Dienstag, 8. September 2026 · Lesezeit unter drei Minuten

Das Leck war nicht im Haus. Die Meldepflicht schon.

Der Vermerk

Vergangene Woche hat das Hotel Schweizerhof in Lenzerheide rund 10.000 Adressaten gewarnt. Wer dort einmal gebucht hatte, bekam per WhatsApp die Nachricht, es liege ein Guthaben von 250 Franken bereit, man müsse nur eben persönliche Daten und die Kreditkartennummer bestätigen. Manche dieser Nachrichten trugen korrekte Buchungsdaten.

Inhaber Andreas Züllig hat den Vorfall bestätigt und dabei einen Satz gesagt, der die eigentliche Meldung ist.

Das Haus steht damit nicht allein. Im August haben rund zwei Dutzend österreichische Hotels Zugriffe auf ihre Systeme gemeldet. Beim österreichischen Anbieter Seekda, der Buchungs- und Kanalsoftware liefert, liefen die ersten Hinweise auf verdächtige Nachrichten am 31. Juli bei der Österreichischen Hotelvereinigung ein. Seekda hat den Vorfall am 11. August erkannt, ihn nach eigener Darstellung noch am selben Tag eingedämmt, eine Forensik beauftragt und am 12. August seine Kunden informiert. Der DEHOGA Nordrhein hatte bereits am 11. August gewarnt und in dieser Warnung Booking.com und den Hotelsoftware-Anbieter ibelsa genannt.

Die Bedeutung

Für den Gast hat weder Seekda geschrieben noch ibelsa. Für den Gast hat das Hotel geschrieben, in dem er im Sommer den Balkon mochte.

Genau dort klafft die Lücke. Die meisten Häuser wissen auf Anhieb, wie viele Schlüsselkarten im Umlauf sind. Wie viele Systeme die Handynummer ihrer Gäste kennen, weiß kaum jemand. Eine Reservierung wandert heute durch ein halbes Dutzend Programme, und jedes davon hält sich für den Nebenschauplatz.

Und dann kommt der Teil, den viele falsch einsortieren. Wenn das Leck beim Dienstleister sitzt, ist der Dienstleister trotzdem nicht derjenige, der die Behörde informiert. Nach Artikel 33 der Datenschutz-Grundverordnung meldet der Auftragsverarbeiter die Verletzung ohne unnötige Verzögerung dem Verantwortlichen. Verantwortlicher für die Daten Ihrer Gäste ist Ihr Haus. Von dort geht die Meldung an die Aufsichtsbehörde, unverzüglich und nach Möglichkeit binnen 72 Stunden, und bei hohem Risiko nach Artikel 34 zusätzlich an die betroffenen Gäste. Das Leck war nicht im Haus. Die Frist läuft trotzdem im Haus. Das ist kein Rechtsrat, sondern der Grund, warum solche Meldungen nicht in der IT liegen bleiben dürfen.

Die Handlung

Drei Dinge, die in die nächste Übergabe passen.

1. Eine Liste, eine Seite, handschriftlich genügt. Welche Systeme kennen unsere Gästedaten? Property-Management, Channel Manager, Buchungsplattformen, Newsletter-Werkzeug, Tischreservierung, Spa. Hinter jedem Eintrag ein Name und eine Telefonnummer, bei der abends jemand abhebt.

2. Die Zwei-Faktor-Anmeldung überall dort einschalten, wo es sie gibt. Der DEHOGA Nordrhein nennt in seiner Warnung ausdrücklich die Buchungsplattform, das Property-Management-System, den Channel Manager und die E-Mail-Konten. Dazu gehört der Blick in die Benutzerkonten: Wer hat noch Zugriff, der längst nicht mehr im Haus arbeitet?

3. Ein fertiger Warntext im Ordner. Daneben die Antwort auf zwei Fragen. Über welchen Weg erreichen wir binnen einer Stunde alle Gäste der letzten zwölf Monate? Und was sagt die Frühschicht, wenn um halb acht der erste Gast anruft und wissen will, ob diese Nachricht von Ihnen stammt? Wer darauf am ruhigen Dienstag keine Antwort hat, hat sie am Tag danach erst recht nicht. Wird der Fall größer, gehört er in die Hände eines Spezialisten für Datenschutz und IT-Sicherheit, und zwar bevor die 72 Stunden angebrochen sind.

Rechenbeispiel, kein Messwert. Ein Haus hat 60 Bewertungen bei einem Schnitt von 4,2. Drei Gäste, die auf die Nachricht hereingefallen sind, vergeben je einen Stern. Der Schnitt fällt auf 4,05, also um 0,15 Sterne. Sayfuddin und Chen haben 2021 an texanischen Umsatzdaten gemessen, dass ein ganzer Stern zwischen 2,2 und 3,0 Prozent Monatsumsatz bewegt, gültig im Band zwischen 3,0 und 4,5 Sternen. Am unteren Rand gerechnet sind das 0,33 Prozent. Bei 90.000 Euro Monatsumsatz ergibt das rund 300 Euro im Monat und rund 3.600 Euro im Jahr, solange die drei Bewertungen den Schnitt drücken.

Das ist wenig, und genau das ist der Punkt. Teuer ist nicht die Bewertung. Teuer ist die Stunde, in der niemand im Haus sagen kann, wer die Gäste erreicht. Rechnen Sie es mit Ihren eigenen Zahlen nach: Für eine einzelne Bewertung ist die Verschiebung Ihr Schnitt minus die neue Note, geteilt durch die Anzahl Ihrer Bewertungen plus eins. Bei wenigen Bewertungen ist der Hebel groß, bei vielen verschwindet er. Nachmessen schlägt schätzen.

Quellen: Tageskarte, 07.09.2026, „Schweizerhof Lenzerheide warnt 10.000 Gäste vor betrügerischen Nachrichten", gestützt auf „SonntagsBlick" und Keystone-SDA · Blick, „Betrüger haben es auf Hotelgäste in Lenzerheide abgesehen": Warnung an rund 10.000 Adressaten, Lockmittel 250 Franken, die Zitate von Andreas Züllig sowie rund zwei Dutzend österreichische Hotels mit gemeldeten Zugriffen im August · Vorfallsdokumentation zu Seekda, gestützt auf Seekdas Kundeninformation vom 12.08.2026 und einen ORF-Bericht vom 28.08.2026: erste Hinweise am 31.07.2026 bei der Österreichischen Hotelvereinigung, Erkennung und Eindämmung am 11.08.2026 · DEHOGA Nordrhein, Warnung vom 11.08.2026, dort namentlich Booking.com und ibelsa, dort auch die Empfehlung zur Zwei- und Mehr-Faktor-Authentifizierung · Verordnung (EU) 2016/679 (DSGVO), Artikel 33 Absatz 1 und 2 sowie Artikel 34 Absatz 1 · Umsatzhebel je Stern: Sayfuddin und Chen, International Journal of Hospitality Management 99 (2021), Artikel 103065, gemessen an texanischen Umsatzdaten, gültig im Band 3,0 bis 4,5 Sterne · Das Rechenbeispiel ist ein Rechenbeispiel und kein Messwert. Einordnung aus der Betriebspraxis. Kein Rechtsrat.
Diese und alle weiteren Ausgaben, frei lesbar: 3perspectives.de/uebergabe