Gästedaten abgesaugt: Datenleck trifft auch Buchungen über die Region Graz

Wer über die Website des Tourismusverbands Region Graz oder eines anderen steirischen Tourismusverbands eine Unterkunft gebucht hat, muss mit gefälschten Nachrichten rechnen, die die eigene Buchung bis ins Detail kennen. Aus dem Buchungssystem der Verbände wurden Gästedaten abgerufen, betroffen sind laut Kleiner Zeitung die Gäste aller steirischen Tourismusverbände. oe24 beziffert die Zahl unter Berufung auf die Zeitung mit rund 3.000. Kreditkartendaten sind nach aktuellem Stand nicht darunter.

Was über den Vorfall bekannt ist

Die Online-Buchungen der Region Graz laufen über Deskline, das System der Innsbrucker feratel media technologies AG. So steht es in der Datenschutzerklärung des Verbands, zu dem seit Oktober 2021 insgesamt 32 Tourismusgemeinden aus den Bezirken Graz, Graz-Umgebung und Voitsberg gehören. Einen Einbruch in die eigenen Systeme schließt Feratel nach derzeitigem Kenntnisstand aus. Laut einer Stellungnahme an Partner, die Borns IT- und Windows-Blog veröffentlicht hat, verschaffte sich ein Angreifer über ein fremdes System die Zugangsdaten eines Schnittstellenpartners. Damit las er in der Nacht vom 25. auf den 26. Oktober Buchungen mit künftiger Anreise aus: Name, Adresse, Telefonnummer, E-Mail-Adresse, Reisedaten, Unterkunft, Preis und Zahlungsstatus.

Am 30. Oktober meldete die Tiroler Polizei zudem einen Angriff auf eine Softwarefirma aus dem Bezirk Schwaz, über deren Webanwendung Beherbergungsbetriebe in mehreren Ländern Buchungen abwickeln. Der Zugriff lief laut Polizeimeldung vom 17. bis 28. Oktober. Ob beide Fälle zusammenhängen, ist nicht bestätigt. Neben der Steiermark sind vier Tiroler und mehrere Salzburger Tourismusverbände betroffen.

So arbeiten die Betrüger

Die Gäste werden per WhatsApp oder E-Mail im Namen ihrer Unterkunft angeschrieben und sollen die Buchung über einen Link bestätigen. In Tirol, wo die Welle am 28. Oktober auffiel, hieß es in den Nachrichten, abgebucht werde nichts, die Karte werde nur kurz autorisiert. Wer nicht binnen 24 Stunden reagiere, verliere das Zimmer. Hinter dem Link fragt eine gefälschte Seite die Kreditkartendaten ab. Weil Unterkunft, Reisedaten und Buchungsnummer stimmen, wirken die Nachrichten echt.

Was Gäste jetzt tun sollten

• Keine Links in Nachrichten zur Buchung öffnen und keine Kartendaten eingeben.
• Im Zweifel die Unterkunft anrufen, mit der Nummer aus der ursprünglichen Buchungsbestätigung oder von der offiziellen Website, nie mit einer Nummer aus der verdächtigen Nachricht.
• Wer Kartendaten bereits eingegeben hat, lässt die Karte sofort bei der Bank sperren und erstattet Anzeige bei der Polizei.

Eine verwandte Masche zielt auf Gäste nach dem Aufenthalt: Die Arbeiterkammer Steiermark warnte schon am 12. Oktober vor angeblichen Rückzahlungen doppelt verrechneter Servicegebühren, ebenfalls mit echten Buchungsdaten (steiermark.ORF.at).

Was noch offen ist

Eine Zahl der betroffenen Buchungen aus der Region Graz liegt bisher nicht vor (Stand 30. Oktober 2026). Unbekannt sind auch der Name des Schnittstellenpartners und die Schadenssumme. Die Tiroler Polizei ermittelt.