Als SECRA Bookings am 23. Oktober den Angriff bemerkte, hatten die Täter bereits Daten exportiert: Namen, Anschriften, in Einzelfällen IBAN und Ausweisnummern – und Codes für Schlüsselsafes und elektronische Schlösser. Der Softwareanbieter verteilt Ferienhausbuchungen an mehr als 40 Portale und gehört zur börsennotierten HomeToGo SE. Wie viele Gäste und Vermieter betroffen sind, sagt bislang niemand verbindlich.
Ad-hoc-Meldung am Samstagabend
Am Freitag, dem 23. Oktober stellte das Team von SECRA Bookings fest, dass die technische Infrastruktur angegriffen worden war. Die Angreifer exportierten Daten, auch solche, die SECRA im Auftrag von Partnern und Kunden verarbeitet 2.
Gut 24 Stunden später, am Samstag um 23:44 Uhr, folgte die Ad-hoc-Mitteilung der HomeToGo SE nach Artikel 17 der Marktmissbrauchsverordnung. Der Konzern stufte den Vorfall damit als kursrelevant ein. Der Angriff sei auf SECRA begrenzt, die Systeme seien gesichert und isoliert, Hinweise auf einen Abfluss aus anderen Konzerngesellschaften gebe es nicht. Die finanziellen Folgen ließen sich noch nicht verlässlich beziffern 1.
Was abgeflossen ist
SECRA listet in seinem Sicherheits-Update auf, was betroffen sein kann: Name, E-Mail, Telefonnummer, Anschrift, Geburtsdatum, Staatsangehörigkeit, in einigen Fällen IBAN/BIC, Kontonummern, Ausweisnummern und Angaben zur Barrierefreiheit 2.
Heikler als jede Adresse sind die Zugangscodes. Kombinationen für Schlüsselsafes und Tresore sowie PIN-Codes elektronischer Schlösser können entwendet worden sein 2. Aus dem Datenschutzfall wird damit eine Frage der physischen Sicherheit. SECRA fordert die Gastgeber auf, die Codes schnellstmöglich zurückzusetzen; Gäste sollen ihren Zugang vor der Anreise direkt mit der Unterkunft abstimmen 2.
An der Ostsee wird bereits getauscht. Die Kraushaar-Ferienwohnungen ändern die Codes an einzelnen Objekten manuell, sagte Geschäftsführerin Merrit Kraus; der Betrieb laufe wieder, gebuchte Aufenthalte fänden statt 4.
Missbrauch der Daten ist nach Unternehmensangaben bislang nicht bekannt. Externe Sicherheitsexperten beobachten, ob die Datensätze irgendwo angeboten werden 2. SECRA warnt vor Phishing mit echten Gästenamen, Anreisedaten und dem Namen der gebuchten Unterkunft 2.
Wie viele betroffen sind, ist offen
Eine bestätigte Zahl gibt es nicht. SECRA verweist auf die laufende Forensik 2, die Ad-hoc-Mitteilung nannte keine Größenordnung 1.
Die Schätzungen aus der Region gehen weit auseinander. Allein für Eckernförde spricht Michael Keller von der Eckernförde Touristik von einer Zahl „in den Zehntausenden“ 3. Die „Lübecker Nachrichten“ und moin.de berichten von „Hunderttausenden“ informierten Urlaubern 4, die shz von „mehreren zehntausend“ Mietern und Vermietern in Schleswig-Holstein 8. Addieren lassen sich die Zahlen nicht, weil dieselbe Buchung bei mehreren Partnern liegen kann.
Plausibel ist die Größenordnung wegen der Rolle von SECRA. Als Channel Manager verteilt die Software Preise, Kalender und Buchungen von Vermietern und Tourismusorganisationen an mehr als 40 Kanäle 10, darunter Booking.com und Check24 5. Wird diese "Zwischenschicht" getroffen, trifft es die ganze Kette: Destination, Agentur, Eigentümer, Gast.
Behörden und Branche
SECRA hat den Vorfall nach eigenen Angaben innerhalb der 72-Stunden-Frist beim Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein gemeldet und Strafanzeige bei der Landespolizei erstattet 2.
Landesdatenschutzbeauftragte Marit Hansen hält Betrugsversuche rund um die eigene Ferienhausbuchung für wahrscheinlich: „Wenn in Nachrichten so etwas steht wie: Hier klicken, sonst kannst du deinen Urlaub nicht wahrnehmen, dann ist das kein seriöser Vermieter.“ Betroffene sollten Kontoauszüge prüfen, Zahlungsaufforderungen mit der Buchungsbestätigung abgleichen und keine Kreditkartendaten nachreichen 3.
Die Tourismus-Agentur Schleswig-Holstein und die Eckernförde Touristik verlangen von SECRA Aufklärung und transparente Kommunikation 3.
Auf Geld sollten Betroffene nicht setzen. Eine pauschale Entschädigung ist nicht vorgesehen, nachweisbare Schäden prüft SECRA im Einzelfall. Löschen lassen sich manche Daten nicht: Transaktionsdaten muss das Unternehmen aus steuerlichen Gründen zehn Jahre aufbewahren 2.
Einordnung
Der Fall zeigt, wo die Tourismusbranche verwundbar ist: nicht beim einzelnen Vermieter, sondern bei der Software, über die Vermieter und ganze Tourismusregionen ihre Buchungen laufen lassen. Ein Angriff auf einen Channel Manager reicht bis an die Haustür der Ferienwohnung.
Die Kommunikation folgte schnell und konkret: Ad-hoc-Meldung nach gut einem Tag, Meldung an die Aufsicht in der Frist, eine FAQ mit den betroffenen Datenarten und klaren Anweisungen an die Gastgeber. Offen bleiben die Fragen, die Betroffene am meisten interessieren: Wie kamen die Angreifer hinein, gab es eine Erpressung, und wie viele Menschen sind betroffen 2?
Für HomeToGo, gegründet 2014 in Berlin und im Prime Standard notiert 7, kommen Kosten für Forensik und Benachrichtigungen hinzu, möglicherweise Bußgelder nach Artikel 83 DSGVO, Schadensersatzforderungen nach Artikel 82 und Ansprüche der angebundenen Destinationen. Die Börse reagierte bislang verhalten: leichte Abschläge nach der Ad-hoc-Meldung 6, Ende Oktober notierte die Aktie bei rund 0,90 Euro 9.
Der nächste feste Termin ist der 12. November. Dann legt HomeToGo die Zahlen zum dritten Quartal vor 7 und muss den Vorfall erstmals in einem regulären Format einordnen.
Ähnliche Artikel
