Veröffentlicht von: Hallo-Redaktion (geprüft und freigegeben)
Dieser Beitrag wurde mithilfe künstlicher Intelligenz vorbereitet und geschrieben. Die Hallo-Zeitung-Redaktion hat den Text und die verwendeten Quellen vor der Veröffentlichung auf Fakten, Logik und Qualität geprüft.
Unbefugte griffen auf Systeme des technischen Betreibers INCERT eTourismus zu. Kontakt-, Bestell- und Gutscheindaten könnten betroffen sein, Zahlungsdaten laut Casinos Austria nicht.
Nach einem Cyberangriff auf den externen Webshop-Dienstleister von Casinos Austria könnten die Daten von rund 150.000 Kundinnen und Kunden betroffen sein. Nach Unternehmensangaben erfolgte der unbefugte Zugriff zwischen 2. und 5. November 2026 über Systeme der INCERT eTourismus GmbH & Co KG, die den Webshop technisch betreibt. Casinos Austria verständigte potenziell Betroffene per E-Mail. Für sie besteht insbesondere das Risiko, dass möglicherweise kompromittierte Kontakt- und Bestelldaten für gezielte Phishing-Versuche oder Identitätsmissbrauch verwendet werden.
Zum Kenntnisstand vom 7. November 2026 war noch nicht abschließend geklärt, welche Datensätze tatsächlich eingesehen oder kopiert wurden. Die Zahl von rund 150.000 bezeichnet daher den Kreis der potenziell Betroffenen und nicht die bestätigte Zahl abgeflossener oder vollständig kompromittierter Datensätze. Eine forensische Untersuchung zum Umfang des Vorfalls lief zu diesem Zeitpunkt noch.
Diese Daten könnten betroffen sein
Nach Angaben zum Vorfall könnten die Angreifer Zugriff auf Vor- und Nachnamen, E-Mail-Adressen, Anschriften, Telefonnummern, Geburtsdaten, Bestellinformationen und Gutscheincodes erhalten haben. Nicht bei jeder betroffenen Person müssen sämtliche dieser Angaben im Shopsystem gespeichert gewesen sein. Ebenso war zum genannten Kenntnisstand nicht abschließend festgestellt, welche Daten tatsächlich kopiert wurden.
Bankverbindungen und Kreditkartendaten sind laut Casinos Austria nicht betroffen. Das Unternehmen begründet dies damit, dass solche Zahlungsinformationen nicht im angegriffenen Shopsystem gespeichert worden seien.
Die Sicherheitslücke wurde nach Angaben zum Vorfall am 5. November geschlossen. Der Dienstleister habe zudem Zugangsdaten erneuert und die Überwachung der betroffenen Systeme verstärkt. INCERT und Casinos Austria meldeten den Vorfall demnach der österreichischen Datenschutzbehörde. Wer für den unbefugten Zugriff verantwortlich ist, war mit Stand 7. November nicht bekannt.
Personalisierte Daten können Phishing erleichtern
Auch ohne Bank- oder Kreditkartendaten kann eine Kombination aus Name, E-Mail-Adresse, Anschrift und Bestellinformationen für Betrugsversuche verwendet werden. Kriminelle könnten damit Nachrichten erstellen, die sich auf einen tatsächlichen Gutscheinkauf oder eine frühere Bestellung beziehen. Solche personalisierten Mitteilungen können glaubwürdiger wirken als allgemein formulierte Betrugs-E-Mails.
Möglich sind etwa gefälschte Aufforderungen, einen Gutschein zu bestätigen, eine angeblich offene Zahlung zu begleichen oder Zahlungsdaten zu aktualisieren. Enthält eine Nachricht richtige Bestellangaben, beweist das nicht, dass sie tatsächlich von Casinos Austria oder dem Webshop-Betreiber stammt.
Casinos Austria erklärte in der Kundeninformation, das Unternehmen verlange per E-Mail, SMS oder Telefon weder die Bekanntgabe von Passwörtern und Kreditkartendaten noch Zahlungen. Unerwartete Nachrichten sollten daher nicht über darin enthaltene Links, Anhänge oder Telefonnummern beantwortet werden. Eine Überprüfung sollte über eine selbst eingegebene offizielle Internetadresse oder einen bereits bekannten Kontaktweg erfolgen.
Worauf Betroffene achten können
- Keine Passwörter, Kreditkartendaten oder Zugangscodes aufgrund einer unerwarteten Nachricht bekannt geben.
- Links und Dateianhänge in vermeintlichen Gutschein- oder Bestellnachrichten nicht ungeprüft öffnen.
- Absenderadressen sorgfältig kontrollieren und nicht allein auf den angezeigten Namen vertrauen.
- Ungewöhnliche Zahlungsaufforderungen über einen unabhängig aufgerufenen offiziellen Kanal überprüfen.
- Vorhandene Gutscheincodes kontrollieren und Auffälligkeiten über die offiziellen Kontaktmöglichkeiten melden.
- Bei verdächtigen Anrufen keine persönlichen Angaben bestätigen, sondern das Gespräch beenden und selbst einen bekannten Kontaktweg nutzen.
Gutscheincodes verdienen besondere Aufmerksamkeit, weil sie je nach Ausgestaltung einen unmittelbar nutzbaren Wert darstellen können. Ob solche Codes tatsächlich kopiert oder unrechtmäßig eingelöst wurden, war am 7. November noch nicht abschließend geklärt.
Welche Pflichten bei ausgelagerten Systemen gelten
Der Angriff betraf nach Unternehmensangaben nicht unmittelbar ein eigenes System von Casinos Austria, sondern die Infrastruktur des externen Webshop-Betreibers INCERT eTourismus. Die technische Auslagerung von Online-Shops ist üblich, entbindet ein Unternehmen aber nicht von seinen datenschutzrechtlichen Pflichten.
Wer personenbezogene Daten verarbeitet, muss geeignete technische und organisatorische Schutzmaßnahmen vorsehen. Externe Auftragsverarbeiter müssen sorgfältig ausgewählt, vertraglich eingebunden und zur Einhaltung der vereinbarten Sicherheitsanforderungen verpflichtet werden. Der Dienstleister ist seinerseits verpflichtet, relevante Sicherheitsvorfälle an das verantwortliche Unternehmen zu melden.
Die Datenschutz-Grundverordnung unterscheidet bei Datenschutzverletzungen zwischen der Meldung an die zuständige Aufsichtsbehörde und der direkten Verständigung betroffener Personen. Ob und welche Pflichten greifen, hängt von der Risikobewertung des jeweiligen Vorfalls ab. Eine Meldung an die Behörde ist grundsätzlich erforderlich, wenn durch die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen entsteht. Für die direkte Information Betroffener gilt eine höhere Risikoschwelle.
Ob die Sicherheitsmaßnahmen vor dem Angriff ausreichend waren, lässt sich aus dem Bekanntwerden des Vorfalls allein nicht ableiten. Dafür sind unter anderem der konkrete Angriffsweg, die getroffenen Schutzvorkehrungen und der tatsächliche Umfang eines möglichen Datenabflusses maßgeblich.
Forensische Untersuchung soll Umfang klären
Die Untersuchung muss klären, auf welche Daten die Angreifer zugreifen konnten, ob Informationen kopiert wurden und ob Gutscheincodes missbräuchlich verwendet worden sind. Erst auf dieser Grundlage lässt sich das individuelle Risiko für die betroffenen Kundinnen und Kunden genauer bewerten.
Bis dahin bleibt eine praktische Konsequenz: Nachrichten mit Bezug zu Casinos Austria, Gutscheinen oder früheren Webshop-Bestellungen sollten besonders kritisch geprüft werden. Dass nach Unternehmensangaben keine Bank- und Kreditkartendaten im Shopsystem gespeichert waren, begrenzt einen Teil des möglichen Schadens. Kontakt-, Identitäts- und Bestelldaten können dennoch für glaubwürdig gestaltete Betrugsversuche genutzt werden.
