Der österreichische Hotel-Software-Anbieter Seekda hat am 11. August 2026 einen Sicherheitsvorfall in seinen Systemen festgestellt. Betroffen sind laut Anbieter einzelne Unterkünfte, nicht die gesamte Plattform; die Auswirkungen werden pro Betrieb einzeln geprüft und im Hotel Manager hinterlegt. Parallel berichten Medien von Phishing-Nachrichten an Gäste, die täuschend echt wirken. Der Fall zeigt ein Muster, das 2026 immer häufiger wird: Angegriffen wird nicht der einzelne Betrieb, sondern der Dienstleister im Hintergrund.
Wer muss jetzt aktiv werden?
Jeder Betrieb, der Seekda einsetzt – unabhängig davon, ob er sich betroffen fühlt. Die Erkenntnisse sind unterkunftsspezifisch und nur nach Login im Hotel Manager sichtbar. Wer mehrere Häuser verwaltet, muss jedes einzeln prüfen. Eine Sammelauskunft gibt es nicht.
Welche Pflichten hast du als Betrieb?
Seekda verarbeitet Gäste- und Reservierungsdaten als Auftragsverarbeiter. Verantwortlicher im Sinne der DSGVO bleibt dein Betrieb. Konkret bedeutet das:
- Meldung an die Datenschutzbehörde nach Art. 33 DSGVO – binnen 72 Stunden ab Kenntnis, wenn ein Risiko für die Betroffenen besteht.
- Information der Gäste nach Art. 34 DSGVO – wenn ein voraussichtlich hohes Risiko vorliegt.
- Dokumentation des Vorfalls und der Bewertung, auch wenn du am Ende nicht meldest.
Der Anbieter informiert deine Gäste ausdrücklich nicht. Diese Entscheidung – und die Haftung dafür – liegt bei dir. Lass die Bewertung im Zweifel juristisch prüfen.
Warum trifft es gerade Dienstleister?
Ein erfolgreicher Angriff auf eine Buchungs- oder Channel-Management-Plattform liefert Daten und Zugänge vieler Betriebe auf einmal. Der Vorfall bei Seekda ist kein Einzelfall: Bereits Ende Juli meldete der Hotelsoftware-Anbieter ibelsa einen unbefugten Zugriff mit Datenabfluss. Für Gäste ist der Unterschied nicht erkennbar – die Phishing-Mail kommt mit korrekten Buchungsdaten und wirkt deshalb glaubwürdig.
Was solltest du jetzt tun?
- Im Hotel Manager den Status für jede Unterkunft einzeln prüfen und den Stand dokumentieren.
- Passwörter und API-Zugänge aller angebundenen Systeme tauschen, 2FA aktivieren.
- Gäste über die offiziellen Kanäle warnen: keine Zahlungsaufforderungen per Mail-Link.
- Auftragsverarbeitungsverträge und Meldeketten deiner Dienstleister durchgehen – wer informiert wen, wie schnell?
- Website, Buchungsstrecke und Mailversand auf technische Absicherung prüfen (SPF, DKIM, DMARC).
Wir prüfen die Schnittstellen zwischen deiner Website, der Buchungsstrecke und den angebundenen Systemen, härten Zugänge und E-Mail-Versand ab und richten Monitoring ein – egal ob in TYPO3, WordPress, Magento, einer individuellen Laravel-Applikation oder in einem Headless-Setup mit Payload oder Directus.
Nimm jetzt Kontakt auf!
Quellen:
