Veröffentlicht von: Hallo-Redaktion (geprüft und freigegeben)
Dieser Beitrag wurde mithilfe künstlicher Intelligenz vorbereitet und geschrieben. Die Hallo-Zeitung-Redaktion hat den Text und die verwendeten Quellen vor der Veröffentlichung auf Fakten, Logik und Qualität geprüft.
In Tirol, Salzburg und der Steiermark wurden echte Gästedaten für personalisierte Zahlungsaufforderungen verwendet. Das gesamte Ausmaß und die Schadenssumme waren zuletzt noch offen.
Unbekannte Täter haben Buchungsdaten von Urlaubsgästen in Österreich abgerufen und für gezielte Betrugsnachrichten verwendet. Betroffen sind Tourismusregionen in Tirol, Salzburg und der Steiermark. Für Reisende ist der Vorfall besonders relevant, weil die Nachrichten echte Angaben zu bestehenden Reservierungen enthalten und dadurch glaubwürdig wirken. Das gesamte Ausmaß des Datenabflusses und die Höhe möglicher finanzieller Schäden waren mit Stand 31. Oktober 2026 noch nicht geklärt.
Nach Angaben des Tourismus-IT-Unternehmens Feratel gelangten die Angreifer über kompromittierte Zugangsdaten eines Schnittstellenpartners an die Informationen. Das eigene System sei nach den bisherigen forensischen Untersuchungen nicht kompromittiert worden, erklärte das Unternehmen. Verdächtige Zugänge seien gesperrt, betroffene Zugangsdaten geändert und die betreffende Sicherheitslücke geschlossen worden. Die technische Untersuchung lief weiter.
Salzburg und Steiermark melden Tausende Betroffene
In Salzburg waren nach dem am 31. Oktober 2026 veröffentlichten Stand 97 Beherbergungsbetriebe in zwölf Tourismusverbänden betroffen. Zu den abgerufenen Informationen zählten Namen, Adressen, E-Mail-Adressen und Reisedaten von Gästen. Kreditkarten-, Zahlungs- und Meldedaten waren laut Feratel nicht Teil dieses ursprünglichen Datenabflusses.
Für die Steiermark wurde eine Größenordnung von rund 3.000 betroffenen Urlaubsgästen genannt. Nach den veröffentlichten Angaben waren Gäste aller steirischen Tourismusverbände betroffen. Neben Namen und Kontaktdaten sollen auch Angaben zur gebuchten Unterkunft, zum Reisepreis und zum Zahlungsstatus abgerufen worden sein. Die steirischen Tourismusverbände wickelten Onlinebuchungen über das Feratel-System Deskline ab.
Nach der von Feratel verbreiteten Darstellung wurden über ein Drittsystem Zugangsdaten eines Schnittstellenpartners erlangt. Damit seien in der Nacht vom 25. auf den 26. Oktober 2026 Buchungen mit künftigem Anreisedatum abgerufen worden. Das Unternehmen betonte, dass keine Kreditkarten- oder sonstigen Zahlungsdaten aus dem Buchungssystem abgeflossen seien.
Vier Tiroler Tourismusregionen betroffen
In Tirol wurden bis 31. Oktober 2026 die Tourismusverbände Stubai, Serfaus, Seefeld und Ischgl als betroffen genannt. Eine abschließende Zahl der betroffenen Betriebe und Gäste lag nicht vor. Neben E-Mail-Adressen könnten auch Telefonnummern und weitere persönliche Daten abgerufen worden sein.
Zusätzliche Berichte sprachen von insgesamt zigtausenden betroffenen Datensätzen und davon, dass einzelne Gäste bereits Zahlungen geleistet hätten. Eine behördlich oder vom Unternehmen bestätigte Gesamtzahl sowie eine belastbare Gesamtschadenssumme waren zu diesem Zeitpunkt allerdings nicht bekannt.
Die Täter nutzten die Buchungsinformationen, um Gäste unter anderem über WhatsApp zu kontaktieren. In den Nachrichten wurde auf tatsächlich vorhandene Reservierungen Bezug genommen. Die Empfänger sollten ihre Buchung über einen mitgeschickten Link bestätigen. Dieser führte auf eine gefälschte Seite, auf der Kreditkartendaten abgefragt wurden.
Dabei sind zwei Vorgänge zu unterscheiden: Beim ursprünglichen Zugriff auf die Buchungsinformationen wurden nach bisherigem Stand keine Kreditkartendaten entwendet. Die anschließenden Betrugsnachrichten zielten jedoch darauf ab, Gäste zur Eingabe solcher Zahlungsinformationen auf einer nachgebauten Internetseite zu bewegen.
Polizei ermittelt nach Zugriff auf Webanwendung
Die Landespolizeidirektion Tirol meldete zudem einen widerrechtlichen Zugriff auf die Webanwendung einer Softwarefirma aus dem Bezirk Schwaz. Laut Polizei soll sich eine unbekannte Täterschaft zwischen 17. Oktober 2026, 10.00 Uhr, und 28. Oktober 2026, 13.30 Uhr, Zugang verschafft und Kundendaten erlangt haben. Über die Anwendung wurden Buchungen für Beherbergungsbetriebe in mehreren Ländern abgewickelt.
Beim Supportdienst hätten sich danach Kunden gemeldet, die über einen Messengerdienst kontaktiert und über einen Link zur Bestätigung ihrer Buchung aufgefordert worden seien. Im Hintergrund seien Kreditkartendaten abgefragt worden. Eine Schadenssumme war bei Veröffentlichung der Polizeimeldung nicht bekannt.
Ob der von der Polizei beschriebene Angriff und der von Feratel gemeldete Missbrauch der Zugangsdaten eines Schnittstellenpartners technisch zusammenhängen, war nicht bestätigt. Die Vorgänge weisen zwar ein ähnliches Betrugsmuster auf, dürfen nach dem bekannten Ermittlungsstand aber nicht gleichgesetzt werden.
Warum die Betrugsnachrichten glaubwürdig wirken
Gewöhnliche Phishing-Nachrichten arbeiten häufig mit allgemein gehaltenen Behauptungen. In diesem Fall können die Täter dagegen konkrete Informationen wie Unterkunft, Reisedatum, Preis oder Zahlungsstatus einsetzen. Eine angeblich notwendige Bestätigung oder Nachzahlung lässt sich dadurch an eine tatsächlich bestehende Reservierung anpassen.
Eine namentliche Ansprache und korrekte Buchungsdetails belegen dennoch nicht, dass eine Nachricht vom Hotel, Tourismusverband oder Buchungsportal stammt. Gerade die zuvor abgerufenen Daten werden verwendet, um die Empfänger zu täuschen.
Was Gäste bei verdächtigen Nachrichten tun können
- Links in unerwarteten Nachrichten zur Buchungsbestätigung oder Zahlung nicht öffnen.
- Die Unterkunft nur über bereits bekannte Kontaktdaten, ihre offizielle Website oder das ursprünglich verwendete Buchungsportal kontaktieren.
- Zahlungsaufforderungen direkt beim Beherbergungsbetrieb überprüfen, auch wenn die genannten Buchungsdaten stimmen.
- Verdächtige Nachrichten und Internetseiten mit Screenshots dokumentieren und dem betroffenen Betrieb beziehungsweise Buchungsportal melden.
- Nach der Eingabe von Kreditkartendaten unverzüglich die Bank oder den Kartenanbieter kontaktieren, eine Sperre veranlassen und Kontobewegungen kontrollieren.
- Einen Betrugsversuch oder einen eingetretenen finanziellen Schaden bei der Polizei anzeigen.
Für Gäste mit bevorstehenden Aufenthalten bleibt entscheidend, Zahlungsänderungen und Bestätigungsaufforderungen über einen zweiten, vertrauten Kommunikationsweg zu prüfen. Wie viele Datensätze insgesamt betroffen sind, welche finanziellen Schäden entstanden und ob weitere Regionen hinzukommen, kann erst die laufende technische und polizeiliche Aufarbeitung klären.
