Wichtige Information zu einem aktuellen Sicherheitsvorfall:

Vorsicht vor Betrügern - Stand 03.11.2026, 16:32

Am 2. November 2026 kam es zu einem Sicherheitsvorfall im Zusammenhang mit unserer Clearing Station (CST7). Im Rahmen ungewöhnlicher automatisierter Anfragen wurden unter anderem E-Mails zum Zurücksetzen von Passwörtern ausgelöst, ohne dass diese von den jeweiligen Nutzern angefordert wurden. Anschließend wurden über betroffene CST7-Zugänge Buchungsdaten unbefugt abgerufen.

Unsere Technik hat umgehend reagiert, die Sicherheitslücke geschlossen und den zugrunde liegenden technischen Fehler behoben.

Ja, sofern Sie von uns am 02.11.2026 die E-Mail zum Sicherheitsvorfall erhalten haben, ist Ihr Haus betroffen. Diese E-Mail ging an die Verantwortlichen der nach aktuellem Stand betroffenen Zugänge.

Nach unseren technischen Untersuchungen wurden Buchungsdaten unbefugt abgefragt.

Kreditkartendaten waren nach bisherigem Kenntnisstand nicht betroffen. Diese konnten über die betroffene Schnittstelle nicht abgerufen werden.

Wahrscheinlich abgerufene Daten:

• Buchungs-ID
• Vorname und Nachname
• Aufenthaltszeitraum (An- und Abreisedatum)
• Buchungsbetrag
• Buchungszeitpunkt
• Buchungskanal
• E-Mail-Adresse
• Telefonnummer
• Anschrift (Straße, PLZ, Ort, Land)
• Gebuchte Leistung

Diese Liste geht über die Angaben in unserer Erstinformation hinaus (dort waren Vorname, Nachname, Telefonnummer und E-Mail-Adresse genannt).

Buchungszeitraum: Die Abrufe konnten mit unterschiedlichen Filtereinstellungen erfolgen (alle, vergangene oder zukünftige Buchungen). Nach unserer technischen Analyse ist wahrscheinlich, dass Buchungen mit Anreisedatum ab dem 01.11.2026 abgerufen wurden.

Warum wir den genauen Umfang nicht zu 100 % angeben können: Die Angreifer haben in der jeweiligen CST7-Instanz die Buchungsübersicht mit passenden Filtern aufgerufen und die angezeigten Daten per Skript ausgelesen. Aufrufe solcher Listenansichten werden bei uns bisher nicht einzeln protokolliert. Deshalb liegt uns kein Protokoll vor, aus dem sich je Zugang genau ablesen lässt, welche Datensätze abgerufen wurden. Technisch ersichtlich ist nur die Größe des jeweiligen Abrufs.

Wie wir den Umfang trotzdem eingegrenzt haben: Wir haben das Vorgehen der Angreifer anhand der vorhandenen Zugriffsdaten rekonstruiert und die dabei entstandenen Abrufgrößen mit der Datenmenge verglichen, die sich bei diesem Muster ergibt. Dabei zeigte sich, dass die Abrufgrößen nahezu mit der Datenmenge übereinstimmen, die die Buchungsübersicht bei den oben genannten Feldern und dem Buchungsfilter „ab 01.11.2026“ liefert. Auf dieser Grundlage gehen wir von den genannten Datenfeldern und dem genannten Zeitraum als wahrscheinlichstem Umfang aus. Technisch waren in der Buchungsübersicht grundsätzlich weitere Buchungsfelder abrufbar (z. B. Freitext- oder Anmerkungsfelder). Wir können daher nicht ausschließen, dass weitere Angaben betroffen sind.

Die ersten Passwort Reset Mails wurden am 02.11.2026 gegen 16:43 Uhr versendet. Die technische Untersuchung begann um 17:15 Uhr. Gegen 18:54 Uhr war die Lücke geschlossen.

Den exakten Verlauf aller Maßnahmen finden Sie weiter unten im Verlauf.

Die im Zusammenhang mit dem Sicherheitsvorfall ausgelösten Passwort-Reset-E-Mails wurden durch die Clearing Station versendet. Es handelt sich bei diesen Nachrichten somit nicht grundsätzlich um gefälschte E-Mails, sondern um tatsächlich vom System ausgelöste Nachrichten, die von den jeweiligen Nutzern nicht angefordert wurden.

Passwörter und Zugangsdaten waren nach aktuellem Kenntnisstand nicht direkt betroffen.

Dennoch empfehlen wir vorsorglich, das Passwort zu ändern oder direkt auf die Anmeldung per Passkey umzustellen.

Nutzer, bei denen die Anmeldung ausschließlich über einen Passkey möglich war, waren nach aktuellem Kenntnisstand nicht betroffen.

Die CST7 bietet bereits seit April 2026 die Möglichkeit, die herkömmliche Anmeldung durch einen sicheren Passkey zu ersetzen und die Anmeldung mit Passwort zu deaktivieren. Passkeys ermöglichen eine passwortlose Anmeldung auf Basis kryptografischer Verfahren und bieten insbesondere einen wirksamen Schutz gegen Phishing. Nach aktuellem Kenntnisstand waren von dem Sicherheitsvorfall nur Nutzer betroffen, bei denen die Anmeldung mit Passwort weiterhin erlaubt war. Wir empfehlen daher grundsätzlich die Nutzung der Passkey-Anmeldung mit deaktivierter Passwort-Anmeldung.

Soweit wir Buchungsdaten im Auftrag Ihres Hauses verarbeiten, ist Ihr Haus datenschutzrechtlich Verantwortlicher. Ob eine Meldung an die zuständige Datenschutzaufsichtsbehörde nach Art. 33 DSGVO erforderlich ist und ob betroffene Gäste nach Art. 34 DSGVO zu benachrichtigen sind, entscheidet daher Ihr Haus.

Diese Entscheidung können wir Ihnen nicht abnehmen. Wir unterstützen Sie dabei mit allen verfügbaren Informationen. Folgende Punkte können für Ihre Bewertung relevant sein:

• Ein unbefugter Abruf hat stattgefunden.
• Betroffen sind Kontaktdaten und Anschriften in Verbindung mit Aufenthaltszeiträumen und Buchungsangaben.
• Kreditkartendaten sind nach aktuellem Kenntnisstand nicht betroffen.
• Unsere interne Risikoeinschätzung für die abgerufenen Daten lautet „erhöht“.

Bitte beachten Sie, dass die 72-Stunden-Frist des Art. 33 DSGVO für Ihr Haus mit Ihrer Kenntnis von der Verletzung beginnt. Wir haben Sie am 02.11.2026 um 22:25 Uhr per E-Mail informiert.

Dies ist keine Rechtsberatung. Für die rechtliche Einordnung empfehlen wir, Ihren Datenschutzbeauftragten einzubinden. Wo vioma eigene gesetzliche Pflichten hat, prüft vioma diese gesondert.