Über den Zugang eines Dienstleisters flossen Reservierungsdaten von Kempinski-Gästen ab, auch aus dem Adlon. Jetzt schreiben Betrüger die Gäste an.
Über den missbrauchten Zugang eines Dienstleisters haben Unbekannte Reservierungsdaten von Gästen der Luxushotelkette Kempinski abgegriffen, darunter Gäste des Hotel Adlon in Berlin. Kempinski informierte die Betroffenen am Mittwochabend per E-Mail; ein Zugangsschlüssel eines technischen Drittanbieters sei von einer unbefugten Person missbraucht worden 1. Inzwischen schreiben Betrüger Gäste im Namen der Hotels an und verlangen Geld.
Gegenüber dem Branchendienst Hotel vor9 bestätigte das Unternehmen: „Wir können einen Datensicherheitsvorfall bestätigen, bei dem Informationen zu Gästereservierungen betroffen waren.“ 2
Abgeflossen sein könnten nach Angaben von Kempinski Namen, Telefonnummern, E-Mail-Adressen und Reservierungsdetails. Zahlungskartendaten seien nicht betroffen 12. Ausschließen kann die Kette laut Tagesspiegel nicht, dass auch Pass- oder Visanummern in fremde Hände geraten sind 1.
Die Betrüger kennen die Buchung
Die Nachrichten kommen per E-Mail, SMS oder WhatsApp, angeblich von Hotelmitarbeitern. Sie enthalten teils echte Buchungsdaten und fordern dazu auf, über einen Link zu zahlen oder die Kartendaten neu einzugeben 1. Kempinski verlange Zahlungen nie über Links, bezahlt werde nur über die eigene Website, teilte das Unternehmen mit 2. Wer seine Karte schon eingegeben hat, soll sie sperren lassen, die Bank verständigen und Anzeige erstatten 12.
Den missbrauchten Zugang hat Kempinski nach eigenen Angaben gesperrt. Ein externer Spezialist für Cybersicherheit untersucht den Fall, die zuständigen Datenschutzbehörden sind informiert 12.
Auch das Borchardt meldet einen Angriff
Im selben Bericht meldet der Tagesspiegel einen Angriff auf das externe Reservierungssystem des Berliner Restaurants Borchardt 1. Das interne System sei nicht betroffen, teilte das Restaurant mit. Ob Daten abgeflossen sind, sagte es nicht. Gäste mit Zahlungsaufforderungen sollen nicht zahlen und die Nachrichten löschen 1. Ob die beiden Fälle zusammenhängen, ist nicht bekannt.
Die Masche selbst ist nicht neu. Am 7. Oktober 2026 hatte die nordrhein-westfälische Datenschutzbeauftragte Bettina Gayk vor Betrügern gewarnt, die erbeutete Daten aus Buchungsportalen nutzen, um Gäste von Hotels, Campingplätzen und Ferienwohnungen anzuschreiben. Im Zweifel solle man „lieber einmal zu viel als zu wenig bei der Unterkunft anrufen“ 3.
Offen sind die wichtigsten Fragen: wie viele Gäste betroffen sind, seit wann der Zugang missbraucht wurde und um welchen Dienstleister es sich handelt. Kempinski hat sich dazu bislang nicht geäußert 1.
