Ein Datenskandal erschüttert die Reisebranche: Sensible Passagierdaten gelangen wiederholt über Sicherheitslücken in Buchungssystemen an Dritte. Die betroffenen Daten reichen von Namen und E-Mail-Adressen bis zu Passnummern und Kreditkartendaten. Für Reisende erhöht sich damit das Risiko für gezielte Phishing-Angriffe und Identitätsdiebstahl.

Unternehmen müssen mit Reputationsschäden und rechtlichen Konsequenzen rechnen.

Sicherheitslücken in Serie

Die jüngsten Vorfälle sind keine Ausnahmen. Sie fügen sich in eine Serie von Datenlecks bei Reiseanbietern und ihren Dienstleistern ein. Schon am 1.

Februar 2013 wurden bei JT Touristik Daten von knapp 5.000 Ryanair-Passagieren durch eine Schwachstelle sichtbar. Der Grund war die Verwendung einheitlicher E-Mail-Adressen für den Web-Check-in. Ähnliche Probleme stellte man kurz darauf bei Unister fest.

Dort konnten Ryanair-Flugdaten nach Angaben der Quellen sogar geändert werden. Ryanair betont, Flüge grundsätzlich nur selbst zu vermitteln und widerspricht Vermittlungen über Drittanbieter ohne Einwilligung.

Berichte aus dem Frühjahr 2026 dokumentieren, dass ähnliche Vorfälle weiter auftreten. Im April 2026 setzte Booking.com nach eigenen Angaben die PIN-Codes für bestehende und teilweise vergangene Buchungen zurück. Dies geschah, nachdem unbefugter Zugriff auf bestimmte Buchungsinformationen festgestellt wurde.

Betroffene Kunden in Deutschland erhielten E-Mails, die über den Vorfall informierten. Booking.com teilte mit, dass keine Kreditkarten- oder Finanzdaten kompromittiert worden seien. Namen, E-Mail-Adressen, Telefonnummern, Buchungsdetails und Inhalte, die direkt mit der Unterkunft geteilt wurden, waren jedoch betroffen.

Im Kundenschreiben wurden Postanschriften zunächst als potenziell kompromittiert genannt. Eine Unternehmenssprecherin dementierte diese Angabe jedoch später. Die Fälle zeigen die anhaltende Verwundbarkeit von Systemen in der Reisebranche.

Hochsensible Daten im Fokus von Cyberkriminellen

Bei anderen Anbietern waren die betroffenen Daten nach Unternehmensangaben umfangreicher. Ein Partner des Reiseportals Voyage Privé war Anfang Februar 2026 von einem Cyberangriff betroffen. Unbefugter Zugriff betraf Buchungsdaten bevorstehender Reisen.

Voyage Privé nannte als kompromittierte Daten Nachnamen, Vornamen, Wohnsitzländer, E-Mail-Adressen und Telefonnummern. In bestimmten Fällen seien außerdem Passnummern und deren Ablaufdaten einsehbar gewesen. Bankdaten waren nach Unternehmensangaben nicht betroffen.

Das Unternehmen warnte vor Folgeangriffen per WhatsApp und E-Mail.

Ein weiterer Fall wurde im Oktober 2025 bekannt. Er betraf die Hotelverwaltungssoftware der Gubse AG aus Schiffweiler. Das IT-Sicherheitskollektiv Zerforschung entdeckte nach eigenen Angaben Lücken.

Durch diese wären schätzungsweise 50 Millionen Gästeprofile und mehr als 30 Millionen Reservierungen potenziell einsehbar gewesen. Betroffene Datenkategorien nannten die Recherchen unter anderem Namen, Buchungszeitpunkte, Adressen, Telefonnummern und teilweise Ausweisnummern. Auch die letzten vier Ziffern von Kreditkarten sollen betroffen gewesen sein.

Jiska Classen vom Hasso-Plattner-Institut bewertete die gefundenen Lücken als „triviale Fehler in der Software mit schwerwiegenden Folgen“. Unter den auffindbaren Datensätzen waren laut Recherchen auch private Adressen und Hotelbuchungsdetails von Politikern wie Ralf Stegner und Anja Karliczek. Die Gubse AG widerspricht der Einschätzung, die Lücken seien leicht auszunutzen gewesen.

Auch Prestige Software, Anbieter der Lösung „Cloud Hospitality“, war Gegenstand einer Veröffentlichung. Im November 2020 wurden in einem ungesicherten AWS-Bucket nach Angaben der Quellen Millionen von Reisedaten gefunden. Dazu gehörten Namen, E-Mail-Adressen, Ausweis- und Telefonnummern sowie Aufenthalts- und Preisdaten.

Teilweise sollen auch Kreditkartendaten inklusive Prüfziffern (CVV) abrufbar gewesen sein. Die Daten sollen über einen Zeitraum von bis zu sieben Jahren betroffen gewesen sein. Die Häufung der Vorfälle verdeutlicht die Attraktivität von Reisedaten für Cyberkriminelle.

Wirtschaftliche Konsequenzen und Ausblick

Die dokumentierten Datenlecks haben mehrere direkte Folgen. Für betroffene Reisende steigt das Risiko von Phishing-Angriffen und Identitätsdiebstahl. Die Quellen nennen glaubwürdige Phishing-Versuche per E-Mail, WhatsApp, SMS oder Telefon als erwartbare Folge.

Kriminelle können die erbeuteten Daten nutzen. Sie geben sich als Hotels, Buchungsportale oder Zahlungsdienstleister aus und fordern zur Eingabe weiterer Daten oder zu Zahlungen auf.

Für Unternehmen bedeuten solche Vorfälle Reputationsschäden und das Risiko von Bußgeldern nach der Datenschutz-Grundverordnung (DSGVO). Betroffene Kunden können Auskunfts- und Schadensersatzansprüche geltend machen. Die Quellen verweisen auf Artikel 15 und Artikel 82 DSGVO.

Sie nennen auch immaterielle Schäden, wie Kontrollverlust oder Sorge vor Missbrauch, als mögliche Anspruchsgrundlage. Jan Wilschke von der Verbraucherzentrale Brandenburg fordert, dass Anbieter Daten sperren oder gerichtlich dazu gezwungen werden müssen.

Die Vorfälle deuten auf wiederkehrende Schwachstellen in der IT-Sicherheit der Reisebranche hin. Die komplexe Kette aus Reiseportalen, Fluggesellschaften, Hotelketten und Softwareanbietern bietet nach Einordnung der Quellen viele Angriffsvektoren. Während einige Unternehmen transparent kommunizieren und Maßnahmen ergreifen, bleibt die genaue Zahl der Betroffenen und der vollständige Umfang der Schäden in vielen Fällen unklar.

Angesichts der dokumentierten Folgen stehen die betroffenen Anbieter unter Druck, ihre Sicherheitsstandards zu überprüfen. Die Vorfälle haben Auswirkungen auf Vertrauen und wirtschaftliche Belastungen im digitalisierten Reisemarkt. Analysten beobachten nun, welche konkreten Schritte die Branche unternehmen wird, um das Vertrauen der Kunden zurückzugewinnen und künftige Sicherheitslücken zu schließen.