Die Lindner Hotels AG hat bestätigt, dass im Darknet Daten zum Verkauf angeboten werden, die mutmaßlich aus dem Cyberangriff vom 8. Juni 2026 stammen. Überprüfte Beispieldaten stammten tatsächlich aus den betroffenen Beständen, teilte das Unternehmen mit. Der genaue Umfang der Datenentwendung ist weiterhin unklar – ebenso, wie viele Personen betroffen sind. Auch zu einer möglichen Erpressung macht Lindner bislang keine Angaben.
Bestätigung aus dem Darknet
Die Lindner Hotels AG ist nach eigenen Angaben von den Ermittlungsbehörden darüber informiert worden, dass im Darknet Daten zum Kauf angeboten werden, die mutmaßlich aus dem Cyberangriff vom 8. Juni 2026 stammen [1]. Die Überprüfung von Beispieldaten habe bestätigt, dass darunter tatsächlich Daten aus den vom Sicherheitsvorfall betroffenen Beständen seien, berichtet das Branchenportal Tageskarte unter Berufung auf das Unternehmen [1].
Damit ist der Vorfall, der bislang vor allem als Störung der IT-Infrastruktur bekannt war, in eine neue Phase getreten: Aus dem Angriff ist ein bestätigter Datenabfluss geworden. Der genaue Umfang der Datenentwendung und die konkrete Zuordnung zu einzelnen Personen und Partnerunternehmen würden weiterhin untersucht, heißt es von der Hotelgesellschaft [1].
Welche Daten betroffen sind – und was offen bleibt
Klar ist bislang nur, dass es sich um Daten aus den betroffenen Beständen handelt. Welche Datensätze das im Einzelnen sind, welche Kategorien personenbezogener Informationen sie enthalten und wie viele Menschen betroffen sind, teilt Lindner nicht mit. Das Unternehmen verweist auf die laufende Untersuchung [1].
Bemerkenswert ist, wen Lindner als Betroffene benennt: Alle betroffenen aktuellen und ehemaligen Mitarbeiter sowie Partnerunternehmen würden über den Vorfall und die damit verbundenen möglichen Risiken informiert, teilt die Gesellschaft mit [1]. Von Gästedaten oder Buchungsdaten ist in der Stellungnahme nicht die Rede. Ob und in welchem Umfang Kundendaten betroffen sind, bleibt damit offen – eine Einordnung, die für die Bewertung des Vorfalls zentral ist, bislang aber nicht öffentlich beantwortet wird.
Auch zu einer möglichen Erpressung oder Lösegeldforderung macht Lindner keine Angaben. Ob die Täter die Veröffentlichung oder den Verkauf der Daten als Druckmittel eingesetzt haben, ist aus der Unternehmensmitteilung nicht ersichtlich [1]. In vergleichbaren Fällen der vergangenen Jahre war genau das häufig das Muster: Bei der Hotelkette H-Hotels etwa bot die Play-Ransomware-Bande nach dem Angriff vom Dezember 2022 entwendete Daten im Darknet an [3].
Widersprüchliche Angaben zu den Ermittlungen
Auffällig ist ein Widerspruch in der Kommunikation des Unternehmens. Die strafrechtlichen Ermittlungen seien mittlerweile eingestellt worden, teilt Lindner mit [1]. In einem Schreiben, das am 7. Oktober 2026 an ehemalige Mitarbeiter versandt wurde, hieß es dagegen, die strafrechtlichen Ermittlungen würden weiterhin andauern; das Informationspaket an die Mitarbeiter trägt das Datum vom 30. September 2026 [1].
Über die Ermittlungen und mögliche Verantwortliche für den Cyberangriff beziehungsweise die weitere Verbreitung der Daten könne die Hotelgesellschaft keine Angaben machen [1]. Wer hinter dem Angriff steht und ob eine bekannte Ransomware-Gruppe verantwortlich ist, bleibt damit unklar.
Wie das Unternehmen reagiert
Seit Bekanntwerden des Vorfalls hat Lindner nach eigenen Angaben gemeinsam mit internen und externen IT- und Sicherheitsspezialisten umfangreiche Maßnahmen zur Eindämmung und Absicherung seiner Systeme eingeleitet [1]. Nach aktuellem Stand gebe es keine Hinweise auf einen fortdauernden Zugriff auf die inzwischen gesicherte IT-Umgebung des Unternehmens [1].
Die Kommunikation richtet sich an aktuelle und ehemalige Beschäftigte sowie an Partnerunternehmen. Diese werden über den Vorfall und mögliche Risiken informiert [1]. Ob und in welcher Form auch Gäste oder Geschäftspartner außerhalb der genannten Gruppen angesprochen werden, ist nicht bekannt.
Die Hotellerie als Ziel
Der Fall Lindner reiht sich in eine Serie von Vorfällen ein, die die Branche seit Jahren begleitet. Die Hotellerie gilt als attraktives Ziel für Cyberkriminelle, weil dort große Mengen personenbezogener Daten zusammenlaufen – von Kontaktdaten über Zahlungsinformationen bis zu Reisedaten. In Deutschland zählt der Security-Insider in einer laufenden Übersicht allein für 2026 Dutzende betroffene Unternehmen aus allen Branchen, darunter auch Betriebe des Gastgewerbes [2].
Ein wiederkehrendes Muster ist der Missbrauch gestohlener Buchungsdaten für Phishing. Nach einem Angriff auf Hotelsoftware warnte der Datenschutzbeauftragte in Mecklenburg-Vorpommern vor täuschend echten Nachrichten mit echten Gästedaten [4]. Über eine Schwachstelle beim Anbieter HotelNetSolutions wurden Buchungsdaten von Hotelgästen abgegriffen und für glaubhafte Phishing-Nachrichten genutzt [5]. Für Betroffene ist der Datenabfluss damit oft erst der Beginn des Problems: Auf den Diebstahl folgen gezielte Betrugsversuche.
Einordnung
Für Lindner steht die Aufarbeitung noch am Anfang. Solange das Unternehmen weder den Umfang der entwendeten Daten noch die Zahl der Betroffenen beziffert, lässt sich das Ausmaß des Vorfalls nur schwer einschätzen. Die Diskrepanz zwischen der Aussage, die Ermittlungen seien eingestellt, und dem gegenteiligen Hinweis an ehemalige Mitarbeiter wirft zudem Fragen auf.
Für die Branche ist der Fall ein weiteres Signal, dass die Absicherung von Gäste- und Beschäftigtendaten und ein belastbarer Notfallplan keine Nebensache sind. Ob aus dem Datenangebot im Darknet ein Verkauf, eine Veröffentlichung oder eine Erpressungswelle folgt, hängt auch davon ab, wie schnell Betroffene gewarnt werden – und wie gut sie sich gegen Phishing wappnen.