D-EDGE und Misterbooking: Datenpannen bei Hotelsoftware betreffen Gäste

Zwei französische Anbieter von Hotelsoftware sind Mitte Oktober 2026 unabhängig voneinander Opfer von Sicherheitsvorfällen geworden: die Buchungsmaschine D-EDGE und Misterbooking, ein von Septeo Hospitality entwickeltes System zur Verwaltung von Hotelreservierungen. In beiden Fällen waren Buchungsdaten von Hotelgästen betroffen.

Aufgedeckt wurde der Fall durch eine E-Mail, die ein Hotel in der Nähe von Paris am 29. Oktober 2026 an seine Kunden verschickte. Darin ist von zwei „getrennten und voneinander unabhängigen“ Vorfällen bei zwei technischen Dienstleistern die Rede. Weder D-EDGE noch Septeo hatten auf Anfragen bis zur Veröffentlichung reagiert.

D-EDGE: Konfigurationsfehler

Laut der Hotel-Mail ermöglichte eine Fehlkonfiguration bei D-EDGE am 20. und 21. Oktober unbefugten Dritten den Zugriff auf Buchungsdaten. Das Hotel wurde erst am 23. Oktober informiert. Betroffen sind Aufenthaltsdaten, Buchungsreferenz, Preis des Aufenthalts und Hotelname, bei manchen Reservierungen auch E-Mail-Adresse und Telefonnummer. D-EDGE nennt sich Anbieter von Cloud-Lösungen für mehr als 17.000 Hotels in über 150 Ländern; wie viele Häuser betroffen sind, wurde nicht mitgeteilt.

Misterbooking: Angriff auf einen Server

Bei Misterbooking handelt es sich um ein Eindringen in das System. Septeo Hospitality bemerkte am 19. Oktober, dass ein Dritter unerlaubt Zugriff auf einen Server der Software erlangt hatte. Der Zugang wurde noch am selben Vormittag gekappt, doch der Angreifer konnte einen Teil der Daten abziehen. Der Branchenverband GHR sprach in einer Mitteilung an seine Mitglieder vom 23. Oktober sogar von einem „erheblichen Teil“ der gespeicherten Daten.

Die Daten sind hier sensibler: Identität und Kontaktdaten von Gästen und ihren Begleitpersonen, Buchungsinformationen sowie Dokumente aus den Kundenakten. Das Ausmaß ist unklar. Misterbooking nutzen 1.800 Betriebe; Septeo Hospitality kommt auf 4.000 ausgestattete Hotels in Frankreich, Spanien und weiteren europäischen Ländern.

Phishing-Gefahr

Vollständige Kreditkartendaten sollen nicht betroffen sein, dennoch drohen sehr glaubwürdige Betrugsversuche. Schon Anfang des Monats wurden nach dem Hack beim französischen Hotelsoftware-Anbieter Medialog Hotelgäste per WhatsApp und E-Mail mit ihren echten Buchungsdaten angeschrieben.

Eine Nachricht mit Buchungsnummer, Reisedaten und Preis ist daher kein Echtheitsbeweis mehr. Wer aufgefordert wird, Kartendaten zu bestätigen, eine Anzahlung zu leisten oder einen Link anzuklicken, sollte nicht reagieren, sondern das Hotel unter der Nummer von dessen offizieller Website oder der ursprünglichen Bestätigung anrufen.