Der Buchungsdienstleister Secra Bookings hat am 28. Oktober 2026 einen Cyberangriff gemeldet. Nach Unternehmensangaben sind bei dem Vorfall personenbezogene Daten von Gastgebern und Gästen offengelegt worden. Betroffen seien insbesondere Betriebe und Urlauber in Schleswig-Holstein, vielerorts komme es zu Störungen in der Abwicklung von Buchungen und Anfragen.
Aus Tourismusorten an der Ostseeküste werden deutliche Auswirkungen berichtet. In Eckernförde und an der Lübecker Bucht rechnen Verantwortliche mit Zehntausenden Betroffenen. Mehrere Vermittlungsplattformen und Ferienhausanbieter melden Einschränkungen, sodass der Vorfall nicht auf einen einzelnen Betrieb begrenzt bleibt. Secra spricht von eingeleiteten Sicherungs- und Eindämmungsmaßnahmen; das Ausmaß der Datenoffenlegung und eine mögliche missbräuchliche Nutzung sind jedoch noch unklar.
Datenschutzaufsichten warnen vor Folgerisiken. Die Landesbeauftragte für den Datenschutz in Schleswig-Holstein weist darauf hin, dass gestohlene Kontaktdaten für Phishing und Betrugsversuche genutzt werden könnten. Auch in Niedersachsen hatten die Behörden zuletzt vor täuschend echten Nachrichten im Zusammenhang mit Buchungen gewarnt. Betroffene sollten ungewöhnliche Zahlungsaufforderungen kritisch prüfen, Konto- und Kundenkontobewegungen beobachten und Verdachtsfälle dokumentieren.
Welche konkreten Datentypen in welchem Umfang abgeflossen sind, präzisiert Secra bislang nicht. In der Branche ist nach ähnlichen Vorfällen erfahrungsgemäß mit einem Abfluss von Kontaktdaten und einzelnen Buchungsangaben zu rechnen. Verbindliche Einschätzungen der Forensik liegen noch nicht vor. Ermittlungen laufen, und weitere Mitteilungen des Unternehmens sowie der Aufsichtsbehörden stehen aus.
Rechtlich gelten die Melde- und Informationspflichten der Datenschutz-Grundverordnung. Verantwortliche müssen schwerwiegende Datenpannen den Aufsichtsbehörden melden und betroffene Personen informieren. Gastgeber, die Dienstleistungen von Secra nutzen, sollten prüfen, ob sie ihre eigenen Informationspflichten gegenüber Gästen erfüllen und ob zusätzliche Schutzmaßnahmen nötig sind. Zivilrechtliche Ansprüche lassen sich erst beurteilen, wenn Art und Reichweite der Datenpanne feststehen.
Verbraucherschützer und Branchenverbände raten kurzfristig zu Pragmatismus und Vorsicht: E-Mails und SMS mit Links oder Dateianhängen genau prüfen, keine Zugangsdaten herausgeben, gegebenenfalls Passwörter ändern, Kontowarnungen aktivieren und bei konkretem Schaden Anzeige erstatten. Kommunen und Verbände fordern darüber hinaus mehr Transparenz von IT-Dienstleistern über Sicherheitskonzepte und regelmäßige Audits, um Tourismusbetriebe besser gegen Cyberangriffe zu wappnen.
Redakteurin: Mira Cadena (Artikel mit KI-Unterstützung).