Nach dem Datenabruf im Buchungssystem schreibt der Tourismusverband den Gästen

Wer über einen steirischen, Tiroler oder Salzburger Tourismusverband einen Urlaub gebucht hat, bekommt womöglich eine Nachricht von Betrügern, die die Buchung genau kennen. Ob davor eine Warnung des Verbands oder des Vermieters im Postfach liegt, hängt davon ab, wie gut diese vorbereitet sind.

Laut Feratel lief der Abruf über die Zugänge eines Partners

Zeitraum und Daten. Laut einer Stellungnahme von feratel media technologies an ihre Partner, wiedergegeben im Borns IT- und Windows-Blog am 29. Oktober 2026, seien zwischen 25. Oktober, 23 Uhr, und 26. Oktober 2026, 1.15 Uhr, Buchungsdaten aus dem Buchungssystem Deskline abgerufen worden. Betroffen seien Buchungen mit künftiger Anreise, die über ausgewählte Verkaufsstellen erfasst wurden. Abgerufen worden seien Name, Adresse, Telefonnummer, E-Mail-Adresse und Reisedaten, dazu der gebuchte Betrieb, der Reisepreis und der Zahlungsstatus.

Was nicht betroffen sein soll. Kreditkartendaten und andere für eine Zahlung nutzbare Angaben seien laut Feratel nicht abgerufen worden, Buchungen über die Portale nach aktuellem Stand ebenfalls nicht. Die verdächtigen Zugänge seien gesperrt, die Zugangsdaten geändert und externe Forensiker beauftragt.

Der Weg. Hinweise auf einen Einbruch in die eigenen Systeme gebe es laut Feratel nicht. Die Daten seien mit den Zugangsdaten eines SchnittstellenpartnersEin anderes Unternehmen, dessen Programm über eine technische Verbindung Daten aus dem Buchungssystem lesen oder schreiben darf. abgerufen worden. Gegenüber der Kleinen Zeitung bestätigte das Unternehmen am 30. Oktober, dass die Daten aus dem Buchungssystem stammten, zu einem direkten Datenleck bei Feratel sei es aber nicht gekommen. „Nach unserem aktuellen Wissensstand wurde das Service von Drittanbietern kompromittiert, die von einzelnen unserer Kunden beauftragt und eingesetzt werden“, zitiert die Zeitung das Unternehmen. Um welchen Anbieter es sich handelt, ist bisher nicht bekannt.

Betroffen sind Verbände in drei Bundesländern – das Ausmaß ist offen

Steiermark. Laut Tourismusverband Steiermark sind alle steirischen Verbände betroffen, berichtet die Kleine Zeitung am 30. Oktober 2026.

Tirol. Laut tirol.ORF.at vom 31. Oktober 2026 sind es die Verbände Stubai, Serfaus, Seefeld und Ischgl. Feratel nennt dort rund 1.700 Betriebe, die potenziell betroffen seien, und schätzt nach Rückmeldungen der Verbände etwa ein Drittel davon als tatsächlich betroffen. Das ist eine Angabe des Unternehmens, sie ist nicht unabhängig geprüft.

Salzburg. Laut ORF Salzburg, zitiert von SALZBURG24 am 31. Oktober 2026, sind nach derzeitigem Stand 97 Beherbergungsbetriebe in zwölf Verbänden betroffen.

Keine Gesamtzahl. Wie viele Gäste betroffen sind, nennt keine der Quellen. Eine Zahl von rund 3.000 Gästen in der Steiermark kursiert in einzelnen Medien ohne nachvollziehbare Herkunft, in der Kleinen Zeitung steht sie nicht. Niederösterreich und Wien kommen in keiner Meldung vor, Oberösterreich, Vorarlberg und das Burgenland hätten laut ORF Tirol keine Vorfälle gemeldet.

Die Gäste informiert der Verband oder der Betrieb

Feratel stellt in der Stellungnahme klar, dass das Unternehmen als AuftragsverarbeiterEin Dienstleister, der Daten im Auftrag eines anderen verarbeitet. Verantwortlich gegenüber den Betroffenen bleibt der Auftraggeber. die Gäste nicht direkt kontaktiere. Das übernähmen der Tourismusverband oder der gebuchte Betrieb. Feratel stelle den Partnern dafür eine Textvorlage für die Gäste zur Verfügung.

In der Steiermark haben Gäste, die über einen Tourismusverband gebucht haben, laut Kleiner Zeitung in den Tagen vor dem 30. Oktober Mails über den Vorfall bekommen, mit den möglicherweise betroffenen Datenarten und dem Hinweis, dass Zahlungsdaten nach aktuellem Wissensstand nicht betroffen seien. Wer die Mails verschickt hat, nennt der Bericht nicht. Laut Tourismusverband Steiermark seien die Datenschutzbehörde und alle Vermieter informiert worden. Die Ursache war da nicht abschließend geklärt, Feratel spricht vom „aktuellen Wissensstand“. Ich halte diese Reihenfolge für richtig, weil der Gast die Warnung vor der Erklärung braucht.

Die Kette reicht weiter. Vom Gast führt sie über Betrieb und Verband zum Systemanbieter und von dort zu Diensten, die einzelne Kunden an das System angebunden haben. Ein Verband oder Betrieb, der diese Dienste nicht kennt, kann im Ernstfall nicht sagen, ob er betroffen ist.

Die Betrüger schicken eine zweite Welle

Zahlungsaufforderung. Gäste erhalten laut SALZBURG24 vom 31. Oktober 2026 per WhatsApp oder E-Mail eine angebliche Buchungsbestätigung, die binnen 24 Stunden eine Zahlung oder die Freigabe der Kreditkarte verlangt.

Rückerstattung. Abreisenden Gästen werde laut demselben Bericht, der sich auf steiermark.biz beruft, die Rückerstattung einer doppelt verrechneten Servicegebühr angeboten. Eine Warnung, die nur die Zahlungsaufforderung beschreibt, deckt diese Masche nicht ab.

Bekanntes Muster. Im September informierte der deutsche Anbieter HotelNetSolutions über Phishing mit echten Buchungsdaten nach einer Lücke in einer Schnittstelle. Im Oktober verständigte der Schweizer Bezahldienst Twint seine Händler, nachdem bei der Druckerei Medienwerkstatt in Sulgen, die für Twint Briefe verschickt, Daten kopiert worden waren. In beiden Fällen lag das Leck beim Dienstleister und die Anfragen kamen beim Auftraggeber an. Wie Gäste solche Nachrichten erkennen, beschreibt der Beitrag zu Phishing mit echten Buchungsdaten.

Die folgenden Punkte gelten für Tourismusverbände und Vermieter ebenso wie für Gemeinden und Vereine, die Anmeldungen oder Tickets über ein fremdes System abwickeln.

Ein vorbereiteter Gästebrief verkürzt die Zeit bis zur Warnung

Die Daten wurden in der Nacht auf 26. Oktober abgerufen, die Kleine Zeitung berichtete am 30. Oktober über die Gästemails der Tage davor. Ein Verband mit fertigem Gästebrief und Warnseite kann binnen Stunden warnen – an den abgerufenen Daten ändert das nichts.

Peak Consulting (Norbert Oberndorfer, Bergland, Niederösterreich) erarbeitet mit Tourismusverbänden, Gemeinden und Vereinen das Krisenhandbuch-Modul „Vorfall beim Dienstleister“, mit Gästebrief und Warnseite, die vor dem ersten Report des Anbieters fertig sind.