Gestohlene Buchungsdaten: Falsche WhatsApp-Nachrichten an Skigäste in Tirol
Mathon im Paznauntal, Teil von Ischgl, im Januar 2016. Foto: KrauS via Wikimedia Commons, CC BY 3.0
Rund 1.700 Beherbergungsbetriebe in mindestens vier Tiroler Tourismusregionen sind möglicherweise von einem Diebstahl von Buchungsdaten betroffen, darunter Ischgl, Serfaus, Seefeld und das Stubai. Gäste mit einer Winterbuchung erhalten jetzt gefälschte WhatsApp-Nachrichten, die wie von ihrem Hotel aussehen. Sie nennen die echten Reisedaten und die Buchungsnummer und verlangen über einen Link Kartendaten.
Kurz gesagt
- Die Buchungsdaten wurden laut Feratel zwischen 23:00 Uhr am 25. Oktober und 01:15 Uhr am 26. Oktober 2026 heruntergeladen.
- Die Daten enthalten Name, Adresse, Telefonnummer, E-Mail-Adresse, Reisedaten, den gebuchten Betrieb, den Preis und den Zahlungsstatus.
- Karten- oder Bankdaten wurden laut Feratel nicht entwendet.
- In Tirol sind möglicherweise rund 1.700 Betriebe betroffen, in Salzburg 97 Hotels, in der Steiermark alle Tourismusverbände.
- Eine echte Buchung braucht nie eine neue „Validierung“ über einen WhatsApp-Link.
Was geschehen ist
Feratel, ein Unternehmen aus Innsbruck, betreibt das Buchungssystem Deskline, das viele österreichische Tourismusverbände nutzen. In einer Mitteilung an seine Partner, vollständig veröffentlicht von Borns IT-Blog, erklärt das Unternehmen, die eigenen Systeme seien nicht geknackt worden. Ein Angreifer habe über ein Drittsystem die Deskline-Zugangsdaten eines Schnittstellenpartners erlangt und damit Buchungen heruntergeladen.
„Die abgerufenen Buchungsdaten umfassen Name, Adresse, Telefonnummer, E-Mail-Adresse, Reisedaten, gebuchten Betrieb, Reisepreis und Zahlungsstatus.“ So steht es in der Feratel-Mitteilung. Sie betrifft Buchungen mit einem Anreisedatum in der Zukunft, die über ausgewählte Vertriebskanäle gemacht wurden. Feratel sperrte den Zugang und änderte die Zugangsdaten.
Die Tiroler Polizei meldete am Freitag, 30. Oktober 2026, dass Unbekannte in die Webanwendung eines Softwareunternehmens im Bezirk Schwaz eingedrungen seien. Der Zugriff dauerte vom 17. bis 28. Oktober 2026. Die Polizei nannte das Unternehmen nicht. Stand 2. November 2026 haben weder die Polizei noch Feratel gesagt, dass es sich um denselben Fall handelt.
| Datum | Schritt |
|---|---|
| 17.–28. Oktober 2026 | Unbefugter Zugriff auf eine Buchungsanwendung eines Unternehmens im Bezirk Schwaz (Polizei) |
| 25.–26. Oktober 2026 | Buchungsdaten heruntergeladen, 23:00 bis 01:15 Uhr (Feratel) |
| 27.–28. Oktober 2026 | Erste Gäste melden gefälschte WhatsApp-Nachrichten und E-Mails |
| 30. Oktober 2026 | Die Tiroler Polizei meldet den Fall |
| 31. Oktober 2026 | Feratel bestätigt den Vorfall gegenüber dem ORF |
Welche Regionen betroffen sind
In Tirol nannte Feratel die Tourismusverbände Stubai, Serfaus, Seefeld und Ischgl, berichtete ORF Tirol. Dort sind möglicherweise rund 1.700 Betriebe betroffen. Aus den Rückmeldungen der Verbände schließt Feratel, dass etwa ein Drittel davon betroffen ist: die Betriebe mit Buchungen in der Zukunft.
| Region | Betroffen, laut Berichten |
|---|---|
| Tirol | mindestens 4 Tourismusverbände, möglicherweise rund 1.700 Betriebe |
| Salzburg | 97 Hotelbetriebe in 11 Tourismusverbänden |
| Steiermark | alle Tourismusverbände, rund 3.000 Gäste |
| Oberösterreich, Vorarlberg, Burgenland | keine Vorfälle gemeldet |
Die Salzburger Zahlen stammen vom ORF Salzburg. Die steirische Zahl von 3.000 Gästen stammt von der Kleinen Zeitung, wie oe24 berichtete. Die Tiroler Tageszeitung schrieb am 28. Oktober 2026 von Zehntausenden Datensätzen in Tirol.
„Ein Großteil der in der Zukunft liegenden Buchungen ist von dem Thema betroffen“, sagte Klaus Gleirscher, Geschäftsführer des Tourismusverbands Stubai, gegenüber ORF Tirol. Wie weit in die Zukunft das reicht, weiß der Verband nicht.
Wie die gefälschten Nachrichten funktionieren
Die Betrüger schreiben im Namen des gebuchten Hotels oder Apartments. Laut der Warnung der Tourismusverbände, die ebenfalls Borns IT-Blog abdruckt, werden Gäste aufgefordert, die Buchung über einen Link zu bestätigen, persönliche Daten einzugeben oder Kartendaten zu hinterlegen. Die Nachricht enthält den echten Hotelnamen, die Reisedaten und die Buchungsnummer und wirkt deshalb stimmig.
Ein niederländischer Gast erhielt eine solche WhatsApp-Nachricht am Abend des Dienstags, 27. Oktober 2026, berichtete skiinformatie.nl. Sie forderte ihn auf, die Buchung innerhalb von 24 Stunden zu „validieren“. Innerhalb einer halben Stunde gab er seine Kartendaten ein. Es sah einfach gut aus, sagte er der Seite. Freunde warnten ihn, und er sperrte seine Karte rechtzeitig.
Wer ermittelt
Meldungen gingen an die österreichische Datenschutzbehörde, schrieb ORF Tirol. Eine Anzeige liegt bei der Polizei vor, und Feratel arbeitet mit externen Forensikern zusammen. Wie viele Gäste und Hotels betroffen sind, sei „nur sehr schwer herauszufinden“, sagte ein Polizeisprecher der Nachrichtenagentur APA, wie die Salzburger Nachrichten berichteten. Stand 2. November 2026 ist der Gesamtschaden nicht bekannt.
Bevor Sie die Ski packen
Ein Skiurlaub beginnt mit der Buchung, prüfen Sie sie also zuerst:
- Öffnen Sie keine Links in Nachrichten zu Ihrer Buchung. Eine echte Buchung braucht keine neue Validierung.
- Rufen Sie Ihr Hotel nur unter der Nummer aus Ihrer ursprünglichen Bestätigung oder von dessen offizieller Website an.
- Geben Sie Karten- oder Bankdaten niemals über einen Link in WhatsApp, SMS oder E-Mail an.
- Wenn Sie Kartendaten eingegeben haben, rufen Sie sofort Ihre Bank an, um die Karte zu sperren, und erstatten Sie Anzeige bei der Polizei.
Ist die Buchung sicher, kommen als Nächstes die Ski. Der Pick-A-Ski-Selector vergleicht die Ski dieser Saison nach Ihrem Niveau, Gelände und Ihrer Größe. Für eine Woche auf präparierten Pisten und etwas Tiefschnee in Orten wie Ischgl oder Serfaus beginnen Sie mit unseren Top 5 Allmountain-Ski.
