im Namen Ihres Hotels

Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern hat am 29. Juli 2026 vor einem Cyberangriff auf einen bundesweit tätigen Hotel-Datenbankdienstleister gewarnt. Nach aktuellem Kenntnisstand sind die kompletten Gästedatenbanken der betroffenen Hotels abgeflossen: Vor- und Nachname, Adressdaten und weitere buchungsrelevante Informationen. Bank- und Zahlungsdaten gehören nach bisherigem Stand nicht dazu. Betroffen sein können Sie, wenn Sie in einem deutschen Hotel übernachtet haben, das diese Software einsetzt, und erfahren werden Sie es in der Regel nur über das Hotel selbst. Kriminelle nutzen die Daten bereits, um sich per E-Mail und Messenger als Ihr Hotel auszugeben.

Was genau passiert ist

Die Aufsichtsbehörde in Schwerin hat den Vorfall öffentlich gemacht, weil ihr Meldungen mehrerer Hotels vorlagen. In ihrer Warnung zum Cyberangriff auf einen Hotel-Datenbankdienstleister beschreibt sie, dass nach derzeitigem Kenntnisstand die kompletten Datenbanken der betroffenen Häuser abgeflossen sind. Der Dienstleister arbeitet bundesweit, die Zahl der betroffenen Hotelbetriebe und damit der Gäste beziffert die Behörde als hoch. Eine konkrete Zahl gibt es bislang nicht, und wer hier bereits von Millionen spricht, geht über den bestätigten Stand hinaus.

Für Sie als Gast ist die Konstruktion dahinter wichtig, weil sie erklärt, warum Sie von einem Unternehmen betroffen sind, dessen Namen Sie noch nie gehört haben. Hotels führen ihre Reservierungen heute kaum noch selbst auf einem Rechner an der Rezeption. Sie nutzen ein zentrales Buchungs- und Verwaltungssystem, im Fachjargon ein Property Management System, das ein externer Anbieter betreibt, meist in der Cloud. Datenschutzrechtlich ist dieser Anbieter ein Auftragsverarbeiter, also ein Dienstleister, der die Daten streng nach Weisung des Hotels verarbeitet. Vereinfacht gesagt: Das Hotel ist der Hausherr Ihrer Daten, die Software-Firma nur der Schlüsseldienst. Wird der Schlüsseldienst ausgeraubt, stehen sämtliche Türen offen, die er verwaltet, und zwar auf einen Schlag bei allen Kunden gleichzeitig.

Genau darin liegt der Hebel dieses Vorfalls. Ein Einbruch bei einem einzelnen Hotel kostet einen Angreifer die Daten eines Hauses. Ein Einbruch beim zentralen Dienstleister liefert die Gästelisten hunderter Häuser in einem Zug. Es ist bereits der zweite Fall dieser Art im Jahr 2026: Schon im Februar hatte ein Angriff auf einen anderen bundesweit tätigen Hotel-Datenbankdienstleister zum Abfluss von Gästedaten geführt. Und im November 2025 hatte das BSI vor einer Schwachstelle in einer Hotelverwaltungssoftware gewarnt, bei der nach damaligen Angaben bis zu 50 Millionen Gästeprofile einsehbar gewesen sein sollen. Die Hotellerie ist damit binnen neun Monaten zum dritten Mal an derselben Stelle getroffen worden, an der zentralen Datenhaltung.

Bin ich betroffen? Warum Sie es diesmal nicht selbst nachschlagen können

Bei den meisten Datenlecks lautet der erste Rat, die eigene E-Mail-Adresse in einer Leak-Datenbank zu prüfen. Hier greift dieser Rat vorerst ins Leere, und diese Ehrlichkeit gehört an den Anfang: Der Datensatz ist nach aktuellem Stand nicht öffentlich veröffentlicht. Er zirkuliert in kriminellen Kreisen und wird bereits benutzt, taucht aber nicht als frei durchsuchbarer Dump auf. Solange das so bleibt, meldet kein Leak-Checker der Welt einen Treffer, auch wenn Ihre Daten längst dabei sind. Ein negatives Ergebnis bedeutet an dieser Stelle also nicht Entwarnung, sondern schlicht: noch nichts Veröffentlichtes gefunden.

Praktisch bleiben Ihnen deshalb drei Wege, um Ihre Betroffenheit einzuschätzen:

• Auf die Benachrichtigung des Hotels achten: Verantwortlich sind die Hotels, nicht das Softwarehaus. Bei einem hohen Risiko für Ihre Rechte müssen sie Sie nach Art. 34 DSGVO informieren. Die Aufsichtsbehörde hat die Betriebe genau dazu aufgefordert. Eine solche Mail sollte sachlich informieren und Sie zu keiner Zahlung und zu keiner Dateneingabe auffordern.
• Die eigene Reisehistorie durchgehen: Betroffen sind Häuser in ganz Deutschland, mit einem sichtbaren Schwerpunkt in Mecklenburg-Vorpommern, wo die Meldungen zuerst auflaufen. Wer dort oder anderswo in Deutschland in den vergangenen Jahren direkt bei einem Hotel gebucht hat, sollte sich vorsorglich zum möglichen Kreis zählen. Direktbuchungen landen besonders zuverlässig in der Hotelsoftware.
• Beim Hotel selbst nachfragen: Sie haben nach Art. 15 DSGVO ein Auskunftsrecht und dürfen fragen, ob Ihre Daten betroffen sind. Nutzen Sie dafür die Telefonnummer von der offiziellen Website, niemals eine Nummer aus einer eingegangenen Nachricht.

Was Sie unabhängig davon jetzt tun sollten, ist der Blick auf das Gesamtbild: Wie viele Kopien Ihres Namens samt Anschrift kursieren ohnehin schon, unabhängig von diesem Vorfall? Kostenlos prüfen, ob Ihre E-Mail-Adresse in bereits bekannten Leaks auftaucht. Wie Sie eine Betroffenheit grundsätzlich seriös feststellen, ohne dabei selbst auf zweifelhafte Suchportale hereinzufallen, zeigt unser Ratgeber Datenleck prüfen: So finden Sie heraus, ob Ihre Daten betroffen sind.

Keine Bankdaten betroffen? Warum das nur die halbe Entwarnung ist

Dass Zahlungsdaten nach bisherigem Stand nicht abgeflossen sind, nimmt dem Vorfall die unmittelbare finanzielle Spitze. Das eigentliche Risiko liegt aber woanders, nämlich in der Kombination der Felder. Eine Gästedatenbank ist kein anonymer Adressbestand, sondern ein Kalender Ihres Privatlebens. Ordnen wir die Datentypen nach ihrem konkreten Missbrauchswert:

• Name plus vollständige Wohnanschrift: Der Standardbaustein für Identitätsmissbrauch. In Verbindung mit anderen Quellen genügt er, um Bestellungen auf Rechnung auf Ihren Namen zu platzieren oder sich am Telefon als Sie auszugeben.
• Reisezeitraum und Buchungsdetails: Der brisanteste Teil dieses Lecks. Wer weiß, dass Sie vom 12. bis 15. August in einem bestimmten Haus gebucht haben, kann eine Nachricht schreiben, die keine Betrugsmail mehr ist, sondern eine scheinbar völlig normale Hotelkorrespondenz. Fachleute nennen das Spear-Phishing, also den gezielten Angriff mit persönlichem Wissen statt der Massenmail nach dem Gießkannenprinzip.
• Kontaktdaten, E-Mail und Telefonnummer: Die Zustellkanäle für genau diese Nachrichten, und zugleich der Grund, warum die Masche jetzt auch über Messenger läuft.
• Anwesenheitszeiten als Nebenwirkung: Ein Buchungszeitraum verrät indirekt, wann Ihre Wohnung leer steht. Das ist kein Grund zur Panik, aber ein Aspekt, den kaum ein Bericht zu diesem Vorfall erwähnt.

Der Unterschied zu einem gewöhnlichen Adressleck ist also der Kontext. Nicht die einzelne Information ist gefährlich, sondern die Tatsache, dass ein Fremder Ihre Reise kennt. Wie schnell aus solchen Kontextdaten überzeugende Reise-Betrugsmaschen werden, haben wir bereits in unserer Analyse zum Booking.com-Datenleck beschrieben, wo Kriminelle nach demselben Muster vorgingen.

Die laufende Betrugswelle erkennen: konkrete Merkmale

Die Aufsichtsbehörde bestätigt, dass mit den erbeuteten Daten bereits Phishing-Versuche bekannt geworden sind. Kriminelle geben sich per E-Mail und über Messenger-Dienste als das Hotel aus und fordern Zahlungen oder die Preisgabe sensibler Informationen. Diese Merkmale entlarven die Nachrichten:

• Zahlung über einen Link: Kein seriöses Haus schickt Ihnen eine Zahlungsaufforderung mit Kreditkartenformular per Chatnachricht. Bezahlt wird vor Ort, über das Buchungsportal oder über eine Rechnung, die Sie eigenständig prüfen können.
• Absender fast richtig: Vergleichen Sie die Domain hinter dem @ Zeichen buchstabengenau mit der Adresse auf der offiziellen Hotelseite. Ein zusätzlicher Bindestrich, eine andere Endung oder ein eingeschobenes Wort wie "service" genügen als Warnsignal.
• Künstlicher Zeitdruck: Fristen von wenigen Stunden, angedrohte Stornierung, angeblich fehlgeschlagene Abbuchung. Druck ist das zuverlässigste Erkennungszeichen für Betrug, weil er das Nachdenken abschalten soll.
• Wechsel in den Messenger: Wenn die Kommunikation plötzlich auf WhatsApp oder einen anderen Chatdienst verlagert wird, ist Vorsicht geboten. Dort fehlen die Schutzmechanismen der E-Mail und die Nachricht wirkt persönlicher.
• QR-Codes statt Links: Ein aufgedruckter oder eingebetteter Code umgeht Ihren Blick auf die Zieladresse. Wie diese Variante funktioniert, lesen Sie in unserem Beitrag zu Quishing im Restaurant und im Urlaub.

Die Gegenprobe ist immer dieselbe und immer wirksam: Nutzen Sie ausschließlich einen Kommunikationsweg, den Sie selbst gewählt haben. Rufen Sie die Rezeption unter der Nummer an, die Sie über eine Suchmaschine oder Ihre ursprüngliche Buchungsbestätigung finden, und fragen Sie nach. Zwei Minuten Telefonat ersetzen jede Absender-Analyse.

Wenn bereits Geld geflossen ist

Sollten Sie auf eine solche Nachricht reagiert und gezahlt haben, zählt Tempo. Melden Sie sich umgehend bei Ihrer Bank oder Ihrem Kreditkartenanbieter und schildern Sie den Vorgang, denn je nach Zahlungsweg kommt eine Rückbuchung in Betracht. Bei einer unberechtigten SEPA-Lastschrift steht Ihnen in der Regel ein Widerspruch innerhalb von acht Wochen ohne Angabe von Gründen zu. Sichern Sie die Nachricht mit vollständigem Absender und den Zahlungsbeleg als Nachweis, erstatten Sie Anzeige bei der Polizei und informieren Sie das echte Hotel, damit es weitere Gäste warnen kann. Haben Sie auf einer gefälschten Seite Zugangsdaten eingegeben, ändern Sie diese sofort überall dort, wo Sie dieselbe Kombination noch nutzen.

Ihre Rechte gegenüber dem Hotel

Rechtlich ist die Lage klarer, als sie sich anfühlt. Verantwortlicher im Sinne der DSGVO bleibt das Hotel, auch wenn der Fehler beim Dienstleister lag. Daraus folgen für Sie drei Ansatzpunkte. Erstens die Benachrichtigung nach Art. 34 DSGVO, die bei hohem Risiko unverzüglich erfolgen muss und die die Aufsichtsbehörde ausdrücklich einfordert. Zweitens das Auskunftsrecht nach Art. 15 DSGVO, mit dem Sie erfragen können, welche Daten zu Ihrer Person gespeichert sind und ob sie vom Vorfall erfasst waren. Drittens könnte bei einem nachgewiesenen Verstoß grundsätzlich ein Anspruch auf Schadensersatz nach Art. 82 DSGVO in Betracht kommen, den Verbraucherzentralen, qualifizierte Einrichtungen oder spezialisierte Kanzleien bei größeren Vorfällen unter Umständen in Sammel- oder Musterklagen bündeln. Wie sich die Rechtsprechung dazu entwickelt hat und worauf es dabei ankommt, ordnen wir in unserem Ratgeber Entschädigung bei Datenlecks ein.

Der strukturelle Punkt: Sie können sich das nicht aussuchen

An diesem Fall lässt sich etwas Unbequemes ablesen. Sie können ein sicheres Passwort wählen, Zwei-Faktor-Authentifizierung aktivieren und trotzdem in einem Leck landen, weil eine Firma, deren Namen Sie nie erfahren haben, für Ihr Hotel die Datenbank betreibt. Die eigene Sorgfalt endet an der Rezeption. Was danach passiert, entzieht sich Ihrem Einfluss vollständig.

Beeinflussbar bleibt eine andere Größe: wie viele Kopien Ihres Namens samt Anschrift, Geburtsdatum und Kontaktdaten überhaupt im Umlauf sind. Denn ein Datensatz aus einer Hotelbuchung entfaltet seine volle Wirkung erst, wenn ein Angreifer ihn mit weiteren Quellen zusammensetzt, mit Adressbeständen von Werbe- und Adressbrokern etwa, die Anschriften, Haushaltsmerkmale und Kontaktdaten systematisch handeln. Erst aus diesem Puzzle entsteht das Profil, das eine Betrugsnachricht wirklich gefährlich macht. Genau dort greift Datenputzer an: Wir fordern bei über 100 Datenbrokern die Löschung Ihrer Bestände nach Art. 17 DSGVO an und verkleinern damit die Fläche, auf die jedes künftige Leck treffen kann. Je weniger Puzzleteile über Sie kursieren, desto schwerer wird das Bild. Wie Sie darüber hinaus alte Datenspuren aufräumen, zeigt unsere Anleitung zum digitalen Fußabdruck.

Bleibt der Punkt, den man in der ersten Aufregung leicht übersieht: Wer bei diesem Vorfall tatsächlich in der Datei steht, weiß derzeit niemand vollständig, nicht einmal die betroffenen Hotels. Gestohlene Gästedatenbanken tauchen zudem selten sofort und selten nur einmal auf. Sie werden zunächst still gehandelt, für gezielte Angriffe genutzt und oft erst Wochen oder Monate später breiter verkauft oder als Dump veröffentlicht. Wer heute einmal prüft und nichts findet, kann also trotzdem betroffen sein. Unser Darknet-Radar überwacht Ihre hinterlegte E-Mail-Adresse deshalb fortlaufend und meldet sofort, sobald diese Daten infolge eines Hacks oder einer Datenpanne im Darknet auftauchen oder gehandelt werden. Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie als Kunde von einem Vorfall betroffen, weisen wir Sie aktiv auf passende Sammel- oder Musterklagen und mögliche Ansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber dem verantwortlichen Unternehmen wahrnehmen können (ein Hinweis auf passende Verfahren, keine eigene Rechtsberatung). Der Unterschied zum kostenlosen Check ist dabei entscheidend: Dieser zeigt nur bereits bekannte, veröffentlichte Leaks. Das dauerhafte Monitoring ist das, was Sie bei künftigen Vorfällen rechtzeitig erreicht.